Polityka prywatności — Stay at Zero

Ostatnia aktualizacja: 2026-10-08

Data wejścia w życie: 2026-08-29

Administrator: Paweł Graczyk

Kontakt: support@stayatzero.com

Produkt: Stay at Zero (aplikacja web do osobistego śledzenia postów)

Dokument należy utrzymywać w zgodzie z linkami w Ustawieniach i copy Connect.

1. Zakres

Ta polityka opisuje, jak przetwarzamy dane osobowe, gdy korzystasz ze Stay at Zero, w tym:

• użycie jako gość / tylko lokalnie w przeglądarce
• połączenie konta (logowanie przez dostawcę tożsamości)
• synchronizację historii postów na nasze serwery
• opcjonalny profil ciała, próbki masy, tętno spoczynkowe, sesje snu, aktywność, State of Mind, Mood Changes i posiłki (gdy zdecydujesz się przechowywać je na koncie)
• opcjonalny odczyt Apple Health (HealthKit) na iOS (aktywność, masa, tętno spoczynkowe, sen, State of Mind, Mood Changes — lokalnie; sync do chmury dopiero po zgodzie na dane zdrowotne)
• opcjonalny import/eksport backupów
• opcjonalne rozpoznawanie posiłku z opisu albo zdjęcia talerza

Stay at Zero to osobisty tracker postów. Nie jest wyrobem medycznym i nie udziela porad medycznych.

2. Jakie dane przetwarzamy

2.1 Na Twoim urządzeniu (także bez konta)

Przechowywane w przeglądarce (m.in. IndexedDB / local storage), na przykład:

• sesje postów (czas startu/końca, planowany czas/cel, opcjonalne nazwy, metadane sync/rewizji)
• kolejka zmian offline (outbox) i stan rozwiązywania konfliktów do sync
• cache profilu ciała, próbek masy, tętna spoczynkowego, sesji snu, aktywności, State of Mind, Mood Changes i posiłków (w tym import HealthKit na iOS)
• zdjęcie talerza każdego posiłku zapisanego ze zdjęcia talerza oraz jeden mały obrazek produktu na każdy kod kreskowy użyty w zapisanych posiłkach (§2.6)
• lokalne flagi zgód na przechowywanie profilu ciała i danych zdrowotnych na koncie oraz konto, dla którego je wyrażono
• preferencje UI (motyw, język, domyślne timera i podobne)
• tokeny OAuth po zalogowaniu (w storage przeglądarki)

Dane lokalne zostają w tej przeglądarce, dopóki ich nie wyczyścisz, nie wylogujesz się / nie wyczyścisz danych urządzenia albo przeglądarka nie usunie danych witryny.

2.2 Na naszych serwerach (gdy połączysz konto)

Jeśli połączysz konto, przechowujemy dane potrzebne do sync i funkcji konta, w tym:

Profil ciała, masa, tętno spoczynkowe, sen, aktywność, State of Mind, Mood Changes i posiłki są opcjonalne — na koncie dopiero po Connect i włączeniu odpowiedniej zgody w aplikacji; do tego czasu zostają na urządzeniu. Są dwie zgody, każda z osobnym przełącznikiem:

• Profil ciała (Konto → Body profile): data urodzenia, wzrost, płeć fizjologiczna, PAL i masa docelowa.
• Dane zdrowotne (Konto → Data): próbki masy, tętno spoczynkowe, sen, aktywność, State of Mind, Mood Changes i posiłki.

Historia postów synchronizuje się z każdym połączonym kontem i nie wymaga żadnej z tych zgód. Wyłączenie zgody zatrzymuje dalsze wysyłanie tych danych; to, co już jest na koncie, zostaje, dopóki tego nie usuniesz (zob. §7). Obie zgody są kasowane na urządzeniu po zalogowaniu na inne konto albo po wyczyszczeniu danych urządzenia.

Na iOS HealthKit może czytać aktywność, masę, tętno spoczynkowe, sen, State of Mind i Mood Changes za zgodą systemu. Sen nie jest diagnostyką medyczną.

2.3 Dostawca tożsamości (Zitadel lub następca)

Logowanie obsługuje nasz dostawca OIDC. Przetwarza dane uwierzytelniania na własnych zasadach. Otrzymujemy tokeny i claimy potrzebne do identyfikacji konta Stay at Zero (zwykle stabilny sub oraz e-mail, gdy dostępny).

