1. Administrator danych

Administratorem danych osobowych jest Mateusz Urbas, który prowadzi Pantag. W każdej sprawie dotyczącej danych napisz na support@pantag.pl. Odpowiadamy najpóźniej w ciągu miesiąca.

2. Dane zapisane na tagu

Na tagu (PanTagu albo Twoim własnym tagu jako AnyTag) zapisujesz kategorię przedmiotu, imię lub nazwę, numer telefonu, wiadomość dla znalazcy i, przy niektórych kategoriach, dodatkowe pola (np. nagrodę za zwrot, drugi kontakt, a przy zwierzęciu weterynarza, numer mikroczipa, szczepienie i leki). AnyTag Lite mieści sam numer telefonu. Sam decydujesz, co wpiszesz.

Te dane są publiczne: każdy, kto przyłoży telefon do tagu, zobaczy je na stronie pantag.pl. Nie są szyfrowane, bo ich celem jest właśnie kontakt znalazcy z Tobą. Nie wpisuj tam niczego, czego nie chcesz pokazać obcej osobie.

Dane siedzą w adresie zapisanym na tagu, w części po znaku „#”. Przeglądarka nigdy nie wysyła tej części do serwera: stronę z danymi składa telefon znalazcy. My tych danych nie widzimy i nie przechowujemy. Zapis na tagu chroni Twój PIN. Dane usuniesz w aplikacji: przyłóż tag, podaj PIN i wybierz przywrócenie ustawień fabrycznych albo dezaktywację.

3. PIN

Sześciocyfrowy PIN wybierasz sam. Aplikacja wylicza z niego hasło zapisane w chipie tagu. Sam PIN nigdy nie trafia na nasz serwer ani do żadnej usługi zewnętrznej.

Jeśli jesteś zalogowany i sam to wybierzesz („Zapamiętaj PIN”), aplikacja trzyma PIN tego tagu w bezpiecznym magazynie telefonu (Pęk kluczy w iOS, Keystore w Androidzie), tylko na tym urządzeniu i tylko dla Twojego konta. Pokazuje go dopiero po Face ID, odcisku palca albo kodzie telefonu. Znika po wylogowaniu, usunięciu konta, wybraniu „Zapomnij PIN”, resecie albo dezaktywacji tagu.

4. Sprawdzanie tagu i licznik skanów

Gdy ktoś otwiera stronę tagu, strona wysyła do naszego serwera numer tagu, a gdy na tagu są dane, także losowy identyfikator ostatniego zapisu. Ten identyfikator nie powstaje z Twoich danych i nie jest pokazywany na stronie. Służy do tego, żeby stara kopia tagu przestała działać po nowym zapisie. Przycisk „Skanuj” w aplikacji wysyła dodatkowo numer seryjny chipu, żeby rozpoznać skopiowany tag.

Przy każdym takim sprawdzeniu przez stronę zwiększamy licznik skanów tego tagu: samą liczbę, bez daty, miejsca i urządzenia. Właściciel widzi ją przy swoim tagu, a aplikacja pokazuje sumę dla wszystkich tagów. Nie zapisujemy, kto i kiedy zeskanował tag.

W rejestrze tagów trzymamy dla każdego tagu: numer, numer seryjny i model chipu, rodzaj (PanTag, AnyTag, AnyTag Lite), stan, daty, identyfikator zakupu w App Store albo Google Play, losowy identyfikator ostatniego zapisu i konto, do którego tag należy.

