Polityka prywatności Trailborn

Dokument nie był weryfikowany przez prawnika.

Wersja dokumentu: 2026-10-24
Data obowiązywania: 22 października 2026 r.

Kto przetwarza Twoje dane

Administratorem danych osobowych jest Michał Mijalski, osoba fizyczna prowadząca projekt Trailborn pod nazwą Forest Nap Studio.

• adres do korespondencji: ul. Południowa 54, 42-229 Częstochowa
• adres elektroniczny: forestnapstudio@gmail.com

Trailborn zamienia Twój codzienny ruch w teren na mapie. Ten dokument mówi, co do nas trafia, po co, komu to przekazujemy i jak długo trzymamy. Opisuje stan faktyczny gry w dniu wersji dokumentu podanej wyżej.

Wiek

Trailborn jest przeznaczony dla osób w wieku 16 lat i starszych. Przy zakładaniu konta potwierdzasz — przechodząc dalej z ekranu startowego, na którym jest to napisane — że masz co najmniej 16 lat i znasz regulamin oraz tę politykę. Nie pytamy o datę urodzenia; zapisujemy samą deklarację i wykorzystujemy ją do dwóch rzeczy: żeby nie zakładać konta osobie poniżej 16 lat oraz żeby poprawnie skonfigurować reklamy. Konta założone przed 16 września 2026 podały rok urodzenia — trzymamy go wyłącznie w tym samym celu. Nie wnioskujemy wieku z ustawień telefonu ani z zachowania w aplikacji.

Jakie dane przetwarzamy

Konto. Identyfikator konta Google albo Apple, którym się logujesz, adres e-mail powiązany z tym kontem (przy logowaniu przez Apple może to być adres przekazujący Apple, jeśli tak wybierzesz), pseudonim, kolor, wygląd postaci, deklaracja wieku (rok urodzenia tylko dla kont sprzed 16 września 2026) oraz ustawienia aplikacji (język, motyw, jednostki, powiadomienia, tempo animacji).

Gra bez rejestracji. Możesz grać bez konta Google ani Apple. Telefon tworzy wtedy losowy klucz i przechowuje go w zabezpieczonym magazynie systemu (Keychain na iPhonie, Keystore na Androidzie). My zapisujemy wyłącznie jednokierunkowy skrót tego klucza, który pozwala rozpoznać Twój telefon przy kolejnym wejściu, oraz pozostałe dane konta opisane wyżej, bez adresu e-mail. Jeśli usuniesz grę z Androida albo zmienisz telefon, zanim połączysz konto z Google lub Apple, nie będziemy mogli przywrócić postępu. Gdy połączysz konto, skrót klucza usuwamy, a konto otwierasz odtąd kontem Google lub Apple. Żeby ograniczyć nadużycia, liczymy nowe konta bez rejestracji zakładane z jednego telefonu (losowy identyfikator instalacji) i z jednego adresu IP; adresu IP nie zapisujemy, licznik trzymamy w pamięci serwera najwyżej godzinę.

Kroki i piętra — trzy źródła. Za Twoją wyraźną zgodą odczytujemy liczbę kroków i pokonanych pięter:

• z Health Connect na Androidzie, jeśli je połączysz;
• z aplikacji Zdrowie (HealthKit) na iPhonie, jeśli udzielisz zgody w oknie systemowym; odczytujemy wyłącznie kroki i pokonane piętra, nic nie zapisujemy, a dane z HealthKit nie są używane do reklam, profilowania ani sprzedawane i nie trafiają do żadnego podmiotu trzeciego;
• z czujnika ruchu w Twoim telefonie, jeśli włączysz licznik kroków. To osobne źródło i osobna zgoda (ACTIVITY_RECOGNITION), o którą prosimy dopiero po naciśnięciu przycisku „Włącz licznik w telefonie", z wyjaśnieniem tuż nad nim.

Kroki i piętra przeliczamy na metry, za które odkrywasz drogi. Na serwer trafiają dzienne sumy, nie zapis z czujnika. Historia z licznika telefonu zostaje na urządzeniu przez 30 dni i jest potem kasowana. Dzienne sumy przechowujemy tak długo, jak istnieje Twoje konto — bez nich nie da się pokazać statystyk ani wykryć podwójnego naliczenia tej samej aktywności.

Nie odczytujemy tętna, snu, wagi ani żadnej dokumentacji medycznej. Nie zapisujemy niczego z powrotem do Health Connect ani do aplikacji Zdrowie. Danych zdrowotnych nie sprzedajemy, nie używamy do reklam ani profilowania reklamowego, nie przekazujemy ubezpieczycielom ani do oceny zdolności kredytowej.

Wzrost i waga (opcjonalnie). Nie odczytujemy ich z żadnej aplikacji. Jeśli wpiszesz je w profilu i zaznaczysz zgodę, zapisujemy je na Twoim koncie i liczymy z nich kalorie spalone na spacerach, wyłącznie z liczby kroków. Dzienną sumę tych kalorii zapisujemy razem z dziennymi krokami. Wzrostu, wagi ani Twoich kalorii nie widzi nikt inny i nie używamy ich do reklam ani profilowania. Do łącznej liczby kalorii wszystkich graczy, o której mówi w grze Bjørn, wliczamy je bez wskazywania kogokolwiek. W każdej chwili możesz je usunąć w profilu — usuwamy wtedy także policzone z nich kalorie.

Lokalizacja. Przechowujemy wyłącznie ostatnią pozycję, nadpisywaną przy każdej zmianie. Nie zapisujemy ciągłego śladu GPS.

Zapisujemy natomiast, które odcinki dróg zajęłaś lub zająłeś i kiedy — to jest stan gry, bez którego mapa nie działa. Zajęte drogi wskazują okolice, w których grasz. W ustawieniach prywatności trasy możesz włączyć tryb incognito; przesuwa on przyszłe trasy, natomiast teren zdobyty wcześniej zostaje tam, gdzie był.

