Koncepcja prywatności aplikacji Radbonus

Stan na 20.02.2026

Wprowadzenie

Cel i założenia tej koncepcji prywatności

Aplikacja Radbonus pozwala użytkownikom śledzić aktywności rowerowe i brać udział w Challenges. W opisywanej tutaj wersji opartej na GPS dane o trasach są zapisywane na naszych serwerach, żebyśmy mogli pokazywać użytkownikom podgląd trasy, udostępniać partnerom zagregowane analizy tras (mapy cieplne) oraz umożliwić Radbonus wykonywanie po stronie serwera kontroli wiarygodności (wykrywanie nadużyć). Ponieważ przechowywanie danych GPS na serwerach w połączeniu ze stałym identyfikatorem użytkownika tworzy — w rozumieniu RODO — powiązanie z osobą, ta wersja w pełni podlega wymaganiom RODO. Niniejsza koncepcja prywatności opisuje podstawę prawną, środki techniczne i organizacyjne oraz prawa użytkowników.

Zakres środków ochrony prywatności

Ta koncepcja prywatności dotyczy całej aplikacji Radbonus, a także wszystkich powiązanych aplikacji i usług serwerowych w ramach danego Świata Partnera, o ile włączona jest wersja GPS.Opisuje, w jaki sposób dane osobowe są zbierane, przetwarzane, przechowywane i chronione. Użytkownik akceptuje te zasady podczas dołączania do Świata Partnera i obowiązują one przez cały okres korzystania w ramach tego Świata Partnera.

Definicje i pojęcia

Aplikacja Radbonus: Aplikacja mobilna na iOS i Androida, która pozwala użytkownikom śledzić aktywność rowerową i brać udział w Challenge.
Użytkownik: Każda osoba fizyczna korzystająca z aplikacji Radbonus.
GDPR: Ogólne rozporządzenie o ochronie danych (RODO) Unii Europejskiej, które reguluje ochronę danych osobowych.
Dane osobowe: Wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej.
Pseudonimizacja: Przetwarzanie danych osobowych w taki sposób, aby nie można było ich przypisać konkretnej osobie, której dane dotyczą, bez użycia dodatkowych informacji (art. 4 ust. 5 GDPR).
Numer identyfikacyjny (Radbonus ID): Czysto techniczny identyfikator wygenerowany przez generator losowy, tworzony w momencie, gdy aplikacja Radbonus jest instalowanawyd.Identyfikator nie jest powiązany z urządzeniem, osobą ani żadnymi innymi danymi umożliwiającymi identyfikację. Służy jako pseudonimowy klucz do przypisywania danych o korzystaniu w ramach systemu.
GeoHash: Metoda kodowania współrzędnych geograficznych w krótkie ciągi alfanumeryczne.GeoHashes grupują dane o lokalizacji w zdefiniowane komórki siatki i pozwalają na analizy przestrzenne bez ujawniania dokładnych współrzędnych ani pojedynczych tras.
Mapa cieplna (Heatmap): Zbiorcza wizualizacja intensywności korzystania z odcinków tras, oparta na GeoHashes. Mapy cieplne pokazują, które trasy są często używane ogólnie — nie to, który użytkownik jechał którą trasą.
Wykrywanie nadużyć (Fraud Detection): Po stronie serwera sprawdzamy wiarygodność zgłaszanych przejazdów na podstawie danych GPS, żeby wyłapać nierealistyczną lub zmanipulowaną aktywność (np. nierealne prędkości, „teleportowane” punkty startu, trasy prowadzące autostradami).
Partner World: Środowisko dedykowane dla partnera, utworzone w aplikacji Radbonus, w którym dostępne są konkretne Challenges, Battles/Competitions oraz Missions.

Nasze podejście do prywatności

Nawet w wersji GPS aplikacja Radbonus trzyma się rygorystycznej zasady minimalizacji danych — w praktyce bezkonkurencyjnej wśród aplikacji do benefitów fitness dla pracowników i motywowania do jazdy na rowerze:

Pseudonimowe korzystanie bez danych konta: Użytkownicy mogą korzystać z aplikacji bez rejestracji…rejestrujesz się anonimowo — bez adresu e-mail, imienia i numeru telefonu.Przypisanie techniczne odbywa się wyłącznie przez Radbonus ID wygenerowany losowo. Radbonus nie ma żadnej tabeli mapowania, która pozwalałaby powiązać ten identyfikator z konkretną osobą fizyczną.
Dane GPS z jasno określonym celem: Dane trasy są przechowywane po stronie serwera i wykorzystywane tylko do trzech zdefiniowanych celów: (1) podgląd trasy dla samego użytkownika, (2) weryfikacja wiarygodności po stronie serwera (Fraud Detection), (3) tworzenie zagregowanych analiz geo-hash dla partnerów. Pojedyncze trasy nigdy nie są udostępniane partnerom ani innym użytkownikom.
Najpierw agregacja, potem udostępnianie: Partnerzy otrzymują wyłącznie zagregowane mapy cieplne geo-hash oraz statystyki.To główna osoba kontaktowa we wszystkich sprawach i wątpliwościach związanych z ochroną danych.

