Niniejsza informacja wyjaśnia, jakie dane osobowe zbiera Mentup, dlaczego je zbiera, komu je udostępnia i jakie masz prawa. Jest przekazywana zgodnie z art. 13 i 14 Rozporządzenia (UE) 2016/679 (« RODO ») oraz włoskim dekretem ustawodawczym 196/2003, zmienionym dekretem ustawodawczym 101/2018.
Napisaliśmy ją tak, żeby dało się ją zrozumieć. Tam, gdzie termin techniczny jest nieunikniony, wyjaśniamy go.
1. Kto jest administratorem danych
Mentup Solutions
Via Romana 75 · 42028 Poviglio (RE) · Italia
Numer VAT 03156100350
E-mail: privacy@mentup.eu
PEC: mentup@pec.it
2. Do kogo skierowany jest Mentup
Z Mentup mogą korzystać osoby, które ukończyły 16 lat.
Jeśli masz 16 lub 17 lat, do aktywacji konta potrzebna jest zgoda rodzica lub osoby sprawującej władzę rodzicielską: bez tej zgody konto pozostaje nieaktywne i nie możesz korzystać z usługi. Jak to działa, wyjaśniamy w punkcie 6.
Prawo włoskie pozwalałoby wyrazić zgodę na przetwarzanie danych już od 14 lat (art. 8 RODO i art. 2-quinquies włoskiego Kodeksu ochrony danych). Wybraliśmy wyższy próg z dwóch powodów: Mentup przetwarza dane dotyczące zdrowia, a abonament to umowa, której osoba niepełnoletnia nie może zawrzeć samodzielnie. Próg 16 lat odpowiada temu, który przewiduje RODO w braku odmiennych przepisów krajowych, oraz temu, który obowiązuje w Niemczech i w Holandii. Tam, gdzie prawo Twojego kraju przewiduje wyższy wiek, stosuje się ten wiek.
3. Jakie dane zbieramy
3.1 Dane, które podajesz przy zakładaniu konta
Imię, nazwisko, adres e-mail, hasło (które przechowujemy wyłącznie w postaci zaszyfrowanej i którego nikt z nas nie może odczytać), data urodzenia, płeć, numer telefonu, preferowany język, kraj oraz — jeśli zdecydujesz się ją wgrać — zdjęcie profilowe.
Data urodzenia jest nam potrzebna z jednego konkretnego powodu: aby ustalić, czy jesteś osobą niepełnoletnią, i uruchomić procedurę zgody rodzicielskiej.
3.2 Dane o Twoim dobrostanie — najbardziej wrażliwa część
Korzystając z Mentup zapisujesz:
- codzienne działania, które wybierasz i kończysz, w czterech obszarach (rodzina, relacje, rozwój osobisty, zdrowie);
- wpisy w dzienniku;
- wyładowania lęku i wyładowania złości, wraz z odpowiednimi wartościami;
- dzienną ocenę zadowolenia, z notatkami i zdjęciami, które zdecydujesz się dołączyć;
- organizację dobroczynną, którą wybierasz jako odbiorcę darowizn generowanych przez Twoje działania.
To są dane dotyczące Twojego zdrowia i należą do « szczególnych kategorii danych osobowych » z art. 9 RODO. To najlepiej chronione dane, jakie zna Rozporządzenie, i przetwarzamy je wyłącznie na podstawie Twojej wyraźnej zgody, którą możesz wycofać w każdej chwili (punkt 5).
3.3 Dane rodzica lub opiekuna (tylko dla użytkowników niepełnoletnich)
Imię, nazwisko i adres e-mail rodzica lub opiekuna, zbierane wyłącznie w celu zwrócenia się o zgodę, jej otrzymania i zachowania dowodu jej udzielenia.
3.4 Dane techniczne
Adres IP, rodzaj przeglądarki lub urządzenia (user agent) oraz data i godzina, o której udzieliłeś lub wycofałeś każdą zgodę. Przechowujemy je, aby móc wykazać, jeśli będzie to konieczne, że zgoda rzeczywiście została zebrana: to obowiązek, który RODO nakłada na nas (art. 7.1).
