Polityka prywatności aplikacji Tup Quest

Wchodzi w życie: 5 października 2026 r. Wersja 1.2. · English version

Wersja 1.1 obowiązująca do 4 października 2026 r. — archiwum

Co się zmienia w wersji 1.2. Statystyki użycia — te, które włączasz sam i które są domyślnie wyłączone — poza naszą bazą w Irlandii trafiają też do Amplitude, narzędzia do analityki produktowej. Opisujemy to w punkcie 4.3: co dokładnie tam idzie, czego tam nie ma i jak to usunąć. Publikujemy tę wersję 14 dni przed wejściem w życie, tak jak obiecuje punkt 13, i do tego dnia nic do Amplitude nie jest przekazywane. Do 4 października 2026 r. obowiązuje wersja 1.1.

W skrócie

Tup Quest to gra o mieście. Zaznacza na mapie ulice, którymi faktycznie przeszedłeś, i miejsca kulturowe, które odkrywasz.

• Nie wymagamy e-maila ani hasła. Ranking i grupy używają automatycznie tworzonego konta gościa, które możesz usunąć w Ustawieniach.
• Szczegółowa historia spacerów i ślady GPS są w telefonie. Dobrowolny ranking oraz statystyki po zgodzie zapisują na serwerze dane opisane poniżej.
• Ślady GPS zapisujemy lokalnie i nie wysyłamy ich do rankingu ani statystyk. W wydaniu premierowym baza SQLite jest wyłączona z kopii systemowej iOS, a Android ma wyłączony Auto Backup oraz przenoszenie danych aplikacji między urządzeniami. Postępy nie przenoszą się automatycznie na nowy telefon. Możesz samodzielnie udostępnić kartę spaceru lub plik diagnostyczny — wtedy wskazany przez Ciebie odbiorca otrzyma dane zawarte w tym materiale.
• Nie ma reklam ani śledzenia między aplikacjami. Opcjonalne raporty błędów wysyłamy do Sentry (region UE) dopiero po Twojej zgodzie.
• Statystyki użycia są domyślnie wyłączone. Po zgodzie zapisujemy zdarzenia bez śladu GPS, ale z technicznym identyfikatorem gracza. Są to dane pseudonimowe, możliwe do powiązania z rankingiem. Trafiają do naszej bazy w Irlandii oraz, w zawężonym zakresie, do Amplitude — narzędzia analitycznego w regionie UE. Jedna zgoda obejmuje obu odbiorców.
• Ranking miasta i grupy znajomych są dobrowolne. Wysyłają pseudonim, nazwę miasta i trzy liczby — nigdy współrzędnych ani tras. Dopóki nie wpiszesz pseudonimu, nie ma Cię w żadnym rankingu.
• Pięć połączeń z siecią: kafelki mapy, sprawdzanie aktualizacji, ranking z grupami, statystyki użycia oraz raporty o awariach. Opisujemy każde niżej uczciwie — bo dostawca mapy widzi adres IP Twojego urządzenia, a przy aktualizacji wysyłany jest identyfikator instalacji. Telefon nie łączy się z Amplitude: przekazanie robi nasz serwer, już po stronie bazy.

Reszta dokumentu to szczegóły. Warto je przeczytać, ale powyższe punkty to cała prawda o tej aplikacji.

1. Kto jest administratorem danych

Administratorem danych osobowych jest:

Cybird Consulting Dariusz Ptaszek ul. Chmielna 2/31, 00-020 Warszawa, Polska NIP: 7343126589 REGON: 387337946 Polska

Kontakt we wszystkich sprawach dotyczących prywatności: d.ptaszek@gmail.com Strona aplikacji: https://tup.quest Ta polityka: https://tup.quest/prywatnosc Regulamin: https://tup.quest/regulamin Pomoc i FAQ: https://tup.quest/pomoc

Nie wyznaczyliśmy inspektora ochrony danych — działalność nie spełnia przesłanek z art. 37 RODO. Na wiadomości odpowiada właściciel firmy.

2. Jakie dane są przetwarzane i gdzie

2.1 Dane, które zostają wyłącznie na Twoim urządzeniu

Aplikacja zapisuje w lokalnej bazie SQLite na telefonie:

• odcinki ulic, którymi przeszedłeś, w wybranym mieście,
• miejsca kulturowe, które odkryłeś (muzyka, film, literatura, popkultura, sztuka, historia),
• historię spacerów (data, czas trwania, przebyty dystans),
• ślad przebytej trasy w postaci ciągu współrzędnych, zapisywany razem z każdym spacerem (współrzędne są zaokrąglane do pięciu miejsc po przecinku, czyli mniej więcej do metra),
• punkty doświadczenia i zdobyte odznaki (66); poziom (1–10), postęp wyzwania dnia i pozycja w lidze tygodniowej są z tych zapisów wyliczane na bieżąco,
• pseudonim, jeśli go wpiszesz,
• techniczny identyfikator konta gościa nadawany przez serwer Supabase oraz token sesji (nie jest to identyfikator reklamowy),
• ustawienia aplikacji, m.in. wybrane miasto i tryb śledzenia.

Liczba kroków nie jest zapisywana — aplikacja odczytuje ją z systemu na bieżąco, żeby pokazać ją na ekranie, i nigdzie jej nie utrwala.

Ślady GPS, odkryte ulice i szczegółowa historia spacerów pozostają lokalne, chyba że sam udostępnisz materiał zawierający te dane. Pseudonim, wyniki zbiorcze i identyfikator konta mogą trafić na serwer w ramach funkcji opisanych w punktach 4 i 5. Odinstalowanie aplikacji usuwa lokalną bazę, ale samo nie usuwa konta serwerowego.

Dopasowanie GPS do ulic i zapis szczegółowego śladu odbywają się na Twoim urządzeniu. Nie mamy serwerowej kopii tych śladów. Funkcje sieciowe i możliwość samodzielnego udostępnienia materiałów opisujemy osobno poniżej.

2.2 Dane, które faktycznie do nas trafiają

Gdy napiszesz do nas, otrzymujemy treść wiadomości, Twój adres e-mail i załączniki. Osobno przetwarzamy dane funkcji sieciowych opisane poniżej.

