Prywatność

Co obecna wersja Grocerera zapisuje lokalnie i kiedy dane opuszczają urządzenie.

Aktualizacja: 5 października 2026

Wersja robocza

To jest robocza informacja dla wersji przedpremierowej. Usługodawca i adres korespondencyjny nie zostały jeszcze wskazane. Kontakt jest dostępny przez e-mail i formularz zgłoszeń, ale ten tekst nadal wymaga uzupełnienia przed publicznym wydaniem.

Listę zakupów możesz prowadzić bez adresu e-mail i hasła. Dane listy są zapisywane w bazie aplikacji na tym urządzeniu. W przeglądarce pamięć aplikacji należy do danych tej witryny; jej wyczyszczenie może usunąć lokalną listę.

Przeglądanie katalogu wysyła do API zapytanie, filtry i identyfikator wybranego produktu. Skanowanie kodu wysyła dopiero odczytany numer GTIN — obraz z podglądu aparatu nie jest wysyłany przez funkcję skanera kodów.

Samo otwarcie aplikacji nie tworzy konta w chmurze. Dane listy trafiają na serwer dopiero wtedy, gdy włączysz ciągłość danych albo połączysz urządzenia.

Synchronizacja używa losowych, pseudonimowych identyfikatorów urządzenia i listy. Serwer przechowuje potrzebne zmiany listy, historię synchronizacji, informacje o połączonych urządzeniach i dane konieczne do wykrywania nadużyć. Nie potrzebuje do tego adresu e-mail.

Cztery słowa oraz kod QR do parowania są krótkotrwałe i służą wyłącznie do zatwierdzonego połączenia drugiego urządzenia. Nie są hasłem do danych ani kodem odzyskiwania.

Zestaw odzyskiwania jest osobnym, silniejszym sekretem. Serwer przechowuje wyłącznie jego wersjonowany, kluczowany weryfikator, a udane odzyskanie obraca zestaw. Ta funkcja pozostaje przedpremierowa. Jeżeli stracisz wszystkie połączone urządzenia i zestaw odzyskiwania oraz nie masz działającego klucza dostępu, danych nie da się odtworzyć.

Aparat jest proszony dopiero po wybraniu skanowania produktu, kodu parowania albo zrobienia zdjęcia produktów. Wybranie istniejącego zdjęcia otwiera systemową bibliotekę. Grocerer nie prosi aparatu o mikrofon.

Powiadomienia także wymagają osobnej decyzji użytkownika. Sama instalacja ani otwarcie ustawień nie udzielają tych uprawnień.

Ta opcjonalna funkcja działa dopiero po włączeniu ciągłości danych bez konta i świadomym wybraniu aparatu albo biblioteki. Przed wysłaniem aplikacja zmniejsza zdjęcie, usuwa jego metadane przez ponowne zakodowanie i pokazuje informację, że zawartość zobaczy zewnętrzny model AI.

Grocerer przetwarza zdjęcie tylko dla jednego żądania rozpoznania i nie zapisuje go ani roboczego wyniku w spiżarni. Żądanie do dostawcy modelu ma wyłączone utrwalanie po stronie API; zatwierdzenie umowy powierzenia, regionu przetwarzania i zasad retencji dostawcy pozostaje jednak warunkiem uruchomienia tej funkcji w produkcji.

Wynik jest tylko edytowalną propozycją. Produkty trafiają do lokalnej spiżarni dopiero po ich zaznaczeniu, poprawieniu i użyciu przycisku potwierdzenia; na tym urządzeniu cały zatwierdzony zestaw zapisuje się atomowo albo nie zapisuje się wcale.

Po połączeniu urządzeń profil osoby może zawierać wybrany awatar i opcjonalny pseudonim. Opcjonalny klucz dostępu (passkey) służy do odzyskania tej samej osoby w przeglądarce. Serwer zapisuje identyfikator i klucz publiczny poświadczenia oraz dane potrzebne do jego weryfikacji; klucz prywatny pozostaje pod kontrolą systemu lub dostawcy kluczy dostępu.

Dołączenie do Domu nie udostępnia automatycznie prywatnej kuchni. Dom ma osobne listy, spiżarnię, przepisy, plan posiłków i zapisane oferty. Domownicy widzą profil oraz autorstwo wspólnych wpisów. Kopiowanie z kuchni prywatnej do Domu wymaga wybrania treści do udostępnienia.

Domownicy mogą widzieć liczbę wykorzystanych wspólnych punktów AI. Nie daje to dostępu do prywatnych pytań ani prywatnych przepisów innej osoby. Opuszczenie Domu odbiera dostęp do synchronizacji jego danych, ale nie usuwa kopii, które inni domownicy wcześniej zapisali lub wyeksportowali.

Po wybraniu generowania przepisu do zewnętrznego dostawcy AI trafiają zatwierdzone składniki, liczba porcji, ograniczenie czasu i wpisane wykluczenia. Adaptacja Thermomix przekazuje wybrany przepis i model urządzenia. Nie wpisuj informacji zdrowotnych ani danych innych osób. Wynik wymaga sprawdzenia przed zapisaniem i użyciem.