5. Zgubiony tag

Tag na koncie możesz oznaczyć jako zgubiony. Dopóki jest tak oznaczony i ktoś otworzy jego stronę z Twoimi danymi (najwyżej raz na minutę):

• wysyłamy powiadomienie na telefony Twojego konta, które mają włączone powiadomienia (z nazwą tagu na koncie);
• zapisujemy czas i przybliżone miejsce skanu: miasto, kraj i punkt zaokrąglony do około kilometra. Miejsce odczytuje Cloudflare z adresu IP osoby, która otworzyła stronę. Gdy ten adres należy do sieci operatora komórkowego (poznajemy to po numerze sieci, który dalej nie trafia), zapisujemy tylko czas, kraj i to, że była to taka sieć, bo jej adres nie mówi, gdzie był telefon. Do naszej bazy nie trafia ani adres IP, ani nic o urządzeniu tej osoby, a przy skanie nikogo nie pytamy o lokalizację w telefonie.
• gdy znalazca sam wyśle Ci swoje miejsce przyciskiem „Pinezka” (SMS-em, przez WhatsApp albo „Udostępnij”), zapisujemy też je: czas, punkt podany przez jego telefon (zaokrąglony do około metra, tak jak w wiadomości) i dokładność, którą podał telefon. W aplikacji ta pinezka jest oznaczona jako zweryfikowana.

Trzymamy najwyżej 20 ostatnich skanów i pinezek. Widzi je tylko konto, na którym jest tag. Usuwamy je wszystkie, gdy tag przestaje być zgubiony (znalazł się, został dezaktywowany albo odłączony od konta). Znalazca widzi stronę tak jak zawsze i nie dowiaduje się, że tag jest oznaczony jako zgubiony.

6. Konto

Skanowanie i sprawdzenie PIN-u działają bez konta. Konto jest potrzebne, żeby kupić albo aktywować tag, zapisać dane dla znalazcy i zamówić PanTaga. Logujesz się adresem e-mail: wysyłamy na niego jednorazowy kod, bez hasła.

Na koncie zapisujemy:

• adres e-mail, datę założenia konta i ostatniego logowania, sesje logowania;
• tagi na koncie i nazwy, które im nadasz (np. „Klucze”). Nazwa nie trafia na tag i znalazca jej nie widzi;
• znane języki (najwyżej trzy), które strona tagu pokazuje znalazcy jako flagi;
• Pantag PLUS: plan, daty okresu i wolne miejsca na tagi;
• odznaki i nagrody za odznaki, przyznawane przez serwer na podstawie Twoich tagów i zakupów;
• zamówienia PanTagów (opisane w punkcie 8).

System logowania zapisuje też dane techniczne logowań (adres IP, czas), żeby chronić konta przed nadużyciami.

„Usuń konto” w aplikacji kasuje adres e-mail, sesje, znane języki, nazwy tagów, odznaki i powiązanie tagów z kontem. Tagi działają dalej z danymi, które są na chipie. Zamówienia i zgłoszenia zostają, już bez konta, bo wymagają ich przepisy podatkowe albo dotyczą zmian w Pantagu.

7. Zakupy w App Store i Google Play

AnyTag, AnyTag Lite i Pantag PLUS kupujesz w sklepie z aplikacjami: na iPhonie płatność obsługuje Apple, na Androidzie Google. Do sklepu przekazujemy identyfikator Twojego konta Pantag, żeby zakup trafił na właściwe konto. Nie widzimy numeru karty ani Twojego konta w sklepie.

Serwer sprawdza podpisany paragon Apple albo pyta Google, czy zakup jest opłacony, i zapisuje identyfikator transakcji przy numerze tagu. Sklepy same informują nas o odnowieniu, wygaśnięciu i zwrocie. Po zakupie wysyłamy na e-mail konta potwierdzenie z numerem tagu, numerem chipu i kwotą z paragonu.

8. Sklep z PanTagami (Stripe i InPost)

Fizyczne PanTagi zamawiasz w aplikacji albo na stronie. Imię i nazwisko, telefon komórkowy, adres, wybrany paczkomat, opcjonalny e-mail i dane firmy (nazwa, NIP) wpisujesz w aplikacji, która przekazuje je tylko do Stripe, razem z płatnością. Danych karty nie widzimy: wpisujesz je w okienku Stripe. Danych dostawy używamy tylko do wysłania paczki i wystawienia dokumentu sprzedaży.