Pierwsza trasa. Jeśli przy pierwszym spacerze telefon nie poda pozycji GPS w ciągu około 20 sekund, pierwszą trasę malujemy od przybliżonej pozycji, którą telefon zna z sieci (Wi-Fi, stacje bazowe) albo z odczytu sprzed najwyżej 15 minut, z dokładnością do 500 metrów. Kolejne trasy zawsze czekają na GPS. Jeśli nie zgodzisz się na lokalizację, pierwszą trasę zaczynamy w mieście w Twoim kraju, zwykle w stolicy. Kraj wybiera serwer według strefy czasowej telefonu, a gdy jej nie rozpozna, pomocniczo według regionu i języka ustawionych w telefonie. Jako ostatnią pozycję zapisujemy wtedy to miasto i kod kraju; pierwsza prawdziwa pozycja po wyrażeniu zgody je zastępuje.

Wiadomości. W grze są dwa czaty. Wiadomości na czacie drużyny widzą członkowie Twojej drużyny. Wiadomości na czacie ogólnym widzą wszyscy zalogowani gracze. Oba czaty znikają automatycznie po 48 godzinach. Swoją wiadomość możesz usunąć w ciągu 48 godzin od wysłania; administrator drużyny może usunąć każdą wiadomość na czacie drużyny. Automatyczny filtr maskuje wulgaryzmy w treści wiadomości przed jej wyświetleniem innym graczom.

Flagi z wiadomością. Jeśli postawisz flagę, zapisujemy dokładne miejsce, w którym stoisz, treść wiadomości (do 140 znaków), poziom zostawionej skrzyni i czas. Zanim ktokolwiek ją zobaczy, wiadomość czyta moderator. Flagi działają tylko w trybie Wojna drużyn, więc stawiać, widzieć i znajdować je mogą tylko gracze należący do drużyny. Zatwierdzona flaga jest widoczna dla innych graczy na mapie Wojny drużyn dokładnie w tym miejscu. Twój pseudonim, treść wiadomości i poziom skrzyni zobaczy tylko gracz, który flagę znajdzie; inni widzą na mapie samą flagę. Ty dostajesz tylko wiadomość, że ktoś ją znalazł, bez pseudonimu znalazcy. Nie stawiaj flagi przy domu ani w miejscu, którego nie chcesz pokazywać innym. Flaga, której nikt nie znajdzie, znika po 30 dniach. Zapis flagi (treść, miejsce, kto ją znalazł i kiedy) kasujemy 180 dni po jej zamknięciu, czyli po znalezieniu, wygaśnięciu, odrzuceniu albo wycofaniu flagi, a wcześniej, jeśli usuniesz konto.

Wyścigi. Jeśli założysz wyścig albo przyjmiesz zaproszenie, zapisujemy: nazwę wyścigu, punkt startu i mety (albo czas trwania), listę zaproszonych i ich odpowiedzi, Twój postęp od chwili startu (metry i kroki, liczone z zapisów spaceru, które i tak prowadzimy) oraz wynik. Pozostali uczestnicy wyścigu widzą Twój pseudonim i postęp. Wynik dostajesz jako wiadomość od gry w skrzynce odbiorczej w aplikacji.

Zgłoszenia i moderacja. Jeśli zgłosisz treść albo ktoś zgłosi Twoją, zapisujemy: kto zgłosił, czego dotyczy zgłoszenie, wybrany powód, Twój opcjonalny komentarz oraz zrzut zgłoszonej wiadomości — czat znika po 48 godzinach, więc bez zrzutu moderator dostałby pustą sprawę. Zapisujemy też decyzję moderatora i ewentualne odwołanie. Wiadomość z flagi może zgłosić gracz, który ją znalazł; zapisujemy wtedy także treść wiadomości i pseudonim autora flagi.

Blokady. Listę zablokowanych przez Ciebie osób przechowujemy, dopóki blokady nie zdejmiesz.

Diagnostyka. Przy logowaniu zapisujemy wersję aplikacji, model urządzenia, wersję systemu, język interfejsu i kod kraju z ustawień urządzenia. Przy awarii zapisujemy treść błędu i jego kontekst techniczny. Od wersji 1.1.45 aplikacja zapisuje też stan zgód i ustawień potrzebnych grze — lokalizacji, dostępu do kroków (Health Connect lub Zdrowie), licznika kroków w telefonie, powiadomień i zgody reklamowej — oraz rodzaj aplikacji, która zapisuje Twoje kroki (np. „telefon” albo „Garmin”), bez samych danych o aktywności. Dzięki temu możemy wyjaśnić, dlaczego komuś nie liczą się kroki. Nie zapisujemy adresu IP — z jednym wyjątkiem opisanym niżej przy zaproszeniach, gdzie przez 48 godzin trzymamy jego jednokierunkowy skrót.

Uczciwość rozgrywki. Sprawdzamy, czy aktywność jest możliwa do wykonania przez człowieka (tempo kroków, liczba pięter, dzienne limity) i odrzucamy dane wpisane ręcznie w aplikacji zdrowotnej. Przy pierwszym uruchomieniu aplikacja tworzy losowy identyfikator instalacji i przechowuje go w bezpiecznym magazynie systemu; służy on wyłącznie do tego, żeby te same kroki nie zasilały dwóch kont. Nie jest identyfikatorem urządzenia i nie da się z niego odtworzyć żadnych Twoich danych.