Poza tym: w panelach App Store Connect i Google Play Console widzimy zbiorcze, anonimowe statystyki (liczba pobrań, wersje systemu, kraje). Nie widzimy, kto zainstalował aplikację, i nie możemy powiązać tych liczb z konkretną osobą.

Do naszej bazy w Irlandii trafiają dane rankingu, grup i statystyk użycia: identyfikatory techniczne, pseudonim, nazwy grup, miasto, wyniki i zdarzenia opisane w punktach 4.3 i 5. Nie przesyłamy tam śladów GPS. Z tej bazy zawężona wersja zdarzeń statystycznych jest przekazywana dalej do Amplitude — opisujemy to w punkcie 4.3.

Osobno opisujemy dane techniczne, które trafiają do dostawców zewnętrznych usług, a nie do nas — kafelki mapy i sprawdzanie aktualizacji (punkt 4).

2.3 Dane, które nie są zbierane wcale

Aplikacja nie wymaga e-maila, hasła ani telefonu, nie odczytuje kontaktów i zdjęć ani danych płatniczych. E-mail i załączniki otrzymamy, jeśli sam skontaktujesz się ze wsparciem. Kroki odczytujemy lokalnie, a po zgodzie na statystyki wysyłamy m.in. czas i dystans spaceru. Nie pobieramy danych HealthKit. Aplikacja jest bezpłatna, bez reklam i zakupów w aplikacji.

Nie stosujemy śledzenia między aplikacjami ani identyfikatorów reklamowych. Deklaracje prywatności obejmują też pseudonimowe dane: identyfikatory, wybrane miasto, wyniki gry, interakcje, nazwy grup, czas i dystans spaceru oraz raporty błędów — zależnie od wybranych funkcji i zgód.

3. Uprawnienia systemowe i po co każde

Aplikacja prosi o cztery rzeczy. Każdej możesz odmówić — aplikacja będzie działać dalej, tylko część funkcji przestanie mieć sens.

3.1 Lokalizacja podczas używania aplikacji („Podczas korzystania z aplikacji”)

Po co: żeby zaznaczyć na mapie ulice, którymi idziesz, i rozpoznać, że podszedłeś do miejsca kulturowego.

Jak działa domyślny tryb „Tylko podczas spaceru”: pozycja jest odczytywana od naciśnięcia „Zacznij spacer” do naciśnięcia „Zakończ”. Poza spacerem aplikacja nie pyta systemu o lokalizację.

Jeśli masz przyznaną zgodę „Zawsze”, rozpoczęty spacer jest kontynuowany również przy zablokowanym ekranie i schowanej aplikacji — po to, żeby nie urywał się w kieszeni. Kończy się w momencie naciśnięcia „Zakończ”. Gdyby zdarzyło Ci się zamknąć aplikację w trakcie spaceru zamiast go zakończyć, przy następnym uruchomieniu aplikacja w trybie ręcznym sama zatrzymuje zadanie zbierające pozycje w tle.

Gdzie trafiają współrzędne: wyłącznie do lokalnej bazy na telefonie, w postaci dopasowanych odcinków ulic i śladu trasy. Nie opuszczają urządzenia.

3.2 Lokalizacja w tle („Zawsze”) — opcjonalna

Po co: tryb „Automatycznie w tle” sam zaznacza przebyte ulice, gdy aplikacja jest schowana.

Ten tryb jest domyślnie wyłączony. Włączasz go samodzielnie w Ustawieniach aplikacji — najpierw aplikacja wyjaśnia wprost, że w tym trybie odczytuje lokalizację także wtedy, gdy jest zamknięta lub nieużywana, a dopiero po Twojej zgodzie system prosi o uprawnienie „Zawsze”. Zużywa więcej baterii. Możesz go wyłączyć w każdej chwili w Ustawieniach aplikacji albo cofnąć zgodę w ustawieniach systemu. Współrzędne z tego trybu również nie opuszczają urządzenia.

3.3 Ruch i sprawność / rozpoznawanie aktywności (krokomierz)

Po co: aplikacja odczytuje liczbę kroków z systemu (Apple Motion na iOS, Activity Recognition na Androidzie), żeby pokazać ją w Profilu jako ciekawostkę („efekt uboczny”).

Liczba kroków jest odczytywana lokalnie, nie jest zapisywana w bazie aplikacji, nie wpływa na punkty i nigdzie nie jest wysyłana. Krokomierz nie steruje odczytem lokalizacji.

Tup Quest nie jest aplikacją sportową ani zdrowotną. Nie pokazuje tempa ani tętna, nie ma celu kroków i nie zapisuje żadnych danych o zdrowiu.

Czas trwania i dystans spaceru zapisujemy lokalnie, bo z nich składa się historia spacerów. Jeśli włączysz statystyki, te dwie liczby wychodzą z telefonu — do naszej bazy i do Amplitude. W formularzach sklepowych deklarujemy je jako dane o aktywności fizycznej, bo nimi są, mimo żartobliwej oprawy.

W podsumowaniu spaceru pokazujemy przybliżenie kalorii jako ciekawostkę. Używamy stałego przelicznika dystansu i założonej masy 75 kg. Nie pytamy o Twoją masę, wzrost, wiek ani płeć. Wynik nie jest indywidualnym pomiarem, nie jest nigdzie zapisywany ani wysyłany.

3.4 Powiadomienia — wyłącznie lokalne

Po co: jedno powiadomienie — gdy spacer zamknie się sam po dwudziestu minutach bezruchu (bo skończył się w kieszeni, bez przycisku), aplikacja mówi o tym na ekranie blokady: ile nowych ulic, ile kilometrów, że podsumowanie czeka.

Aplikacja pyta o zgodę na powiadomienia raz, przy pierwszym „Zacznij spacer”. Powiadomienie jest tworzone na telefonie przez samą aplikację — nie ma serwera push, nie ma tokenu urządzenia i nic w związku z powiadomieniami nie opuszcza telefonu. Nie wysyłamy promocji ani przypomnień „wróć do gry”. Jedyne dodatkowe powiadomienie — podsumowanie tygodnia w niedzielę o 18:00 (ile ulic w tym tygodniu, która dzielnica najbliżej domknięcia) — jest domyślnie wyłączone; włączasz je sam w Ustawieniach, a jego treść i termin też powstają na telefonie. Zgodę cofniesz w ustawieniach systemu.