PanTagi zamówisz też na stronie pantag.pl/sklep. Koszyk (rodzaje i liczba tagów) zostaje w pamięci Twojej przeglądarki, a sesja logowania tylko do zamknięcia karty. Imię i nazwisko, adres, kod paczkomatu, dane firmy i dane karty wpisujesz na stronie płatności Stripe (checkout.stripe.com), nie u nas.

W naszej bazie zostaje samo zamówienie: konto, rodzaje i liczba tagów, sposób dostawy, kwoty, rabat, identyfikatory płatności w Stripe, stan zamówienia i daty (opłacenia, wysyłki, doręczenia, zwrotu).

Paczkomat wybierasz z publicznej wyszukiwarki InPost. Aplikacja wysyła tam tylko to, co wpiszesz (kod pocztowy, miasto, kod paczkomatu) albo, po dotknięciu „Najbliżej mnie” i Twojej zgodzie, położenie telefonu zaokrąglone do około 100 m. Lokalizacji nie zapisujemy i nie wysyłamy nigdzie indziej.

9. Powiadomienia

Powiadomienia są wyłączone, dopóki nie włączysz ich w Ustawieniach. Wtedy aplikacja wysyła na nasz serwer token powiadomień tego telefonu (od Expo), system (iOS albo Android), to, czy powiadomienia są włączone, i, jeśli jesteś zalogowany, identyfikator konta. Po wyłączeniu przełącznika nic na ten telefon nie wysyłamy.

Wysyłamy powiadomienia o:

• skanie Twojego zgubionego tagu;
• zmianie statusu Twojego zgłoszenia (możesz to wyłączyć przy zgłoszeniu);
• wiadomościach od zespołu Pantag, np. o nowościach w aplikacji albo w sklepie. Każdą zapisujemy (tytuł, treść, komu wysłano, liczba telefonów).

10. Zgłoszenia i propozycje

W aplikacji (Ustawienia → „Zgłoś pomysł”) wysyłasz pomysł albo opis błędu i opcjonalnie jedno zdjęcie. Zapisujemy rodzaj, tekst, system i wersję aplikacji, a gdy jesteś zalogowany, także konto. Zdjęcie aplikacja zmniejsza i zapisuje bez metadanych (bez miejsca i daty), w prywatnym magazynie, który czyta tylko zespół Pantag. Usuwamy je, gdy zgłoszenie zostanie zamknięte. Bez logowania telefon zapamiętuje tajny numer zgłoszenia, żebyś mógł śledzić jego status.

Propozycje pól („Brakuje pola?” w aplikacji i na stronie tagu) zapisujemy jako pomysł: kategorię i tekst, nic z tagu ani z konta. W zgłoszeniach i propozycjach nie wpisuj danych osobowych.

Formularz na stronie Pantag dla firm wysyła nazwę firmy, imię i nazwisko, e-mail, opcjonalnie telefon, zastosowanie, przybliżoną liczbę tagów i wiadomość. Zapisujemy je w naszej bazie, żeby odpowiedzieć i przygotować ofertę; widzi je tylko zespół Pantag w panelu. Usuwamy je, gdy rozmowy się skończą albo gdy o to poprosisz.

11. Co zostaje w Twoim telefonie

Aplikacja nie przechowuje danych z tagów ani listy tagów. W pamięci telefonu trzyma tylko:

• zaszyfrowaną sesję logowania (usuwa ją wylogowanie);
• PIN-y, które sam zapamiętasz (punkt 3);
• koszyk i, jeśli zaznaczysz „Zapamiętaj na tym telefonie”, do pięciu odbiorców zamówień z ich paczkomatem;
• wybrany motyw, język, zapisane kategorie i ilustracje, numery zgłoszeń wysłanych bez logowania.

Te dane nie trafiają na nasz serwer. Usuniesz je, usuwając aplikację.