Ważne: Usunięcie konta Stay at Zero usuwa dane serwerowe tego konta, a następnie próbuje usunąć login u dostawcy tożsamości (self-delete). Jeśli usunięcie IdP się nie uda, dane Stay at Zero mogą już być usunięte — spróbuj ponownie lub skontaktuj się z supportem. Zob. §7.

2.4 Procesorzy / hosting

Korzystamy z dostawców usług (procesorów) do hostowania i działania Stay at Zero — m.in. hosting aplikacji w chmurze, zarządzane bazy danych, CDN / hosting statyczny oraz tożsamość / uwierzytelnianie przy logowaniu. Przetwarzają dane osobowe wyłącznie na nasze polecenie i w zakresie potrzebnym do świadczenia swoich usług.

Tam, gdzie to praktyczne, korzystamy z infrastruktury w UE/EOG. Jeśli konieczny jest transfer poza EOG, stosujemy zabezpieczenia wymagane prawem (np. standardowe klauzule umowne). Opcjonalni dostawcy analityki produktowej są opisani w §4.

2.5 Dyktowanie opisu posiłku (opcjonalne)

Możesz podyktować opis posiłku przyciskiem mikrofonu zamiast go wpisywać. Mowę rozpoznaje Twoja przeglądarka albo Twój iPhone, a nie Stay at Zero:

• Aplikacja web: mowę rozpoznaje wbudowane rozpoznawanie mowy przeglądarki (Web Speech API). Przeglądarka może przesłać audio do usługi rozpoznawania mowy swojego dostawcy (np. Google w Chrome albo Apple w Safari). To przetwarzanie podlega polityce prywatności dostawcy przeglądarki. Przed pierwszym użyciem pokazujemy jednorazową informację.
• Aplikacja na iPhone (iOS 27 lub nowszy): rozpoznawanie mowy Apple działa na urządzeniu, a audio nie opuszcza telefonu. Przy pierwszym użyciu iOS może pobrać od Apple model mowy dla Twojego języka; w tym celu nie jest wysyłane żadne audio.
• Stay at Zero nie nagrywa, nie zapisuje ani nie otrzymuje audio. Nagranie nie trafia na nasze serwery.
• Do Stay at Zero trafia tylko rozpoznany tekst widoczny w polu opisu i dopiero wtedy, gdy przejdziesz z nim dalej, tak samo jak opis wpisany ręcznie. Tymczasowe wyniki rozpoznawania nie trafiają do logów.
• Mikrofon startuje dopiero po kliknięciu przycisku i zgodzie przeglądarki albo iOS na dostęp do mikrofonu. Przycisk możesz ukryć w Ustawieniach → Preferencje.

2.6 Rozpoznawanie posiłku (opis, zdjęcie i kod kreskowy, opcjonalne)

Z połączonym kontem Stay at Zero może przygotować szkic posiłku z opisu, z nazwy jednego nowego produktu albo z jednego zdjęcia talerza z opcjonalnym dopiskiem. Szkic zawsze widzisz i akceptujesz albo poprawiasz, zanim cokolwiek zostanie zapisane. Możesz też pominąć rozpoznawanie i wpisać wartości samodzielnie.

