Dokument
Polityka prywatności
1. Kto odpowiada za dane
Aplikację Ninerdeck prowadzi Tomasz Klag (dalej: operator). Korzystają z niej kluby lotnicze, a odpowiedzialność za dane dzieli się między klub i operatora:
- Klub jest administratorem danych zapisywanych w związku z członkostwem w nim: kodu pilota i uprawnień (punkt 3), dziennika lotów (punkt 4) oraz kalendarza, zleceń i wiadomości klubu (punkt 5). Operator przetwarza te dane w imieniu klubu, na podstawie umowy powierzenia przetwarzania danych osobowych. Jeśli należysz do kilku klubów, każdy z nich odpowiada za dane zapisane u siebie.
- Operator jest administratorem danych konta, które istnieje niezależnie od klubów: logowania i sesji (punkt 2), zapisu surowych odczytów do strojenia wykrywania faz lotu (punkt 4.1) i zgłoszeń błędów (punkt 4.2).
Kontakt z operatorem: [email protected]. Do kogo zwrócić się ze swoją sprawą, mówi punkt 8.
2. Logowanie
Do aplikacji i panelu można zalogować się na dwa sposoby: kontem Google albo adresem e-mail i hasłem. To nie są dwa konta - to dwa sposoby potwierdzenia tożsamości tej samej osoby. Druga droga istnieje dlatego, że w samolocie bywa jedno urządzenie wspólne dla kilku pilotów, a logowanie kontem Google oznaczałoby dodanie własnego konta do cudzego sprzętu.
W aplikacji zamiast adresu można podać swój kod pilota nadany w klubie
(np. AKO); urządzenie rozpoznaje wtedy klub, dla którego pracuje. W panelu logujemy
się wyłącznie adresem e-mail.
2.1. Logowanie kontem Google
Z Google otrzymujemy tylko dane potrzebne do uwierzytelnienia:
| Dane | Po co |
|---|---|
| stały identyfikator konta Google | rozpoznanie tego samego konta przy kolejnych logowaniach |
| adres e-mail i informacja, czy jest zweryfikowany | powiązanie z kontem pilota założonym przez administratora klubu |
| nazwa profilu (imię i nazwisko) | pokazanie administratorowi, kto prosi o dostęp |
Nie prosimy o dostęp do poczty, kontaktów, kalendarza, dysku ani żadnych innych danych konta Google. Nie publikujemy niczego w Twoim imieniu. Hasła do konta Google nigdy nie widzimy - uwierzytelnienie wykonuje Google.
Wykorzystanie informacji otrzymanych z interfejsów Google API jest zgodne z Google API Services User Data Policy, w tym z wymogami ograniczonego użycia (Limited Use).
2.2. Logowanie hasłem
Jeśli ustawisz hasło, przechowujemy wyłącznie jego jednokierunkowy skrót (algorytm scrypt, z losową solą dla każdego konta). Samego hasła nie zapisujemy nigdzie - nie ma go w bazie, w dzienniku zdarzeń ani w logach serwera, nie pokazuje go żaden ekran i nie zna go administrator klubu. Ze skrótu nie da się odtworzyć hasła.
Hasło ustawia i zmienia wyłącznie jego właściciel: w ustawieniach aplikacji, na stronie „Moje konto" w panelu albo przez link przysłany e-mailem. Administrator klubu może wysłać Ci taki link, ale nie widzi ani nie ustala hasła.
2.3. Sesje logowania
Każde zalogowanie zapisuje wiersz opisujący urządzenie, żeby dało się zobaczyć własne sesje i zdalnie je zakończyć:
| Dane | Po co |
|---|---|
| opis urządzenia (model i system telefonu z wersją aplikacji albo nazwa przeglądarki i systemu) | rozpoznanie własnego urządzenia na liście sesji |
| adres IP | rozpoznanie sesji, której nie kojarzysz, i zakończenie jej |
| sposób zalogowania, początek sesji i ostatnia aktywność | lista urządzeń oraz informacja „ostatnio aktywny" w karcie członka |
Własne sesje widzisz w panelu na stronie „Moje konto". Administrator klubu widzi Twoje sesje wyłącznie w swoim klubie i może je zakończyć - nie widzi urządzeń, którymi logujesz się w innym klubie. Zakończenie sesji zatrzymuje wysyłanie danych z tego urządzenia, ale niczego z niego nie usuwa.