12. Strona pantag.pl

Strona łączy się tylko z naszym serwerem (Supabase) i z PostHog. Nie ma reklam, zewnętrznych czcionek ani wtyczek innych firm. Zasady bezpieczeństwa przeglądarki (Content Security Policy) blokują każde inne połączenie. Płatność w sklepie otwiera osobną stronę Stripe.

Przyciski „Zadzwoń”, „SMS” i „WhatsApp” otwierają aplikację w telefonie znalazcy: rozmowa odbywa się bez naszego udziału. „Pinezka” pyta przeglądarkę o lokalizację tylko po dotknięciu i za zgodą znalazcy. Współrzędne trafiają, jako link do mapy, do wiadomości, którą znalazca sam wysyła. Gdy ją wyśle, dostaje je też nasz serwer, ale zapisujemy je tylko wtedy, gdy właściciel oznaczył tag jako zgubiony (punkt 5); w każdym innym razie od razu przepadają. Okno „Pinezki” mówi o tym znalazcy.

Motyw i język strony zapisujemy w pamięci przeglądarki. PostHog zapisuje tam losowy identyfikator wizyty (plik cookie i pamięć lokalna). Usuniesz je, czyszcząc dane witryny w przeglądarce.

13. Analityka i błędy

Aplikacja i strona wysyłają do PostHog (serwery w UE) zdarzenia o użyciu: otwierane ekrany i strony, dotknięcia (rodzaj elementu, nie jego tekst), skany, logowanie, zakupy, zapis na tagu; na stronie także mapy kliknięć i czasy ładowania. Adresy IP są anonimizowane, a część adresu po „#” jest obcinana przed wysyłką. Po zalogowaniu zdarzenia łączymy z identyfikatorem konta, nie z e-mailem. Nie nagrywamy sesji.

Aplikacja wysyła do Sentry (serwery w UE) raporty awarii i błędów (stos wywołań, wersja aplikacji i systemu, model urządzenia) i pomiary wydajności z części uruchomień, a do Expotechniczne metryki uruchomienia. Bez danych z tagu, PIN-u i e-maila.

14. Kto ma dostęp do danych

Dane w naszej bazie widzi tylko zespół Pantag w panelu administracyjnym, do którego logują się wyłącznie wskazane osoby. Panel pokazuje e-mail konta, jego tagi (numery, rodzaje, stany), zamówienia, odznaki, zgłoszenia i zapytania od firm. Nie pokazuje nazw, które nadajesz tagom. Danych z tagów i PIN-ów nie ma tam wcale.

Dane przetwarzają w naszym imieniu dostawcy usług:

• Supabase: baza danych, logowanie, pliki (serwery w Irlandii).
• Mailtrap: wysyłka e-maili z kodem logowania i potwierdzeniami zakupów.
• Cloudflare: hosting strony pantag.pl; widzi standardowe dane zapytań (adres IP, czas, adres strony bez części po „#”).
• Stripe: płatności za PanTagi, VAT i dokumenty sprzedaży.
• InPost: wyszukiwarka paczkomatów i dostawa paczek.
• Expo (650 Industries): aktualizacje aplikacji, metryki techniczne i dostarczanie powiadomień przez Apple (APNs) i Google (FCM).
• PostHog i Sentry: analityka i raporty błędów (serwery w UE).
• Apple i Google: sklepy z aplikacjami i płatności w nich.

Część z tych firm ma siedzibę w USA albo korzysta z podwykonawców spoza Europejskiego Obszaru Gospodarczego. Przekazanie danych odbywa się wtedy na podstawie decyzji Komisji Europejskiej o odpowiednim stopniu ochrony (EU-US Data Privacy Framework) albo standardowych klauzul umownych. Dostawcy mogą przez krótki czas trzymać techniczne logi zapytań (adres IP, czas, w logu zapytania także numer tagu), żeby chronić usługę przed nadużyciami.