3.5 Dane płatnicze
Mentup nie widzi i nie przechowuje danych Twojej karty. Abonament kupuje się przez Apple App Store, Google Play lub — na stronie — przez Stripe. Od dostawcy otrzymujemy wyłącznie informację potrzebną do utrzymania aktywnego abonamentu: czy jest aktywny, kiedy wygasa, czy został odnowiony lub anulowany, oraz identyfikator transakcji.
3.6 Czego NIE zbieramy — i to nie jest formalność
Na dzień sporządzenia tej informacji Mentup:
- nie używa narzędzi analitycznych (ani Google Analytics, ani Firebase Analytics);
- nie używa pikseli reklamowych ani SDK atrybucji;
- nie śledzi Twojej aktywności w innych aplikacjach ani na innych stronach i nie prosi o IDFA w systemie iOS;
- nie używa narzędzi do raportowania awarii;
- nie profiluje użytkowników i nie podejmuje zautomatyzowanych decyzji dotyczących Ciebie;
- nie sprzedaje, nie przekazuje i nie wynajmuje Twoich danych nikomu;
- nie wykorzystuje Twoich danych emocjonalnych w celach reklamowych, ani własnych, ani cudzych — i nie będzie tego robić: reklama profilowana na podstawie danych szczególnej kategorii jest bezwzględnie zakazana przez art. 26(3) aktu o usługach cyfrowych, nawet przy wyrażonej zgodzie.
Jeśli w przyszłości któryś z tych punktów się zmieni, ta informacja zostanie zaktualizowana zanim zmiana zacznie obowiązywać, a tam, gdzie to przewidziane, poprosimy Cię o nową zgodę.
4. Dlaczego przetwarzamy Twoje dane i na jakiej podstawie prawnej
| Cel | Użyte dane | Podstawa prawna |
|---|---|---|
| Utworzenie i prowadzenie Twojego konta, umożliwienie logowania | 3.1 | Wykonanie umowy — art. 6.1.b |
| Umożliwienie korzystania z funkcji dobrostanu (działania, dziennik, lęk, złość, zadowolenie, statystyki) | 3.2 | Wyraźna zgoda — art. 9.2.a |
| Weryfikacja Twojego wieku i zebranie zgody rodzicielskiej, jeśli jesteś niepełnoletni | 3.1, 3.3 | Obowiązek prawny — art. 6.1.c i art. 8 |
| Obsługa abonamentu, odnowień, potwierdzeń i pomocy | 3.1, 3.5 | Wykonanie umowy — art. 6.1.b |
| Pokazanie Twoich danych specjaliście, którego wskazałeś | 3.2 | Wyraźna i szczegółowa zgoda — art. 9.2.a |
| Tworzenie zbiorczych i anonimowych statystyk dla Twojej firmy lub szkoły | 3.2 w formie zbiorczej | Wyraźna zgoda — art. 9.2.a |
| Rejestrowanie i przechowywanie dowodu zgód | 3.4 | Obowiązek prawny — art. 6.1.c |
| Wysyłanie wiadomości serwisowych (weryfikacja e-maila, ostrzeżenia bezpieczeństwa, terminy abonamentu) | 3.1 | Wykonanie umowy — art. 6.1.b |
| Wysyłanie wiadomości promocyjnych o Mentup | Zgoda — art. 6.1.a, możliwa do wycofania jednym kliknięciem w każdej wiadomości | |
| Zapewnienie bezpieczeństwa usługi i zapobieganie nadużyciom | 3.4 | Prawnie uzasadniony interes — art. 6.1.f |
| Obrona prawa przed sądem | zależnie od przypadku | Prawnie uzasadniony interes / art. 9.2.f |
Wiadomości serwisowe nie są reklamą i nie można ich wyłączyć, dopóki masz aktywne konto: bez nich nie moglibyśmy Ci powiedzieć, że Twój abonament zaraz zostanie obciążony albo że ktoś poprosił o zresetowanie Twojego hasła.