Zadania Inspektora Ochrony Danych

Nadzór nad zgodnością z zasadami ochrony danych: pilnowanie, żeby wszystkie wymagania wynikające z RODO (GDPR) i innych właściwych przepisów były spełnione. Regularne sprawdzanie i aktualizowanie polityk oraz procedur ochrony danych.
Doradztwo i szkolenia: doradzanie zarządowi i pracownikom we wszystkich kwestiach związanych z ochroną danych.Prowadzenie szkoleń i działań podnoszących świadomość.
Współpraca z organem nadzorczym: Pełnienie roli punktu kontaktowego dla organu nadzorczego ds. ochrony danych oraz wspieranie przygotowania odpowiedzi na zapytania lub kontrole/audyty.
Nadzór nad czynnościami przetwarzania danych: Regularne przeglądanie działań związanych z przetwarzaniem danych, w szczególności przetwarzania danych GPS, agregacji geo-hash oraz logiki wykrywania nadużyć. Wdrażanie i monitorowanie technicznych i organizacyjnych środków ochrony danych.
Dokumentacja i raportowanie: Prowadzenie rejestru czynności przetwarzania oraz przygotowywanie raportów o zastosowanych środkach ochrony danych i o tym, jak skuteczne są.

Podmiot odpowiedzialny i dane kontaktowe

Radbonus GmbH, reprezentowana przez członków zarządu Mariusa-Eugena Gerdana oraz Katharinę Gerdan-Dörenhoff, jest podmiotem odpowiedzialnym za działanie aplikacji Radbonus.Jeśli masz jakiekolwiek pytania albo wątpliwości dotyczące ochrony danych, możesz skontaktować się z inspektorem ochrony danych, Johannesem Milczewskim.

Dane kontaktowe inspektora ochrony danych:

Johannes Milczewski
Email: privacy@radbonus.com
Telefon: +49 221 177 32 99 - 0

Zbieranie i przetwarzanie danych

Klasyfikacja na gruncie prawa ochrony danych

Wersja GPS aplikacji Radbonus przetwarza spseudonimizowane dane osobowe w rozumieniu art. 4(1) w związku z art. 4(5) GDPR. Mimo że Radbonus nie zbiera danych identyfikacyjnych (imienia i nazwiska, adresu e-mail, numeru telefonu) i nie ma tabeli powiązań, połączenie stałego identyfikatora (Radbonus ID) oraz danych trasy GPS zapisanych na serwerze tworzy powiązanie z osobą: profile przemieszczania się są bardzo charakterystyczne i mogą — szczególnie przy regularnych trasach dojazdów — teoretycznie zostać zestawione z zewnętrznymi źródłami danych, aby zidentyfikować osobę fizyczną.Radbonus traktuje więc przetwarzane dane jako dane osobowe i stosuje RODO w pełnym zakresie, bez ograniczeń. Jednocześnie trzeba pamiętać, że Radbonus sam w sobie nie ma możliwości powiązania Radbonus-ID z konkretną osobą fizyczną — pseudonimizacja jest wbudowana w architekturę i nie da się jej odwrócić bez zewnętrznych informacji, których Radbonus nie posiada.

Jakie dane zbieramy i jak je przetwarzamy

Radbonus-ID

Czysto techniczny identyfikator generowany losowo i tworzony w momencie instalacji aplikacji.
Ten identyfikator nie jest powiązany z urządzeniem, numerem telefonu, identyfikatorami sprzętowymi ani żadnymi innymi cechami pozwalającymi zidentyfikować użytkownika.Radbonus nie ma żadnej tabeli mapowania.
ID działa jak pseudonimowy klucz: technicznie umożliwia łączenie danych o korzystaniu z aplikacji bez tego, żeby Radbonus znał tożsamość użytkownika.
Użytkownik może użyć ID, aby przenieść swoje dane o korzystaniu na inne urządzenie.