15. Jak długo przechowujemy dane

• Konto i jego dane: do usunięcia konta.
• Rejestr tagów i licznik skanów: dopóki działa usługa, bo bez rejestru tag nie zadziała.
• Miejsca skanów i pinezki zgubionego tagu: do zdjęcia oznaczenia, najwyżej 20 ostatnich.
• Zamówienia i identyfikatory płatności: przez okres wymagany przepisami podatkowymi i rachunkowymi (zwykle 5 lat od końca roku).
• Zgłoszenia: do zamknięcia (zdjęcie) albo do czasu, gdy przestaną być potrzebne do rozwoju Pantag (tekst).
• Zapytania z formularza dla firm: do końca rozmów albo do Twojej prośby o usunięcie.
• Tokeny powiadomień: do wyłączenia powiadomień lub usunięcia aplikacji, gdy token przestanie działać.
• Dane analityczne i raporty błędów: zgodnie z ustawieniami PostHog i Sentry, nie dłużej niż 12 miesięcy.

16. Podstawy prawne

• Konto, rejestr tagów, sprawdzanie tagów, zakupy i zamówienia: wykonanie umowy (art. 6 ust. 1 lit. b RODO).
• Dokumenty sprzedaży i ich przechowywanie: obowiązek prawny (art. 6 ust. 1 lit. c RODO).
• Zapytania z formularza dla firm: działania na Twoje żądanie przed zawarciem umowy (art. 6 ust. 1 lit. b RODO).
• Powiadomienia, lokalizacja przy wyborze paczkomatu, „Zapamiętaj PIN”: Twoja zgoda (art. 6 ust. 1 lit. a RODO), którą wycofasz w każdej chwili w ustawieniach aplikacji albo telefonu.
• Bezpieczeństwo, analityka, raporty błędów, miejsca skanów i pinezki zgubionego tagu i zgłoszenia: nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO), czyli ochrona i rozwój usługi oraz pomoc w odnalezieniu rzeczy, o którą prosi jej właściciel.

Podanie danych jest dobrowolne, ale bez adresu e-mail nie założysz konta, a bez danych dostawy nie wyślemy paczki. Nie podejmujemy decyzji w sposób zautomatyzowany i nie profilujemy użytkowników w celach marketingowych.

17. Twoje prawa

Masz prawo dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przeniesienia, sprzeciwu wobec przetwarzania na podstawie uzasadnionego interesu i wycofania zgody. Napisz na support@pantag.pl. Możesz też złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

Pantag nie jest przeznaczony dla dzieci poniżej 16 lat jako samodzielnych użytkowników konta. Tag dla dziecka zakłada i opisuje rodzic albo opiekun.

18. Jak długo działa usługa

Aktywacja AnyTaga i AnyTag Lite jest jednorazowa: tag działa, dopóki działa usługa Pantag. Pantag PLUS jest abonamentem miesięcznym albo rocznym w App Store lub Google Play. Po końcu opłaconego okresu strona chowa imię i telefon, a po odnowieniu pokazuje je znowu. Dane zostają na chipie.

Jeśli projekt Pantag przestanie być prowadzony, strona i rejestr mogą przestać odpowiadać, a aplikacja nie będzie aktualizowana. Dane zapisane na chipie zostaną na tagu. Nie obiecujemy, że usługa będzie prowadzona bezterminowo.

19. Zmiany

Gdy zmieni się sposób działania aplikacji albo strony, zaktualizujemy tę politykę i datę na górze. O istotnych zmianach poinformujemy w aplikacji.

1. Controller

The controller of personal data is Mateusz Urbas, who runs Pantag. For anything about your data, write to support@pantag.pl. We reply within a month at the latest.

2. Data stored on the tag

On the tag (a PanTag or your own tag as an AnyTag) you store the item’s category, a name, a phone number, a message for the finder and, for some categories, extra fields (such as a reward, a second contact, or for a pet its vet, microchip number, vaccination and medicines). AnyTag Lite holds the phone number alone. You decide what to enter.

These details are public: anyone who holds a phone to the tag sees them on pantag.pl. They are not encrypted, because their purpose is to let the finder reach you. Do not enter anything you would not show a stranger.

