Polityka prywatności aplikacji mobilnej HeyFibo

Data wejścia w życie: 30.04.2026

§1. Administrator danych osobowych

1. Administratorem danych osobowych przetwarzanych za pośrednictwem aplikacji mobilnej HeyFibo (dalej: „Aplikacja”) jest HeyFibo.com P.S.A. z siedzibą w Łomży, adres: ul. Gen. Wł. Sikorskiego 166 lok. 0.03, 18-400 Łomża, wpisana do Rejestru Przedsiębiorców Krajowego Rejestru Sądowego pod numerem KRS: 0001125714, NIP: 7963030932, REGON: 529598568 (dalej: „Administrator”).

2. Kontakt z Administratorem w sprawach dotyczących danych osobowych:

   1. adres e-mail: kontakt@heyfibo.com,
   2. adres korespondencyjny: ul. Gen. Wł. Sikorskiego 166 lok. 0.03, 18-400 Łomża.

3. Administrator, po przeprowadzeniu analizy obowiązku wyznaczenia Inspektora Ochrony Danych w trybie art. 37 ust. 1 RODO, nie wyznaczył Inspektora Ochrony Danych. We wszystkich sprawach dotyczących przetwarzania danych osobowych należy kontaktować się z Administratorem na dane wskazane w ust. 2.

§2. Definicje

Na potrzeby niniejszej Polityki stosuje się następujące definicje:

§3. Zakres zbieranych danych osobowych

3.1. Dane Użytkownika (Rodzica)

Administrator przetwarza następujące dane Użytkownika:

• imię oraz opcjonalnie nazwisko Rodzica (podawane przy rejestracji),
• adres e-mail oraz dane uwierzytelniające (hasło w postaci zaszyfrowanej),
• dane o urządzeniu mobilnym (model, system operacyjny, identyfikator urządzenia) zbierane automatycznie na potrzeby techniczne,
• logi aktywności w Aplikacji (zdarzenia, błędy, czas sesji),
• token powiadomień push (niezbędny do dostarczania powiadomień przez Firebase).

3.2. Dane Dziecka

Za pośrednictwem Aplikacji Rodzic wprowadza i zarządza następującymi danymi Dziecka:

• imię Dziecka,
• data urodzenia / wiek Dziecka,
• zainteresowania Dziecka (wprowadzane dobrowolnie przez Rodzica),
• lista tematów, których Zabawka ma unikać w rozmowach (zakazane tematy),
• harmonogram godzin aktywności Zabawki.

Powyższe dane Dziecka przechowywane są wyłącznie lokalnie na Zabawce (w pamięci urządzenia). Aplikacja mobilna pełni funkcję panelu konfiguracyjnego — dane Dziecka wyświetla pobierając je lokalnie z Zabawki za pośrednictwem bezprzewodowego połączenia lokalnego (Bluetooth lub lokalna sieć Wi-Fi). Dane te nie są przesyłane do serwerów Administratora ani przechowywane w chmurze (zob. §3.3 oraz §4 pkt B).

3.3. Dane niezbierane przez Aplikację

Administrator nie zbiera za pośrednictwem Aplikacji mobilnej:

• danych lokalizacji GPS Użytkownika ani Dziecka,
• nagrań głosowych ani transkrypcji rozmów Dziecka z Zabawką,
• danych konfiguracyjnych Dziecka (imię, wiek, zainteresowania, zakazane tematy, harmonogram aktywności) — dane te przechowywane są wyłącznie lokalnie na Zabawce i nie są utrwalane w chmurze ani na serwerach Administratora; Aplikacja mobilna pełni rolę interfejsu konfiguracyjnego do tych danych, ale ich nie przesyła do systemów Administratora,
• identyfikatorów reklamowych (IDFA na iOS, AAID na Android) — Aplikacja nie żąda dostępu do identyfikatora reklamowego i nie korzysta z niego,
• danych w celu śledzenia Użytkownika w innych aplikacjach lub witrynach internetowych (tzw. cross-app/cross-site tracking) — Aplikacja nie prowadzi takiego śledzenia w rozumieniu wytycznych Apple App Tracking Transparency (ATT).

§4. Cele i podstawy prawne przetwarzania

A. Świadczenie usługi i wykonanie umowy (konto Rodzica)

B. Konfiguracja Zabawki — dane Dziecka przechowywane lokalnie

C. Monitoring techniczny i bezpieczeństwo systemu

D. Powiadomienia push (funkcjonalne)

E. Analityka Aplikacji

§4a. Dobrowolność podania danych

Zgodnie z art. 13 ust. 2 lit. e) RODO Administrator informuje, że:

1. Podanie danych Rodzica wskazanych w §3.1 (imię, adres e-mail, hasło) jest dobrowolne, jednak stanowi warunek zawarcia i wykonania umowy o świadczenie usług drogą elektroniczną — bez tych danych nie jest możliwe utworzenie konta w Aplikacji ani korzystanie z usługi.

