Polityka prywatności WWWveilig Authenticator

Ostatnia aktualizacja: 3 listopada 2026

To jest tłumaczenie niderlandzkiej polityki prywatności. W razie rozbieżności obowiązuje wersja niderlandzka.

Kto odpowiada za dane

Aplikacja i API pod adresem api.wwwveilig.nl to usługa WWWveilig, która jest częścią firmy EVweb BV. Za przetwarzanie danych osobowych przez aplikację i API odpowiada EVweb BV jako administrator danych.

EVweb BV / Centerdesk / WWWveilig
Bijlestaal 44M
1721 PW Broek op Langedijk
Holandia

Masz pytania dotyczące tej polityki lub swoich danych? Napisz na adres privacy@wwwveilig.nl.

Co zostaje wyłącznie na twoim telefonie

Tajne klucze, na podstawie których obliczane są twoje sześciocyfrowe kody. Są przechowywane w bezpiecznym magazynie systemu operacyjnego (iOS Keychain, Android Keystore) i używane wyłącznie na urządzeniu. Generowanie kodu odbywa się offline i niczego nie wysyła.
Adres API, do którego należą twoje konta.

Aplikacja nie ma własnego konta. Nie ma nazwy użytkownika, hasła ani rejestracji.

Co przechowuje API

Gdy system połączy twój telefon jako drugi składnik logowania, usługa zapisuje:

Identyfikator użytkownika z tego systemu: aby wiedzieć, do którego z jego użytkowników należy ten telefon. To własny identyfikator tego systemu, a nie twoje imię i nazwisko.
Opcjonalną etykietę (często twój adres e-mail): dzięki niej odróżnisz swoje konta w aplikacji. Dostarcza ją system, a nie my.
Zaszyfrowaną kopię tajnego klucza: aby sprawdzać wpisywane przez ciebie kody. Przechowywana w postaci zaszyfrowanej.
Nazwę, platformę i wersję aplikacji twojego urządzenia: dzięki temu rozpoznasz swój telefon, a my możemy zapewnić wsparcie.
Token powiadomień push: aby dostarczać prośby o zatwierdzenie na twój telefon.
Dla każdej prośby o logowanie: czas, status, adres IP i ewentualny opis lokalizacji przekazany przez system: aby pokazać ci, skąd pochodzi prośba, oraz jako zapis bezpieczeństwa.

Prowadzimy dziennik bezpieczeństwa ze zdarzeniami takimi jak „kod zweryfikowany”, „prośba zatwierdzona” i „połączenie cofnięte”, wraz z adresem IP, którego dotyczą. Wpisy w dzienniku bezpieczeństwa są automatycznie usuwane po 180 dniach.

Żądania adresów, które nie istnieją

Gdy do usługi trafi żądanie adresu, którego ona nie ma, odpowiadamy krótką stroną „niedozwolone” i zapisujemy to żądanie: adres IP, z którego faktycznie pochodziło, identyfikator przeglądarki lub programu, żądany adres oraz czas. W ten sposób zauważamy skanowanie i powtarzające się próby sondowania usługi; jest to nasz prawnie uzasadniony interes w zapewnieniu jej bezpieczeństwa (art. 6 ust. 1 lit. f RODO). Te zapisy dotyczą żądania, a nie konta: nie próbujemy ustalić, kto je wysłał, i nie łączymy ich z innymi danymi. Są automatycznie usuwane po 90 dniach.

Logowanie demo dla weryfikatorów aplikacji

Na pierwszym ekranie telefonu bez kont widnieje Konto demo (weryfikacja aplikacji). Ta opcja jest przeznaczona dla weryfikatorów Google Play i App Store. To, co tam wpiszesz (adres e-mail i hasło), trafia do naszej strony demonstracyjnej m.centerdesk.nl, która akceptuje wyłącznie własne konta do weryfikacji i łączy z jednym z nich telefon. Zwykli użytkownicy nie potrzebują tego ekranu.

Czego nie robimy

Nie sprzedajemy ani nie wynajmujemy twoich danych.
Nie używamy reklam, śledzenia ani narzędzi analitycznych.
Nie tworzymy twojego profilu i nie podejmujemy wobec ciebie zautomatyzowanych decyzji.
Nie pytamy o twoje imię i nazwisko, adres, numer telefonu ani datę urodzenia.
Nie mamy dostępu do kont, które chronisz: tylko system, do którego się logujesz, wie, kim jesteś.

Kto jeszcze bierze w tym udział

Powiadomienia push są dostarczane przez usługę producenta systemu operacyjnego: Apple Push Notification service na iOS i Firebase Cloud Messaging na Androidzie, a tam, gdzie zostało to skonfigurowane, także przez przekaźnik push Expo. Usługi te otrzymują token powiadomień i treść powiadomienia, aby móc je dostarczyć. Poza tym niczego nie udostępniamy podmiotom trzecim.

Usługa działa na serwerach w Unii Europejskiej.

Jak długo przechowujemy dane

Dane połączenia: do czasu usunięcia konta z aplikacji lub wyłączenia twojego uwierzytelniania dwuskładnikowego przez administratora systemu.
Prośby o logowanie: wygasają w ciągu kilku minut; zapis pozostaje częścią dziennika bezpieczeństwa.
Dziennik bezpieczeństwa: 180 dni, potem automatyczne usunięcie.
Żądania nieistniejących adresów: 90 dni, potem automatyczne usunięcie.

Twoje prawa

Na podstawie RODO możesz zażądać dostępu do swoich danych, ich sprostowania lub usunięcia, a także wnieść sprzeciw wobec ich przetwarzania. Usługa zna cię wyłącznie przez identyfikator z systemu, do którego się logujesz, więc zwykle najszybciej jest skorzystać z ustawień konta w tym systemie.

Zawsze możesz samodzielnie usunąć dane:

Usunięcie jednego konta: w aplikacji Ustawienia → dane konto → Usuń. Spowoduje to skasowanie tajnego klucza i odłączenie telefonu.
Usunięcie wszystkiego: Ustawienia → Zresetuj ten telefon.
Pełne żądanie usunięcia danych: zobacz Usuwanie danych lub napisz na adres privacy@wwwveilig.nl.

Masz też prawo złożyć skargę do holenderskiego organu ochrony danych osobowych (Autoriteit Persoonsgegevens).

Bezpieczeństwo

Tajne klucze są przechowywane w postaci zaszyfrowanej. Każdego sześciocyfrowego kodu można użyć tylko raz. Prośby o zatwierdzenie wygasają w ciągu kilku minut i są przypisane do jednego urządzenia. Cały ruch jest szyfrowany za pomocą TLS.

Zmiany

Jeśli ta polityka zmieni się w istotny sposób, zaktualizujemy datę u góry strony, a jeśli będzie cię to dotyczyć, poinformujemy o tym w aplikacji.