Trailborn+ i zakupy. W aplikacji można kupić subskrypcję Trailborn+ oraz pakiety skrzynek. Płatność obsługuje sklep, z którego pobrałaś lub pobrałeś grę — Google Play albo Apple App Store. Nie otrzymujemy numeru Twojej karty ani innych danych płatniczych. Sklep przekazuje nam potwierdzenie zakupu, które weryfikujemy u Google lub Apple; zapisujemy identyfikator produktu, identyfikator transakcji nadany przez sklep, datę i — przy subskrypcji — okres, do którego jest opłacona. Zapisujemy też cenę, walutę i kraj sklepu, które sklep podaje dla tego zakupu albo odnowienia, żeby liczyć przychody gry. Stan subskrypcji dopytujemy w sklepie przy odnowieniu. Zapisujemy też, czy trwa darmowy okres próbny — w nim nie przysługuje comiesięczna paczka skrzyń. Darmowe dni Trailborn+ (za zaproszenia, z wydarzeń, w darze od innego gracza albo od nas) zapisujemy przy koncie razem z ich źródłem; jeśli masz opłaconą subskrypcję, czekają na jej koniec. Za każdy opłacony miesiąc subskrypcji dostajesz 3 dni Trailborn+ do podarowania: wybranej osobie, losowemu graczowi bez Trailborn+, który był w grze w ostatnich 2 dniach, albo nikomu. Zapisujemy Twój wybór, odbiorcę i datę. Osoba, którą wybierzesz sama lub sam, dostaje wiadomość z Twoim pseudonimem; osoba wylosowana nie dowiaduje się, od kogo są dni, a Ty dostajesz wiadomość z jej pseudonimem. Swój bilans darów widzisz w grze. Darmowy okres próbny nie daje daru.

Zaproszenia. Każde konto ma osobisty link i kod zaproszenia. Gdy ktoś przyjmie Twoje zaproszenie, zapisujemy, kto kogo zaprosił, w jaki sposób gra rozpoznała zaproszenie (link, kod, sklep Google Play albo wizyta na stronie zaproszenia), w ile różnych dni zaproszona osoba zagrała i kiedy obie osoby dostały dni Trailborn+. Zapraszający widzi pseudonim zaproszonej osoby i jej postęp do nagrody. Gdy ktoś otworzy stronę zaproszenia, zapisujemy na 48 godzin jednokierunkowy skrót adresu IP (liczony z tajnym kluczem; samego adresu nie przechowujemy) i rodzaj urządzenia. Służy to wyłącznie temu, żeby na iPhonie — gdzie App Store nie przekazuje zaproszenia — gra mogła zapytać nowego gracza, czy przyszedł z zaproszenia; nowy gracz zawsze sam to potwierdza. Gdy zaproszona osoba zagra w 3 dni, nagrodę dostają też osoby wyżej w łańcuchu zaproszeń: osoba, która zaprosiła zapraszającego (2 dni Trailborn+), osoba jeszcze o poziom wyżej (1 dzień) i każda kolejna (skrzynia poziomu 1). Każda z nich dostaje w skrzynce wiadomość z pseudonimem zaproszonej osoby i pseudonimem osoby, która ją zaprosiła. Jeśli ktoś w łańcuchu usunie konto, zapisujemy powiązanie z najbliższą osobą wyżej, żeby łańcuch się nie urwał; usuniętego konta nie przechowujemy.

Punkty, wyzwania i wyprawy. Zapisujemy punkty, które zdobywasz i wydajesz w grze. Jeśli przyjmiesz tygodniowe wyzwanie „Słowo dla Bjørna”, zapisujemy tydzień, cel kroków, liczbę Twoich kroków z poprzedniego tygodnia, odłożone punkty i wynik. Wynik dostajesz jako wiadomość od Bjørna w skrzynce odbiorczej w aplikacji: po udanym tygodniu z celem tygodnia, po nieudanym z liczbą brakujących kroków. Przy włączonych powiadomieniach może też przyjść powiadomienie, które mówi najwyżej tyle, że cel się udał i że wiadomość czeka, bez liczby kroków. W czasie wspólnej wyprawy liczymy Twój dystans z dziennych sum kroków i pokazujemy go w rankingu wyprawy.

Seria dni i cel kroków. Zapisujemy Twoją serię dni w grze: bieżącą i najdłuższą serię, ostatni policzony dzień i dzień, który osłonił Bjørn, a przy każdym policzonym dniu jego numer w serii, poziom skrzyni za ten dzień i chwilę jej odebrania. Dzień liczy się, gdy otworzysz grę i przejdzie synchronizacja. Cel kroków w zadaniu dnia jest osobisty: wyliczamy go raz dziennie z mediany Twoich dziennych sum kroków z ostatnich 7 dni i zapisujemy razem z tą medianą i liczbą dni, z których powstał. Serię i cel widzisz tylko Ty. Trzymamy je do usunięcia konta.

Skrzynia startowa. Na końcu pierwszej namalowanej trasy stawiamy skrzynię startową, którą widzisz tylko Ty. Zapisujemy przy koncie jej miejsce (koniec tej trasy), poziom, czas postawienia i otwarcia oraz to, co z niej wypadło, żeby ponowione otwarcie dało te same nagrody. Skrzynia przysługuje raz na konto i raz na telefon. Dlatego zapisujemy przy niej losowy identyfikator instalacji gry, który aplikacja wysyła przy logowaniu i który zostaje w telefonie aż do odinstalowania gry (to inny identyfikator niż opisany wyżej w punkcie „Uczciwość rozgrywki”). Osobno, bez powiązania z kontem, zapisujemy sam ten identyfikator z datą przyznania skrzyni, żeby drugie konto założone na tym samym telefonie nie dostało drugiej skrzyni. Zapis przy koncie kasujemy razem z kontem. Sam identyfikator z datą zostaje także po usunięciu konta, bo właśnie wtedy chroni przed nadużyciem.