4. Mapa, aktualizacje i połączenia z internetem

Aplikacja łączy się z siecią w pięciu sprawach: pobiera kafelki mapy, sprawdza, czy jest dostępna aktualizacja, obsługuje ranking miasta wraz z grupami znajomych (punkt 5), wysyła statystyki użycia i — gdy coś się w niej zepsuje — raport o awarii (punkt 4.4). Poza tym nie wysyła ani nie pobiera niczego.

4.1 Kafelki mapy (OpenFreeMap)

Aplikacja pobiera kafelki wektorowe mapy z serwera OpenFreeMap (tiles.openfreemap.org).

Tak jak przy każdej mapie online, dostawca kafelków widzi przy takim żądaniu adres IP Twojego urządzenia oraz to, jakich fragmentów mapy zażądano. Z fragmentów mapy można z grubsza wnioskować, w jakiej okolicy się znajdujesz. Piszemy to wprost, bo tak to działa i nie da się tego obejść bez rezygnacji z mapy.

Nie wysyłamy do dostawcy mapy Twojej trasy, punktów, pseudonimu ani identyfikatora gracza. Nie mamy też dostępu do logów serwera kafelków.

4.2 Sprawdzanie aktualizacji (Expo / EAS Update)

Aplikacja korzysta z mechanizmu aktualizacji przez sieć (OTA, expo-updates). Dzięki niemu poprawki warstwy aplikacji docierają do Ciebie bez czekania na nową wersję w sklepie. Mechanizm jest włączony w wersjach publikowanych w App Store i Google Play.

Jak to działa: przy uruchomieniu aplikacja pyta serwer u.expo.dev, czy dla jej kanału i wersji jest nowsza paczka. Jeśli jest — pobiera ją w tle i uruchamia przy kolejnym starcie aplikacji. Pobierana paczka zawiera wyłącznie kod i zasoby aplikacji.

Co trafia w takim żądaniu do dostawcy usługi aktualizacji:

• identyfikator instalacji aplikacji — trwały, losowy identyfikator (UUID) nadany tej konkretnej instalacji na Twoim telefonie. To nie jest identyfikator reklamowy (IDFA / Android Advertising ID) ani identyfikator sprzętu; znika przy odinstalowaniu aplikacji,
• identyfikator projektu aplikacji oraz kanał aktualizacji (w wersji ze sklepów: production),
• wersja runtime aplikacji (u nas równa numerowi wersji aplikacji) i platforma (iOS albo Android),
• adres IP urządzenia i standardowe nagłówki HTTP, tak jak przy każdym żądaniu sieciowym.

Czego nie trafia nigdy: współrzędnych, śladów tras, historii spacerów, punktów, odznak, pseudonimu ani liczby kroków.

Dostawcą usługi jest Expo Project Services — podmiot z siedzibą w Stanach Zjednoczonych. Oznacza to przekazanie powyższych danych technicznych poza Europejski Obszar Gospodarczy; piszemy o tym w punkcie 7.

Identyfikatora instalacji nie łączymy z żadną inną daną i nie mamy narzędzia, które pozwalałoby po nim kogokolwiek rozpoznać. Nie mamy też dostępu do surowych logów serwera aktualizacji.

4.3 Statystyki użycia (nasza baza w Irlandii i Amplitude)

Statystyki pomagają sprawdzić, które funkcje są używane. Są domyślnie wyłączone. Możesz zgodzić się na nie przy pierwszym uruchomieniu albo w Ustawieniach → Statystyki i raporty błędów. Odmowa nie ogranicza gry. Starsze ustawienie domyślnie włączonych statystyk nie jest traktowane jako zgoda.

Zgoda jest jedna i niepodzielna. Obejmuje naraz zapis w naszej bazie, przekazanie zawężonej wersji zdarzenia do Amplitude oraz raporty błędów w Sentry. Nie da się zgodzić na jedno, a odmówić drugiego — mówimy to wprost, żeby nikt nie szukał w Ustawieniach przełącznika, którego tam nie ma.

Wycofanie zgody natychmiast zatrzymuje zbieranie zdarzeń i czyści kolejkę na telefonie. Zleca też skasowanie kolejki po stronie serwera — tej, która czeka na przekazanie do Amplitude. Jeśli w tej chwili nie masz internetu, zlecenie zostaje zapamiętane i powtarzamy je przy każdym uruchomieniu aplikacji, aż serwer potwierdzi wykonanie. Czego nie cofa: żądania, które zostało już wysłane w sieć, ani danych przekazanych wcześniej — te zostają, dopóki nie poprosisz o ich usunięcie albo nie usuniesz konta. Wycofanie zgody nie wyłącza funkcji wymagających internetu, takich jak mapa i dobrowolny ranking.

Co wysyłamy:

• nazwę zdarzenia z zamkniętej listy: uruchomienie aplikacji i zakończenie wprowadzenia, otwarcie ekranu, wybór miasta, rozpoczęcie i zakończenie spaceru, zaliczenie przebytych ulic, odkrycie miejsca, zdobycie odznaki, domknięcie dzielnicy i kamienie milowe miasta, otwarcie kolekcji, przejrzenie katalogu, otwarcie trasy, otwarcie pomysłu na trasę i odhaczenie przystanku, rozpoczęcie i ukończenie wycieczki, założenie grupy, dołączenie do niej i udostępnienie zaproszenia, zmiana trybu śledzenia, włączenie samych statystyk oraz wyczyszczenie danych,
• slug wybranego miasta (np. warszawa) — jedna z kilkunastu wartości, ta sama dla wszystkich mieszkańców tego miasta. To miasto, które sam wybrałeś w aplikacji, a nie ustalone z Twojej lokalizacji,
• kategorię odkrytego miejsca (muzyka, film, literatura, popkultura, historia, sztuka) oraz identyfikator kolekcji, trasy lub wycieczki, a także to, czy miejsce otwarto z poziomu kolekcji i czy odkryto je po raz pierwszy,
• identyfikator spaceru — liczba, która pozwala skleić „zacząłem” z „skończyłem”; nie ma przy niej ani trasy, ani miejsca,
• przy trasach i wycieczkach: sposób odhaczenia przystanku (ręcznie czy przez GPS), liczbę przystanków wszystkich, odhaczonych z GPS i pozostałych, oraz rodzaj wycieczki. Liczby — nie to, który konkretnie przystanek odhaczyłeś,
• liczby zbiorcze: czas i dystans zakończonego spaceru, liczbę nowych ulic, poziom, punkty, liczbę odznak i odkryć, ligę tygodniową, procent domknięcia dzielnicy,
• informację, czy zgodziłeś się na dostęp do lokalizacji, oraz wybrany tryb śledzenia,
• nazwę ekranu, na którym zdarzenie powstało, a przy katalogu — który widok otworzyłeś,
• przy zakończonym spacerze: czy był na tyle długi, żeby go liczyć (co najmniej dwie minuty i sto metrów), oraz czy zakończyłeś go przyciskiem, czy zamknął się sam po dwudziestu minutach bezruchu,
• język interfejsu (pl albo en), wersję aplikacji i platformę,
• identyfikator sesji, identyfikator zdarzenia (losowy, służy do odsiewania duplikatów) oraz czas zdarzenia odczytany z zegara Twojego telefonu. Zdarzenie mogło powstać bez internetu i zostać wysłane nawet kilka dni później.

