Polityka prywatności

Kto jest administratorem danych

Administratorem danych jest właściciel serwisu RespondGrid, dostępnego pod adresem respondgrid.com. W sprawach dotyczących danych osobowych piszcie na [email protected].

Dane, które podajesz sam

Konto: adres e-mail i imię z nazwiskiem. Adres e-mail jest jednocześnie identyfikatorem konta i drogą, którą jednostka wysyła zaproszenia oraz którą odzyskuje się dostęp. Przy logowaniu przez Google otrzymujemy od Google adres e-mail, imię i nazwisko oraz zdjęcie profilowe — nie mamy dostępu do Twojego hasła Google ani do reszty Twojego konta. Logowanie przez Google jest dostępne w przeglądarce i w aplikacji na Androida; aplikacja na iPhone'a loguje wyłącznie adresem e-mail i hasłem.

Zdjęcie profilowe: opcjonalne. Widzą je pozostali członkowie Twojej jednostki przy alarmie i na liście składu.

Numer telefonu: opcjonalny, wpisywany w kartotece jednostki. Widzi go dowództwo jednostki.

Treści dodawane do jednostki: zdjęcia remizy i pojazdów, dane kontaktowe, opisy zdarzeń, wpisy o szkoleniach i badaniach wraz ze skanami dokumentów.

Dane zbierane w trakcie alarmu

Deklaracja wyjazdu („jadę", „nie jadę", przewidywany czas dojazdu) jest widoczna dla pozostałych członków Twojej jednostki. Na tym polega jej sens: dowódca musi wiedzieć, na kogo czeka i czy jest kto poprowadzi wóz.

Położenie zbieramy WYŁĄCZNIE gdy zadeklarujesz wyjazd („jadę"), do zamknięcia zdarzenia, i tylko jeśli włączysz zgodę na lokalizację. W tym czasie aplikacja przekazuje położenie także przy wygaszonym ekranie — na Androidzie widać to jako powiadomienie, na iPhonie jako niebieski wskaźnik w pasku stanu. Poza alarmem aplikacja na telefonie osoby nie wysyła położenia na serwer. Jedyny wyjątek to opcjonalna, domyślnie wyłączona funkcja opisana w następnym punkcie — i nawet ona wysyła wyłącznie wynik „tak/nie”, nigdy położenie.

Wyjątek stanowi tablet zamontowany w wozie bojowym i zalogowany kontem POJAZDU, które zakłada administrator jednostki: to sprzęt jednostki, nie prywatny telefon, więc melduje położenie wozu także poza alarmem i przy wygaszonym ekranie, żeby jednostka widziała, gdzie jest wóz. Zapisujemy tylko ostatnie położenie wozu, bez historii trasy. Telefon strażaka nigdy tego nie robi.

Zgody są dwie i niezależne. Pierwsza pozwala policzyć Twój czas dojazdu — jednostka widzi wtedy liczbę minut, nigdy współrzędnych. Druga, osobna, pozwala pokazać Twoje położenie na mapie pozostałym jadącym. Możesz włączyć pierwszą bez drugiej i wyłączyć obie w każdej chwili w ustawieniach jednostki.

Współrzędne kasujemy razem z zamknięciem zdarzenia — w tej samej operacji na bazie, więc jedno bez drugiego nie może się zdarzyć. Zdarzenia niezamknięte ręcznie zamykają się same po kwadransie i wtedy również pozycje znikają. W dokumentacji wyjazdu zostaje liczba minut, nie trasa.

Dyspozycyjność wg odległości od remizy (opcjonalna)

Jeżeli włączysz tę funkcję, granicy koła wokół remizy, o promieniu ustawionym przez jednostkę, pilnuje system operacyjny Twojego telefonu: na Androidzie przez usługi Google Play (geofencing), na iPhonie przez systemowe monitorowanie regionów. Gdy przekroczysz tę granicę, system budzi aplikację, a ta wysyła jedno „tak” albo „nie”. Aplikacja nie odczytuje do tego Twojego położenia: nie trafia ono na serwer RespondGrid, nie jest zapisywane ani nigdzie logowane. Na serwer idzie jedno „tak” albo „nie” — w pobliżu remizy albo poza nią — oraz czas tego wyniku; od czasu do czasu aplikacja potwierdza też aktualny wynik. System zauważa przekroczenie granicy zwykle w ciągu kilku minut, nie natychmiast. Na iPhonie z samym uprawnieniem „Podczas używania” sprawdzanie działa tylko przy otwartej aplikacji. Serwer odrzuca każde żądanie, które zawiera cokolwiek poza tym wynikiem, w tym współrzędne.