Pierwsze uruchomienie. Aplikacja zapisuje na serwerze, które ekrany pierwszego uruchomienia (profil, lokalizacja, pierwszy spacer, skrzynia startowa, podsumowanie pierwszej trasy, kroki, zgoda reklamowa, powiadomienia) się wyświetliły, które przeszłaś lub przeszedłeś, a które pominęłaś lub pominąłeś, kiedy to było i ile czasu minęło od wyświetlenia ekranu, razem z wersją aplikacji i systemem (Android albo iOS). Dzięki temu widzimy, na którym ekranie nowi gracze rezygnują, i możemy go poprawić. Te zapisy widzimy tylko my, w panelu administracyjnym. Trzymamy je do usunięcia konta.

Zastępca w drużynie. Administrator drużyny może wskazać jednego zastępcę spośród jej członków; zapisujemy przy drużynie, kto nim jest. Członkowie drużyny widzą pseudonim zastępcy, a czat drużyny ogłasza wiadomością systemową z pseudonimem, kto został zastępcą i że zastępca przejął drużynę. Zastępca może zmieniać herb drużyny, przyjmować i odrzucać prośby o dołączenie oraz usuwać członków (poza administratorem), dlatego widzi prośby o dołączenie i dostaje o nich powiadomienia. Drużynę przejmuje jako pierwszy, gdy administrator ją opuści, usunie konto albo gdy jego konto zostanie zawieszone. Przejmuje ją także wtedy, gdy administrator przez 14 dni nie da znaku życia, czyli nie zsynchronizuje spaceru, nie zaloguje się ani nie połączy się z serwerem z aplikacji; role się wtedy zamieniają i dotychczasowy administrator zostaje zastępcą. Wskazanie znika, gdy zastępca zrezygnuje, administrator je odwoła albo zastępca przestanie być członkiem drużyny, także po usunięciu konta.

Reklamy. Reklama w Trailborn jest wyłącznie dobrowolna: oglądasz ją, gdy sam(a) zdecydujesz się odebrać za nią skrzynię albo skrót (dodatkowy kilometr drogi). Nie ma banerów ani reklam pełnoekranowych wyświetlanych bez Twojej decyzji. Reklamy dostarcza Google AdMob, który może używać identyfikatora reklamowego i danych technicznych urządzenia do wyświetlenia reklamy, ograniczania częstotliwości, zbiorczych raportów i zapobiegania nadużyciom.

Czy reklama jest spersonalizowana, zależy od Twojej decyzji. W Europejskim Obszarze Gospodarczym, Wielkiej Brytanii i Szwajcarii przed pierwszą reklamą wyświetlamy formularz zgody Google; bez zgody na personalizację prosimy AdMob wyłącznie o reklamy niespersonalizowane. Na iPhonie dodatkowo obowiązuje systemowe pytanie o śledzenie; odmowa również oznacza reklamy niespersonalizowane. Konta z deklaracją wieku poniżej progu zgody dostają zawsze reklamy niespersonalizowane, niezależnie od formularza. Poza wymienionymi regionami reklamy mogą być spersonalizowane zgodnie z ustawieniami reklam w Twoim systemie. Decyzję możesz zmienić w ustawieniach prywatności aplikacji.

Żeby przyznać Ci nagrodę po obejrzeniu reklamy, Google przesyła nam potwierdzenie. Nie przekazujemy przy tym Twojego identyfikatora konta: nasz serwer wydaje jednorazowy, losowy token ważny 60 minut, który po wykorzystaniu traci ważność. Google nie dowiaduje się, czyja to reklama.

Pomiar kampanii reklamowych i korzystania z gry (Firebase Analytics, Android). Trailborn reklamuje się w Google Ads. Żeby sprawdzić, które kampanie przyprowadzają graczy, którzy zakładają konto i wracają do gry, oraz zobaczyć w zbiorczych zestawieniach, jak gracze korzystają z serii dni i z karty zachęcającej do dołączenia do drużyny, aplikacja na Androidzie korzysta z Google Analytics dla Firebase (dostawca: Google). Do Google trafiają: identyfikator instancji aplikacji nadawany przez Firebase, identyfikator reklamowy urządzenia, model telefonu, wersja systemu i aplikacji, język, kraj lub region ustalony przez Google na podstawie adresu IP (samego adresu Google Analytics nie zapisuje) oraz zdarzenia: pierwsze uruchomienie, założenie konta albo logowanie (ze sposobem: Google, Apple albo bez rejestracji), pierwsza namalowana trasa, otwarcie skrzyni startowej, powrót do gry co najmniej dzień i co najmniej tydzień po założeniu konta, policzony dzień serii (numer dnia), odebrana nagroda za dzień serii (numer dnia i poziom skrzyni) oraz karta drużyny (wyświetlenie, dołączenie do drużyny, założenie drużyny albo zamknięcie karty). Nie przekazujemy identyfikatora Twojego konta, pseudonimu, adresu e-mail, kroków, lokalizacji ani danych zdrowotnych. Pomiar zależy od zgody reklamowej z formularza Google opisanego wyżej; osobnego pytania nie ma. Zanim odpowiesz w formularzu, do Google nie trafia nic: zdarzenia z tego czasu (na przykład założenie konta albo logowanie, pierwsza trasa, otwarcie skrzyni startowej, dzień serii) czekają na telefonie, każde najwyżej raz na konto, i zostają wysłane dopiero po wyrażeniu zgody. W Europejskim Obszarze Gospodarczym, Wielkiej Brytanii i Szwajcarii bez zgody nie wysyłamy niczego, a zdarzenia czekające na telefonie kasujemy. Poza tymi regionami pomiar włącza się, gdy formularz potwierdzi, że zgoda nie jest wymagana. Danych kont z deklaracją wieku poniżej progu zgody nigdy nie używamy do reklam spersonalizowanych ani do list odbiorców reklam. Google przechowuje dane zdarzeń przez 2 miesiące, potem zostają wyłącznie zbiorcze raporty. Na telefonie zapisujemy datę założenia konta, to, które z tych zdarzeń już wysłano albo czeka na wysłanie, oraz ostatni zgłoszony dzień serii, żeby żadne nie poszło dwa razy. Decyzję zmienisz w ustawieniach prywatności aplikacji; po wycofaniu zgody pomiar się wyłącza. Na iPhonie Firebase Analytics nie jest na razie używany.