2.4. Wysyłka wiadomości e-mail
Link do ustawienia hasła oraz zaproszenie administratora nowego klubu wysyłamy pocztą elektroniczną. Korzystamy przy tym z zewnętrznego dostawcy usługi wysyłki, który występuje jako podmiot przetwarzający i otrzymuje wyłącznie adres odbiorcy oraz treść wiadomości (zawierającą jednorazowy link). Dostawca nie wykorzystuje tych danych do własnych celów. Link jest ważny godzinę (zaproszenie do klubu - 72 godziny), działa raz, a każdy nowy unieważnia poprzedni.
3. Konto, klub i zatwierdzenie
Samo zalogowanie - kontem Google albo hasłem - nie daje dostępu do żadnego klubu. Zakłada konto osoby i na tym się kończy; do czasu dołączenia do klubu przechowujemy wyłącznie dane z punktów 2.1-2.3.
Do klubu wchodzi się, wpisując kod klubu otrzymany od jego administratora. Dopiero wtedy powstaje zgłoszenie, które administrator tego klubu zatwierdza - nadając kod pilota i zakres uprawnień - albo odrzuca z powodem, który czytasz na swoim ekranie. Administrator widzi wówczas Twoje imię, nazwisko i adres e-mail. Zgłoszenie odrzucone możesz w każdej chwili poprosić o usunięcie.
4. Dane zapisywane w dzienniku lotów
Po przyjęciu do klubu aplikacja zapisuje dane operacji lotniczych, które wprowadzasz lub które rejestruje telefon w trakcie operacji:
- czasy uruchomienia i zatrzymania silnika, startów i lądowań, zadanie, załoga, uwagi;
- odczyty paliwa, oleju i licznika motogodzin przy rozpoczęciu lotu i zdaniu samolotu, tankowania;
- pozycja GPS, wysokość i prędkość wyłącznie w trakcie operacji - od uruchomienia do zatrzymania silnika - do wykrywania faz lotu i rysowania śladu. Poza operacją aplikacja nie rejestruje lokalizacji; w ustawieniach jest tylko diagnostyka odbiornika GPS pokazywana na żądanie i nigdzie niezapisywana.
Te dane są dziennikiem eksploatacji samolotów klubu. Własne operacje widzisz w aplikacji. W panelu klubu dziennik widzą osoby, którym administrator klubu nadał uprawnienie „Podgląd klubu" - sam administrator, a także na przykład koordynator lotów albo technik. Klub widzi wyłącznie swoje operacje: jeśli latasz w dwóch klubach, żaden z nich nie widzi lotów wykonanych w drugim.
W panelu te same wpisy są zestawiane także po osobach: dla każdego pilota klubu liczba operacji, czas blokowy i czas lotu w wybranym okresie - osobno jako dowódca i jako drugi pilot - oraz statystyki klubu po dniach, samolotach, pilotach i zadaniach. To zestawienia danych opisanych wyżej, bez żadnych nowych; widzą je te same osoby, co dziennik.
4.1. Zapis surowych odczytów do strojenia wykrywania faz lotu
Równolegle z powyższym, również tylko przy pracującym silniku, telefon nagrywa surowe odczyty swoich czujników i przesyła je na serwer. Służą one wyłącznie do strojenia progów automatycznego wykrywania kołowania, startu i lądowania - na prawdziwych lotach, a nie na danych wymyślonych przy biurku.
- surowe odczyty odbiornika GPS (pozycja, wysokość, prędkość, dokładność) - także te odrzucone przez filtr jakości, bo to one najwięcej mówią o progach;
- odczyty barometru i czujników ruchu telefonu (przyspieszeniomierz, żyroskop).
