The Nail Biter

Polityka prywatności

Obowiązuje od: .

1. Kto jest administratorem danych

Administratorem danych osobowych jest Rafał Maksim, twórca serwisu The Nail Biter (https://the-nail-biter.com). Kontakt we wszystkich sprawach dotyczących danych: rafal.maksim@gmail.com.

2. Obraz z kamery nigdy nie opuszcza urządzenia

Obraz z kamery jest analizowany wyłącznie w Twojej przeglądarce. Nie nagrywamy go, nie zapisujemy i nie wysyłamy na żaden serwer, także po zalogowaniu. Nie mamy do niego dostępu.

3. Korzystanie bez konta

Do korzystania z aplikacji konto nie jest potrzebne. Bez konta nie przetwarzamy na serwerze żadnych Twoich danych.

  • Ustawienia (w tym motyw wyglądu), statystyki (przechowywane przez 365 dni), dzisiejszy czas korzystania z okienka pracy w tle, akceptacja warunków i wybrany język są zapisywane w pamięci przeglądarki (localStorage) na Twoim urządzeniu. Nie są nigdzie wysyłane. Usuniesz je przyciskiem „Wyczyść dane” w ustawieniach albo czyszcząc dane strony w przeglądarce.
  • Opcjonalne nagrania diagnostyczne (sekcja Zaawansowane) zawierają wyłącznie współrzędne punktów twarzy i dłoni, bez obrazu, i są zapisywane jako plik na Twoim urządzeniu tylko na Twoje żądanie.
  • Przy uruchomieniu przeglądarka pobiera kod biblioteki MediaPipe z cdn.jsdelivr.net i modele rozpoznawania ze storage.googleapis.com. Te serwisy, tak jak nasz hosting, otrzymują standardowe dane połączenia (np. adres IP i informacje o przeglądarce), niezbędne do przesłania plików. Nie prowadzimy dzienników odwiedzin strony.
  • Nie używamy cookies analitycznych ani reklamowych, narzędzi śledzących ani skryptów stron trzecich do analityki.

4. Konto i logowanie przez Google

Konto jest dobrowolne. Logowanie odbywa się na stronie Google; o tym, że logujesz się do The Nail Biter, Google dowiaduje się dopiero, gdy klikniesz „Zaloguj przez Google”.