Powiadomienia. Jeśli je włączysz, zapisujemy token powiadomień push urządzenia, jego język, wybrane rodzaje powiadomień i strefę czasową telefonu. Gdy je wyłączysz, token jest usuwany z serwera i z urządzenia. Powiadomienia o osiągnięciach, rozliczonych krokach i dziennym przypomnieniu tworzone są lokalnie na urządzeniu. Przypomnienie o spacerze następnego dnia przychodzi o porze wybranej przy pytaniu o powiadomienia (rano, w południe albo wieczorem); tę porę zapisujemy tylko na telefonie i nie wysyłamy jej na serwer. Wiadomości od gry (wyniki wyścigów, nagrody, komunikaty, poranne podsumowanie wczorajszego dnia od Bjørna) trafiają do skrzynki odbiorczej w aplikacji.

Jeśli włączysz powiadomienia, serwer może wysłać najwyżej dwa automatyczne powiadomienia dziennie według Twojego kalendarza i nie wysyła ich w nocy, od 21:30 do 8:30 Twojego czasu. Każdy rodzaj możesz wyłączyć w Opcjach. Rodzaje:

• atak na teren: inna drużyna zabiera drogi Twojej drużyny w promieniu 1,5 km od ostatniej pozycji zapisanej przez Twój telefon (traktujemy ją jak okolice domu); powiadomienie podaje nazwę tej drużyny, długość zabranych dróg i dzielnicę albo miejscowość;
• strata terenu drużyny pod Twoją nieobecność;
• znaleziona flaga: ktoś znalazł Twoją flagę (bez pseudonimu znalazcy);
• wyzwanie: w niedzielę po południu, gdy do celu „Słowa dla Bjørna” brakuje jednego spaceru, oraz w poniedziałek w ciągu dnia, gdy serwer nie widzi jeszcze osiągniętego celu z minionego tygodnia, żeby kroki z niedzieli zdążyły dotrzeć przed rozliczeniem;
• duch zeszłego tygodnia: wieczorem, gdy tydzień temu o tej porze trasa była wyraźnie dłuższa;
• pocztówka od Bjørna: raz w tygodniu ciekawostka o miejscowości albo dzielnicy, przez którą w tym tygodniu prowadziła Twoja trasa;
• dni Trailborn+ za zaproszenie oraz jedno przypomnienie po trzech dniach przerwy;
• nowa osobista wiadomość w skrzynce, np. o poziomie, darze Trailborn+ (z pseudonimem darczyńcy), nagrodzie w łańcuchu zaproszeń (z pseudonimami osób z łańcucha), decyzji moderatora o Twojej fladze, wyniku wyścigu albo wyniku wyzwania „Słowo dla Bjørna”.

Treść powiadomień nie zawiera liczby Twoich kroków ani dystansu z Health Connect lub aplikacji Zdrowie. Gdy wiadomość w skrzynce je podaje (wyzwanie, wyścig, wyprawa), powiadomienie mówi tylko, że wiadomość czeka; liczby zostają w grze. Poza tym limitem, przy włączonych powiadomieniach, możesz dostać powiadomienie o nowej wiadomości na czacie drużyny (z pseudonimem nadawcy i treścią wiadomości), o prośbie o dołączenie do drużyny, którą administrujesz albo w której jesteś zastępcą, o nowym członku drużyny oraz ogłoszenie od gry; w Twoją noc ich nie wysyłamy. Powiadomienia push przekazuje Expo, a na telefon dostarcza je Google (Firebase Cloud Messaging) albo Apple (Apple Push Notification service).

Odinstalowanie gry. Gdy wysyłamy powiadomienie, a Google albo Apple odpowiada przez Expo, że na telefonie nie ma już gry (odpowiedź DeviceNotRegistered), usuwamy token powiadomień tego telefonu i zapisujemy w tabeli odinstalowań: datę, system (Android albo iOS), jednokierunkowy skrót tokenu (SHA-256; sam token usuwamy, a skrótem nie da się niczego wysłać) oraz to, czy był to Twój ostatni telefon z powiadomieniami. Gdy znów otworzysz grę (nowy token powiadomień, połączenie aplikacji z serwerem albo logowanie), dopisujemy datę i to, po czym to poznaliśmy. Dzięki temu wiemy, że gracz odinstalował grę. Ten zapis widzimy tylko my, w panelu administracyjnym, i trzymamy go do usunięcia konta. Działa to tylko przy włączonych powiadomieniach: o usunięciu gry z telefonu bez tokenu nikt nas nie informuje.