2. Podanie danych Dziecka wskazanych w §3.2 (imię, data urodzenia, zainteresowania, zakazane tematy, harmonogram aktywności) jest dobrowolne, jednak niezbędne do skonfigurowania i personalizacji Zabawki. Brak ich podania nie uniemożliwia korzystania z Zabawki w trybie podstawowym, ale ogranicza możliwość personalizacji rozmów oraz korzystania z funkcji opartych na harmonogramie.

3. Powiadomienia push są dostarczane wyłącznie po wyrażeniu zgody systemowej na poziomie systemu operacyjnego urządzenia mobilnego — Użytkownik może w każdej chwili odwołać tę zgodę w ustawieniach urządzenia.

4. Wszystkie dane przetwarzane na podstawie prawnie uzasadnionego interesu Administratora (sekcje C i E) podlegają prawu sprzeciwu — zob. §8 ust. 1 pkt 6.

§5. Szczególne zasady ochrony danych Dziecka

1. Aplikacja jest przeznaczona wyłącznie dla Rodziców i opiekunów prawnych. Dziecko nie posiada konta w Aplikacji i nie korzysta bezpośrednio z Aplikacji ani z żadnego urządzenia z ekranem.

2. Dane Dziecka (imię, data urodzenia / wiek, zainteresowania, zakazane tematy, harmonogram aktywności) są wprowadzane przez Rodzica jako element konfiguracji usługi i przechowywane wyłącznie lokalnie na Zabawce (zob. §3.2 oraz §4 pkt B). Korzystając z Aplikacji Rodzic oświadcza, że jest przedstawicielem ustawowym Dziecka — rodzicem lub opiekunem prawnym wykonującym władzę rodzicielską albo opiekę nad Dzieckiem w rozumieniu art. 95–98 oraz art. 145 i nast. ustawy z dnia 25 lutego 1964 r. — Kodeks rodzinny i opiekuńczy — i że jest uprawniony do podejmowania w imieniu Dziecka czynności związanych z konfiguracją Zabawki oraz wprowadzaniem danych Dziecka do Aplikacji. Rodzic ponosi odpowiedzialność za prawidłowość, aktualność i zgodność z prawem podanych danych Dziecka oraz za fakt posiadania uprawnień do działania w imieniu Dziecka.

    

   Note

   Zastosowanie art. 8 RODO. Art. 8 ust. 1 RODO odnosi się do przetwarzania danych osobowych dziecka na podstawie zgody (art. 6 ust. 1 lit. a RODO) w związku z oferowaniem usług społeczeństwa informacyjnego bezpośrednio dziecku. Aplikacja nie jest oferowana ani świadczona bezpośrednio Dziecku — stroną umowy o świadczenie usług drogą elektroniczną jest wyłącznie Rodzic (osoba pełnoletnia). Podstawą prawną przetwarzania danych Rodzica jest art. 6 ust. 1 lit. b) RODO (wykonanie umowy), nie zgoda. Art. 8 RODO nie znajduje zatem zastosowania. Wprowadzanie danych Dziecka przez Rodzica do Aplikacji następuje w wykonaniu władzy rodzicielskiej (art. 95–98 K.r.o.).

3. Administrator stosuje zasadę minimalizacji danych — przetwarza wyłącznie te dane Dziecka, które są niezbędne do personalizacji rozmów z Zabawką i do wykonania usługi.

4. Administrator nie przetwarza danych Dziecka w celach marketingowych.

5. Administrator nie podejmuje wobec Dziecka zautomatyzowanych decyzji wywołujących skutki prawne lub w podobny sposób istotnie wpływających na Dziecko w rozumieniu art. 22 RODO. Personalizacja rozmów Zabawki polega wyłącznie na uwzględnianiu danych konfiguracyjnych przechowywanych lokalnie na Zabawce (imię, wiek, zainteresowania, zakazane tematy, harmonogram aktywności) na potrzeby bieżącej rozmowy i nie stanowi profilowania w rozumieniu art. 4 pkt 4 RODO — nie polega na zautomatyzowanej ocenie czynników osobowych Dziecka w celu analizy lub prognozowania jego zachowań, preferencji, wyników, sytuacji ekonomicznej, stanu zdrowia ani innych aspektów.