Po przesłaniu telefon kasuje swoją kopię tego zapisu. Odczyty czujników nie wpływają na to, co trafia do dziennika - są wyłącznie nagrywane.
4.2. Zgłoszenia błędów z aplikacji
Przycisk zgłoszenia błędu jest dostępny na czas testów z pilotami. Wysyła Twój opis wraz z kontekstem zbieranym automatycznie: ekran i otwarte okno, operacja (jej oznaczenie, samolot, zadanie, stan silnika, liczba lotów), Twój kod pilota i nazwisko, klub, wersja aplikacji, system i model telefonu, wybrany motyw, stan synchronizacji oraz czas i strefa czasowa zgłoszenia. Zrzutu ekranu nie wysyłamy. Lista dołączanych danych jest pokazywana w aplikacji przed wysłaniem.
Zgłoszenia trafiają do operatora aplikacji (punkt 1), a nie do administratora Twojego klubu - to jedna kolejka dla całego serwera i klub nie ma do niej dostępu.
5. Rezerwacje, zlecenia i powiadomienia
Aplikacja i panel prowadzą kalendarz floty: rezerwacje samolotów, ich akceptację przez klub, zlecenia lotów i wyłączenia maszyn z użytku. Te dane opisują zamiar, nie odbyty lot, i są przechowywane osobno od dziennika operacji (punkt 4). Kalendarz i zlecenia wymagają połączenia z serwerem - telefon nie trzyma ich kopii.
5.1. Rezerwacja samolotu
Rezerwacja zapisuje termin, samolot, rezerwującego i drugiego pilota, zadanie, trasę, planowany czas lotu i notatkę. Członkowie klubu widzą w kalendarzu tylko to, czego potrzebują, żeby zaplanować własny lot: godziny, maszynę, kto ją zarezerwował i rodzaj zajętości (przy wyłączeniu z użytku - także powód). Zadanie, trasę, plan i notatkę widzi rezerwujący, osoby akceptujące rezerwacje w tym klubie oraz - w panelu - osoby z uprawnieniem „Podgląd klubu" albo zarządzające rezerwacjami. Rezerwację składa się w aplikacji albo w panelu; w obu miejscach zapisuje się to samo.
Jeśli klub ustawił ścieżkę akceptacji, każda decyzja - zgoda albo odmowa - zapisuje się z osobą, chwilą i powodem; przy odmowie powód jest wymagany, bo czyta go rezerwujący. Historia decyzji jest dopisywalna jak dziennik: przesunięcie terminu unieważnia zgody, ale ich nie kasuje. Rezerwujący widzi w aplikacji krok i powód decyzji, administrator w panelu - także osobę, która ją podjęła. Osoba akceptująca widzi przed decyzją podgląd pilota (nalot na tej maszynie, z ostatnich 30 i 90 dni, ostatnie loty, najbliższe terminy) i samolotu - są to dane z dziennika klubu udostępniane wyłącznie na potrzeby tej decyzji. Osoba z uprawnieniem do obserwowania samolotów widzi ponadto kartę maszyny: kto ją ma teraz, liczniki, terminy i historię jej operacji.
5.2. Skrzynka powiadomień i powiadomienia na telefon
Prośby o zgodę i ich wycofanie, decyzje w Twojej sprawie, wygaśnięcie terminu, zlecenia lotów i odpowiedzi na nie, wiadomości z rozmów przy zleceniach oraz - po włączeniu obserwowania samolotu - wiadomości o lotach tej maszyny trafiają do skrzynki w aplikacji i w panelu. Skrzynka jest na serwerze klubu i to ona jest treścią: przechowuje wiadomość, chwilę jej powstania i to, czy została przeczytana. Widzisz ją wyłącznie Ty.
Powiadomienie na telefon jest tylko sygnałem, że w skrzynce coś czeka. Działa dopiero po Twojej zgodzie: system Android pyta o nią, a aplikacja prosi wyłącznie wtedy, gdy zaczyna Cię to dotyczyć - gdy akceptujesz cudze rezerwacje, gdy Twoja rezerwacja czeka na zgodę albo gdy włączasz obserwowanie samolotu. Bez zgody nic nie ginie: skrzynka i licznik przy dzwonku działają tak samo.