The details live in the address written on the tag, after the “#” sign. A browser never sends that part to a server: the finder’s phone builds the page itself. We never see or keep these details. Your PIN protects writes to the tag. You erase the details in the app: hold the tag, enter the PIN and choose a factory reset or deactivation.

3. PIN

You choose the six-digit PIN yourself. The app derives the password stored in the tag’s chip from it. The PIN itself never reaches our server or any third-party service.

If you are signed in and choose so yourself (“Remember PIN”), the app keeps that tag’s PIN in the phone’s secure storage (Keychain on iOS, Keystore on Android), on that device only and for your account only. It shows it only after Face ID, a fingerprint or the phone’s passcode. It is gone after signing out, deleting the account, choosing “Forget PIN”, or a reset or deactivation of the tag.

4. Tag checks and the scan counter

When someone opens a tag’s page, the page sends our server the tag’s number and, when the tag holds details, a random id of its last write. That id is not derived from your details and the page never shows it. It makes an old copy of the tag stop working after a new write. The app’s “Scan” also sends the chip’s serial number, to recognise a copied tag.

Each such check from the page adds one to the tag’s scan counter: a bare number, with no date, place or device. The owner sees it next to the tag, and the app shows the total for all tags. We do not record who scanned a tag, or when.

The tag registry holds, for each tag: its number, the chip’s serial number and model, its kind (PanTag, AnyTag, AnyTag Lite), its state, dates, the App Store or Google Play purchase id, the random id of the last write and the account the tag belongs to.

5. A lost tag

You can mark a tag on your account as lost. While it is marked and someone opens its page with your details (at most once a minute):

• we send a notification to your account’s phones that have notifications on (with the tag’s name on the account);
• we store the time and the approximate place of the scan: town, country and a point rounded to about a kilometre. Cloudflare reads the place from the IP address of the person who opened the page. When that address belongs to a mobile operator’s network (we tell by the network’s number, which goes no further), we store only the time, the country and that it was such a network, because its address does not tell where the phone was. Neither the IP address nor anything about that person’s device reaches our database, and a scan never asks anyone for their phone’s location.
• when the finder sends you their place themself with the “Pin” button (by text, WhatsApp or “Share”), we store it too: the time, the point their phone gave (rounded to about a metre, as in the message) and the accuracy the phone gave. In the app this pin is marked as verified.

We keep at most the last 20 scans and pins. Only the account holding the tag sees them. We delete them all once the tag is no longer lost (found, deactivated or removed from the account). The finder sees the page as always and does not learn that the tag is marked as lost.

6. Account

Scanning and the PIN check work without an account. You need one to buy or activate a tag, to save the details the finder sees and to order a PanTag. You sign in with your e-mail address: we send a one-time code to it, with no password.

The account holds:

• your e-mail address, the dates the account was created and last signed in to, and sign-in sessions;
• the tags on the account and the names you give them (e.g. “Keys”). A name never goes onto the tag and the finder never sees it;
• your known languages (up to three), shown to the finder as flags on the tag’s page;
• Pantag PLUS: the plan, the period’s dates and the free tag places;
• badges and badge rewards, granted by the server based on your tags and purchases;
• PanTag orders (see section 8).

The sign-in system also keeps technical sign-in data (IP address, time) to protect accounts from abuse.

“Delete account” in the app erases your e-mail address, sessions, known languages, tag names, badges and the link between your tags and the account. The tags keep working with the details on the chip. Orders and reports stay, no longer tied to an account, because tax law requires them or they concern changes to Pantag.

7. Purchases in the App Store and Google Play

You buy AnyTag, AnyTag Lite and Pantag PLUS in the app store: on iPhone Apple handles the payment, on Android Google does. We pass your Pantag account id to the store so the purchase lands on the right account. We never see your card number or your store account.

Our server checks Apple’s signed receipt or asks Google whether the purchase is paid, and stores the transaction id next to the tag’s number. The stores tell us about renewals, expiries and refunds themselves. After a purchase we e-mail your account a confirmation with the tag’s number, the chip’s number and the amount from the receipt.