Żądanie jest uwierzytelnione: funkcja serwera dopisuje identyfikator gracza (auth.uid()) jako player_id. Pozwala to powiązać statystyki z wpisem tego gracza w rankingu. Nie nazywamy tych danych anonimowymi.

Czego nie wysyłamy nigdy: współrzędnych, śladów tras, nazw ulic, nazw konkretnych odkrytych miejsc, tego, który przystanek trasy odhaczyłeś, pseudonimu, nazw grup, liczby kroków, liczby kalorii, adresu e-mail, numeru telefonu, modelu urządzenia ani identyfikatorów reklamowych.

Adres IP. Zdarzenia idą na nasz własny serwer, więc — jak przy każdym żądaniu HTTP — brama serwera widzi adres IP urządzenia. Nie zapisujemy go w żadnej tabeli: w zapisanym zdarzeniu nie ma pola na adres IP ani na kraj czy miasto sieciowe. Adresy pojawiają się wyłącznie w technicznych logach dostawcy hostingu, które służą utrzymaniu i ochronie przed nadużyciami, i są przez niego kasowane po kilku dniach.

Gdzie to leży. Statystyki trafiają w dwa miejsca. Pierwsze to nasza własna baza danych — projekt Supabase (PostgreSQL) w regionie eu-west-1, czyli na serwerach w Irlandii. Jest to ta sama baza, która obsługuje ranking i grupy. Drugie to Amplitude, opisane niżej.

Amplitude — narzędzie do czytania statystyk

Sama baza danych nie odpowiada na pytanie „czy ludzie wracają po tygodniu". Do tego służy Amplitude — narzędzie do analityki produktowej, które pokazuje te same zdarzenia w postaci wykresów i lejków. Piszemy o nim osobno, bo to kolejny podmiot, który przetwarza Twoje dane, i uważamy, że należy Ci się o tym jasna informacja, a nie wzmianka w przypisie.

Jak to działa. Aplikacja nie łączy się z Amplitude. W telefonie nie ma żadnego SDK Amplitude i liczba połączeń sieciowych z Twojego urządzenia się przez to nie zmienia. Zdarzenie trafia do naszej bazy w Irlandii, a dopiero stamtąd nasz serwer przekazuje dalej jego zawężoną wersję.

Amplitude dostaje mniej niż my. Przepuszczamy wyłącznie zdarzenia z zamkniętej listy i wyłącznie właściwości z listy dozwolonych — resztę serwer odcina, zanim cokolwiek wyjdzie.

Z listy powyżej nie trafia do Amplitude diagnostyka jakości zapisu GPS — zostaje w naszej bazie i w Sentry. Cała reszta listy trafia.

Profil gracza w Amplitude. Razem ze zdarzeniami przekazujemy siedem liczb i etykiet opisujących Twój stan w grze: wybrane miasto, tryb śledzenia, poziom, punkty doświadczenia, liczbę odznak, liczbę odkrytych miejsc i ligę tygodniową. W Amplitude nie są one właściwością pojedynczego zdarzenia, tylko trwałym profilem przypisanym do identyfikatora gracza — nadpisywanym przy każdej zmianie. Służą do jednego: żeby dało się porównać, czy gracze, którzy doszli dalej, wracają częściej. Nie ma wśród nich niczego, co mówiłoby, gdzie byłeś: ani współrzędnych, ani nazw ulic, ani nazw odkrytych miejsc, ani pseudonimu.

Dwie rzeczy Amplitude dostaje, a my ich u siebie nie zapisujemy: język interfejsu i oznaczenie środowiska. Piszemy to, żeby nie zostawiać wrażenia, że Amplitude widzi wyłącznie podzbiór naszej bazy.

Identyfikator. Jako identyfikatora użytkownika używamy tego samego identyfikatora gracza co w rankingu, poprzedzonego przedrostkiem. Nie jest to więc osobny, słabszy identyfikator — to ta sama dana pseudonimowa. Mówimy o tym wprost, bo przeciwne wrażenie byłoby po prostu nieprawdziwe.

Adres IP. W każdym przekazywanym zdarzeniu wpisujemy na sztywno adres 0.0.0.0, żeby nie przekazywać Twojego adresu i żeby nie dało się z niego wyprowadzić lokalizacji. Samo połączenie wychodzi z naszego serwera w Irlandii, a nie z Twojego telefonu, więc Amplitude nie widzi adresu Twojego urządzenia. To, co opisujemy, to nasze działanie — nie składamy w Twoim imieniu obietnic za dostawcę.

Gdzie to leży i jak długo. Projekt jest założony w regionie Unii Europejskiej, więc dane pozostają w Unii. Retencję w projekcie ustawiamy na 12 miesięcy — tyle samo, ile trzymamy zdarzenia u siebie. Dostawcą jest Amplitude, Inc. z siedzibą w Stanach Zjednoczonych, działający jako podmiot przetwarzający; piszemy o tym w punkcie 7.