  • Od Google otrzymujemy wyłącznie: adres e-mail (tylko potwierdzony przez Google) i stały identyfikator Twojego konta Google. Prosimy tylko o zakres „openid email”. Nie otrzymujemy imienia, nazwiska, zdjęcia, kontaktów, plików ani dostępu do innych usług Google. Nie przechowujemy tokenów dostępu Google.
  • Zapisujemy: adres e-mail, identyfikator konta Google, nasz losowy identyfikator konta, datę założenia konta i techniczny licznik sesji (pozwala wylogować wszystkie urządzenia). Po wprowadzeniu płatnej wersji Pro dojdzie do tego status subskrypcji (plan, ważność) i nieprzezroczyste identyfikatory klienta i subskrypcji u pośrednika płatności.
  • Ustawienia aplikacji. Po zalogowaniu zapisujemy na koncie ustawienia aplikacji, aby były takie same na Twoich urządzeniach: dźwięk i jego głośność, powtarzanie alarmu, język, motyw wyglądu, pytanie o trafność alarmu, informację o obejrzanym przewodniku oraz zmienione progi wykrywania. Nie zapisujemy tak ustawień układu okna (np. zwinięcia paneli). Cel: synchronizacja ustawień między urządzeniami. Podstawa prawna: wykonanie umowy o świadczenie usługi (art. 6 ust. 1 lit. b RODO), a w zakresie wygody użytkownika także prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO). Ustawienia nie są danymi wrażliwymi. Ustawienia możesz przestać zapisywać na koncie w każdej chwili, wyłączając przełącznik „Zapisuj ustawienia na koncie” w oknie „Konto”; usuniemy je wtedy z serwera (kopie na Twoich urządzeniach zostają).
  • Statystyki (tylko za Twoją zgodą). Domyślnie statystyki zostają wyłącznie na Twoim urządzeniu. Jeśli sam włączysz w oknie „Konto” przełącznik „Zapisuj statystyki na koncie”, zapiszemy na serwerze: epizody (godzinę rozpoczęcia, czas trwania i Twoją ocenę, czy alarm był trafny, wraz z podanym powodem) oraz czas działania wykrywania w danym dniu, a także losowy identyfikator urządzenia (niepowiązany z żadnymi danymi sprzętowymi), by odróżnić Twoje urządzenia. Cel: pokazanie tych samych statystyk na wszystkich Twoich urządzeniach. Statystyki obgryzania paznokci mogą być uznane za dane dotyczące zdrowia, dlatego podstawą jest Twoja wyraźna zgoda (art. 6 ust. 1 lit. a i art. 9 ust. 2 lit. a RODO). Zgoda jest dobrowolna; bez niej aplikacja działa tak samo, a statystyki zostają na urządzeniu. Zapisujemy też dowód zgody (data i wersja tekstu zgody). Możesz ją wycofać w każdej chwili, wyłączając ten przełącznik; wycofanie nie wpływa na zgodność z prawem przetwarzania przed jego dokonaniem, a statystyki są wtedy od razu usuwane z serwera. Kopie na Twoich urządzeniach zostają, dopóki sam ich nie usuniesz.
  • Obraz z kamery i punkty twarzy nigdy nie są wysyłane, także przy włączonej synchronizacji.
  • Nie udostępniamy ani nie sprzedajemy tych danych; nie używamy ich do profilowania, reklam ani trenowania modeli.
  • Cel: prowadzenie konta, pokazanie, na jakie konto jesteś zalogowany, przypisanie wersji Pro i kontakt w sprawie konta oraz płatności. Podstawa prawna: wykonanie umowy o świadczenie usługi (art. 6 ust. 1 lit. b RODO).
  • Sesja: po zalogowaniu przeglądarka zapisuje cookie sesji __Host-nb_session (HttpOnly, Secure, ważne 30 dni) z podpisanym identyfikatorem konta. Na czas logowania zapisywane jest też cookie techniczne ważne 10 minut. Te cookies są niezbędne do działania logowania i nie służą do śledzenia.
  • Dane Google wykorzystujemy wyłącznie do logowania i prowadzenia konta. Nie sprzedajemy ich, nie udostępniamy reklamodawcom, nie używamy do reklam ani do trenowania modeli sztucznej inteligencji. Korzystanie z informacji otrzymanych z interfejsów API Google jest zgodne z Zasadami dotyczącymi danych użytkownika usług interfejsu API Google (Google API Services User Data Policy), w tym z wymogami ograniczonego użytkowania (Limited Use).

5. Opinie i oceny alarmów

W aplikacji możesz wysłać opinię (okno „Wyślij opinię”) i, jeśli to włączysz w ustawieniach, oceny alarmów („To było obgryzanie?”: trafny albo fałszywy alarm, wybrany powód i długość alarmu). Wysyłamy je po to, żeby poprawiać aplikację i sprawdzać, czy alarmy są trafne także u innych osób. Zgłoszenia są anonimowe, także gdy jesteś zalogowany(-a): nie zapisujemy przy nich ani Twojego konta, ani e-maila, ani adresu IP, ani identyfikatora urządzenia, i nie używamy do nich plików cookie. Nigdy nie wysyłamy obrazu z kamery, nagrań ani punktów twarzy i dłoni. Opinia zawiera kategorię, Twój opis (do 1000 znaków) oraz, jeśli zostawisz zaznaczone, dane techniczne: przeglądarkę i jej wersję główną, system, wybór GPU/CPU, liczbę klatek na sekundę, czułość, informację o otwartym okienku PiP, język i rozmiar okna. Ocena alarmu zawiera ocenę, powód (jeśli go wybierzesz), długość alarmu w sekundach i te same dane techniczne. Nie wpisuj w opisie danych osobowych: opis jest wolnym tekstem i zapisujemy go tak, jak go wpiszesz. Zgłoszenia przechowujemy 180 dni, po czym są usuwane automatycznie. Ponieważ są anonimowe, nie możemy ich powiązać z Tobą, więc nie możemy też usunąć konkretnego zgłoszenia na Twoją prośbę. Adres IP, z którego przychodzi zgłoszenie, służy wyłącznie do dobowego limitu nadużyć: przechowujemy jego jednodniowy skrót (nieodwracalny bez klucza serwera), który po dobie jest usuwany; sam adres nie jest zapisywany.

