Co obejmuje ta informacja

Orbena pomaga rodzinie zamienić szkolne wiadomości, zdjęcia kartek, PDF-y i krótkie nagrania głosowe w konkretne wydarzenia i zadania, które rodzic zatwierdza. Ta informacja obejmuje aplikację Orbena na Androida, serwer, z którym się łączy, oraz tę stronę internetową.

Administratorem danych jest podmiot prowadzący Orbena. Dane przetwarzamy w Unii Europejskiej oraz — w zakresie opisanym niżej w sekcji o dostawcach — u dostawców działających poza EOG na podstawie standardowych klauzul umownych.

Kto korzysta z Orbeny, a czyje dane przetwarzamy

Orbena jest przeznaczona dla dorosłych: rodziców i opiekunów od 18 lat. Z aplikacji, z kontem albo bez, korzysta tylko dorosły.

Dzieci nie są użytkownikami aplikacji, ale ich dane przetwarzamy — imię, nazwisko, data urodzenia, przypisane zajęcia, terminy i informacje, które rodzic sam zapisze. To, że dziecko nie jest użytkownikiem, nie zmniejsza ochrony tych danych.

Konto i rodzina

Do założenia konta potrzebujemy adresu e-mail i hasła albo konta Google. Przechowujemy identyfikator użytkownika, adres e-mail, przynależność do rodziny i rolę w rodzinie (właściciel albo opiekun). Uwierzytelnianie i baza danych działają w Supabase.

Jeśli zamiast hasła wybierzesz logowanie kontem Google, Google przekazuje nam adres e-mail tego konta, imię i nazwisko z profilu oraz adres zdjęcia profilowego, a Supabase przechowuje je przy koncie. Hasła wtedy nie ustawiasz. Nie dostajemy dostępu do poczty Gmail, kontaktów ani plików na koncie Google.

Jedna rodzina to jedno wspólne miejsce. Każdy dorosły z dostępem do rodziny widzi jej dzieci, plany i zapisane informacje — to jest sens produktu, a nie skutek uboczny, i mówimy to wprost, bo decyduje o tym, co warto w Orbenie zapisywać.

Z Orbeny można też zacząć korzystać bez zakładania konta („Wypróbuj bez konta”). Wtedy tworzymy anonimowy identyfikator użytkownika, bez adresu e-mail, hasła i konta Google, a rodzina, dzieci i plany są zapisywane na naszych serwerach tak samo jak przy koncie — nie tylko na telefonie. Bez konta nie da się jednak odzyskać tych danych po usunięciu aplikacji ani na innym telefonie. Gdy później dodasz e-mail albo konto Google („Zabezpiecz swoją rodzinę”), ten sam identyfikator staje się zwykłym kontem i nic z tego, co dodano, nie znika.

Dzieci, plany i zadania

Profil dziecka zawiera dane, które rodzic wpisze: imię, nazwisko, datę urodzenia i zajęcia. Wydarzenia i zadania zawierają tytuł, termin, godzinę, miejsce, osobę odpowiedzialną, rzeczy do przygotowania i notatki rodzica.

Te dane są podstawą działania aplikacji — ekranów Dzisiaj i Planu, przypomnień i przekazywania spraw. Przetwarzamy je, żeby wykonać usługę, z której rodzic korzysta.

Zapisywanie informacji: tekst, zdjęcia, PDF, głos

Kiedy rodzic zapisuje informację, treść trafia na nasz serwer. Tekst zapisujemy jako treść źródłową do przeglądu. Zdjęcia, zrzuty ekranu i PDF-y lądują w prywatnym magazynie plików, do którego aplikacja nie ma publicznego dostępu — serwer czyta je po swojej stronie. Nagranie głosowe trafia tam tak samo, na czas transkrypcji.

Zdjęcie, zrzut ekranu albo PDF usuwamy, gdy sprawa zostanie zapisana albo zakończona, albo gdy rodzic sam usunie plik. Odrzucona albo nieprzejrzana sprawa — także wstrzymana wiadomość z załącznikiem — zachowuje plik, dopóki rodzic go nie usunie albo nie usunie rodziny. Nagranie głosowe usuwamy, gdy istnieje użyteczna transkrypcja; jeśli transkrypcja się nie udała, nagranie zostaje, żeby rodzic mógł spróbować ponownie, i jest usuwane najpóźniej po wyczerpaniu dwóch prób przetwarzania.

Mówimy o tym dokładnie, bo granica jest istotna: usuwamy bajty plików, nie zapis w aplikacji. Wydarzenie albo zadanie, które rodzic zatwierdził, oraz treść tekstowa źródła zostają — to jest to, po co rodzina korzysta z Orbeny. Usunięcie danych rodziny to osobna operacja, opisana niżej.