5. Zgoda na dane o dobrostanie i jak ją wycofać
Zgoda na dane z art. 9 jest wyraźna, odrębna i szczegółowa: nie jest ukryta w akceptacji Regulaminu, nie jest zaznaczona z góry i dotyczy jednego celu naraz.
Możesz ją wycofać w każdej chwili, w Ustawieniach aplikacji, bez konieczności wyjaśniania dlaczego i bez żadnych kosztów. Wycofanie:
- działa natychmiast na przyszłość;
- nie czyni bezprawnym przetwarzania dokonanego do tej chwili;
- natychmiast przerywa udostępnianie specjaliście, firmie lub szkole, jeśli wcześniej je autoryzowałeś.
Trzeba to powiedzieć uczciwie: dane o dobrostanie są usługą. Wycofując tę zgodę, funkcje dziennika, statystyk i monitorowania przestają działać, a konto ogranicza się do funkcji podstawowych.
6. Jeśli masz 16 lub 17 lat
- Przy rejestracji prosimy o adres e-mail rodzica lub osoby sprawującej władzę rodzicielską.
- Twoje konto zostaje utworzone, ale pozostaje nieaktywne: nie możesz się zalogować i nie są zbierane żadne dane o dobrostanie.
- Do rodzica wysyłamy wiadomość z prośbą o zgodę i linkiem do tej informacji.
- Konto zostaje aktywowane dopiero, gdy rodzic potwierdzi.
- Jeśli zgoda nie dotrze w ciągu 30 dni, prośba wygasa, a zebrane do tej pory dane zostają usunięte.
Rodzic może wycofać zgodę w każdej chwili, pisząc na adres wskazany w punkcie 1; konto zostaje wtedy dezaktywowane, a dane usunięte.
Nie kierujemy reklam do osób niepełnoletnich i nie profilujemy niepełnoletnich użytkowników w żadnym celu.
7. Komu udostępniamy Twoje dane
Domyślnie nie udostępniamy nic. Każde z poniższych udostępnień następuje tylko wtedy, gdy sam je włączysz, i można je cofnąć.
7.1 Twojemu specjaliście (psychologowi, lekarzowi, coachowi)
Jeśli połączysz swoje konto ze specjalistą, może on zobaczyć Twoje dzienne oceny zadowolenia i ich przebieg, Twoje wyładowania lęku i złości — datę, natężenie, a także tekst, który napisałeś — oraz otrzymać powiadomienie, jeśli przestaniesz korzystać z aplikacji.
- Dziennik pozostaje Twój: specjalista go nie widzi.
- Potrzebna jest wyraźna i szczegółowa zgoda, odrębna od wszystkich innych.
- Każdy dostęp specjalisty do Twoich danych jest rejestrowany w dzienniku technicznym z datą, godziną, adresem IP i rodzajem dostępu.
- Możesz przerwać udostępnianie w każdej chwili, ze skutkiem natychmiastowym.
- Mentup pokazuje dane specjaliście: nie interpretuje ich, nie przypisuje ocen klinicznych i nie sugeruje, kiedy interweniować.
7.2 Twojej firmie
Twoja firma nigdy nie widzi Twoich indywidualnych danych. Nigdy. To nie jest obietnica: tak jest zbudowany system.
Firma otrzymuje wyłącznie średnią zadowolenia wszystkich swoich pracowników i jej przebieg w czasie. Żadnych danych na osobę, na dział ani na grupę mniejszą niż cała firma. Średnia jest obliczana tylko, jeśli zapisanych pracowników jest co najmniej 3: przy mniejszej liczbie osób dana « zbiorcza » i tak dałaby się przypisać komuś konkretnemu. Z tego samego powodu firma może aktywować Mentup tylko przy co najmniej 3 pracownikach. Możesz ponadto poprosić o wyłączenie także ze średniej.
Mentup i Twoja firma są współadministratorami danych w rozumieniu art. 26 RODO, na podstawie pisemnej umowy, której kopię możesz zamówić pod adresem wskazanym w punkcie 1.