6. Dzienniki techniczne serwera

Serwer logowania zapisuje krótkie dzienniki zdarzeń (np. „udane logowanie”, „błąd”) z naszym losowym identyfikatorem konta, bez adresu e-mail i bez adresu IP. Służą do wykrywania błędów i nadużyć (prawnie uzasadniony interes, art. 6 ust. 1 lit. f RODO) i są automatycznie usuwane po 14 dniach.

7. Jak długo przechowujemy dane

Dane konta przechowujemy, dopóki konto istnieje. Konto usuniesz w każdej chwili w oknie „Konto” przyciskiem „Usuń konto”: dane konta są wtedy usuwane natychmiast i nieodwracalnie, a cookie sesji jest kasowane. Dzienniki techniczne znikają po 14 dniach. Gdy płatności zostaną wprowadzone, dane wymagane przez przepisy podatkowe i rachunkowe przechowuje pośrednik płatności.

Ustawienia przechowujemy, dopóki istnieje konto. Statystyki zapisane na koncie przechowujemy 366 dni od dnia, którego dotyczą (wygasają automatycznie), a wycofanie zgody usuwa je natychmiast. Usunięcie konta usuwa także ustawienia, statystyki i dowód zgody. Przycisk „Wyczyść dane” na urządzeniu nie usuwa danych zapisanych na koncie; usuniesz je, wyłączając zapis ustawień lub statystyk albo usuwając konto.

8. Komu przekazujemy dane

  • Amazon Web Services (AWS): hosting strony i serwera logowania, jako podmiot przetwarzający na nasze zlecenie. Dane konta są przechowywane w regionie AWS Europa (Frankfurt). Strona jest dostarczana przez sieć CloudFront, której serwery mogą znajdować się także poza Europejskim Obszarem Gospodarczym. Przekazanie odbywa się na podstawie mechanizmów RODO stosowanych przez AWS (standardowe klauzule umowne, EU-U.S. Data Privacy Framework).
  • Google: jako dostawca logowania, na zasadach polityki prywatności Google.
  • Pośrednik płatności (gdy płatności zostaną wprowadzone): będzie odrębnym administratorem danych płatniczych (np. danych karty, adresu do faktury). My ich nie otrzymujemy. Przed włączeniem płatności zaktualizujemy tę politykę.

Nie przekazujemy danych innym podmiotom, chyba że wymaga tego prawo.

9. Twoje prawa

Masz prawo dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przeniesienia oraz sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie. Napisz na rafal.maksim@gmail.com; odpowiemy w ciągu miesiąca. Masz też prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl). Podanie danych jest dobrowolne, ale bez nich nie da się założyć konta. Nie podejmujemy decyzji w sposób zautomatyzowany i nie profilujemy użytkowników.

Jeśli przetwarzamy dane na podstawie zgody (statystyki), masz prawo ją wycofać w każdej chwili (przełącznik w oknie „Konto” albo wiadomość na rafal.maksim@gmail.com), bez wpływu na zgodność z prawem przetwarzania przed jej wycofaniem.