Strefa czasowa. Aplikacja wysyła na serwer strefę czasową ustawioną w telefonie (np. „Europe/Warsaw”) z każdym żądaniem, także wtedy, gdy powiadomienia są wyłączone. Wyznacza ona granice Twojej doby, czyli moment, w którym odnawiają się dzienny limit skrzyń za reklamę, zadania dzienne, seria dni, Trop Bjørna i dzienna skrzynia Trailborn+, oraz początek i koniec tygodnia w wyzwaniu „Słowo dla Bjørna”. Jeśli nie zgodzisz się na lokalizację, według niej wybieramy też kraj, w którym zaczyna się Twoja pierwsza trasa (zob. „Pierwsza trasa”). Według niej liczymy też ciszę nocną, dzienny limit powiadomień i to, który dzień opisuje poranne podsumowanie od Bjørna. Gdy telefon jej nie poda, szacujemy ją z ostatniej pozycji. Ostatnią strefę zapisujemy na Twoim koncie (do usunięcia konta), a także przy ustawieniach powiadomień telefonu (do wyłączenia powiadomień albo usunięcia konta) i przy każdym podsumowanym dniu (30 dni). Strefa czasowa wskazuje w przybliżeniu region, w którym jesteś. Z każdym żądaniem aplikacja wysyła też jednostki wybrane w ustawieniach (metryczne albo imperialne). Zapisujemy je również na serwerze, przy koncie (do usunięcia konta), żeby w wiadomościach od gry (skrzynka odbiorcza, powiadomienia push, podsumowania dnia, wyniki wyścigów, wyprawa) podawać dystanse w kilometrach albo w milach.

Co jest widoczne publicznie

Inny gracz, który dotknie Twojego pseudonimu, zobaczy: pseudonim, kolor, wygląd postaci, sumaryczny dystans i teren, poziom gracza, noszone przedmioty i akcesoria oraz drużyny, do których należysz. Jeśli przy darze Trailborn+ przeważają Twoje wybory dobre albo złe, profil ma złotą ramkę albo czerwone tło. Nie pokazujemy liczby decyzji ani tego, kto dostał dni; sama ramka lub tło zdradza jednak, że konto miało kiedyś opłaconą subskrypcję. Na czacie ogólnym każdy gracz widzi Twój pseudonim i wiadomość. W wyścigu uczestnicy widzą nawzajem swoje pseudonimy i postęp. Rankingi, w tym ranking wyprawy, pokazują pseudonim i wynik. Zatwierdzona flaga z wiadomością jest widoczna na mapie Wojny drużyn w miejscu, w którym ją postawiono; Twój pseudonim i treść wiadomości widzi tylko gracz, który flagę znajdzie.

Strona Twojego zaproszenia (forestnap.com/z/…) jest dostępna dla każdego, kto ma link: pokazuje pseudonim, awatar, drużynę, łączny dystans, liczbę odkrytych odcinków i miejscowość, w której ostatnio grałaś lub grałeś — bez dokładnej pozycji.

Nie zobaczy: adresu e-mail, danych zdrowotnych, ostatniej pozycji, aktywności dziennej, roku urodzenia, zakupów ani tego, czy konto jest zawieszone.

Kafelki mapy pokazują zajęte drogi w kolorze właściciela, ale nie zawierają identyfikatorów graczy.

Podstawy prawne

• Umowa (art. 6 ust. 1 lit. b RODO) — prowadzenie konta, mapa, terytorium, drużyny, wyścigi, rankingi, ekwipunek, czaty, zakupy i subskrypcja. Także flagi z wiadomością, zaproszenia i ich łańcuch, darmowe dni i dar Trailborn+, punkty, wyzwania i wyprawy, seria dni i jej nagrody, skrzynia startowa oraz rola zastępcy w drużynie.
• Wyraźna zgoda (art. 6 ust. 1 lit. a oraz art. 9 ust. 2 lit. a RODO) — dane o krokach i piętrach ze wszystkich źródeł (także wyliczony z nich osobisty cel kroków), lokalizacja, powiadomienia oraz wybory dotyczące personalizacji reklam. Każdą z tych zgód możesz wycofać w ustawieniach urządzenia lub aplikacji; wycofanie nie wpływa na to, co zrobiliśmy wcześniej zgodnie z prawem.
• Wyraźna zgoda na wzrost i wagę (art. 9 ust. 2 lit. a RODO) — jeśli podasz je w profilu. Zgodę wycofujesz, usuwając je tam; usuwamy wtedy również policzone z nich kalorie.
• Prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) — diagnostyka awarii, bezpieczeństwo konta, ochrona przed oszustwem w grze (także identyfikator instalacji, dzięki któremu skrzynia startowa przysługuje raz na telefon), weryfikacja zakupów, kopie zapasowe, moderacja treści użytkowników, zapis ekranów pierwszego uruchomienia, dzięki któremu poprawiamy grę dla nowych graczy, oraz zapis odinstalowania gry (data, system, skrót tokenu powiadomień), dzięki któremu wiemy, że gracz odinstalował grę.
• Zgoda z formularza Google (art. 6 ust. 1 lit. a RODO) — pomiar kampanii i korzystania z gry w Firebase Analytics w Europejskim Obszarze Gospodarczym, Wielkiej Brytanii i Szwajcarii; zmienisz ją w ustawieniach prywatności aplikacji. Pomiar poza tymi regionami, gdzie zgoda nie jest wymagana, opieramy na prawnie uzasadnionym interesie (art. 6 ust. 1 lit. f RODO), którym jest sprawdzanie, czy płatne reklamy gry działają i jak gracze korzystają z serii dni i karty drużyny.

Podanie danych jest dobrowolne, ale bez konta i bez źródła kroków gra nie działa — nie ma z czego liczyć metrów.

Komu przekazujemy dane

Nie sprzedajemy danych.

Wyszukiwarkę miejsc wywołuje nasz serwer, nie Twój telefon, więc Twój adres IP nie trafia do Nominatim.

Podkład mapy pobiera Twoje urządzenie bezpośrednio z serwerów OpenFreeMap, więc dociera do nich Twój adres IP oraz to, na jaki fragment mapy patrzysz. Nie przekazujemy im Twojego pseudonimu, konta ani kroków.

Google, Apple i Expo mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym; odbywa się to na podstawie standardowych klauzul umownych Komisji Europejskiej lub decyzji o adekwatności.