7.3 Twojej szkole
Obowiązuje ta sama zasada: szkoła otrzymuje wyłącznie dane zbiorcze i anonimowe — średnie zadowolenie i liczbę zarejestrowanych wyładowań — na klasę i dla całej szkoły, nigdy na pojedynczego ucznia. Dana dotycząca klasy jest pokazywana tylko, jeśli zapisanych uczniów w tej klasie jest co najmniej 3. Udział jest dobrowolny i w żaden sposób nie wpływa na ocenę szkolną. Do uczniów niepełnoletnich stosuje się procedurę z punktu 6.
7.4 Naszym dostawcom
Zobacz punkt 8. Działają jako podmioty przetwarzające i są związani umową w rozumieniu art. 28 RODO.
7.5 Organom władzy
Tylko jeśli i w zakresie, w jakim wymaga tego prawo.
7.6 Organizacje dobroczynne
Organizacje otrzymujące darowizny dostają darowiznę, nie Twoje dane. Nie wiedzą, kim jesteś.
8. Dostawcy, z których korzystamy
| Dostawca | Do czego służy | Gdzie | Rola |
|---|---|---|---|
| Netsons S.r.l. | Serwery aplikacji i bazy danych | UE (Włochy) | Podmiot przetwarzający, art. 28 |
| Netsons S.r.l. | Wysyłka e-maili serwisowych (SMTP) | UE (Włochy) | Podmiot przetwarzający, art. 28 |
| Apple — App Store | Zakup i odnowienie abonamentu w systemie iOS | — | Niezależny administrator w zakresie płatności |
| Google — Google Play | Zakup i odnowienie abonamentu w systemie Android | — | Niezależny administrator w zakresie płatności |
| Stripe | Płatności dokonywane na stronie | UE / USA | Podmiot przetwarzający, art. 28 |
| RevenueCat | Sprawdzanie, czy abonament kupiony w sklepach jest aktywny | USA | Podmiot przetwarzający, art. 28 |
Dostawcom nigdy nie przekazujemy Twoich danych o dobrostanie. Otrzymują tylko to, czego wymaga ich funkcja: identyfikator użytkownika i status abonamentu.
9. Pliki cookie i dane przechowywane na Twoim urządzeniu
9.1 Na naszych stronach
Szczegóły plików cookie — nazwa, cel, czas trwania i kto je umieszcza — znajdują się w Polityce cookies. Dziś używamy jednego pliku cookie, technicznego. Gdybyśmy w przyszłości wprowadzili pliki cookie inne niż techniczne, byłyby instalowane dopiero po Twojej zgodzie, którą mógłbyś zmienić lub wycofać w każdej chwili.
9.2 W aplikacji
W aplikacji Mentup nie ma plików cookie. Pliki cookie to technologia sieci WWW, a mówienie o cookies w aplikacji natywnej jest technicznie błędne. Aplikacja przechowuje natomiast pewne informacje na Twoim urządzeniu:
| Informacja | Do czego służy | Gdzie |
|---|---|---|
| Token uwierzytelniający, identyfikator użytkownika | Utrzymanie Cię w stanie zalogowania bez pytania o hasło przy każdym uruchomieniu | Zaszyfrowany magazyn systemu operacyjnego |
| Język interfejsu, kraj | Pokazanie Ci aplikacji we właściwym języku oraz organizacji dobroczynnych z Twojego kraju | Pamięć lokalna aplikacji |
| Preferencje wyświetlania | Zapamiętanie, co już zamknąłeś lub ukryłeś | Pamięć lokalna aplikacji |
Wszystko to zostaje na Twoim telefonie. Usuwa się to przez odinstalowanie aplikacji lub wylogowanie z konta.