10. Zmiany polityki

O istotnych zmianach poinformujemy w aplikacji. Aktualna wersja jest zawsze pod adresem https://the-nail-biter.com/privacy.html. Data na górze strony oznacza dzień, od którego obowiązuje ta wersja.

Privacy Policy

Effective from: .

1. Data controller

The controller of personal data is Rafał Maksim, creator of The Nail Biter (https://the-nail-biter.com). Contact for all data matters: rafal.maksim@gmail.com.

2. Camera images never leave your device

Camera images are analysed only in your browser. We do not record, store or send them to any server, also when you are signed in. We have no access to them.

3. Using the app without an account

You do not need an account to use the app. Without an account we process none of your data on a server.

  • Settings (including the appearance theme), statistics (kept for 365 days), today's time spent using the background window, acceptance of the terms and the chosen language are stored in your browser's storage (localStorage) on your device. They are not sent anywhere. You can remove them with the “Clear data” button in the settings or by clearing the site data in your browser.
  • Optional diagnostic recordings (Advanced section) contain only coordinates of face and hand points, no images, and are saved as a file on your device only when you ask for it.
  • On start, your browser downloads the MediaPipe library code from cdn.jsdelivr.net and the recognition models from storage.googleapis.com. These services, like our hosting, receive standard connection data (such as your IP address and browser information) needed to deliver the files. We do not keep visitor logs of the website.
  • We do not use analytics or advertising cookies, tracking tools or third-party analytics scripts.

4. Account and Google sign-in

An account is optional. Sign-in happens on Google's page; Google learns that you are signing in to The Nail Biter only when you click “Sign in with Google”.

  • From Google we receive only: your email address (only if verified by Google) and the stable identifier of your Google account. We request only the “openid email” scope. We do not receive your name, photo, contacts, files or access to other Google services. We do not store Google access tokens.
  • We store: your email address, your Google account identifier, our random account identifier, the account creation date and a technical session counter (used to sign out all devices). Once the paid Pro version is introduced, this will also include the subscription status (plan, validity) and opaque customer and subscription identifiers at the payment provider.
  • App settings. When you are signed in, we store your app settings on your account so they are the same on your devices: sound and its volume, alarm repetition, language, appearance theme, the question about whether an alarm was right, whether you have seen the guide, and any detection thresholds you changed. Window layout settings (such as collapsed panels) are not stored. Purpose: keeping your settings in sync across devices. Legal basis: performance of the service contract (Art. 6(1)(b) GDPR), and, for the user's convenience, legitimate interest (Art. 6(1)(f) GDPR). Settings are not sensitive data. You can stop saving your settings on your account at any time by switching off “Save settings to your account” in the “Account” window; we then delete them from the server (the copies on your devices stay).
  • Statistics (only with your consent). By default, statistics stay on your device only. If you yourself switch on “Save stats to your account” in the “Account” window, we store on the server: episodes (start time, duration and your rating of whether the alarm was right, with the reason you gave) and the time detection was running each day, together with a random device identifier (not tied to any hardware data) so that we can tell your devices apart. Purpose: showing the same statistics on all your devices. Statistics about nail biting may be considered data concerning health, so the legal basis is your explicit consent (Art. 6(1)(a) and Art. 9(2)(a) GDPR). Consent is voluntary; without it the app works the same and statistics stay on your device. We also store a record of the consent (date and version of the consent text). You can withdraw consent at any time by switching the toggle off; withdrawal does not affect the lawfulness of processing before it, and the statistics are then deleted from the server immediately. Copies on your devices remain until you delete them yourself.
  • Camera images and face landmarks are never sent, also when sync is on.
  • We do not share or sell this data; we do not use it for profiling, advertising or training models.
  • Purpose: running your account, showing which account you are signed in with, assigning the Pro version and contacting you about your account and payments. Legal basis: performance of the service contract (Art. 6(1)(b) GDPR).
  • Session: after sign-in your browser stores the session cookie __Host-nb_session (HttpOnly, Secure, valid for 30 days) with a signed account identifier. During sign-in a technical cookie valid for 10 minutes is also stored. These cookies are strictly necessary for sign-in and are not used for tracking.
  • We use Google data only for sign-in and running your account. We do not sell it, share it with advertisers, or use it for advertising or to train artificial intelligence models. The Nail Biter's use of information received from Google APIs adheres to the Google API Services User Data Policy, including the Limited Use requirements.