8. The PanTag shop (Stripe and InPost)

You order physical PanTags in the app or on the website. Your name, mobile number, address, chosen parcel locker, optional e-mail and company details (name, tax number) are entered in the app, which passes them only to Stripe, together with the payment. We never see your card details: you enter them in Stripe’s sheet. We use the delivery details only to ship the parcel and issue the sales document.

You can also order PanTags at pantag.pl/sklep. The cart (the kinds and number of tags) stays in your browser’s storage, and the sign-in session only until you close the tab. Your name, address, parcel locker code, company details and card details are entered on Stripe’s payment page (checkout.stripe.com), not with us.

Our database keeps the order itself: the account, the kinds and number of tags, the delivery method, the amounts, the discount, Stripe payment ids, the order’s status and its dates (paid, shipped, delivered, refunded).

You pick a parcel locker from InPost’s public search. The app sends it only what you type (postal code, town, locker code) or, after you tap “Nearest to me” and allow it, the phone’s position rounded to about 100 m. We do not store the location or send it anywhere else.

9. Notifications

Notifications are off until you turn them on in Settings. Then the app sends our server this phone’s push token (from Expo), its system (iOS or Android), whether notifications are on and, if you are signed in, your account id. With the switch off, we send nothing to that phone.

We send notifications about:

• a scan of your lost tag;
• a change in the status of your report (you can turn this off on the report);
• messages from the Pantag team, e.g. about what is new in the app or the shop. We keep each one (title, text, who it went to, the number of phones).

10. Reports and suggestions

In the app (Settings → “Suggest an idea”) you send an idea or a bug report and, optionally, one photo. We store its kind, text, system and app version and, when you are signed in, the account. The app shrinks the photo and saves it without metadata (no place or date), in private storage that only the Pantag team reads. We delete it once the report is closed. Without signing in, the phone keeps a secret report number so you can follow its status.

Field suggestions (“Missing a field?” in the app and on the tag page) are stored as an idea: the category and the text, nothing from the tag or the account. Do not enter personal data in reports or suggestions.

The form on the Pantag for business page sends the company’s name, your name, e-mail, optionally a phone number, the use case, the rough number of tags and your message. We keep them in our database to reply and prepare an offer; only the Pantag team sees them, in the panel. We delete them once the talks are over, or when you ask.

11. What stays on your phone

The app keeps no tag details and no list of tags. The phone’s storage holds only:

• the encrypted sign-in session (signing out removes it);
• PINs you chose to remember (section 3);
• the cart and, if you tick “Remember on this phone”, up to five order recipients with their parcel locker;
• your chosen theme and language, the saved categories and pictures, and numbers of reports sent while signed out.

None of it reaches our server. Deleting the app removes it.

12. The pantag.pl website

The website talks only to our server (Supabase) and to PostHog. It has no ads, no external fonts and no third-party plug-ins. The browser’s security rules (Content Security Policy) block every other connection. Paying in the shop opens a separate Stripe page.

The “Call”, “SMS” and “WhatsApp” buttons open an app on the finder’s phone: the conversation happens without us. “Pin” asks the browser for its location only when tapped and with the finder’s consent. The coordinates go, as a map link, into the message the finder sends. Once it is sent, our server gets them too, but stores them only when the owner has marked the tag as lost (section 5); otherwise they are dropped at once. The “Pin” sheet tells the finder so.

The site’s theme and language are kept in the browser’s storage. PostHog keeps a random visit id there (a cookie and local storage). You remove them by clearing the site’s data in your browser.

13. Analytics and errors

The app and the website send PostHog (servers in the EU) usage events: screens and pages opened, taps (the kind of element, not its text), scans, sign-in, purchases, writes to a tag; on the website also click maps and load times. IP addresses are anonymised and the part of an address after “#” is cut off before sending. Once you are signed in, events are linked to your account id, never to your e-mail. We record no sessions.