Dane trasy GPS (kluczowa różnica vs. wersja anonimowa)

Gdy włączona jest wersja GPS, współrzędne geo tras, które przejeżdżasz, są przesyłane na serwer Radbonus i tam przechowywane.
Dane trasy obejmują: współrzędne GPS wzdłuż trasy (szerokość i długość geograficzna), znaczniki czasu dla poszczególnych punktów GPS, wyliczony dystans oraz prędkość.
Ograniczenie celu: Dane trasy są przetwarzane wyłącznie w następujących celach:
- Widok trasy (użytkownik): Możesz oglądać swoje przejechane trasy na mapie w aplikacji.
- Wykrywanie oszustw (Radbonus): Kontrole wiarygodności po stronie serwera, żeby wykrywać nierealne lub zmanipulowane przejazdy (np. nierealne prędkości >80 km/h, „teleportowane” punkty startowe, trasy po zamkniętych drogach/autostradach).Oszustwawykrywanie działa według reguł i jest zautomatyzowane; nie wywołuje żadnych skutków prawnych dla użytkownika, ale oznacza podejrzane przejazdy do ręcznej weryfikacji przez Radbonus.
- Agregacja geo-hash (mapy cieplne partnera): współrzędne GPS są przekształcane w geo-hashe z rozdzielczością ok. 150 m × 150 m (poziom precyzji geo-hash 7).Powstałe mapy ciepła pokazują zagregowaną intensywność korzystania na odcinkach tras — nie pojedyncze trasy. Agregacja obejmuje wszystkich użytkowników Świata partnera; na podstawie danych z map ciepła nie da się przypisać konkretnych odcinków do konkretnych użytkowników.
Brak udostępniania pojedynczych tras: Indywidualne ślady GPS, profile przejazdów ani dane tras poszczególnych użytkowników nigdy nie są udostępniane partnerom, innym użytkownikom ani podmiotom trzecim.

Przejechane dystanse

Informacje o przejechanych dystansach, w tym o czasie startu i zakończenia.
Te dane są przypisywane do odpowiednich Wyzwań, Bitew i Misji.

Opcjonalnie: pseudonim

Użytkownicy mogą opcjonalnie ustawić pseudonim jako nazwę wyświetlaną w publicznych rankingach. Jeśli pseudonim nie jest ustawiony, jako placeholder pokazujemy mocno skrócony fragment Radbonus ID.Nazwa wyświetlana jest przypisana do Świata partnera i nie da się jej powiązać między różnymi Światami partnerów.
Aktywne potwierdzenie przed wpisaniem: Zanim pole wpisywania zostanie odblokowane, użytkownik dostaje informację: *„Twój nick jest widoczny dla innych uczestników.” Wybierz nazwę, która nie pozwoli nikomu ustalić, kim jesteś — czyli bez imienia i nazwiska, bez inicjałów, bez działu i bez nazwy firmy.

" Użytkownik musi aktywnie potwierdzić: „Potwierdzam, że mój nick nie zawiera żadnych danych osobowych i nie pozwala na wyciąganie wniosków na temat mojej tożsamości.”*

Automatyczna weryfikacja przed zapisaniem: Każdy nick przechodzi dwuetapową automatyczną kontrolę. Poziom 1 — wykrywanie wzorców oparte na regułach: adresy e-mail, numery telefonów, formaty dat/roki urodzenia (1940–2015), adresy URL, nazwy użytkowników w social media. Poziom 2 — semantyczna analiza AI (lokalny LLM): Model językowy uruchomiony lokalnie w infrastrukturze Radbonus sprawdza: prawdziwe imiona i nazwiska, imiona z dodatkami pozwalającymi na identyfikację,stanowiska w dziale/role, zestawienia inicjałów oraz nazwy lokalizacji/oddziałów powiązane z daną osobą.Żadne wpisy z nickname’ami nie są wysyłane do usług zewnętrznych.
Jeśli nickname zostanie odrzucony, użytkownik dostaje konkretny powód. Odrzucone nickname’i nie są zapisywane ani logowane. Automatyczna kontrola nie jest zautomatyzowanym podejmowaniem decyzji w rozumieniu art. 22 RODO (GDPR), bo nie wywołuje skutków prawnych ani nie powoduje istotnej niekorzystnej sytuacji. System jest ustawiony zachowawczo (w razie wątpliwości: odrzuca). Model używany do weryfikacji podlega udokumentowanemu nadzorowi nad modelem: wersjonowaniu, walidacji na wewnętrznym zbiorze testowym, rejestrowaniu zmian oraz zatwierdzaniu przez wykwalifikowany personel. Jeśli użytkownik uważa, że jego nickname został odrzucony przez pomyłkę, może poprosić Inspektora Ochrony Danych o ręczną weryfikację — sprawdzany jest wyłącznie tekst nickname’u.