Jak długo trzymamy dane

Poniższe okresy odpowiadają temu, co faktycznie kasuje kod.

Zgłoszenie moderacyjne nie jest kasowane, dopóki toczy się na nie odwołanie.

Kopie zapasowe. Co noc tworzymy kopię zapasową bazy danych i przechowujemy ją przez 14 dni na serwerze gry, w tej samej infrastrukturze co baza. Dane usunięte z bazy — także po usunięciu konta — mogą pozostawać w kopii zapasowej najwyżej 14 dni, po czym kopia jest kasowana. Kopii nie używamy do niczego poza odtworzeniem bazy po awarii.

Usunięcie konta

Konto usuniesz w aplikacji: Opcje → Konto i dane → Usuń konto i dane, z dwoma potwierdzeniami. Możesz też złożyć wniosek bez instalowania gry, przez stronę https://forestnap.com/delete-account/.

Po potwierdzonym usunięciu kasujemy profil, sesje, dane o krokach i piętrach, osobiste terytorium, ekwipunek, skrzynki (także skrzynię startową), serię dni, zapis ekranów pierwszego uruchomienia, zapisy zakupów, token powiadomień, zapisy odinstalowania gry oraz dane zapisane na urządzeniu, poza losowym identyfikatorem instalacji gry. Na serwerze zostaje sam ten identyfikator z datą przyznania skrzyni startowej, bez powiązania z kontem. Zdarzenia drużynowe, wyścigi i wspólna historia świata mogą pozostać w formie zanonimizowanej, żeby mapa i rankingi innych graczy się nie rozsypały — bez Twojego pseudonimu i bez identyfikatora. Usunięcie konta nie anuluje subskrypcji w sklepie — tę anulujesz w Google Play lub App Store.

Zwykłe wylogowanie kasuje z urządzenia historię kroków z czujnika, kursory Health Connect, identyfikator instalacji i token powiadomień. Zdobyty teren zostaje na urządzeniu przypisany do Twojego konta, żebyś po ponownym zalogowaniu zastał(a) swoją mapę.

Twoje prawa

Masz prawo do: dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia, sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie oraz wycofania zgody w każdej chwili.

Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne. Kontrole uczciwości rozgrywki mogą oznaczyć aktywność jako niewiarygodną, a filtr słów może zamaskować fragment wiadomości, ale decyzje o zawieszeniu konta podejmuje człowiek i przysługuje od nich odwołanie.

Wnioski: forestnapstudio@gmail.com. Odpowiadamy niezwłocznie, najpóźniej w ciągu miesiąca.

Masz też prawo wnieść skargę do organu nadzorczego — w Polsce jest nim Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.

Zmiany

O istotnych zmianach poinformujemy w aplikacji. Wersję dokumentu, którą zaakceptowałaś lub zaakceptowałeś, zapisujemy przy koncie razem z datą.

Wersja 2026-10-24 w stosunku do wersji 2026-10-23: dopisuje, że przy zakupie i każdym odnowieniu subskrypcji zapisujemy cenę, walutę i kraj sklepu podane przez sklep, żeby liczyć przychody gry. Zmiana nie wymaga ponownej akceptacji, wcześniejsze akceptacje pozostają ważne.

Wersja 2026-10-23 w stosunku do wersji 2026-10-22: usuwa z Firebase Analytics na Androidzie zdarzenie pierwszej synchronizacji, w której gra policzyła kroki. Aplikacja od wersji 1.1.57 go nie wysyła, a zdarzeń z wcześniejszych wersji nie używamy do pomiaru kampanii reklamowych. Zmiana nie wymaga ponownej akceptacji, wcześniejsze akceptacje pozostają ważne.

Wersja 2026-10-22 w stosunku do wersji 2026-10-21: opisuje zapis odinstalowania gry. Gdy Google albo Apple zgłosi, że powiadomienie nie dotarło, bo na telefonie nie ma już gry (DeviceNotRegistered), zapisujemy datę, system i jednokierunkowy skrót tokenu powiadomień (do usunięcia konta), na podstawie prawnie uzasadnionego interesu. Opisuje też wiadomość z wynikiem wyzwania „Słowo dla Bjørna” w skrzynce odbiorczej i powiadomienie o niej. Dodaje zapis odinstalowania do tabeli okresów przechowywania. Zmiana nie wymaga ponownej akceptacji, wcześniejsze akceptacje pozostają ważne.

Wersja 2026-10-21 w stosunku do wersji 2026-10-20: dodaje w Firebase Analytics na Androidzie zdarzenie pierwszej synchronizacji, w której gra policzyła kroki z licznika kroków w telefonie, Health Connect albo aplikacji Zdrowie (samo zdarzenie, bez liczby kroków). Zdarzenie idzie raz na konto założone na danym telefonie, na tych samych zasadach zgody co pozostałe. Zmiana nie wymaga ponownej akceptacji, wcześniejsze akceptacje pozostają ważne.

Wersja 2026-10-20 w stosunku do wersji 2026-10-19: opisuje dane nowe w wersji gry 1.1.55: serię dni z nagrodami, osobisty cel kroków wyliczany z mediany kroków z 7 dni, skrzynię startową na końcu pierwszej trasy (raz na konto i raz na telefon, dlatego identyfikator instalacji, który zostaje bez powiązania z kontem także po jego usunięciu), zapis ekranów pierwszego uruchomienia oraz zastępcę w drużynie (widoczny dla członków drużyny, ogłaszany na czacie drużyny, przejmujący drużynę także po 14 dniach nieobecności administratora). Opisuje też przybliżoną pozycję z sieci (do 500 m) przy pierwszym spacerze bez sygnału GPS, start pierwszej trasy w mieście w kraju gracza, gdy nie ma zgody na lokalizację, porę przypomnienia zapisywaną tylko na telefonie oraz nowe zdarzenia w Firebase Analytics na Androidzie (otwarcie skrzyni startowej, dzień serii, nagroda za dzień serii, karta drużyny) i nowy cel tego pomiaru: korzystanie z serii dni i karty drużyny. Dodaje te dane do tabeli okresów przechowywania. Zmiana nie wymaga ponownej akceptacji, wcześniejsze akceptacje pozostają ważne.