The app sends Sentry (servers in the EU) crash and error reports (stack trace, app and system version, device model) and performance measurements from some launches, and sends Expo technical start-up metrics. None of them includes tag data, your PIN or your e-mail.

14. Who can access the data

The data in our database is seen only by the Pantag team in the admin panel, which only named people can sign in to. The panel shows an account’s e-mail, its tags (numbers, kinds, states), orders, badges, reports and inquiries from businesses. It does not show the names you give your tags. Tag details and PINs are not there at all.

Service providers process data on our behalf:

• Supabase: database, sign-in, files (servers in Ireland).
• Mailtrap: e-mails with sign-in codes and purchase confirmations.
• Cloudflare: hosting of pantag.pl; it sees standard request data (IP address, time, the page address without the part after “#”).
• Stripe: payments for PanTags, VAT and sales documents.
• InPost: the parcel locker search and parcel delivery.
• Expo (650 Industries): app updates, technical metrics and delivering notifications through Apple (APNs) and Google (FCM).
• PostHog and Sentry: analytics and error reports (servers in the EU).
• Apple and Google: the app stores and their payments.

Some of these companies are based in the USA or use sub-processors outside the European Economic Area. Such transfers rely on the European Commission’s adequacy decision (EU-US Data Privacy Framework) or on standard contractual clauses. Providers may keep technical request logs for a short time (IP address, time and, in a request log, the tag’s number) to protect the service from abuse.

15. How long we keep data

• The account and its data: until the account is deleted.
• The tag registry and scan counter: while the service runs, because a tag does not work without the registry.
• Places of a lost tag’s scans and pins: until the mark is removed, at most the last 20.
• Orders and payment ids: for as long as tax and accounting law requires (usually 5 years from the end of the year).
• Reports: until closed (the photo) or until no longer needed to develop Pantag (the text).
• Inquiries from the business form: until the talks are over, or until you ask us to delete them.
• Push tokens: until notifications are turned off or the app is deleted and the token stops working.
• Analytics data and error reports: according to PostHog’s and Sentry’s settings, no longer than 12 months.

16. Legal bases

• Account, tag registry, tag checks, purchases and orders: performance of a contract (Art. 6(1)(b) GDPR).
• Sales documents and keeping them: a legal obligation (Art. 6(1)(c) GDPR).
• Inquiries from the business form: steps taken at your request before a contract (Art. 6(1)(b) GDPR).
• Notifications, location when choosing a parcel locker, “Remember PIN”: your consent (Art. 6(1)(a) GDPR), which you withdraw at any time in the app’s or the phone’s settings.
• Security, analytics, error reports, places of a lost tag’s scans and pins, and reports: our legitimate interest (Art. 6(1)(f) GDPR), that is, protecting and developing the service and helping to find an item at its owner’s request.

Providing data is voluntary, but without an e-mail address you cannot create an account, and without delivery details we cannot ship a parcel. We make no automated decisions and do no marketing profiling.

17. Your rights

You have the right to access your data, to rectify, erase and port it, to restrict its processing, to object to processing based on legitimate interest and to withdraw consent. Write to support@pantag.pl. You may also lodge a complaint with the President of the Polish Personal Data Protection Office (UODO, ul. Stawki 2, 00-193 Warsaw).

Pantag is not meant for children under 16 as account holders. A parent or guardian sets up and fills in a tag for a child.

18. How long the service runs

Activating an AnyTag or AnyTag Lite is a one-off: the tag works as long as the Pantag service runs. Pantag PLUS is a monthly or yearly subscription in the App Store or Google Play. When the paid period ends, the page hides the name and phone number, and shows them again after a renewal. The details stay on the chip.

If the Pantag project stops being maintained, the website and the registry may stop responding, and the app will no longer be updated. The details written on the chip stay on the tag. We do not promise that the service will run indefinitely.

19. Changes

When the way the app or the website works changes, we will update this policy and the date at the top. We will tell you about significant changes in the app.