Opcjonalnie: tokeny urządzenia (powiadomienia push)

Używane do wysyłania powiadomień push, jeśli użytkownik wyraźnie tego chce.
Konfiguracja techniczna: dostarczanie odbywa się przez Firebase Cloud Messaging (FCM).Tokeny urządzeń są szyfrowane na serwerach Radbonus i przechowywane oddzielnie od innych danych o korzystaniu z aplikacji. Zawartość powiadomień push obejmuje wyłącznie ogólne komunikaty, które są identyczne dla wszystkich odbiorców — bez treści przypisanych do konkretnego użytkownika, identyfikatorów Radbonus, danych o wynikach czy informacji profilowych. Zgodność jest zapewniana po stronie serwera dzięki wcześniej zdefiniowanym szablonom wiadomości.
Podstawa prawna: art. 6 ust. 1 lit. a RODO (wyraźna zgoda udzielona w oknie uprawnień systemu operacyjnego).
Przetwarzanie: Google działa jako podmiot przetwarzający na podstawie art. 28 RODO, zgodnie z warunkami Firebase Data Processing and Security Terms.
Międzynarodowy transfer danych: standardowe klauzule umowne (SCC) na podstawie art. 46 ust. 2 lit. c RODO oraz EU-U.S. Data Privacy Framework na podstawie art. 45 RODO. Przeprowadzono TIA.
Okres przechowywania: jeśli funkcja zostanie wyłączona lub zgoda zostanie cofnięta, tokeny są usuwane natychmiast. Nieaktywne tokeny są regularnie czyszczone.

Informacje o aplikacji i systemie operacyjnym

Wersja aplikacji, system operacyjny oraz wersja systemu operacyjnego.Używane do rozwiązywania problemów i optymalizacji.

Typ roweru

Typ używanego roweru (np. MTB, BMX).Służy do analizowania i dopasowywania funkcji aplikacji.

Opcjonalnie: członkostwo w zespole

Jeśli bierzesz udział w aktywnościach zespołowych. Team Battle nie są dostępne przy mniej niż 15 uczestnikach.

Członkostwo w World partnera, ulubione, wygrane nagrody

Tak samo jak w wersji anonimowej: nie są przetwarzane żadne dane pozwalające na identyfikację.

Dane, których nie przechowujemy

Nawet w wersji GPS aplikacja Radbonus celowo nie zapisuje żadnych danych tożsamości:

Brak danych konta: nie zbieramy imienia i nazwiska, adresu, e-maila ani numerów telefonów.
Brak identyfikatorów urządzenia: brak IDFA/GAID, brak adresów MAC, brak identyfikatorów sprzętowych.
Adres IP: Radbonus nigdy nie zapisuje, nie loguje ani nie analizuje adresów IP użytkowników aplikacji.Warstwa 1 — trasa transportu (operator telekomunikacyjny): przetwarzanie przez operatorów sieci na ich własną odpowiedzialność.Warstwa 2 — load balancer (Hetzner Online GmbH): load balancer przetwarza adresy IP na poziomie sieci (komunikacja TCP/IP). Radbonus nie ma dostępu do danych połączenia.Obowiązuje umowa powierzenia przetwarzania danych zgodnie z art. 28 RODO.Warstwa 3 — serwer aplikacyjny Radbonus: X-Forwarded-For jest wyłączony.Adres IP technicznie nie jest dostępny na poziomie aplikacji. Nie ma żadnej ścieżki w kodzie, która odczytuje informacje o IP.

Cel zbierania i przetwarzania danych

Cel przetwarzania	Kategorie danych	Podstawa prawna
Świadczenie usługi (Challenge, rywalizacje)	Radbonus ID, dystanse, znaczniki czasu, udział w Challenge	Art. 6(1)(b) GDPR
Podgląd trasy dla użytkownika	Dane trasy GPS	Art. 6(1)(b) GDPR
Wykrywanie nadużyć (kontrole wiarygodności)	Dane trasy GPS, profile prędkości	Art. 6(1)(f) GDPR (uzasadniony interes w utrzymaniu integralności rywalizacji)
Heatmapy geo-hash dla partnerów	Dane trasy GPS (zagregowane do geo-hashy)	Art. 6(1)(f) GDPR (uzasadniony interes partnera w planowaniu infrastruktury)
Powiadomienia push	Tokeny urządzenia	Art. 6(1)(a) GDPR (zgoda)
Nick w rankingach	Tekst nicku	Art. 6(1)(a) GDPR (zgoda, aktywne potwierdzenie)
Rozwiązywanie problemów i optymalizacja	Wersja aplikacji/systemu	Art. 6(1)(f) GDPR (uzasadniony interes)

Wyważenie interesów na podstawie art. 6 ust. 1 lit. f RODO:

Wykrywanie nadużyć: Uzasadniony interes Radbonus GmbH i jej partnerów w zachowaniu integralności systemu rywalizacji przeważa nad interesami użytkowników, ponieważ kontrola opiera się wyłącznie na technicznych sprawdzeniach wiarygodności (bez ręcznej analizy tras), nie obejmuje zautomatyzowanego podejmowania decyzji wywołującego skutki prawne, a użytkownicy są informowani o przetwarzaniu.
Mapy cieplne geo-hash: Uzasadniony interes partnerów w analizie najczęściej używanych tras (np. do planowania infrastruktury rowerowej i poprawy bezpieczeństwa ruchu) przeważa nad interesami użytkowników, ponieważ dane są nieodwracalnie agregowane przed udostępnieniem i nie da się przypisać danych z map cieplnych do konkretnych użytkowników. Agregacja na poziomie geo-hash (ok. 150 m × 150 m) zapewnia, że nie można zidentyfikować żadnych indywidualnych punktów startu/końca (adres domowy, miejsce pracy).

Wygrane nagrody

Tak jak w wersji anonimowej: realizacja nagród odbywa się w całości pozaAplikacja Radbonus — a Radbonus nie zbiera w tym celu żadnych danych osobowych.

Podstawa prawna i kwalifikacja przetwarzania danych

Klasyfikacja przetwarzanych danych

Wersja GPS aplikacji Radbonus przetwarza spseudonimizowane dane osobowe.Ta pseudonimizacja jest realizowana dzięki następującej architekturze:

Identyfikator Radbonus (Radbonus ID) jest generowany losowo i nie ma żadnego powiązania z urządzeniem, osobą ani innymi identyfikatorami.
Radbonus nie prowadzi tabeli mapowania i nie istnieje techniczna ścieżka ponownej identyfikacji.
Pseudonimizacji nie da się odwrócić wyłącznie po stronie Radbonus — depseudonimizacja wymagałaby informacji zewnętrznych, których Radbonus nie posiada. Mimo to połączenie stałego identyfikatora z danymi trasy GPS należy traktować jako dane osobowe, ponieważ profile przemieszczania się mogą silnie identyfikować i teoretycznie mogłyby zostać powiązane z osobą fizyczną przy użyciu zewnętrznych źródeł danych (motyw 26 RODO). Dlatego Radbonus stosuje RODO w pełnym zakresie.

Klasyfikacja na gruncie §25 TTDSG (dostęp do urządzenia)

Przechowywanie Radbonus ID na urządzeniu końcowym jest bezwzględnie niezbędne w rozumieniu §25 ust. 2 pkt 2 TTDSG.Dane lokalizacyjne są zbierane przez wbudowane w system operacyjny uprawnienie do lokalizacji i są aktywnie udzielane przez użytkownika. Tokeny urządzenia do powiadomień push są przechowywane na podstawie wyraźnej zgody (§25(1) TTDSG w związku z …) Art. 6(1)(a) GDPR).

Ocena skutków dla ochrony danych (DPIA)

Ponieważ wersja GPS przechowuje dane lokalizacyjne po stronie serwera i łączy je z trwałym identyfikatorem, Radbonus GmbH przeprowadziła ocenę skutków dla ochrony danych zgodnie z Art. 35 GDPR. Kryteria uruchamiające: systematyczne przetwarzanie danych lokalizacyjnych (Art. 35(3)(a) w związku z pozytywną listą DSK).