6. Administrator nie trenuje własnych modeli sztucznej inteligencji na transkrypcjach rozmów ani żadnych innych danych Dzieci i Użytkowników.

7. Przetwarzanie głosu Dziecka i generowanie odpowiedzi Zabawki odbywa się wyłącznie po stronie systemu Fibo (firmware Zabawki i backend) — nie w Aplikacji mobilnej. Szczegółowe zasady tego przetwarzania, w tym informacje o podmiotach przetwarzających (dostawcach AI i STT/TTS), zostaną opisane w odrębnej Polityce prywatności usługi Fibo.

§6. Odbiorcy danych

Dane osobowe Użytkowników i Dzieci mogą być przekazywane następującym kategoriom podmiotów:

Odbiorcy danych przetwarzanych przez Aplikację mobilną:

Administrator korzysta wyłącznie z usług podmiotów przetwarzających, które zawarły z nim umowy powierzenia przetwarzania danych zgodne z art. 28 RODO i zapewniają odpowiedni poziom ochrony.

§7. Przekazywanie danych poza Europejski Obszar Gospodarczy (EOG)

1. Spośród odbiorców danych Aplikacji mobilnej wymienionych w §6, siedzibę poza EOG lub serwery poza EOG posiada Google Firebase oraz Sentry. Grafana i Prometheus działają w trybie self-hosted na infrastrukturze Microsoft Azure w UE — dane nie są przekazywane poza EOG.

2. Przekazywanie danych do państw trzecich (USA) odbywa się na podstawie odpowiednich zabezpieczeń przewidzianych w Rozdziale V RODO:

   1. decyzji wykonawczej Komisji Europejskiej (UE) 2023/1795 z dnia 10 lipca 2023 r. wydanej na podstawie art. 45 ust. 3 RODO stwierdzającej odpowiedni stopień ochrony danych osobowych w ramach EU-US Data Privacy Framework (DPF) — w odniesieniu do podmiotów certyfikowanych w ramach DPF, w tym Google LLC, którego status uczestnictwa Administrator weryfikuje na publicznej liście DPF prowadzonej przez Departament Handlu USA (https://www.dataprivacyframework.gov),
   2. standardowych klauzul umownych (SCC) przyjętych decyzją wykonawczą Komisji Europejskiej (UE) 2021/914 z dnia 4 czerwca 2021 r., na podstawie art. 46 ust. 2 lit. c) RODO — w odniesieniu do podmiotów nieobjętych decyzją o adekwatności, w tym Functional Software, Inc. (Sentry); Administrator stosuje w razie potrzeby dodatkowe środki uzupełniające w rozumieniu rekomendacji Europejskiej Rady Ochrony Danych (EDPB) 01/2020, w szczególności szyfrowanie i pseudonimizację.

3. Zasady transferu danych do USA w ramach systemu Fibo (backend + Zabawka), w tym w odniesieniu do OpenAI i ElevenLabs, zostaną opisane w odrębnej Polityce prywatności usługi Fibo.

4. Użytkownik może uzyskać kopię stosowanych zabezpieczeń, kontaktując się z Administratorem: kontakt@heyfibo.com.

§8. Prawa osób, których dane dotyczą

Zgodnie z art. 13 ust. 2 lit. b) i d) RODO Administrator informuje o prawach przysługujących osobom, których dane dotyczą.

W odniesieniu do danych Dziecka — z uwagi na to, że Dziecko jest osobą małoletnią poniżej 13. roku życia — prawa wynikające z RODO wykonuje w jego imieniu przedstawiciel ustawowy (Rodzic), działając w granicach władzy rodzicielskiej albo opieki (art. 95–98 oraz art. 145 i nast. K.r.o.).

1. Użytkownikowi (Rodzicowi) — działającemu we własnym imieniu oraz w imieniu Dziecka jako jego przedstawiciel ustawowy — przysługują następujące prawa wynikające z RODO:

   1. Prawo dostępu do danych (art. 15 RODO) — prawo do uzyskania informacji o przetwarzaniu danych oraz do uzyskania ich kopii, w tym danych Dziecka wprowadzonych przez Rodzica.

   2. Prawo do sprostowania danych (art. 16 RODO) — prawo do żądania poprawienia nieprawidłowych lub uzupełnienia niekompletnych danych. Dane Dziecka Rodzic może aktualizować samodzielnie w Aplikacji.