5. Feedback and alarm ratings

In the app you can send feedback (the “Send feedback” window) and, if you switch it on in the settings, ratings of alarms (“Was that nail biting?”: a right or false alarm, the reason you choose and the length of the alarm). We send them to improve the app and to check whether the alarms are accurate for other people as well. Reports are anonymous, also when you are signed in: we do not store your account, your e-mail address, your IP address or a device identifier with them, and we use no cookies for them. We never send camera images, recordings or face and hand points. Feedback contains the category, your description (up to 1000 characters) and, if you leave it ticked, technical data: the browser and its major version, the system, GPU or CPU, frames per second, sensitivity, whether the PiP window is open, the language and the window size. An alarm rating contains the rating, the reason (if you choose one), the alarm length in seconds and the same technical data. Please do not put personal data in the description: it is free text and we store it exactly as you type it. We keep reports for 180 days, after which they are deleted automatically. Because they are anonymous we cannot link them to you, so we also cannot delete a particular report on request. The IP address a report comes from is used only for a daily abuse limit: we keep a one-day hash of it (not reversible without the server’s key) that is deleted after a day; the address itself is not stored.

6. Technical server logs

The sign-in server keeps short event logs (such as “sign-in succeeded”, “error”) with our random account identifier, without your email address and without your IP address. They are used to detect errors and abuse (legitimate interest, Art. 6(1)(f) GDPR) and are deleted automatically after 14 days.

7. How long we keep data

We keep account data for as long as the account exists. You can delete your account at any time with the “Delete account” button in the “Account” window: the account data is then deleted immediately and irreversibly, and the session cookie is removed. Technical logs are deleted after 14 days. Once payments are introduced, data required by tax and accounting law will be kept by the payment provider.

We keep settings as long as the account exists. Statistics stored on your account are kept for 366 days from the day they refer to (they expire automatically), and withdrawing consent deletes them immediately. Deleting your account also deletes the settings, the statistics and the record of consent. The “Clear data” button on a device does not delete data stored on your account; you can remove it by switching off saving settings or statistics, or by deleting your account.

8. Who receives data

  • Amazon Web Services (AWS): hosting of the website and the sign-in server, as a processor acting on our behalf. Account data is stored in the AWS Europe (Frankfurt) region. The website is delivered through the CloudFront network, whose servers may also be located outside the European Economic Area. Such transfers rely on the GDPR mechanisms used by AWS (Standard Contractual Clauses, EU-U.S. Data Privacy Framework).
  • Google: as the sign-in provider, under Google's privacy policy.
  • Payment provider (once payments are introduced): a separate controller of payment data (such as card details and billing address). We do not receive that data. We will update this policy before payments are enabled.

We do not share data with anyone else unless required by law.

9. Your rights

You have the right to access, rectify and erase your data, to restrict its processing, to data portability, and to object to processing based on legitimate interest. Write to rafal.maksim@gmail.com; we will reply within one month. You also have the right to lodge a complaint with the Polish supervisory authority, the President of the Personal Data Protection Office (ul. Stawki 2, 00-193 Warsaw, uodo.gov.pl), or with the authority in your country. Providing data is voluntary, but an account cannot be created without it. We do not make automated decisions or profile users.

Where we process data based on consent (statistics), you may withdraw it at any time (the toggle in the “Account” window or a message to rafal.maksim@gmail.com), without affecting the lawfulness of processing before withdrawal.

10. Changes

We will announce significant changes in the app. The current version is always at https://the-nail-biter.com/privacy.html. The date at the top shows the day from which this version applies. The Polish version is binding.