Usunięcie. Gdy usuniesz konto w Ustawieniach, nasz serwer kasuje wszystko, co jeszcze nie zostało przekazane, i wysyła do Amplitude żądanie usunięcia kopii. Uczciwie: to jest żądanie kierowane do dostawcy, a nie nasze skasowanie danych. Wykonuje je Amplitude, w swoim terminie, a my dostajemy potwierdzenie przyjęcia żądania, nie potwierdzenie usunięcia.

Statystyki użycia wysyłamy własnym interfejsem HTTP do Supabase. Oddzielny SDK Sentry obsługuje opcjonalne raporty błędów opisane w punkcie 4.4.

Diagnostyka jakości zapisu GPS korzysta z tej samej zgody. Obejmuje zbiorcze liczby przyjętych, odrzuconych i spóźnionych pomiarów, przedziały dokładności, długość przerw i opóźnień, rozcięcia rysowanego śladu, błędy zapisu, stan pracy na ekranie lub w tle, tryb i uprawnienia lokalizacji oraz wersję systemu, kompilacji i aktualizacji. Wysyłamy także losowy numer raportu, który pozwala odnaleźć zgłoszenie. Nie wysyłamy współrzędnych, nazw ulic ani sekwencji pomiarów. Podsumowania trafiają do Supabase również wtedy, gdy nie wykryto problemu; anomalie i ręczne zgłoszenia trafiają także do Sentry. Wspólny numer raportu pozwala połączyć je z pseudonimowymi statystykami konta. Diagnostyka GPS nie jest przekazywana do Amplitude — zostaje w naszej bazie i w Sentry. Wycofanie zgody czyści oczekujące podsumowania.

4.4 Raporty błędów i jakości GPS (Sentry)

Po Twojej zgodzie na statystyki i raporty błędów aplikacja może wysłać do Sentry raport błędu warstwy JavaScript lub zbiorczy raport problemu z jakością zapisu GPS. Ta funkcja jest domyślnie wyłączona. Nie uruchamiamy raportowania sesji, profilowania wydajności ani natywnego bufora raportów awarii.

Raport obejmuje opis błędu, ślad stosu, wersję aplikacji i aktualizacji, informacje o środowisku oraz nazwę ekranu i wybrane miasto. Usuwamy dane użytkownika i żądania; adres IP zastępujemy nieroutowalnym znacznikiem, który zapobiega dopisywaniu lokalizacji z IP. Pomijamy historię żądań sieciowych, która mogłaby zawierać adresy kafelków mapy. Nie dołączamy śladu GPS, pseudonimu ani identyfikatora gracza. Serwer widzi adres IP połączenia; ustawienie projektu blokuje jego zapis w raporcie.

Zgodę wycofasz przez Ustawienia → Statystyki i raporty błędów. Nie rozpoczynamy wtedy nowych wysyłek raportów; nie można cofnąć żądania, które już wyszło do sieci.

Gdzie to leży. Usługę świadczy Functional Software, Inc. (Sentry) jako podmiot przetwarzający; nasz projekt jest w regionie Unii Europejskiej (serwery we Frankfurcie, Niemcy). Raporty są przechowywane przez 90 dni, a potem automatycznie kasowane.

4.5 Skąd pochodzą dane o mieście

Dane ulic i miejsc pochodzą z OpenStreetMap, na licencji ODbL, © OpenStreetMap contributors. Kolekcje kulturowe opracowuje redakcja Tup Quest. Dane każdego miasta są dołączone do aplikacji — nie są pobierane z sieci w trakcie gry.

5. Ranking miasta i grupy znajomych

Ranking i grupy są dobrowolne. Niezależnie od nich, po osobnej zgodzie, statystyki użycia wysyłają dane opisane w punkcie 4.3. Aplikacja bez nich działa w całości: mapa, odkrycia, odznaki i liga tygodniowa liczą się na Twoim telefonie.

Dopóki nie wpiszesz pseudonimu, nie ma Cię w żadnym rankingu. To jest ten moment, w którym świadomie przystępujesz do rywalizacji — i to jest ta zgoda, o której mowa niżej.

5.1 Co dokładnie wychodzi z telefonu

• techniczny identyfikator konta gościa nadawany przez serwer Supabase oraz token sesji (nie jest to identyfikator reklamowy),
• pseudonim, który sam wpiszesz,
• nazwa miasta, którego dotyczy ranking,
• klucz tygodnia (rok i numer tygodnia),
• trzy liczby: liczba przebytych ulic, liczba odkrytych miejsc i liczba miejsc z kolekcji, oraz wyliczona z nich suma punktów.

Liczby dotyczą tego jednego miasta, do którego rankingu przystępujesz, i bieżącego tygodnia — nie są sumą z wszystkich miast, po których chodzisz.

Czego nie wyśle nigdy: współrzędnych, śladów tras, historii spacerów, nazw ulic, nazw konkretnych odkrytych miejsc, liczby kroków, liczby kalorii, adresu e-mail ani żadnych danych kontaktowych.

5.2 Grupy znajomych

Grupa to prywatny ranking dla osób, które znają jej kod. Zakładając grupę, podajesz jej nazwę; aplikacja losuje ośmioznakowy kod zaproszenia, który wysyłasz komu chcesz. Dołączając, wpisujesz ten kod.

Na serwerze zapisujemy: nazwę grupy, jej kod, informację o tym, kto ją założył, oraz listę identyfikatorów graczy, którzy do niej należą, wraz z datą dołączenia. Członkowie grupy widzą nawzajem swoje pseudonimy i wyniki — i tylko to.

Nazwę grupy wybierasz sam i jest ona widoczna dla wszystkich jej członków. Jeśli wpiszesz w niej czyjeś imię i nazwisko, stanie się ona daną osobową — dlatego lepiej tego nie robić.

5.3 Konto gościa bez e-maila i hasła

Nie podajesz e-maila ani hasła. Przy pierwszym użyciu funkcji wymagającej uwierzytelnienia aplikacja tworzy konto gościa w Supabase. Identyfikator i token zapisuje na telefonie. Konto pozwala powiązać Twoje wyniki, grupy i statystyki. Pseudonim może sam ujawniać Twoją tożsamość, dlatego nie wpisuj imienia i nazwiska.

Token dostępu jest przechowywany na tym telefonie. Po odinstalowaniu aplikacji lub zmianie urządzenia nie odzyskasz dostępu do wcześniejszego konta. Samo odinstalowanie nie kasuje wpisów serwerowych; usuń konto w Ustawieniach przed odinstalowaniem.