Serwer zapisuje rezerwacje i rozliczenia punktów oraz potwierdzenia operacji potrzebne do bezpiecznego ponawiania żądań. Dobór pomysłów z zapisanych przepisów odbywa się lokalnie i nie wysyła ich do modelu AI.

Po uruchomieniu płatności na stronie obsługę zakupu i zarządzania abonamentem zapewnia Stripe. Grocerer zapisuje identyfikatory klienta i abonamentu, stan rozliczeń oraz potwierdzenia zdarzeń płatniczych. Formularz danych karty jest obsługiwany przez Stripe. Ceny, warunki płatności, zasady retencji i informacje o odbiorcach danych wymagają zatwierdzenia przed uruchomieniem sprzedaży.

Otwarcie wyszukiwania przenosi Cię na stronę Cookidoo, a kopiowanie składników i kroków umieszcza wybrane dane w schowku urządzenia. Dalej obowiązują zasady wybranego serwisu i urządzenia.

Połączenie z własnym kontem Cookidoo jest dobrowolne i wymaga włączenia synchronizacji Grocerera. Dopiero po wybraniu połączenia dane sesji trafiają przez API Grocerera do Cookidoo; wyszukiwanie w aplikacji i eksport korzystają z tej sesji. Każdy eksport wymaga osobnego zatwierdzenia podglądu przepisu. Sesja pozostaje wyłącznie w pamięci aplikacji i jest usuwana po 15 minutach od połączenia, po rozłączeniu lub przejściu aplikacji do tła; serwer nie zapisuje jej w bazie.

Przy niedokończonym eksporcie serwer zachowuje zatwierdzoną wersję przepisu do odzyskania operacji; usuwa tę kopię po ukończeniu eksportu lub usunięciu osoby. Nie zapisuje w niej danych sesji Cookidoo. Integracja nie synchronizuje automatycznie zapasów, list zakupów ani planów posiłków. Sprawdzenie warunków dostawcy i zasad przetwarzania pozostaje warunkiem publicznego wydania tej funkcji.

W razie awarii aplikacja może automatycznie wysłać do API Grocerera ograniczony raport: rodzaj błędu, oczyszczony komunikat i fragment miejsca wystąpienia, platformę oraz dostępne informacje o przeglądarce i adresie strony. Raport nie jest wysyłany przy każdym poprawnym otwarciu aplikacji.

Przed wysłaniem aplikacja usuwa rozpoznane sekrety, adresy e-mail oraz parametry i fragmenty adresów URL. Raport jest wysyłany bez poświadczenia urządzenia i ciasteczek sesji. Serwer używa skrótu adresu IP do grupowania zgłoszeń i ograniczania nadużyć. Redakcja nie oznacza gwarancji anonimowości; cel, podstawa przetwarzania i okres retencji wymagają zatwierdzenia w końcowej polityce.

Formularz na stronie Kontakt służy do pomocy, uwag i spraw prywatności. Dopiero po wybraniu wysłania do skrzynki operatora trafiają temat, treść i oznaczenie strony formularza. Możesz podać adres e-mail, jeżeli oczekujesz odpowiedzi. Formularz nie dołącza automatycznie tożsamości osoby ani zawartości kuchni.

Nie przesyłaj haseł, kodów parowania, zestawu odzyskiwania ani danych innych osób. Otwarte zgłoszenia pozostają w skrzynce do obsłużenia. Zgłoszenia oznaczone jako rozwiązane są usuwane po upływie 90 dni przy kolejnym rozpatrywaniu zgłoszenia. Końcowa polityka musi jeszcze określić administratora danych i podstawę przetwarzania.

W Ustawieniach możesz utworzyć pełny eksport bieżącego urządzenia. Gdy synchronizacja jest aktywna, plik musi zawierać także kompletny zrzut bieżącego łańcucha z serwera; obie części są osobnymi, niezależnie spójnymi zrzutami, a błąd serwera nie zostaje przemilczany jako eksport wyłącznie lokalny.

Eksport nie zawiera kluczy urządzenia, sekretów parowania i odzyskiwania, tokenów powiadomień, roboczych danych dostawców ani bajtów zdjęć. Nie obejmuje też zmian, które czekają wyłącznie na innym urządzeniu, i nie jest zestawem odzyskiwania.

Instalacja działająca tylko lokalnie może usunąć swoją bazę, klucze i pomocnicze dane bez żądania do serwera. Przy aktywnej synchronizacji aplikacja usuwa dane lokalne dopiero po potwierdzonym usunięciu kwalifikującego się całego łańcucha. Dane współdzielone, starsza tożsamość, kotwica audytowa albo trwająca operacja mogą zablokować usunięcie; wtedy lokalna kopia pozostaje nienaruszona.

Po skutecznym usunięciu serwer zachowuje wyłącznie wąskie, niezmienne potwierdzenia ponowienia żądania i znaczniki skrótów usuniętych kluczy instalacji. Dokładne okresy ich retencji i tożsamość usługodawcy nadal wymagają zatwierdzenia przed wydaniem. Sprawy prywatności możesz zgłosić przez formularz na stronie Kontakt.

Do czasu tych zatwierdzeń ta strona pozostaje oznaczona jako robocza i nie powinna być używana jako produkcyjna polityka prywatności.