• Dostawca AI (podmiot przetwarzający). Nasz serwer wysyła tekst opisu, nazwę produktu albo zdjęcie z dopiskiem do zewnętrznej chmurowej usługi AI, która działa jako nasz podmiot przetwarzający („dostawca AI”). Usługa wypisuje produkty i szacuje ilości. Korzystamy z płatnego API dostawcy: według jego warunków dostawca AI nie używa tych treści do ulepszania swoich produktów i może je przechowywać tylko przez ograniczony czas w celu wykrywania nadużyć.
• Zdjęcie bez metadanych. Przed wysłaniem aplikacja tworzy na urządzeniu nowy, mniejszy JPEG z samych pikseli, a nasz serwer ponownie koduje nowy JPEG. Lokalizacja (GPS), model aparatu i inne metadane zdjęcia nie trafiają ani do nas, ani do dostawcy AI.
• Rozpoznawanie niczego nie zachowuje. Żądanie rozpoznania nie zapisuje zdjęcia, tekstu opisu ani dopisku: ani na dysku, ani w bazie, ani w logach. Istnieją tylko w pamięci podczas obsługi żądania. Logi zawierają wyłącznie dane techniczne, np. rozmiar zdjęcia po przeskalowaniu, liczbę pozycji, długość dopisku i kody błędów. Oryginału zdjęcia z aparatu nigdy nie trzymamy.
• Zapisany posiłek zachowuje zdjęcie talerza. Gdy zapiszesz posiłek zrobiony ze zdjęcia talerza, ten sam zmniejszony JPEG (dłuższy bok najwyżej 1280 px, bez lokalizacji, modelu aparatu i innych metadanych) zostaje przy tym posiłku: na urządzeniu, a na koncie po włączeniu zgody na dane zdrowotne, żeby pokazały go Twoje inne urządzenia. Zanim go zachowamy, serwer ponownie dekoduje i koduje zdjęcie, więc żadne metadane nie przetrwają. Anulowanie, nieudane rozpoznanie, opis i kod kreskowy nie zostawiają zdjęcia talerza. Usunięcie posiłku albo konta usuwa zdjęcie (§2.7).
• Co zapisujemy. Pozycje posiłku, które zaakceptujesz i zapiszesz, zdjęcie talerza posiłku zapisanego ze zdjęcia — na urządzeniu, a na koncie po włączeniu zgody na dane zdrowotne — oraz techniczny rejestr rozpoznań: liczba jednostek (10 powitalnych, ważne 3 miesiące), zdarzenia rezerwacji i rozliczenia oraz wiersze wywołań z modelem, liczbą tokenów i snapshotem ceny. Te wiersze nie zawierają opisu, nazw, frazy wyszukiwania ani zdjęcia. Anonimowa dzienna suma kosztu nie ma identyfikatora konta i zostaje po usunięciu konta. Jednokierunkowy kod identyfikatora logowania zapisuje, że grant powitalny został użyty, i jest trzymany 12 miesięcy. Akceptacja zasad rozpoznawania jest zapisana na koncie. Klucz pamięci podręcznej USDA to jednokierunkowy kod angielskiej frazy, nie sama fraza.
• Anthropic. Gdy skonfigurowany jest model Claude, ten sam tekst albo zdjęcie może trafić do Anthropic zamiast do Google. Anthropic jest nazwany tutaj, zanim na produkcji włączy się jego klucz.
• USDA FoodData Central. Wartości odżywcze pochodzą z FoodData Central Departamentu Rolnictwa USA. Dostaje ono tylko krótkie angielskie frazy wyszukiwania (np. “rice cooked”), nigdy zdjęcie, Twój tekst ani dane konta.
• Przed pierwszym zdjęciem pokazujemy jednorazową informację, że zdjęcie trafia do zewnętrznej usługi AI, a zapisany posiłek zachowuje jego zmniejszoną kopię.

Kod kreskowy. Produkt w opakowaniu możesz też dodać po kodzie kreskowym: zeskanować go aparatem, zrobić mu zdjęcie albo wpisać numer.