5.4 Gdzie to leży i jak długo

Dane rankingu i grup trzymamy w naszej własnej bazie danych — projekt Supabase (PostgreSQL) w regionie eu-west-1, czyli na serwerach w Irlandii, w Unii Europejskiej. Dostęp do tabel jest ograniczony regułami po stronie bazy: aplikacja nie zapisuje do nich bezpośrednio, tylko wywołuje wąski zestaw funkcji, które przyjmują dokładnie te dane, które wymieniliśmy wyżej.

Wyniki tygodniowe przechowujemy przez 12 miesięcy od zakończenia tygodnia, którego dotyczą. Pseudonim i przynależność do grup — dopóki nie poprosisz o ich usunięcie albo nie opuścisz grupy.

5.5 Jak się wycofać

Zgodę możesz wycofać w każdej chwili, ze skutkiem na przyszłość:

• Usunięcie konta i postępów. Wybierz Ustawienia → Dane → Usuń konto i wszystkie dane. Po potwierdzeniu usuwamy konto gościa, wyniki, powiązane statystyki, członkostwa i utworzone przez Ciebie grupy (także dla pozostałych członków), a następnie dane gry na telefonie. Kasujemy też wszystko, co czekało na przekazanie do Amplitude, i wysyłamy tam żądanie usunięcia kopii — wykonuje je Amplitude, więc nie dzieje się to w tej samej chwili. Operacja jest nieodwracalna i wymaga internetu, jeśli masz konto serwerowe. Przy braku potwierdzenia serwera lokalne postępy pozostają do ponowienia próby.
• Bez dostępu do aplikacji. Napisz na d.ptaszek@gmail.com, podając identyfikator gracza, jeśli go znasz. Możemy poprosić o informacje potrzebne do sprawdzenia uprawnienia do usunięcia danych. Sam identyfikator nie jest dowodem własności konta.
• Opuszczenie grupy. Wystarczy opuścić ją w aplikacji — Twój wynik znika z jej rankingu.

6. Podstawy prawne przetwarzania

7. Odbiorcy danych

Nie sprzedajemy danych. Nie przekazujemy ich brokerom danych ani sieciom reklamowym. Poniżej jest pełna lista podmiotów, które cokolwiek z Twoich danych widzą — każdy z powodu, który przy nim opisujemy.

• OpenFreeMap — dostawca kafelków mapy. Widzi adres IP urządzenia i zakres żądanych fragmentów mapy (punkt 4.1).
• Expo Project Services (USA) — dostawca usługi aktualizacji aplikacji (EAS Update). Przy sprawdzaniu aktualizacji otrzymuje identyfikator instalacji aplikacji, identyfikator projektu, kanał, wersję runtime, platformę i adres IP urządzenia (punkt 4.2).
• Supabase, Inc. — dostawca hostingu naszej bazy danych, działający jako podmiot przetwarzający. Na jego infrastrukturze (region eu-west-1, Irlandia) leżą dane rankingu, grup i statystyk użycia opisane w punktach 4.3 i 5. Supabase nie używa tych danych do własnych celów. Sama spółka ma siedzibę w Stanach Zjednoczonych — piszemy o tym niżej.
• Amplitude, Inc. — dostawca narzędzia do analityki produktowej, działający jako podmiot przetwarzający. Otrzymuje zawężoną wersję zdarzeń statystycznych opisaną w punkcie 4.3: nazwy zdarzeń z zamkniętej listy, właściwości z listy dozwolonych, identyfikator gracza z przedrostkiem, język, wersję aplikacji i platformę, a także trwały profil gracza (miasto, tryb, poziom, punkty, liczbę odznak i odkryć, ligę). Nie otrzymuje współrzędnych, śladów tras, nazw ulic i miejsc, pseudonimu, nazw grup ani diagnostyki GPS. Projekt jest w regionie Unii Europejskiej. Amplitude nie używa tych danych do własnych celów. Spółka ma siedzibę w Stanach Zjednoczonych — piszemy o tym niżej.
• Functional Software, Inc. (Sentry) — dostawca usługi raportowania awarii, działający jako podmiot przetwarzający. Raporty opisane w punkcie 4.4 są przechowywane w regionie Unii Europejskiej (Frankfurt, Niemcy). Sentry nie używa ich do własnych celów. Spółka ma siedzibę w Stanach Zjednoczonych — piszemy o tym niżej.
• Apple Inc. i Google Ireland Limited / Google LLC — dystrybutorzy sklepów App Store i Google Play. Instalujesz aplikację przez ich sklepy, na ich własnych zasadach prywatności, jako odrębni administratorzy. Nie przekazujemy im żadnych danych z aplikacji.
• Dostawca poczty elektronicznej — jeśli do nas napiszesz, Twoja wiadomość jest przechowywana na serwerze pocztowym. Gmail, Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlandia. Więcej: https://policies.google.com/privacy.
• Inni gracze — Twój pseudonim i liczba punktów są widoczne w rankingu miasta dla wszystkich, którzy z niego korzystają, a w grupie dla jej członków. Tylko to; nic więcej o Tobie tam nie ma.

Dane mogą też zostać udostępnione uprawnionym organom, jeśli obowiązek taki wynika z przepisów prawa. Podkreślamy jednak, że danych o Twoich trasach po prostu nie posiadamy — nie moglibyśmy ich wydać nikomu, nawet gdyby ktoś ich zażądał.

Przekazywanie poza Europejski Obszar Gospodarczy

Trzy rzeczy, które łatwo ze sobą pomylić, więc rozdzielamy je wprost. Ślad GPS i szczegółowa historia spacerów nie opuszczają telefonu w ogóle — ani do EOG, ani poza. Zbiorcze liczby o spacerze i postępach (czas, dystans, liczba nowych ulic, odznaka, procent dzielnicy) opuszczają telefon, jeśli włączysz statystyki, i są opisane w punkcie 4.3. Dane techniczne opisujemy poniżej.