Po zgodzie telefon otrzymuje od systemu identyfikator instalacji aplikacji („token powiadomień" - losowy ciąg, który nie zawiera danych o Tobie ani o urządzeniu) i przekazuje go na serwer. Serwer zapisuje go razem z sesją logowania (punkt 2.3): token znika z chwilą zakończenia sesji - wylogowaniem albo zdalnie z panelu - oraz wtedy, gdy dostawca zgłosi, że aplikacji już nie ma na urządzeniu.
Doręczeniem zajmują się dwa podmioty przetwarzające: Expo Push Service (650 Industries, Inc., USA), do którego serwer wysyła powiadomienia, oraz Google Firebase Cloud Messaging, którym Expo doręcza je do systemu Android. Otrzymują one:
| Dane | Po co |
|---|---|
| token powiadomień | adres urządzenia, na które ma trafić sygnał |
| tytuł i jedno zdanie powiadomienia - bez nazwisk (np. „Prośba o zgodę", „Rezerwacja odrzucona", „SP-ABC uruchomiona") | to, co widzisz na ekranie blokady |
| rodzaj wiadomości oraz identyfikatory klubu, rezerwacji, zlecenia i samolotu - bez osób, godzin, powodów, treści rozmów i odczytów | tapnięcie otwiera właściwy ekran; treść aplikacja pobiera z serwera |
Dostawcy pośredniczą wyłącznie w doręczeniu i nie wykorzystują tych danych do własnych celów. Powiadomienia nie zawierają położenia ani danych z dziennika. Wyłączysz je w każdej chwili w ustawieniach systemu (punkt 8).
Gdy aplikacja albo panel są otwarte, utrzymują połączenie z serwerem, którym przychodzą nowe wiadomości i zmiany na otwartym ekranie (na przykład nowa rezerwacja w kalendarzu). Połączenie przenosi wyłącznie dane opisane w tej polityce, widoczne dla Ciebie także bez niego, i kończy się z zamknięciem aplikacji albo strony.
5.3. Zlecenia lotów
Osoba z uprawnieniem do zlecania lotów może wysłać zlecenie lotu: termin, samolot, zadanie, trasę, plan i opis, z fotelami do obsadzenia. Zlecenie trafia do wskazanych osób - imiennie albo przez grupę pilotów utworzoną w klubie. Zapisujemy:
| Dane | Po co |
|---|---|
| treść zlecenia, osobę zlecającą i historię zmian (kto i kiedy zmienił, odwołał albo obsadził fotel) | prowadzenie zlecenia i wyjaśnienie, co się z nim działo |
| listę adresatów, chwilę, w której adresat otworzył zlecenie, jego odpowiedź z chwilą i - jeśli ją poda - powodem odmowy | wybór załogi przez osobę zlecającą |
| wiadomości z rozmowy przy zleceniu: nadawcę, treść, chwilę wysłania i odczytania | ustalenia między osobą zlecającą a adresatem |
| grupy pilotów: nazwę i członków | wysyłanie zleceń kilku osobom naraz |
Adresat widzi zlecenie wysłane do siebie i swoją rozmowę - nie widzi innych adresatów ani ich odpowiedzi. Osoba zlecająca widzi wszystkich adresatów swojego zlecenia, to, czy otworzyli zlecenie, ich odpowiedzi i rozmowy z nimi. Osoby z uprawnieniem do zarządzania rezerwacjami w klubie widzą wszystkie zlecenia klubu i mogą czytać rozmowy przy nich, ale nie mogą w nich pisać - rozmowa mówi o tym obu stronom. Grupy pilotów widzą w panelu osoby z uprawnieniem „Podgląd klubu". Przyjęte zlecenie staje się rezerwacją pilota (punkt 5.1).