• Odczyt na urządzeniu. Obraz z aparatu i zdjęcie kodu są odczytywane na Twoim urządzeniu i go nie opuszczają. Nie dostajemy ich, nie wysyłamy ani nie zapisujemy.
• Open Food Facts. Do naszego serwera trafia tylko numer kodu i język aplikacji. Serwer szuka produktu w Open Food Facts (stowarzyszenie non-profit we Francji, serwery w UE) i trzyma dane produktu we wspólnym cache. Open Food Facts dostaje sam kod, z naszego serwera, bez Twojego konta i bez innych identyfikatorów. Cache produktów nie zawiera danych osobowych.
• Zdjęcie produktu. Zdjęcie na ekranie produktu Twoje urządzenie pobiera bezpośrednio z Open Food Facts (images.openfoodfacts.org). Open Food Facts widzi więc adres IP urządzenia i kod produktu w adresie zdjęcia, ale bez adresu odsyłającego i bez danych konta — tak jak przy każdym obrazku z innej strony.
• Zapisany obrazek produktu. Przy zapisie posiłku aplikacja robi jedną małą kopię zdjęcia produktu (dłuższy bok najwyżej 256 px, bez metadanych) na każdy kod — jedną na kod, wspólną dla wszystkich Twoich posiłków z tym kodem. Zostaje na urządzeniu, a przy zgodzie na dane zdrowotne także na koncie, więc ponowne otwarcie posiłku pokazuje ją bez pytania Open Food Facts. Adresu Open Food Facts nie zapisujemy. To nie jest Twoje zdjęcie i nie trafia do dostawcy AI. Znika, gdy żaden zapisany posiłek nie ma już tego kodu. Kopia jest pokazywana ze źródłem i licencją (CC BY-SA 3.0).
• Co zapisujemy. Kod zostaje na zapisanej pozycji posiłku, tak jak identyfikator USDA innych pozycji, oraz mały obrazek produktu opisany wyżej. Eksport i usunięcie konta obejmują je jak resztę pozycji. Logi zawierają wynik i czas wyszukiwania, bez kodu.
• Skanowanie nie zużywa jednostek rozpoznawania. „Oszacuj z nazwy” przy produkcie bez wartości odżywczych wysyła nazwę produktu do dostawcy AI, tak jak nazwę nowego produktu wyżej.

Wyszukiwanie produktów. Gdy wpisujesz nazwę składnika, aplikacja wysyła wpisany fragment nazwy (od 3 znaków) na nasz serwer, który szuka go we własnej kopii bazy USDA. Tekst nie trafia ani do dostawcy AI, ani do USDA, a my go nie zapisujemy ani nie logujemy: logi zawierają tylko jego długość, liczbę wyników i czas. Podpowiedzi ze składników zapisanych wcześniej powstają na urządzeniu i niczego nie wysyłają.

2.7 Gdzie leżą zapisane zdjęcia

• Na urządzeniu. Zdjęcia talerzy i obrazki produktów leżą w pamięci przeglądarki aplikacji (IndexedDB), przy koncie albo profilu gościa, który je zapisał. Wyczyszczenie danych urządzenia je usuwa.
• Na koncie. Serwer trzyma pliki zdjęć w prywatnym kubełku Google Cloud Storage, w tym samym regionie co serwer aplikacji, a nie w bazie danych. Kubełek nie ma dostępu publicznego ani publicznych czy podpisanych linków: aplikacja dostaje zdjęcie tylko przez nasze API, po zalogowaniu i tylko dla własnego konta. Każde zdjęcie to nowy plik bez metadanych. Wersjonowanie obiektów i kopie „soft delete” są wyłączone, a plików zdjęć nie obejmują osobne kopie zapasowe.
• Usuwanie. Usunięcie posiłku usuwa jego zdjęcie talerza; obrazek produktu znika, gdy żaden zapisany posiłek na koncie nie ma już tego kodu; usunięcie konta usuwa wszystkie pliki zdjęć konta. Pliki są usuwane w tle, zwykle w ciągu kilku minut. Gdy magazyn jest niedostępny, usuwanie jest ponawiane, a okresowa kontrola usuwa pliki, na które nic już nie wskazuje — najpóźniej w ciągu 30 dni.

3. Cele i podstawy (RODO)

Historia postów może być wrażliwa w kontekście. Przetwarzamy ją tylko, by zapewnić tracking/sync, o które prosisz. Nie sprzedajemy danych osobowych.

4. Cookies i podobne technologie

Używamy storage przeglądarki wymaganego do produktu (preferencje, dane offline, tokeny). Nie używamy reklamowych cookies stron trzecich.

Analityka produktowa (opcjonalna). Jeśli włączysz Product analytics w Ustawieniach (lub zaakceptujesz prompt w aplikacji), wysyłamy anonimowe zdarzenia użycia do PostHog (chmura UE, eu.i.posthog.com). Zdarzenia mogą obejmować nazwy tras, przycisków/funkcji, zgrubne koszyki czasu i locale — nie notatki, etykiety, dokładne znaczniki czasu postów ani e-mail.

Przy tym samym opt-inie możemy też nagrywać session replay (rekonstrukcję tego, co widzisz: tapnięcia, scroll, układ) przez PostHog. Pola wejściowe są maskowane. Analityka i replay są domyślnie wyłączone. Możesz je wyłączyć w Ustawieniach → Legal.

