Polityka prywatności
Kto odpowiada za dane
Administratorem danych przetwarzanych na serwerze aplikacji (funkcja „Dom”) jest twórca aplikacji Animato — Thomas Development Masters. Kontakt we wszystkich sprawach dotyczących danych: dev.app.masters@gmail.com.
Zasada: dane zostają u Ciebie
Animato działa na Twoim urządzeniu. Profile, postęp nauki, ustawienia, nuty, rysunki i nagrania są zapisywane w pamięci urządzenia. Nie wyświetlamy reklam, nie używamy narzędzi analitycznych ani śledzących i nie sprzedajemy danych.
Co trafia poza urządzenie — tylko gdy włączysz daną funkcję
| Funkcja | Jakie dane | Dokąd |
|---|---|---|
| Konto Google i kopia na Dysku | Ustawienia, postęp, próby, nuty z „Moich nut”, rysunki; opcjonalnie nagrania. Do logowania: Twój e-mail, imię i zdjęcie profilowe Google. | Ukryty folder danych aplikacji na Twoim Dysku Google. My nie mamy do niego dostępu; aplikacja nie widzi innych plików na Twoim Dysku (uprawnienie drive.appdata). |
| Dom (rodzina) | E-mail, imię i awatar członków domu; skrót (nie sam) PIN-u opiekuna; profile dzieci w domu: imię, awatar, przedział wieku, postęp i ustawienia nauki; anonimowy identyfikator tabletu dziecka. | Serwer aplikacji: Google Firebase (Firestore, Authentication), centrum danych w Unii Europejskiej. |
| Udostępnianie nut (dom, użytkownik Animato po e-mailu, link/kod — tylko gdy wyślesz) | Kopia wybranych nut (plik, nazwa, oznaczenia), Twoje imię i e-mail jako nadawcy, opcjonalny dopisek; stan „przyjęte/odrzucone”. Do sprawdzenia „ma Animato?”: skrót SHA-256 e-maila odbiorcy (nie sam adres) — jeśli odbiorca ma włączone „Inni mogą mi wysyłać nuty” (domyślnie dla dorosłych z kontem Google; wyłączysz w Ustawieniach → Kopia i dane). Licznik wysyłek (limit 50 dziennie). | Serwer aplikacji (Firebase) — tymczasowo: treść znika po przyjęciu albo odrzuceniu, najpóźniej po 14 dniach (kod: 7 dni). Treść czyta tylko adresat (albo posiadacz kodu); nie jest szyfrowana end-to-end, więc technicznie ma do niej dostęp administrator projektu. „Na zewnątrz” (eksport) nie przechodzi przez nasz serwer. |
| Współdzielenie nut z innymi kontami (tylko gdy zaprosisz albo przyjmiesz zaproszenie) | Wspólny egzemplarz nut (plik, nazwa, oznaczenia), lista osób (imię, e-mail konta Google, prawo: edytuje/ogląda), autor i czas ostatniej zmiany, rysunki każdej osoby na jej warstwie. | Serwer aplikacji (Firebase) — dopóki trwa współdzielenie; po zakończeniu treść i rysunki są usuwane, każdy zostaje z kopią na swoim urządzeniu. Widzą je tylko osoby współdzielące. |
| Pokój „Uczę” — nauczyciel i uczeń (tylko gdy nauczyciel doda ucznia, a uczeń lub opiekun dołączy kodem) | U nauczyciela: imię ucznia z karty, etykieta miejsca, stałe terminy lekcji, zadania (utwór, takty, cel, termin), nuty do zadań (kopia trafia do biblioteki ucznia) i notatki z lekcji (prywatne albo „dla ucznia”). Rozmowa w zapisie: wiadomości, nagrania grania wysłane świadomie przez ucznia (nigdy inne) i uwagi nauczyciela do nich. Po stronie ucznia — tylko to, co uczeń albo opiekun udostępni: wykonanie zadań (zawsze), czas i dni ćwiczenia oraz postępy w aplikacji (tylko za zgodą, do cofnięcia). Kod dołączenia (jednorazowy, 14 dni). Uczeń bez konta rodzica (prowadzony przez nauczyciela): zgoda rodzica zebrana przez nauczyciela (jak: na piśmie, ustnie albo