6. Gdzie i jak długo
Dane są przechowywane na serwerze aplikacji u dostawcy infrastruktury chmurowej oraz lokalnie na telefonie pilota. Zapis na telefonie zostaje także po wysłaniu: dzięki niemu aplikacja działa bez zasięgu, a Pulpit i Historia pokazują Twoje loty. Wyjątkiem jest zapis surowych odczytów z punktu 4.1 - jego kopię telefon kasuje zaraz po przesłaniu.
Dziennik operacji jest rejestrem prowadzonym przez czas działania klubu i jest dopisywalny, a nie nadpisywalny: poprawka, dopisanie brakującego faktu albo unieważnienie wpisu dokłada się do historii razem z autorem, chwilą i powodem, zamiast kasować poprzedni stan. Dane konta usuwamy na Twoje żądanie, o ile nie są potrzebne do zachowania integralności dziennika operacji z Twoim udziałem - wtedy członkostwo zostaje wyłączone, a wpisy pozostają w dzienniku klubu jako dokument eksploatacji samolotów. O ich przechowywaniu decyduje klub.
Danych nie sprzedajemy ani nie przekazujemy podmiotom trzecim poza dostawcami infrastruktury niezbędnymi do działania usługi: dostawcą hostingu, na którym stoi serwer i baza, dostawcą wysyłki poczty (punkt 2.4) oraz dostawcami doręczania powiadomień na telefon (punkt 5.2). Zlecenia lotów, rozmowy przy nich i grupy pilotów przechowujemy razem z kalendarzem klubu, przez czas jego działania.
7. Pliki cookie i dane na urządzeniu
Panel klubu używa jednego pliku cookie sesji, niezbędnego do utrzymania zalogowania. Nie stosujemy plików cookie analitycznych ani reklamowych; aplikacja i panel nie zawierają narzędzi śledzących, nie profilują i nie podejmują decyzji w sposób zautomatyzowany wobec osób.
Aplikacja przechowuje dane na samym urządzeniu: dziennik operacji (punkt 6), poświadczenia logowania i skrót PIN-u w bezpiecznym magazynie systemu Android, kopię listy samolotów i pilotów klubu potrzebną do pracy bez zasięgu oraz drobne ustawienia (motyw, ostatnio wybrane zadanie). Na urządzeniu dzielonym zapisana jest dodatkowo lista klubów, z których na nim logowano - bez żadnych danych osób, wyłącznie po to, żeby kod pilota miał się w czym rozwiązać. Wylogowanie kasuje poświadczenia i PIN; lista klubów zostaje, bo opisuje urządzenie, a nie człowieka.
Strona internetowa Ninerdeck ładuje wyłącznie kroje pisma z Google Fonts i nie ustawia własnych plików cookie.
8. Twoje prawa
Masz prawo dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania oraz sprzeciwu. W sprawie danych zapisanych w klubie zwróć się do klubu - najprościej przez jego administratora; operator pomaga klubowi wykonać takie żądanie. W sprawie konta napisz do operatora na adres [email protected]. Jeśli nie wiesz, do kogo się zwrócić, napisz do operatora - przekaże sprawę dalej. Masz też prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych.
Część z tego zrobisz sam, bez niczyjej pomocy:
- zobaczyć i zakończyć swoje sesje - w panelu, na stronie „Moje konto";
- zmienić hasło - w ustawieniach aplikacji albo na tej samej stronie panelu; zmiana wylogowuje pozostałe urządzenia;
- cofnąć dostęp konta Google - w ustawieniach swojego konta Google (Bezpieczeństwo → Połączenia z aplikacjami i usługami innych firm);
- wyłączyć powiadomienia na telefon - w ustawieniach systemu Android (Aplikacje → Ninerdeck → Powiadomienia); skrzynka w aplikacji działa dalej, a wylogowanie usuwa token powiadomień z serwera;
- usunąć dane z urządzenia - wylogowując się w aplikacji (wcześniej poczekaj, aż zapisy dojdą do klubu) albo odinstalowując ją.
9. Zmiany
O zmianach tej polityki informujemy na tej stronie, podając datę obowiązywania nowej wersji.