Przekazywane są natomiast dane techniczne:

• Sprawdzanie aktualizacji. Serwis Expo Project Services ma siedzibę w Stanach Zjednoczonych, więc dane opisane w punkcie 4.2 (identyfikator instalacji, wersja runtime, platforma, kanał, adres IP) są przetwarzane poza EOG. Podstawą przekazania są standardowe klauzule umowne (art. 46 ust. 2 lit. c RODO), a w zakresie, w jakim dostawca uczestniczy w programie Data Privacy Framework — decyzja Komisji Europejskiej o odpowiednim stopniu ochrony (art. 45 RODO).
• Ranking, grupy i statystyki użycia. Dane są przechowywane na serwerach w Irlandii, czyli w Unii Europejskiej. Dostawca hostingu, Supabase, Inc., ma jednak siedzibę w Stanach Zjednoczonych i w ramach obsługi technicznej może uzyskać do nich dostęp. Podstawą takiego dostępu są standardowe klauzule umowne (art. 46 ust. 2 lit. c RODO), a w zakresie, w jakim dostawca uczestniczy w programie Data Privacy Framework — decyzja Komisji Europejskiej o odpowiednim stopniu ochrony (art. 45 RODO).
• Zawężone statystyki w Amplitude. Projekt jest założony w regionie Unii Europejskiej, więc dane są przechowywane w Unii. Dostawca, Amplitude, Inc., ma siedzibę w Stanach Zjednoczonych i w ramach obsługi technicznej może uzyskać do nich dostęp — na tej samej podstawie co wyżej: standardowe klauzule umowne (art. 46 ust. 2 lit. c RODO), a w zakresie udziału dostawcy w programie Data Privacy Framework — decyzja Komisji Europejskiej (art. 45 RODO).
• Raporty o awariach. Raporty są przechowywane na serwerach w Niemczech, czyli w Unii Europejskiej. Dostawca, Functional Software, Inc., ma siedzibę w Stanach Zjednoczonych i w ramach obsługi technicznej może uzyskać do nich dostęp — na podstawie standardowych klauzul umownych (art. 46 ust. 2 lit. c RODO), a w zakresie udziału w programie Data Privacy Framework — decyzji Komisji Europejskiej (art. 45 RODO).
• Kafelki mapy oraz usługi Apple i Google. Dane techniczne (np. adres IP) mogą być przetwarzane poza EOG na zasadach określonych przez te podmioty — najczęściej w oparciu o standardowe klauzule umowne lub decyzje Komisji Europejskiej o odpowiednim stopniu ochrony.

8. Jak długo przechowujemy dane

• Postępy w grze (lokalnie na telefonie) — do momentu, w którym sam je usuniesz albo odinstalujesz aplikację. Nie mają terminu ważności, bo nie leżą u nas.
• Korespondencja e-mail — przez czas potrzebny do załatwienia sprawy, a następnie przez 12 miesięcy po zamknięciu sprawy na wypadek pytań uzupełniających lub roszczeń.
• Żądania o aktualizację — ich zapisy powstają po stronie dostawcy usługi aktualizacji i są przechowywane zgodnie z jego zasadami. My ich nie pobieramy, nie archiwizujemy i nie mamy do nich dostępu.
• Zdarzenia statystyk użycia — przechowywane w naszej bazie nie dłużej niż 12 miesięcy od zarejestrowania zdarzenia; codzienne zadanie kasuje starsze. Po wyłączeniu statystyk w Ustawieniach nowe zdarzenia nie powstają, a te, które czekały w kolejce — i na telefonie, i na serwerze — są kasowane od razu. O usunięcie już zebranych możesz poprosić e-mailem, podając identyfikator gracza; usuwamy je wtedy z naszej bazy i wysyłamy do Amplitude żądanie usunięcia kopii.
• Kopia zawężonych statystyk w Amplitude — retencja projektu ustawiona na 12 miesięcy, czyli tyle samo, ile trzymamy zdarzenia u siebie. Usunięcie konta w aplikacji wysyła tam żądanie wcześniejszego usunięcia.
• Profil gracza w Amplitude — w odróżnieniu od zdarzeń nie wygasa sam po dwunastu miesiącach: jest nadpisywany przy każdej zmianie i trwa, dopóki istnieje konto. Usuwa go żądanie wysyłane przy usunięciu konta.
• Kolejka oczekująca na przekazanie do Amplitude — najwyżej 6 dni dla zdarzenia, które nie zostało jeszcze przekazane, i około doby po przekazaniu. Kolejka powstaje niezależnie od tego, czy kanał do Amplitude jest w danej chwili włączony; zdarzenia, które nie zdążą zostać przekazane, są po prostu kasowane.
• Potwierdzenia żądań usunięcia wysłanych do Amplitude — 35 dni od przekazania, żeby dało się odtworzyć, że żądanie faktycznie poszło. Zawierają identyfikator gracza i nic poza nim.
• Raporty o awariach — 90 dni u dostawcy usługi, potem kasowane automatycznie. Po wyłączeniu przełącznika w Ustawieniach nowe raporty nie powstają.
• Zbiorcze statystyki ze sklepów — zgodnie z zasadami Apple i Google; nie są powiązane z osobą.
• Wyniki w rankingu i grupach — wyniki tygodniowe przez 12 miesięcy od zakończenia danego tygodnia. Pseudonim i członkostwo w grupach — do czasu, aż poprosisz o usunięcie albo opuścisz grupę. Grupa bez członków jest kasowana.

9. Twoje prawa

Masz prawo do: dostępu do danych, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie oraz wycofania zgody w dowolnym momencie (bez wpływu na zgodność z prawem przetwarzania sprzed wycofania).