   3. Prawo do usunięcia danych (art. 17 RODO) — prawo do żądania usunięcia danych, gdy m.in. nie są już niezbędne do celów, dla których zostały zebrane. Usunięcie konta powoduje usunięcie danych Użytkownika (konta Rodzica) z systemów Administratora, z zastrzeżeniem danych przetwarzanych na podstawie prawnie uzasadnionego interesu lub obowiązku prawnego (zob. §8 ust. 5 dotyczący retencji). Dane Dziecka przechowywane lokalnie na Zabawce nie są w posiadaniu Administratora — ich usunięcie leży po stronie Rodzica (poprzez Aplikację lub przywrócenie Zabawki do ustawień fabrycznych) i nie jest technicznie uzależnione od usunięcia konta.

   4. Prawo do ograniczenia przetwarzania (art. 18 RODO) — prawo do żądania ograniczenia przetwarzania w przypadkach wskazanych w RODO.

   5. Prawo do przenoszenia danych (art. 20 RODO) — prawo do otrzymania danych w ustrukturyzowanym formacie nadającym się do odczytu maszynowego, w zakresie danych przetwarzanych na podstawie zgody lub umowy.

   6. Prawo do sprzeciwu (art. 21 RODO) — prawo do wniesienia sprzeciwu — z przyczyn związanych ze szczególną sytuacją Użytkownika — wobec przetwarzania danych opartego na prawnie uzasadnionym interesie Administratora (art. 6 ust. 1 lit. f RODO), w tym wobec monitoringu technicznego oraz analityki Aplikacji (zob. §4 pkt C i E). Wniesienie sprzeciwu może uniemożliwić lub ograniczyć świadczenie usługi w zakresie funkcji opartych na takim przetwarzaniu.

   7. Prawo do cofnięcia zgody — w zakresie przetwarzania opartego na zgodzie (np. zgoda na powiadomienia push) Użytkownik może cofnąć zgodę w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem.

2. W celu skorzystania z powyższych praw należy skontaktować się z Administratorem: kontakt@heyfibo.com.

3. Administrator udziela odpowiedzi bez zbędnej zwłoki, nie później niż w terminie jednego miesiąca od otrzymania żądania (art. 12 ust. 3 RODO). W uzasadnionych przypadkach termin może zostać przedłużony o kolejne dwa miesiące.

4. Prawo do wniesienia skargi do organu nadzorczego (art. 77 RODO) — Użytkownik ma prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, strona internetowa: https://www.uodo.gov.pl, infolinia: 606-950-000), jeżeli uzna, że przetwarzanie danych osobowych narusza przepisy RODO.

5. Usunięcie konta Rodzica. Użytkownik może w każdej chwili samodzielnie usunąć swoje konto i powiązane z nim dane osobowe:

   1. Bezpośrednio z poziomu Aplikacji mobilnej — w sekcji „Konto → Usuń konto” (ścieżka in-app),
   2. Za pośrednictwem strony zarządzania kontem dostępnej pod adresem: https://keycloak.app.heyfibo.dev/ — po zalogowaniu się danymi konta Rodzica, w panelu zarządzania kontem dostępna jest opcja jego trwałego usunięcia,
   3. Poprzez kontakt z Administratorem pod adresem: kontakt@heyfibo.com.

   Zakres usunięcia. Usunięcie konta powoduje trwałe usunięcie z systemów Administratora: danych identyfikacyjnych Rodzica (imię, nazwisko, adres e-mail), danych uwierzytelniających, tokenów powiadomień push (Firebase Cloud Messaging) oraz logów aktywności zawierających dane osobowe Rodzica. Operacja jest nieodwracalna.

   Skutki uboczne. Usunięcie konta powoduje wylogowanie ze wszystkich urządzeń, na których Aplikacja była zalogowana, oraz utratę dostępu do funkcji wymagających autoryzacji. Dane Dziecka zapisane lokalnie na Zabawce (imię, wiek, zainteresowania, zakazane tematy, harmonogram) nie są automatycznie usuwane wraz z usunięciem konta — są nadal przechowywane wyłącznie na Zabawce i mogą zostać usunięte przez Rodzica poprzez przywrócenie Zabawki do ustawień fabrycznych. Administrator nie ma technicznej możliwości zdalnego usunięcia danych zapisanych w pamięci Zabawki.

   Termin realizacji. Usunięcie konta inicjowane samodzielnie przez Użytkownika (ścieżka in-app lub web) realizowane jest niezwłocznie, automatycznie. W przypadku żądania kierowanego pocztą elektroniczną Administrator realizuje usunięcie bez zbędnej zwłoki, nie później niż w terminie wskazanym w §8 ust. 3 (jeden miesiąc, z możliwością przedłużenia).