Funkcja jest domyślnie WYŁĄCZONA u każdego strażaka i włączasz ją sam, za własną zgodą. Wynik widzi dowództwo jednostki, razem z informacją, kto ma funkcję włączoną; pozostali strażacy go nie widzą. Służy wyłącznie do obrazu dyspozycyjności w składzie jednostki. Nie zmienia tego, kto dostaje alarm — alarm dostają wszyscy. Ręcznie zgłoszona niedyspozycyjność ma zawsze pierwszeństwo przed tym wynikiem.

Przechowujemy tylko ostatni wynik, bez historii. Wynik starszy niż dwie i pół godziny jest traktowany jako brak danych, nigdy jako „poza remizą”. Wyłączenie funkcji — Twoim przełącznikiem w aplikacji lub w panelu, albo przez administratora dla całej jednostki — kasuje zapisany wynik natychmiast. Odejście z jednostki kasuje także Twoją zgodę.

Dane zbierane automatycznie

Powiadomienia: token urządzenia z Firebase Cloud Messaging (Android) albo z usługi Apple Push Notification (iPhone), potrzebny do wysłania alarmu na konkretny telefon. Bez niego alarm nie dotrze.

Dane telefonu: model, wersja systemu oraz wersja aplikacji wraz z numerem budowy, zapisane przy rejestracji urządzenia do powiadomień. Służą wyłącznie do tego, żeby dojść, dlaczego alarm gdzieś nie dotarł albo dlaczego ekran wygląda inaczej niż powinien — nakładki producentów blokują powiadomienia na własne sposoby, a bez modelu telefonu takiej awarii nie da się odtworzyć. Nie zbieramy numeru IMEI, numeru seryjnego ani identyfikatora reklamowego.

Raporty awarii: przy awarii aplikacji wysyłamy ślad stosu, model telefonu i wersję systemu — na Androidzie do Firebase Crashlytics, na iPhonie do Sentry (serwery w Unii Europejskiej, bez zrzutów ekranu i bez danych osobowych). Nie zawierają one treści zdarzeń, adresów ani Twojego położenia.

Dzienniki serwera: adres IP i czas żądania, przechowywane krótkotrwale w celu wykrywania nadużyć i diagnozowania błędów.

Telefon w trybie wyzwalacza — odczyt powiadomień: jeżeli jednostka włączy wykrywanie alarmu z powiadomień aplikacji systemu dyżurnego, uprawnienie do odczytu powiadomień otrzymuje aplikacja na TYM jednym urządzeniu. Uprawnienie to obejmuje z natury wszystkie powiadomienia w telefonie, dlatego mówimy dokładnie, co z niego wychodzi. Na serwer idzie nazwa pakietu aplikacji, której to urządzenie nasłuchuje, oraz charakterystyka techniczna powiadomienia: czy jest trwałe, czy odrzucalne, jego kategoria ze stałych systemu Android, maska flag, numer nadany mu przez tamtą aplikację, informacja czy jest podsumowaniem grupy oraz jego wiek w sekundach. NIE WYSYŁAMY treści: ani tytułu, ani tekstu, ani nazwy nadawcy, nazwy kanału, ani danych dołączonych do powiadomienia — te nie opuszczają telefonu. Zbieramy te metadane w jednym celu: aplikacje systemów dyżurnych odświeżają swoje powiadomienie o działającej usłudze nawet co minutę, a bez powyższych danych każde takie odświeżenie wygląda dla nas jak nowe zgłoszenie i wywołuje niepotrzebne odpytanie systemu dyżurnego. Dane te przechowujemy 30 dni i kasujemy automatycznie.