wiadomością; czy widzi czas ćwiczenia i postępy; kiedy), kod ucznia (jednorazowy, 14 dni) i anonimowy identyfikator połączonego urządzenia z jego nazwą (np. model telefonu); takie urządzenie nie ma rozmowy — wysyła nauczycielowi tylko wybrane nagrania. Zaproszenie przez konto Animato (gdy nauczyciel wpisze e-mail rodzica albo ucznia, który ma konto): identyfikator konta adresata, skrót (SHA-256) jego adresu e-mail, opcjonalne imię profilu i dom adresata — widzą je adresat i opiekunowie w jego domu; nauczyciel widzi tylko stan („czeka”, „odrzucono”), nie profile konta; adresat może zaproszenie odrzucić albo zablokować nauczyciela. Zgłoszenie nauczyciela („Zgłoś”): powód, opcjonalny opis i fragment wskazany przez zgłaszającego — widzi je tylko zespół Animato, nauczyciel nie wie, kto zgłosił; przy blokadzie zostaje ślad bez treści. Administrator może ostrzec nauczyciela albo zawiesić jego pokój „Uczę”; do tego widzi dzienne zestawienie liczb (bez imion uczniów, notatek, nagrań i rozmów). | Serwer aplikacji (Firebase, UE). Widzą je nauczyciel i strona ucznia (uczeń, jego opiekunowie, tablet dziecka). Nauczyciel jest administratorem danych swoich uczniów (regulamin „Uczę”), Animato przechowuje je w jego imieniu. Cofnięcie udostępnienia usuwa wysłane tygodnie; nagrania ucznia nauczyciel odsłuchuje tylko w trwającym zapisie; po zakończeniu nauki historia zapisu jest usuwana po 12 miesiącach. |
| Agenci AI — „Moje urządzenia” (tylko po włączeniu) | Klucze API i ustawienia Twoich agentów AI. | Ukryty folder danych aplikacji na Twoim Dysku Google — jak kopia profilu. My nie mamy do niego dostępu. |
| Agenci AI — udostępnienie domowi (tylko właściciel domu, po włączeniu) | Klucze API Twoich agentów AI, zaszyfrowane end-to-end na Twoim urządzeniu; klucze publiczne urządzeń domu. | Serwer aplikacji (Firebase) przechowuje wyłącznie szyfrogram — ani my, ani Google nie możemy odczytać kluczy. Odszyfrować je mogą tylko urządzenia Twojego domu. |
| Szkoła w Animato (tylko gdy nauczyciel albo sekretariat założy szkołę albo dołączy do jej kadry) | Dane szkoły: nazwa, miejscowość, NIP, e-mail sekretariatu, kontakt inspektora ochrony danych, kto, w jakiej funkcji i kiedy odnotował podpis umowy powierzenia, okres przechowywania, stan licencji. Kadra: imię i e-mail konta Google osób w kadrze, rola (właściciel, administrator, nauczyciel). Zapisy szkolne: nagłówek zapisu (imię ucznia z karty, klasa, nauczyciel, terminy, stan, potwierdzenie szkoły). Uczeń szkoły bez konta rodziny: imię, klasa i zgoda rodzica zapisana przez szkołę (jak ją zebrano, na co, kto i kiedy zapisał), połączone urządzenie ucznia (nazwa urządzenia); rodzic z kontem może przenieść profil do rodziny kodem z karty — wtedy profil szkoły, kody i połączenie urządzenia są usuwane. Import z e-dziennika (plik CSV) jest czytany na urządzeniu administratora szkoły: do zapisów trafiają imię i nazwisko, klasa i nauczyciel; e-mail rodzica z pliku służy tylko do jednorazowego zaproszenia i nie jest zapisywany. Prywatny zapis przechodzi do szkoły tylko za zgodą ucznia albo opiekuna (ekran „Co zobaczy”). | Serwer aplikacji (Firebase, UE). Kadra zarządzająca szkoły widzi tylko nagłówki zapisów szkolnych — nie zadania, czas ćwiczenia, notatki, nagrania ani rozmowy. Administratorem danych uczniów w zapisach szkolnych jest szkoła; Animato przetwarza je w jej imieniu na podstawie umowy powierzenia. Zespół Animato widzi dane szkoły, kadrę i same liczby zapisów (bez imion uczniów). Po zakończeniu zapisu historia znika po okresie z umowy (domyślnie 12 miesięcy). |