Ryzyko	Prawdopodobieństwo	Waga	Zabezpieczenie	Ryzyko rezydualne
Ponowna identyfikacja przez Radbonus	Bardzo niskie — brak danych tożsamości, brak tabeli przypisania	Średnia — dane GPS mogą mocno identyfikować	Separacja architektoniczna: Radbonus nie zna ani tożsamości użytkowników, ani struktury firm.Brak danych konta, brak identyfikatorów urządzeń	Niskie
Ponowna identyfikacja przez partnera	Bardzo niskie — partnerzy dostają tylko zagregowane mapy cieplne geo-hash	Niskie — brak dostępu do pojedynczych tras	Nieodwracalne agregowanie do geo-hashy przed udostępnieniem.Minimalny poziom agregacji (≥50 przejazdów na komórkę geo-hash).	Brak danych zindywidualizowanych dla partnerów
Wnioskowanie przez współpracowników (ranking)	Niskie — widać tylko zaokrągloną łączną liczbę km, bez tras/godzin	Niskie — założeń nie da się potwierdzić	Minimalna liczba uczestników (15), zaokrąglanie km, opóźnione aktualizacje, walidacja nicku	Pomijalne
Zewnętrzny wyciek danych (wyciek danych GPS)	Niskie — serwery bare metal, ISO 27001, szyfrowane przechowywanie	Wysokie — dane GPS mogą umożliwić ponowną identyfikację	Szyfrowanie w spoczynku i w transmisji, testy penetracyjne (co kwartał), kontrola dostępu, zasada minimalnych uprawnień, automatyczne usuwanie po okresie retencji	Niskie
Łączenie danych GPS z zewnętrznymi źródłami	Niskie — brak wspólnego identyfikatora (brak e-maila, brak ID urządzenia, brak IP)	Średnie — teoretycznie możliwe przy regularnych trasach dojazdów	Brak danych konta, brak ID urządzeń, brak IP na poziomie aplikacji, brak API firm trzecich.))	Johannes Milczewski, privacy@radbonus.com, +49 221 177 32 99 - 0
Cele i podstawy prawne (ust. 1(c)/(d))	Świadczenie usługi, w tym podgląd trasy (art. 6 ust. 1 lit. b): dystanse, znaczniki czasu, dane śladu GPS, udział w Challenge.	Wykrywanie oszustw (art. 6(1)(f)): dane GPS, profile prędkości. Mapy cieplne geo-hash (art. 6(1)(f)): dane GPS, zagregowane. Zgoda (art. 6(1)(a)): powiadomienia push, nick
Prawnie uzasadniony interes (pkt 1(d))	Wykrywanie oszustw: dbanie o uczciwość i integralność systemu rywalizacji. Mapy cieplne geo-hash: planowanie infrastruktury i promowanie jazdy na rowerze. Optymalizacja aplikacji: naprawianie błędów
Odbiorcy (pkt 1(e))	Hetzner Online GmbH (infrastruktura, umowa powierzenia przetwarzania zgodnie z art. 28); Google/Firebase (powiadomienia push FCM, umowa powierzenia przetwarzania zgodnie z art. 28); Apple (dostarczanie APNs na iOS). Partnerzy dostają wyłącznie zagregowane mapy cieplne geo-hash i statystyki — bez indywidualnych tras, identyfikatorów ani danych użytkowników
Przekazywanie do państw trzecich (pkt 1(f))	FCM/APNs: SCC na podstawie art. 46(2)(c); EU-U.S. Data Privacy Framework na podstawie art. 45 (Google)
Okres przechowywania (pkt 2(a))	Dane śladu GPS: 12 miesięcy od zebrania, potem automatycznie usuwane. Dane o korzystaniu: przez czas aktywnego używania, maks. 24 miesiące braku aktywności.Tokeny urządzeń: do momentu cofnięcia. Geo-hashe (zagregowane): bezterminowo (niepowiązane z osobą).	Szczegóły znajdziesz w tabeli retencji
Prawa osoby, której dane dotyczą (ust. 2 lit. b/c/d)	Dostęp (art. 15), sprostowanie (art. 16), usunięcie (art. 17), ograniczenie przetwarzania (art. 18), przenoszenie danych (art. 20), sprzeciw wobec przetwarzania na podstawie prawnie uzasadnionego interesu (art. 21), wycofanie zgody (art. 7(3))
Prawo do wniesienia skargi (ust. 2 lit. d)	Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Niezbędność (ust. 2 lit. e)	Dane GPS są wymagane do podglądu trasy i Wykrywania oszustw. Powiadomienia push i pseudonim są opcjonalne
Zautomatyzowane podejmowanie decyzji (ust. 2 lit. f)	Wykrywanie oszustw: oparte na regułach kontrole wiarygodności, bez zautomatyzowanej decyzji wywołującej skutki prawne. Podejrzane przejazdy są sprawdzane ręcznie.	Walidacja nicku: brak zautomatyzowanego podejmowania decyzji na podstawie art. 22 (zob. sekcję Zbieranie danych)

Udostępnianie danych

Aplikacja Radbonus działa według ścisłej zasady suwerenności danych.

Bez udostępniania danych indywidualnych

Indywidualne ślady GPS, profile przejazdów, trasy ani żadne inne dane powiązane z użytkownikiem nigdy nie są udostępniane partnerom, innym użytkownikom ani podmiotom trzecim.