Telefon w trybie wyzwalacza — połączenie przychodzące: jeżeli jednostka włączy wyzwalanie alarmu przychodzącym połączeniem, aplikacja na TYM urządzeniu sprawdza wyłącznie, czy telefon właśnie dzwoni. Nie odczytujemy numeru dzwoniącego ani rejestru połączeń i nie prosimy o uprawnienia, które by na to pozwalały — do serwera idzie sam sygnał „zadzwoniło", bez jakichkolwiek danych o rozmówcy. Skutkiem ubocznym jest to, że alarm ogłasza KAŻDE połączenie na ten numer. Funkcja jest domyślnie wyłączona i dotyczy wyłącznie konta urządzenia należącego do jednostki, nigdy prywatnego telefonu strażaka.

Komu pokazujemy dane

Członkom Twojej jednostki — deklaracje wyjazdu, czas dojazdu, skład, a przy włączonej drugiej zgodzie także położenie w trakcie alarmu. Dowództwu jednostki dodatkowo dane kontaktowe, terminy badań oraz — jeśli sam włączysz dyspozycyjność wg odległości od remizy — wynik „w pobliżu / poza remizą” (nigdy położenie).

Publicznie — wyłącznie dane samej jednostki (nazwa, adres, pojazdy, zdjęcia, dane kontaktowe jednostki). Dane osobowe strażaków nie są publiczne.

Dostawcom usług, z których korzystamy: Google (powiadomienia, raporty awarii, logowanie kontem Google), Apple (powiadomienia na iPhone'ach), Sentry (raporty awarii iPhone'a), Cloudflare (dostarczanie treści), Resend (wysyłka poczty). Nie sprzedajemy danych i nie przekazujemy ich do celów marketingowych. Nie używamy reklam, identyfikatora reklamowego ani śledzenia między aplikacjami.

Jeśli Twoja jednostka korzysta z zewnętrznego systemu dyżurnego, pobieramy z niego zgłoszenia na podstawie poświadczeń, które podał administrator jednostki. Na jego wyraźne żądanie — nigdy samoczynnie i nigdy w tle — pobieramy stamtąd również kartotekę składu: imiona i nazwiska, numery telefonów, adresy e-mail, terminy badań i ukończone kursy. PESEL-u, daty i miejsca urodzenia ani adresu domowego nie pobieramy w ogóle. W drugą stronę nie wysyłamy tam Twoich danych osobowych.

Jak długo trzymamy dane

Współrzędne położenia: do zamknięcia zdarzenia, najwyżej kilkanaście minut.

Wynik dyspozycyjności wg odległości od remizy („tak/nie”): tylko ostatni, do wyłączenia funkcji, odejścia z jednostki lub nadpisania nowym wynikiem.

Dokumentacja wyjazdów, deklaracje i skład: bezterminowo — to dokumentacja jednostki, której nie wolno kasować wybiórczo. Odejście z jednostki nie usuwa Twojego udziału w wyjazdach sprzed lat.

Konto: do momentu jego usunięcia.

Twoje prawa

Masz prawo wglądu do swoich danych, ich poprawienia, usunięcia konta, ograniczenia przetwarzania oraz sprzeciwu. Dane konta poprawisz sam w aplikacji, a konto usuniesz sam — w aplikacji i w panelu, bez pisania do nas i bez czekania na odpowiedź. Pozostałe żądania realizujemy po zgłoszeniu na [email protected].

Zgody na alarmowanie, na lokalizację i na dyspozycyjność wg odległości od remizy możesz wycofać w każdej chwili w ustawieniach jednostki — bez podawania powodu i bez utraty dostępu do reszty aplikacji.

Przysługuje Ci również skarga do Prezesa Urzędu Ochrony Danych Osobowych.

Dzieci

Aplikacja jest przeznaczona dla pełnoletnich członków jednostek ochrony przeciwpożarowej i nie jest kierowana do dzieci.

Zmiany

Zmiany w tym dokumencie ogłaszamy na tej stronie. Data ostatniej aktualizacji znajduje się na jej początku.