| Funkcje AI (nauczyciel, rozpoznawanie nut ze zdjęć, aranżacje) | Treść zapytania: np. opis Twojej gry, zdjęcie nut, fragment utworu; przy rozmowie głosowej — dźwięk z mikrofonu. | Bezpośrednio z urządzenia do dostawcy AI wybranego przez Ciebie (Anthropic lub OpenAI), na Twoim własnym kluczu API i na zasadach tego dostawcy. Animato nie pośredniczy i nie przechowuje tych danych. |
| E-maile od Animato (tylko gdy ktoś wyśle zaproszenie e-mailem albo dotyczą Twojego konta) | Adres e-mail odbiorcy wpisany przez nauczyciela (zaproszenie do nauki), z importu szkoły (zaproszenie rodzica) albo zapisany w zaproszeniu do rodziny, imię nadawcy, kod i link zaproszenia, język wiadomości. E-maile o koncie (historia nauki zniknie za 30 dni, potwierdzenie usunięcia konta) — na adres konta. Bez treści nauki, notatek, nagrań i rozmów; bez pikseli śledzących. | Funkcja Animato w chmurze (Firebase, UE) przekazuje wiadomość do dostawcy poczty Mailjet (UE, podmiot przetwarzający). Adres odbiorcy jest usuwany zaraz po wysyłce; przez 30 dni zostaje tylko jego skrót SHA-256, rodzaj i stan wysyłki (limity, nadużycia). „Nie chcę wiadomości z Animato” w każdym zaproszeniu dopisuje skrót adresu do listy blokady — kolejnych e-maili nie wyślemy. |
| AI od Animato (tylko gdy Animato udostępni AI Twojemu kontu, rodzinie, nauczycielowi albo szkole i nie masz własnego agenta) | Treść zapytania jak wyżej oraz identyfikator konta (sesji). Zapisujemy wyłącznie liczby: tokeny, koszt i liczbę zapytań w miesiącu — na osobę i rodzaj funkcji (do limitów i rozliczeń). | Zapytanie przechodzi przez funkcję Animato w chmurze (Firebase, UE), która dokleja klucz Animato i przekazuje je do dostawcy AI (Anthropic lub OpenAI) na jego zasadach. Treści zapytań i odpowiedzi nie przechowujemy. Liczniki zużycia widzi tylko administrator Animato. |
Mikrofon i kamera działają wyłącznie po Twojej zgodzie. Dźwięk do oceny gry analizowany jest na urządzeniu. Brzmienia instrumentów i darmowe nuty z katalogu są pobierane z publicznych serwerów bez przesyłania danych osobowych.
Cel i podstawa przetwarzania
Dane w funkcji „Dom” przetwarzamy wyłącznie po to, aby opiekunowie mogli wspólnie prowadzić profile dzieci i aby tablet dziecka otrzymywał jego postęp (wykonanie usługi, o którą prosisz — art. 6 ust. 1 lit. b RODO). Dane dzieci poniżej 16 lat trafiają na serwer tylko wtedy, gdy opiekun doda profil dziecka do domu (zgoda opiekuna — art. 8 RODO).
Jak długo
Dane na serwerze przechowujemy, dopóki istnieje dom. Usunięcie domu przez głównego opiekuna usuwa wszystkie jego dane z serwera; usunięcie profilu dziecka z domu usuwa jego kopię. Kod zaproszenia wygasa po 7 dniach, kod tabletu po 15 minutach. Dane na urządzeniu i na Twoim Dysku usuwasz sam (Ustawienia → Kopia i dane).
Kto jeszcze ma dostęp
Członkowie domu widzą się nawzajem (imię, e-mail); opiekunowie widzą profile dzieci w domu; tablet dziecka widzi tylko profil swojego dziecka i listę opiekunów. Google działa jako podmiot przetwarzający dane na nasze zlecenie (Firebase). Nie przekazujemy danych nikomu innemu.