Heatmapy geo-hash dla partnerów

Partnerzy otrzymują zagregowane heatmapy oparte na geo-hashach. Pokazują one intensywność korzystania na odcinkach tras i umożliwiają analizy na potrzeby planowania infrastruktury rowerowej.Agregacja gwarantuje:

Minimalny poziom agregacji: komórki geohash trafiają na mapę cieplną dopiero wtedy, gdy w danej komórce zarejestrowano co najmniej 50 przejazdów. Komórki z mniejszym użyciem są ukrywane, żeby nie dało się wyciągać wniosków o pojedynczych trasach.
Brak znaczników czasu: mapy cieplne nie zawierają żadnych informacji o czasie — nie da się sprawdzić, kiedy dana trasa została przejechana.
Brak powiązania z użytkownikiem: dane mapy cieplnej nie zawierają żadnych identyfikatorów Radbonus, identyfikatorów reklamowych ani innych informacji powiązanych z użytkownikiem. Nie da się przypisać zagregowanych danych do pojedynczych przejazdów ani osób.
Nieodwracalna agregacja: agregacja geohash to proces jednokierunkowy — z zagregowanych zliczeń nie da się odtworzyć oryginalnych współrzędnych GPS.

Wyświetlanie identyfikatora w rankingach

Tak samo jak w wersji anonimowej: rankingi startują dopiero, gdy jest 15 aktywnych użytkowników, kilometry są zaokrąglane, aktualizacje mają opóźnienie, a nicki są weryfikowane przez lokalny LLM.Ani partnerzy, ani inni użytkownicy nie mogą zobaczyć tras, pojedynczych zdarzeń, znaczników czasu ani danych GPS.

Model dostępu (kto co widzi)

Użytkownik (we własnej aplikacji): Widzi swoje trasy na mapie, godziny startu i zakończenia, czas trwania przejazdu, pojedyncze zdarzenia oraz łączną liczbę kilometrów.
Inni użytkownicy (ranking): Widzą — dopiero gdy jest 15 aktywnych użytkowników — tylko identyfikator wyświetlany oraz zaokrągloną łączną liczbę kilometrów. Bez tras, bez godzin, bez danych GPS.
Partnerzy: Dostają zagregowane mapy cieplne geohash (od 50 przejazdów na komórkę) oraz zagregowane statystyki (łączna liczba kilometrów, liczba uczestników, wskaźniki ukończenia Challenge). Bez pojedynczych tras, bez identyfikatorów, bez znaczników czasu.
Radbonus (operacje/admin): Przetwarza dane, żeby świadczyć usługę oraz wykrywać oszustwa.Nie przechowuje żadnych danych identyfikacyjnych. Radbonus nie wie, kim są poszczególni użytkownicy, i nie zna wewnętrznych struktur firm partnerskich.

Macierz dostępu (szczegółowy przegląd):

Kategoria danych / poziom dostępu	Użytkownik (własna apka)	Inni użytkownicy (ranking)	Partner	Radbonus (Ops/Admin)	Hetzner (Infra)	Google (FCM)	Apple (APNs)
Dane identyfikacyjne (imię i nazwisko, e-mail, telefon)	Nie	Nie	Nie	Nie	Nie	Nie	Nie
Radbonus ID (pełne)	Tak	Nie	Nie	Tak	Nie	Nie	Nie
Identyfikator wyświetlany (nick/fragment ID)	Tak	Tak (od 15 uczestników)	Opcjonalnie (tylko publiczne rankingi)	Tak	Nie	Nie	Nie
Dane trasy GPS (pojedyncze trasy)	Tak	Nie	Nie	Tak (wykrywanie oszustw)	Nie	Nie	Nie
Mapy cieplne geo-hash (zagregowane)	Nie	Nie	Tak (od 50 przejazdów/komórkę)	Tak	Nie	Nie	Nie
Suma kilometrów (okres rywalizacji, zaokrąglone)	Tak	Tak (od 15 uczestników)	Tylko zagregowane	Tak	Nie	Nie	Nie
IndiW wierszu „Dane identyfikacyjne” wszędzie konsekwentnie widnieje „Nie”. Partnerzy dostają wyłącznie zagregowane mapy cieplne geo-hash — bez żadnych informacji, które pozwoliłyby powiązać dane z konkretnymi użytkownikami.

Rola partnerów w świetle przepisów o ochronie danych

Na potrzeby ochrony danych partnerzy nie są ani współadministratorami (art. 26 RODO), ani podmiotami przetwarzającymi (art. 28 RODO). Konfiguracja Partner World (Challenges, cele, wygląd) polega na kształtowaniu treści — a nie na decydowaniu o celach i sposobach przetwarzania danych.Brak adresów IP w logach (wyłączone X-Forwarded-For).

Zarządzanie kluczami: Wewnętrznie, przez wykwalifikowany personel, z restrykcyjnymi uprawnieniami dostępu i ustalonym harmonogramem rotacji.
Koncepcja ról i uprawnień: Zasada najmniejszych uprawnień, regularne przeglądy.
Testy penetracyjne: Co kwartał, wykonywane przez podmiot zewnętrzny.
Bezpieczny SDLC: Przeglądy kodu, SAST/DAST, procedura wydania przed wdrożeniem.
Kontrola dostępu do GPS: Dostęp do pojedynczych tras GPS jest ograniczony do systemu wykrywania nadużyć oraz upoważnionych administratorów.Rutynowy dostęp pracowników do danych GPS nie jest przewidywany i jest rejestrowany.