10. Jak długo przechowujemy dane
| Dane | Przechowywanie |
|---|---|
| Konto i dane profilu | Przez cały czas istnienia konta. Usuwane w ciągu 30 dni od żądania usunięcia |
| Dane o dobrostanie (dziennik, wyładowania, oceny, zdjęcia) | Jak wyżej: usuwane razem z kontem |
| Dane relacji ze specjalistą ochrony zdrowia | Czas trwania relacji i 10 lat od jej zakończenia, zgodnie z obowiązkami w obszarze zdrowia |
| Dziennik dostępów specjalisty | 10 lat |
| Dowód zgód (data, godzina, IP, wersja dokumentu) | 10 lat od wycofania lub zakończenia |
| Dane w ramach firmowego programu dobrostanu | Czas trwania programu; anonimizowane w ciągu 90 dni od jego zakończenia, z zastrzeżeniem obowiązków prawnych |
| Dane podatkowe i księgowe abonamentów | 10 lat, z obowiązku prawnego |
| Zbiorcze i anonimowe dane statystyczne | Bez ograniczenia: nie pozwalają już dotrzeć do osoby |
11. Twoje prawa i jak z nich korzystać
W każdej chwili możesz:
- uzyskać dostęp do swoich danych i otrzymać ich kopię (art. 15);
- sprostować je, jeśli są błędne lub niekompletne (art. 16);
- usunąć je (art. 17);
- ograniczyć ich przetwarzanie (art. 18);
- przenieść je gdzie indziej w formacie nadającym się do odczytu maszynowego (art. 20) — w aplikacji znajdziesz funkcję « Pobierz moje dane »;
- wnieść sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21);
- wycofać zgodę w każdej chwili (art. 7.3).
Jak to zrobić. W Ustawieniach aplikacji znajdziesz eksport i usunięcie konta. Możesz też napisać na adres wskazany w punkcie 1, a na stronie jest publiczna strona do złożenia wniosku o usunięcie konta bez konieczności logowania: mentup.eu/cancella-account.
Odpowiadamy w ciągu miesiąca. Jeśli żądanie jest złożone, możemy wziąć dwa miesiące więcej, informując Cię o tym.
Jeśli uważasz, że Twoje dane są przetwarzane nieprawidłowo, możesz złożyć skargę do Garante per la protezione dei dati personali, włoskiego organu ochrony danych (Piazza Venezia 11, 00187 Rzym — garante@gpdp.it — www.garanteprivacy.it), albo do organu kraju, w którym mieszkasz, oraz zwrócić się do sądu.
12. Jak chronimy dane
Szyfrowana komunikacja (HTTPS/TLS); hasła przechowywane wyłącznie jako skrót i nigdy w postaci jawnej; tokeny dostępu w zaszyfrowanym magazynie urządzenia; dostęp do danych ograniczony do osób, które go rzeczywiście potrzebują; każdy dostęp specjalisty rejestrowany i przechowywany; regularne kopie zapasowe.
Żaden system nie jest absolutnie bezpieczny. Gdyby doszło do naruszenia powodującego wysokie ryzyko dla Twoich praw, poinformujemy Cię o tym i zawiadomimy organ nadzorczy w terminach przewidzianych prawem (art. 33 i 34 RODO).
13. Gdzie znajdują się dane
Dane są przechowywane na serwerach znajdujących się w Unii Europejskiej.
Niektórzy dostawcy wskazani w punkcie 8 (Apple, Google, Stripe, RevenueCat) mogą przetwarzać dane także poza Europejskim Obszarem Gospodarczym. W takich przypadkach przekazanie odbywa się na podstawie zabezpieczeń przewidzianych w rozdziale V RODO: decyzji stwierdzającej odpowiedni stopień ochrony albo standardowych klauzul umownych zatwierdzonych przez Komisję Europejską.
Dane o dobrostanie nie opuszczają Unii Europejskiej.
14. Zmiany tej informacji
Jeśli ją zmienimy, opublikujemy nową wersję na tej stronie z nową datą i nowym numerem wersji. Gdy zmiana jest istotna — nowe cele, nowi odbiorcy, nowe narzędzia pomiarowe — poinformujemy Cię wcześniej, zanim zacznie obowiązywać, a tam, gdzie to konieczne, poprosimy o nową zgodę.
Poprzednie wersje pozostają dostępne na żądanie.
Ta informacja jest sporządzona w języku włoskim. W razie rozbieżności między wersją włoską a tłumaczeniem rozstrzygająca jest wersja włoska.