Twoje prawa
Masz prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przeniesienia i sprzeciwu, a także prawo skargi do Prezesa Urzędu Ochrony Danych Osobowych. Napisz na dev.app.masters@gmail.com — odpowiemy w ciągu 30 dni. Eksport profilu do pliku jest dostępny w aplikacji (Ustawienia → Kopia i dane).
Dzieci
Profil dziecka zakłada i prowadzi opiekun. Dziecko nie potrzebuje konta Google. Ustawienia wrażliwe (AI, kopie, usuwanie) są dostępne tylko po odblokowaniu przez opiekuna.
Zmiany
O istotnych zmianach tej polityki poinformujemy w aplikacji. Aktualna wersja jest zawsze pod tym adresem.
Privacy policy
Who is responsible
The controller of data processed on the app's server (the “Household” feature) is the developer of Animato — Thomas Development Masters. Contact for any data matter: dev.app.masters@gmail.com.
Principle: your data stays with you
Animato runs on your device. Profiles, learning progress, settings, scores, drawings and recordings are stored on the device. We show no ads, use no analytics or tracking tools and never sell data.
What leaves the device — only when you turn a feature on
| Feature | Data | Where |
|---|---|---|
| Google account & Drive backup | Settings, progress, attempts, “My scores”, drawings; optionally recordings. For sign-in: your Google email, name and profile picture. | The hidden app-data folder on your Google Drive. We have no access to it; the app cannot see any other files on your Drive (drive.appdata scope). |
| Household (family) | Members' email, name and avatar; a hash (not the PIN itself) of a guardian's PIN; children's profiles in the household: name, avatar, age range, learning progress and settings; an anonymous ID of the child's tablet. | The app's server: Google Firebase (Firestore, Authentication), data centre in the European Union. |
| Sharing music (household, an Animato user by email, link/code — only when you send) | A copy of the chosen music (file, name, tags), your name and email as the sender, an optional note; the “accepted/declined” status. For the “has Animato?” check: a SHA-256 hash of the recipient's email (not the address itself) — if the recipient has “Others can send me music” turned on (default for adults with a Google account; turn it off in Settings → Backup & data). A send counter (limit 50 per day). | The app server (Firebase) — temporarily: the content is deleted once accepted or declined, at the latest after 14 days (code: 7 days). Only the recipient (or the code holder) can read it; it is not end-to-end encrypted, so the project administrator technically has access. “Outside the app” (export) does not go through our server. |
| Co-sharing music with other accounts (only when you invite or accept) | The shared copy of the music (file, name, tags), the list of people (name, Google account email, permission: edit/view), who changed it last and when, each person's drawings on their own layer. | The app server (Firebase) — while the co-sharing lasts; when it ends, the content and drawings are deleted and everyone keeps a copy on their device. Only the co-sharing people can see them. |
| Teaching room — teacher and student (only when a teacher adds a student and the student or guardian joins with a code) | On the teacher's side: the student's name from the card, a place label, regular lesson times, tasks (piece, bars, goal, due date), music for tasks (a copy goes to the student's library) and lesson notes (private or “for the student”). The enrollment conversation: messages, playing recordings the student chooses to send (never any others) and the teacher's feedback on them. From the student's side — only what the student or guardian shares: task completion (always), practice time and days and in-app progress (only with consent, which can be withdrawn). A join code (single use, 14 days). | The app server (Firebase, EU). Visible to the teacher and the student's side (the student, their guardians, the child's tablet). The teacher is the controller of their students' data (Teaching room terms); Animato stores it on their behalf. Withdrawing sharing deletes the weeks already sent; the teacher can play the student's recordings only while the enrollment lasts; after lessons end the enrollment history is deleted after 12 months. |
| A school in Animato (only when a teacher or school office sets up a school or joins its staff) | School details: name, town, tax ID, office e-mail, the data protection officer's contact, who recorded the data processing agreement signature, in what position and when, the retention period, the licence status. Staff: name and Google account e-mail of staff members, role (owner, administrator, teacher). School enrolments: the enrolment header (the student's name from the card, class, teacher, lesson times, status, school confirmation). A school student without a family account: name, class and the parent's consent recorded by the school (how it was collected, for what, who recorded it and when), the student's connected device (device name); a parent with an account can move the profile to their family with the code from the card — the school profile, codes