Jak skorzystać z praw:

• Dostęp i przenoszenie. Dane lokalne przeglądasz na mapie, profilu i w historii spacerów. W sprawie kopii danych serwerowych napisz na adres kontaktowy; podaj identyfikator gracza z Ustawień, aby pomóc nam znaleźć właściwy wpis.
• Usunięcie danych. W aplikacji wybierz Ustawienia → Dane → Usuń konto i wszystkie dane; zakres i skutki opisujemy w punkcie 5.5. Wyłączamy też statystyki, diagnostykę i automatyczne śledzenie. Zachowujemy podstawowe ustawienia, np. język i miasto. Odinstalowanie usuwa wyłącznie dane lokalne. Szczegóły: Usuwanie danych.
• Wyłączenie statystyk użycia. Ustawienia → Statystyki i raporty błędów. Natychmiast: aplikacja przestaje zbierać i wysyłać zdarzenia oraz kasuje kolejkę na telefonie. Kolejkę serwerową, czekającą na przekazanie do Amplitude, kasujemy przy najbliższym połączeniu z siecią — zlecenie jest zapamiętywane i ponawiane aż do skutku. Bez skutku wstecznego: dane przekazane wcześniej zostają, dopóki nie poprosisz o ich usunięcie albo nie usuniesz konta.
• Cofnięcie zgody na lokalizację lub krokomierz. W ustawieniach systemu telefonu (iOS: Ustawienia → Prywatność i ochrona → Usługi lokalizacji / Ruch i sprawność; Android: Ustawienia → Aplikacje → Tup Quest → Uprawnienia). Tryb śledzenia w tle wyłączysz też w samej aplikacji, w Ustawieniach.
• Sprzeciw, sprostowanie, ograniczenie oraz sprawy dotyczące korespondencji. Napisz na d.ptaszek@gmail.com. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca od otrzymania wiadomości.

Skróty do tej polityki, Regulaminu oraz Pomocy znajdziesz także w aplikacji, w Ustawieniach → Dokumenty.

Dane konta odnajdujemy po identyfikatorze gracza. Nie prosimy o dodatkowe dane identyfikacyjne, jeśli nie są potrzebne do realizacji żądania. Przy wątpliwościach możemy poprosić o potwierdzenie uprawnienia do danych.

Skarga. Jeśli uważasz, że przetwarzamy dane niezgodnie z prawem, możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.

10. Brak reklam, śledzenia i automatycznych decyzji

W aplikacji nie ma i nie planujemy:

• reklam i sieci reklamowych,

• śledzenia między aplikacjami i stronami, IDFA ani innych identyfikatorów reklamowych,

• sprzedaży danych ani udostępniania ich brokerom danych,

• zautomatyzowanego podejmowania decyzji wywołujących wobec Ciebie skutki prawne lub podobnie istotne (art. 22 RODO) — nic w tej aplikacji takich decyzji nie podejmuje,

• plików cookie — aplikacja mobilna ich nie używa.

Czego natomiast nie napiszemy, bo byłoby to naciągane: że nie ma tu żadnej analizy zachowania. Jeśli włączysz statystyki, Twoje zdarzenia układają się w Amplitude w ciąg przypisany do jednego identyfikatora, obok którego stoi trwały profil z Twoim poziomem, punktami, liczbą odznak i odkryć oraz ligą (punkt 4.3). Na tej podstawie powstają wykresy powrotów i lejki. To jest analiza zachowania użytkowników — robiona po to, żeby rozwijać grę, a nie żeby cokolwiek Ci wyświetlać, sprzedawać czy o Tobie rozstrzygać. Nie budujemy profili reklamowych, nie łączymy tych danych z żadnym źródłem zewnętrznym i nie przekazujemy ich nikomu poza Amplitude opisanym w punkcie 4.3.

Aplikacja używa identyfikatorów technicznych opisanych niżej oraz identyfikatora sesji statystyk. Nie są to identyfikatory reklamowe:

• Identyfikator gracza — losowy identyfikator konta nadawany przez Supabase. Łączy wpisy w rankingu, grupach i statystykach. Usunięcie konta w aplikacji kasuje powiązane wpisy; samo odinstalowanie usuwa tylko token z telefonu.
• Identyfikator instalacji aplikacji — nadawany przez mechanizm aktualizacji. Jest wysyłany do dostawcy usługi aktualizacji przy sprawdzaniu, czy jest nowsza wersja (punkt 4.2). Służy wyłącznie dostarczeniu właściwej paczki aktualizacji, nie jest używany do profilowania ani reklamy i znika przy odinstalowaniu aplikacji.

11. Dzieci

Aplikacja nie jest kierowana do dzieci poniżej 13 lat. Opisy kulturowe mogą zawierać odniesienia do używek, przemocy i wydarzeń historycznych. Właściwą dla kraju klasyfikację wiekową pokazuje sklep po wypełnieniu kwestionariusza treści.

Nie weryfikujemy daty urodzenia. Rodzice i opiekunowie powinni uwzględnić klasyfikację sklepu oraz zasady bezpiecznego chodzenia po mieście.

12. Bezpieczeństwo

Dane gry są chronione tak, jak chroniona jest pamięć Twojego telefonu: przez blokadę ekranu i mechanizmy izolacji aplikacji wbudowane w iOS i Androida. Warto ustawić kod blokady i nie udostępniać odblokowanego telefonu osobom postronnym.

Wszystkie połączenia sieciowe aplikacji — kafelki mapy, sprawdzanie aktualizacji, ranking z grupami i statystyki użycia — idą po HTTPS. Paczki pobierane są po HTTPS, a ich integralność sprawdza mechanizm aktualizacji przed uruchomieniem.

13. Zmiany polityki

Możemy zmienić tę politykę, gdy zmieni się aplikacja — na przykład gdy dojdzie nowy odbiorca danych albo nowa funkcja sieciowa. Aktualna wersja zawsze znajduje się pod adresem https://tup.quest/prywatnosc, a odnośnik do niej jest w aplikacji w Ustawieniach → Dokumenty.

O istotnych zmianach — zwłaszcza o takich, które wiążą się z wysyłaniem czegokolwiek poza urządzenie — poinformujemy, publikując nową wersję dokumentu pod powyższym adresem co najmniej 14 dni przed jej wejściem w życie. Każda wersja ma datę wejścia w życie na początku dokumentu, więc zawsze możesz sprawdzić, co i od kiedy obowiązuje. Nie zmienimy zasad po cichu i wstecz.

Nie mamy żadnego kanału, którym moglibyśmy wysłać Ci powiadomienie — nie znamy Twojego adresu e-mail i aplikacja nie wysyła powiadomień push. Dlatego jedynym miejscem, w którym publikujemy zmiany, jest strona z dokumentem.

14. Kontakt

d.ptaszek@gmail.com Cybird Consulting Dariusz Ptaszek, ul. Chmielna 2/31, 00-020 Warszawa, Polska

Polityka prywatności: https://tup.quest/prywatnosc Regulamin: https://tup.quest/regulamin Pomoc i FAQ: https://tup.quest/pomoc

Odpisujemy po polsku i po angielsku.