Strona marketingowa stayatzero.com. Google Analytics ładuje się tylko po wyborze Akceptuj analitykę na banerze. Akceptacja może też włączyć anonimową analitykę produktową w aplikacji web przez cookie zgody i/lub parametr ?analytics=1. Możesz to wycofać w Ustawieniach aplikacji. Handoff nie dotyczy natywnych shelli desktop/iOS.

5. Retencja

Po usunięciu konta dane konta i powiązane posty/konflikty są usuwane z głównej bazy. Kopie zapasowe mogą zostać do wygaśnięcia okien backupu.

6. Udostępnianie

Udostępniamy dane osobowe tylko:

• procesorom hostującym lub operującym usługę, w tym dostawcy AI do rozpoznawania posiłków, gdy z niego korzystasz (§2.6); na żądanie podamy, które podmioty przetwarzające dostają Twoje dane
• Open Food Facts, które dostaje z naszego serwera kod kreskowy skanowanego produktu, bez danych osobowych; zdjęcie produktu Twoje urządzenie pobiera z Open Food Facts bezpośrednio (§2.6)
• organom, gdy wymaga tego prawo
• następcy przy przeniesieniu usługi (poinformujemy, gdy wymagane)

Nie sprzedajemy danych osobowych.

7. Twoje prawa i kontrolki

W zależności od prawa (w tym RODO w EOG/UK) możesz mieć prawo dostępu, sprostowania, usunięcia, ograniczenia, sprzeciwu, przenoszenia oraz skargi do organu nadzorczego (Prezes Urzędu Ochrony Danych Osobowych (UODO) w Polsce).

Kontrolki w produkcie dziś:

• Eksport — pobranie backupu Stay at Zero (online z połączonym kontem), razem z zapisanymi zdjęciami talerzy i obrazkami produktów
• Import — przywrócenie z backupu Stay at Zero lub obsługiwanej historii Zero biodata.json
• Zgody na synchronizację — zgodę na profil ciała (Konto → Body profile) i zgodę na dane zdrowotne (Konto → Data) możesz wyłączyć w każdej chwili; to zatrzymuje dalsze wysyłanie, a dane już zapisane na koncie zostają, dopóki ich nie usuniesz
• Wyczyść dane na tym urządzeniu — usuwa lokalne dane przeglądarki, w tym obie zgody; nie usuwa danych serwerowych
• Usuń konto — trwale usuwa konto Stay at Zero i dane postów na serwerze, potem użytkownika IdP

Żądania, których nie da się zrealizować w aplikacji: support@stayatzero.com.

8. Transfery międzynarodowe

Tam, gdzie to praktyczne, przetwarzamy dane w UE/EOG. Jeśli przetwarzamy dane poza Twoim krajem lub poza EOG, stosujemy odpowiednie zabezpieczenia wymagane prawem (np. standardowe klauzule umowne).

Rozpoznawanie posiłku (§2.6) przetwarza dostawca AI, który może obsłużyć żądanie w Stanach Zjednoczonych i innych krajach. Ten transfer opiera się na standardowych klauzulach umownych i certyfikacji dostawcy w ramach EU-U.S. Data Privacy Framework. Angielskie frazy wyszukiwania wysyłane do USDA FoodData Central trafiają do USA i nie zawierają danych osobowych. Wyszukiwanie po kodzie kreskowym i zdjęcia produktów (§2.6) obsługuje Open Food Facts z UE, bez transferu poza EOG.

9. Dzieci

Stay at Zero nie jest skierowane do osób poniżej 16 lat (domyślny próg UE; w Twoim kraju może obowiązywać wyższy). Nie korzystaj z usługi poniżej tego wieku.

10. Zastrzeżenie zdrowotne

Stay at Zero przechowuje zgłoszoną przez Ciebie aktywność postu. Nie diagnozuje, nie leczy i nie monitoruje chorób. Decyzje o dłuższym lub medycznym poście należą do klinicysty. Zob. też Regulamin.

11. Zmiany

Możemy aktualizować tę politykę. Zmienimy datę „Ostatnia aktualizacja” i przy istotnych zmianach damy dodatkowe powiadomienie, gdy wymagane.

12. Kontakt

Pytania o prywatność i prawa: support@stayatzero.com