and the device connection are then deleted. An import from the school register (CSV file) is read on the school administrator's device: only the name, class and teacher go into enrolments; a parent's e-mail from the file is used only for a one-time invitation and is not stored. A private enrolment moves to a school only with the student's or guardian's consent (the “What they'll see” screen). | The app server (Firebase, EU). The school's managing staff see only the headers of school enrolments — not tasks, practice time, notes, recordings or conversations. The school is the controller of students' data in school enrolments; Animato processes it on the school's behalf under a data processing agreement. The Animato team sees school details, staff and enrolment counts only (no student names). After an enrolment ends, its history is deleted after the period set in the agreement (12 months by default). |
| AI agents — “My devices” (only when turned on) | API keys and settings of your AI agents. | The hidden app-data folder on your Google Drive — like the profile backup. We have no access to it. |
| AI agents — shared with the household (household owner only, when turned on) | API keys of your AI agents, end-to-end encrypted on your device; public keys of the household’s devices. | The app server (Firebase) stores ciphertext only — neither we nor Google can read the keys. Only your household’s devices can decrypt them. |
| AI features (teacher, score recognition from photos, arrangements) | The request content, e.g. a description of your playing, a photo of a score, a piece excerpt; for voice chat — microphone audio. | Directly from your device to the AI provider you chose (Anthropic or OpenAI), using your own API key and under that provider's terms. Animato does not relay or store this data. |
| E-mails from Animato (only when someone sends an invitation by e-mail, or about your account) | The recipient's e-mail address entered by a teacher (lesson invitation), taken from a school import (parent invitation) or stored in a family invitation, the sender's name, the invitation code and link, the message language. Account e-mails (learning history to be deleted in 30 days, account deletion confirmation) go to the account's address. No learning content, notes, recordings or conversations; no tracking pixels. | An Animato cloud function (Firebase, EU) passes the message to the e-mail provider Mailjet (EU, processor). The recipient's address is removed right after sending; for 30 days only its SHA-256 hash, the kind and the delivery state are kept (limits, abuse). “I don't want messages from Animato” in every invitation adds the address hash to a block list — we will not send further e-mails. |
| AI from Animato (only when Animato provides AI to your account, family, teacher or school and you have no agent of your own) | The request content as above and your account (session) identifier. We store numbers only: tokens, cost and request count per month — per person and feature type (for limits and billing). | The request goes through an Animato cloud function (Firebase, EU), which adds Animato's key and passes it to the AI provider (Anthropic or OpenAI) under its terms. We do not store request or answer content. Usage counters are visible only to Animato's administrator. |
The microphone and camera are used only with your permission. Audio for grading your playing is analysed on the device. Instrument sounds and free catalogue scores are downloaded from public servers without sending personal data.
Purpose and legal basis
Household data is processed only so that guardians can manage children's profiles together and the child's tablet receives the child's progress (performance of the service you request — Art. 6(1)(b) GDPR). Data of children under 16 reaches the server only when a guardian adds the child's profile to the household (parental consent — Art. 8 GDPR).
Retention
Server data is kept while the household exists. Deleting the household removes all of its data from the server; removing a child's profile from the household deletes its copy. Invitation codes expire after 7 days, tablet codes after 15 minutes. You delete data on your device and your Drive yourself (Settings → Backup & data).
Who else has access
Household members see each other (name, email); guardians see the children's profiles in the household; a child's tablet sees only its child's profile and the list of guardians. Google acts as our processor (Firebase). We share data with no one else.
Your rights
You have the right to access, rectify, erase, restrict, port and object to the processing of your data, and to lodge a complaint with a supervisory authority. Write to dev.app.masters@gmail.com — we reply within 30 days. Profile export to a file is available in the app (Settings → Backup & data).
Children
A child's profile is created and managed by a guardian. The child needs no Google account. Sensitive settings (AI, backups, deletion) are available only after a guardian unlocks them.
Changes
We will announce material changes in the app. The current version is always available at this address.