Działania w przypadku incydentów bezpieczeństwa

Obowiązek zgłoszenia: Jeśli dojdzie do naruszenia danych osobowych (w szczególności danych trasy GPS), zostanie przeprowadzona ocena i — w razie potrzeby — zgłoszenie do organu nadzorczego zgodnie z art. 33 RODO (termin 72 godzin), a użytkownicy, których to dotyczy, zostaną powiadomieni zgodnie z art. 34 RODO, jeśli występuje wysokie ryzyko.
Działania natychmiastowe: Odizolowanie dotkniętych systemów, unieważnienie przejętych tokenów, analiza śledcza.
Przejrzystość: Informacje o incydencie, jego zakresie oraz zastosowanych środkach zaradczych.

Prawa użytkowników

RODO ma pełne zastosowanie do wariantu GPS. Radbonus GmbH przyznaje użytkownikom wszystkie prawa osób, których dane dotyczą:

Uwierzytelnianie przy wykonywaniu praw

Ponieważ Radbonus nie przechowuje danych identyfikacyjnych, uwierzytelnianie odbywa się poprzez posiadanie Radbonus ID na urządzeniu końcowym. ID jest przechowywane lokalnie i nie może zostać podejrzane z zewnątrz.potwierdzenie.

Szyfrowana komunikacja i przechowywanie: SSL/TLS + szyfrowanie danych GPS w spoczynku.

Prywatność domyślnie

Minimalizacja danych: Zbieramy tylko dane potrzebne do działania funkcji.
GPS domyślnie wyłączony: Dostęp do lokalizacji musi zostać świadomie nadany przez użytkownika.
Zgoda (opt-in) na powiadomienia push i pseudonim.
Brak śledzenia i analityki przez podmioty trzecie.

Operacyjne zabezpieczenia dla małych Światów

Minimalna liczba uczestników (15) do wyświetlania rankingów.
Zaokrąglanie kilometrów w widoku rankingów.
Opóźnione aktualizacje rankingów (w określonych odstępach, nie w czasie rzeczywistym).
Brak widoczności tras dla osób trzecich: Ani partnerzy, ani inni użytkownicy nie widzą tras pojedynczych osób.
Minimalny poziom agregacji (50 przejazdów) dla map ciepła geo-hash.

Regularne przeglądy i aktualizacje

Wewnętrzne i zewnętrzne audyty bezpieczeństwa (m.in. Burp Suite, testy penetracyjne).
Sprawdzanie, na ile skuteczna jest pseudonimizacja: Regularne kontrole, aby upewnić się, że środki techniczne i organizacyjne nadal zapewniają efSkuteczna pseudonimizacja, z uwzględnieniem aktualnego rozwoju technologii oraz odpowiedniego orzecznictwa.
Przegląd DPIA: Ocena skutków dla ochrony danych (DPIA) jest aktualizowana zawsze, gdy zachodzą istotne zmiany w czynnościach przetwarzania (nowe źródła danych, zmieniona rozdzielczość geo-hash, nowe funkcje dla partnerów).
Ciągłe doskonalenie na podstawie wyników audytów i zmian w prawie.
Dokumentowanie i logowanie wszystkich zmian.

Szkolenia i świadomość

Regularne szkolenia z ochrony danych i bezpieczeństwa informacji dla wszystkich pracowników.
Szkolenia specjalistyczne dla pracowników mających dostęp do danych GPS oraz systemów wykrywania nadużyć.
Sesje onboardingowe dla nowych pracowników.
Działania zwiększające świadomość: regularne przypomnienia, warsztaty i materiały informacyjne.
Otwarta komunikacja i pętle informacji zwrotnej.

Postanowienia końcowe

Okres obowiązywania

Niniejsza koncepcja ochrony danych wchodzi w życie 02.01.2026 i obowiązuje do odwołania.Jest regularnie przeglądana i w razie potrzeby aktualizowana.

Jak o tym informujemy

Wewnętrznie: wszystkich pracowników – poprzez szkolenia i wewnętrzną komunikację.
Zewnętrznie: użytkowników i partnerów – na stronie internetowej oraz w Partner World.

Osoba kontaktowa

Jeśli masz pytania lub wątpliwości dotyczące tej koncepcji ochrony danych, skontaktuj się z Inspektorem Ochrony Danych (dane kontaktowe znajdziesz w sekcji „Inspektor Ochrony Danych”).