Wersja 2026-10-19 w stosunku do wersji 2026-10-18: opisuje pomiar skuteczności kampanii reklamowych przez Google Analytics dla Firebase w aplikacji na Androida (nowy odbiorca: Google; identyfikator instancji aplikacji, zdarzenia, model telefonu, kraj lub region). Przed odpowiedzią w formularzu zgody Google nic nie jest wysyłane, a w Europejskim Obszarze Gospodarczym, Wielkiej Brytanii i Szwajcarii pomiar działa wyłącznie za zgodą. Opisuje też podstawy prawne i okres przechowywania tych danych u Google (2 miesiące). Zmiana nie wymaga ponownej akceptacji, wcześniejsze akceptacje pozostają ważne.

Wersja 2026-10-18 w stosunku do wersji 2026-10-16: opisuje zapis strefy czasowej telefonu i wybranych jednostek przy koncie (do usunięcia konta); aplikacja wysyła je z każdym żądaniem. Strefa wyznacza dobę gracza także dla dziennego limitu skrzyń za reklamę, zadań dziennych, wyzwania tygodnia, Tropu Bjørna i dziennej skrzyni Trailborn+ (wcześniej obowiązywał czas polski albo UTC), a jednostki służą do podawania dystansów w wiadomościach od gry w kilometrach albo w milach. Dodaje ten zapis do tabeli okresów przechowywania. Zmiana nie wymaga ponownej akceptacji, wcześniejsze akceptacje pozostają ważne.

Wersja 2026-10-16 w stosunku do wersji 2026-10-10: opisuje grę bez rejestracji (losowy klucz w telefonie, u nas tylko jego jednokierunkowy skrót, licznik nowych kont w pamięci serwera najwyżej godzinę). Zmiana nie wymaga ponownej akceptacji, wcześniejsze akceptacje pozostają ważne.

Wersja 2026-10-10 w stosunku do wersji 2026-10-06: opisuje flagi z wiadomością w trybie Wojna drużyn (dokładne miejsce flagi widzą inni gracze po zatwierdzeniu przez moderatora, a pseudonim autora i wiadomość tylko gracz, który flagę znajdzie), łańcuch zaproszeń i wiadomości dla osób wyżej w łańcuchu, darmowe dni i dar Trailborn+ po zakupie, złotą ramkę albo czerwone tło w publicznym profilu, zależne od wyborów przy darze Trailborn+ (pośrednio zdradzają, że konto miało kiedyś opłaconą subskrypcję), punkty, tygodniowe wyzwanie i wyprawy, nowe powiadomienia push (najwyżej dwa automatyczne dziennie, cisza nocna od 21:30 do 8:30 czasu gracza, każdy rodzaj do wyłączenia, bez liczby kroków i dystansu w treści) razem z usługami, które je dostarczają (Google, Apple), strefę czasową telefonu, poranne podsumowanie dnia, zgłaszanie wiadomości z flagi, oraz zapytania naszego serwera do Overpass API. Dodaje terminy przechowywania flag (180 dni od zamknięcia), potwierdzeń nagród za reklamy i dziennika powiadomień push (90 dni) oraz podsumowań dnia ze strefą czasową (30 dni) oraz usuwa z listy odbiorców poprzedni serwer gry, który został wyłączony. Zmiana nie wymaga ponownej akceptacji — wcześniejsze akceptacje pozostają ważne.

Wersja 2026-10-06 w stosunku do wersji 2026-10-05: opcjonalny wzrost i waga w profilu, zapisywane za wyraźną zgodą do liczenia kalorii spalonych na spacerach, oraz dzienna suma tych kalorii. Zmiana nie wymaga ponownej akceptacji — wcześniejsze akceptacje pozostają ważne.

Wersja 2026-10-05 w stosunku do wersji 2026-09-30: diagnostyka obejmuje stan zgód i ustawień potrzebnych grze (lokalizacja, dostęp do kroków, licznik kroków w telefonie, powiadomienia, zgoda reklamowa). Zmiana nie wymaga ponownej akceptacji — wcześniejsze akceptacje pozostają ważne.

Wersja 2026-09-30 w stosunku do wersji 2026-09-29: opisuje zaproszenia znajomych (w tym skrót adresu IP przy stronie zaproszenia, przechowywany 48 godzin), automatyczne powiadomienia — najwyżej jedno dziennie — oraz zapis darmowego okresu próbnego Trailborn+. Zmiana nie wymaga ponownej akceptacji — wcześniejsze akceptacje pozostają ważne.

Wersja 2026-09-29 w stosunku do wersji 2026-09-26: wiadomości na czacie drużyny i na czacie ogólnym są przechowywane 48 godzin zamiast 24, a autor może usunąć swoją wiadomość przez cały ten czas. Dotyczy wiadomości wysłanych od 29 września 2026 r.; wcześniejsze znikają po 24 godzinach. Zmiana nie wymaga ponownej akceptacji — akceptacja wersji 2026-09-26 pozostaje ważna.

Wersja 2026-09-26 w stosunku do wersji 2026-08-29: opisuje logowanie kontem Apple, zakupy Trailborn+ i pakietów skrzynek przez Google Play i App Store, czat ogólny, wyścigi, formularz zgody na personalizację reklam, przeniesienie serwerów gry do Contabo, kopie zapasowe przechowywane 14 dni oraz token reklamy ważny 60 minut.