6. Dane podlegające retencji po usunięciu konta. Niektóre dane mogą być przechowywane przez Administratora po usunięciu konta — wyłącznie w zakresie i przez okres niezbędny do:

   1. dochodzenia lub obrony roszczeń (przez okres przedawnienia roszczeń — co do zasady 3 lata),
   2. wypełnienia obowiązków wynikających z przepisów prawa podatkowego i rachunkowego (dokumenty księgowe — 5 lat od końca roku podatkowego, w którym powstał obowiązek podatkowy),
   3. zapewnienia bezpieczeństwa systemu (zanonimizowane logi techniczne).
7. Dane te przetwarzane są na podstawie art. 6 ust. 1 lit. c) RODO (obowiązek prawny) oraz art. 6 ust. 1 lit. f) RODO (prawnie uzasadniony interes Administratora — obrona roszczeń).

§9. Bezpieczeństwo danych

1. Administrator stosuje odpowiednie środki techniczne i organizacyjne zapewniające bezpieczeństwo przetwarzanych danych osobowych zgodnie z art. 25 i 32 RODO, w szczególności:

   1. szyfrowanie transmisji danych (TLS),
   2. szyfrowanie danych przechowywanych na serwerach,
   3. pseudonimizację danych tam, gdzie jest to możliwe,
   4. ograniczenie dostępu do danych do upoważnionych pracowników i podmiotów przetwarzających,
   5. regularne przeglądy bezpieczeństwa infrastruktury.

2. Infrastruktura techniczna Aplikacji oparta jest na platformie Microsoft Azure z serwerami zlokalizowanymi w Unii Europejskiej.

3. W przypadku stwierdzenia naruszenia ochrony danych osobowych Administrator postępuje zgodnie z art. 33 RODO (zgłoszenie naruszenia organowi nadzorczemu w terminie 72 godzin od stwierdzenia naruszenia) oraz, jeżeli naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych — zgodnie z art. 34 RODO (zawiadomienie osoby, której dane dotyczą, bez zbędnej zwłoki).

§10. Przetwarzanie automatyczne i sztuczna inteligencja

1. Aplikacja mobilna nie przetwarza głosu Dziecka ani nie stosuje algorytmów sztucznej inteligencji w celu podejmowania decyzji wobec Użytkownika lub Dziecka. Przetwarzanie głosu i generowanie odpowiedzi Zabawki odbywa się wyłącznie po stronie systemu Fibo (firmware Zabawki i backend). Szczegóły zostaną opisane w odrębnej Polityce prywatności usługi Fibo.

2. Administrator nie podejmuje wobec Użytkowników ani Dzieci decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby wobec nich skutki prawne lub w podobny sposób istotnie na nich wpływały, w rozumieniu art. 22 ust. 1 RODO. Tym samym nie zachodzą wyjątki, o których mowa w art. 22 ust. 2 RODO, ani wymóg zapewnienia szczególnych zabezpieczeń przewidzianych w art. 22 ust. 3 RODO.

3. Administrator nie trenuje własnych modeli sztucznej inteligencji na danych Użytkowników ani Dzieci. Administrator umownie zobowiązuje podmioty przetwarzające wymienione w §6 oraz w odrębnej Polityce prywatności usługi Fibo do nieprzetwarzania powierzonych danych w celu trenowania własnych modeli, zgodnie z zawartymi umowami powierzenia (art. 28 RODO).

§11. Zmiany Polityki Prywatności

1. Administrator zastrzega sobie prawo do wprowadzania zmian w niniejszej Polityce Prywatności, w szczególności w związku ze zmianami przepisów prawa, zmianami w stosowanych technologiach lub rozszerzeniem zakresu świadczonych usług.

2. O istotnych zmianach Użytkownicy zostaną poinformowani za pośrednictwem powiadomienia w Aplikacji lub wiadomości e-mail na adres przypisany do konta, z odpowiednim wyprzedzeniem przed wejściem zmian w życie.

3. Korzystanie z Aplikacji po wejściu w życie zmienionej Polityki Prywatności oznacza jej akceptację.

§12. Postanowienia końcowe

1. Niniejsza Polityka Prywatności dotyczy wyłącznie aplikacji mobilnej HeyFibo. Zasady przetwarzania danych w serwisie internetowym heyfibo.com reguluje odrębna Polityka prywatności heyfibo.com. Zasady przetwarzania danych przez system Fibo (firmware Zabawki, backend, przetwarzanie głosu, AI) zostaną opisane w odrębnej Polityce prywatności usługi Fibo — do opracowania przed uruchomieniem sprzedaży komercyjnej.

2. W sprawach nieuregulowanych niniejszą Polityką zastosowanie mają przepisy RODO oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych.

3. Pytania i żądania dotyczące ochrony danych osobowych należy kierować na adres: kontakt@heyfibo.com.