Skrzynka rodziny (przekazywanie e-maili)

Rodzina może otrzymać własny adres e-mail Orbeny i przekazywać na niego szkolne wiadomości. Taka wiadomość staje się informacją do przeglądu — chyba że tylko powtarza coś, co już jest zapisane, i Orbena wie to na pewno; wtedy nic się nie zmienia, a wiadomość zostaje tylko odnotowana w historii. Temat i treść spłaszczamy do tekstu. Pocztę obsługuje Resend.

Nie podłączamy się do skrzynki rodzica i nie czytamy jej w tle. Działa tylko to, co rodzic sam przekaże na adres Orbeny. Razem z treścią odczytujemy do trzech załączników — PDF-y i zdjęcia — jeśli wiadomość przeszła skanowanie antywirusowe i plik jest tym, za co się podaje. Traktujemy je tak samo jak zdjęcia i PDF-y dodane w aplikacji (opis wyżej). Obrazków w treści, np. logo w stopce, nie czytamy, a inne pliki, np. dokumenty Word, są pomijane i przegląd mówi o tym wprost.

Wiadomość od nadawcy, którego rodzina nie zaakceptowała, jest wstrzymywana przed przetwarzaniem — nie trafia wtedy do żadnego dostawcy AI. Prowadzimy rejestr dostarczeń zawierający identyfikatory i czasy, bez nadawcy, tematu i treści. Oryginalnej wiadomości nie przechowujemy — zostaje tylko jej tekst i odczytane załączniki, jak opisano wyżej. Pliki nadawcy, którego rodzina zablokowała, nie są w ogóle pobierane.

Przetwarzanie przez AI

Propozycje wydarzeń i zadań powstają z pomocą dostawcy AI (OpenAI). Wywołania idą wyłącznie z naszego serwera — aplikacja na telefonie nigdy nie łączy się z dostawcą i nie zawiera żadnych kluczy.

Do dostawcy wysyłamy niezbędne minimum: rodzaj źródła, treść tekstową lub bajty pliku, język, dzisiejszą datę w strefie rodziny, imiona i nazwiska dzieci z tej rodziny oraz krótkie etykiety istniejących planów, żeby dopasowanie było trafne. Nagranie głosowe idzie do transkrypcji z informacją o języku. Nie wysyłamy haseł, tokenów uwierzytelniających, adresu nadawcy przekazanej wiadomości, adresów e-mail członków rodziny ani identyfikatorów analitycznych.

O przechowywaniu u dostawcy mówimy ostrożnie, bo to cztery różne rzeczy. Ruch API nie jest domyślnie używany do trenowania modeli. Nasze wywołania ustawiają opcję, która ma zapobiec trwałemu zapisaniu treści odpowiedzi po stronie dostawcy. To jednak nie to samo co brak przechowywania: dostawca może zachować wejścia i wyjścia API na ograniczony czas w celu monitorowania nadużyć, bezpieczeństwa i zgodności z prawem. Umowne zerowe przechowywanie danych jest odrębnym uprawnieniem, którego nie deklarujemy. Nie twierdzimy więc, że nic nie jest przechowywane u dostawcy.

Propozycja AI nigdy nie zmienia planu sama. Rodzic ją przegląda i zatwierdza, a przy wydarzeniach krytycznych zatwierdzenie jest obowiązkowe. Wiadomość, która tylko powtarza coś, co już jest zapisane, niczego nie zmienia, więc nie wymaga zatwierdzenia.

Informacje o zdrowiu

Rodzic może zapisać informacje zdrowotne w zakresie organizacyjnym: termin wizyty, miejsce, szczepienie, notatkę przypominającą. Może też zdarzyć się, że takie informacje znajdą się w treści, którą rodzic zapisał albo przekazał.

Traktujemy je jako dane wymagające szczególnej ochrony. Przechowywanie danych zdrowotnych w aplikacji jest oparte na wyraźnej zgodzie rodzica, a bez niej pozostałe funkcje działają dalej. Każdy dorosły z dostępem do rodziny widzi te informacje.

Orbena nie jest wyrobem medycznym i nie udziela porad medycznych, diagnozy ani zaleceń leczenia. To pomoc w organizacji.

Powiadomienia

Jeśli rodzic włączy przypomnienia, przechowujemy token powiadomień urządzenia i wysyłamy powiadomienia przez usługę Expo, która korzysta z systemowej usługi Google. Token jest identyfikatorem urządzenia dla powiadomień, nie treścią.

Powiadomienia można wyłączyć w aplikacji albo w ustawieniach Androida. Wyłączenie ich nie usuwa danych rodziny.

Linki do przekazanych spraw

Rodzic może przekazać pojedyncze wydarzenie lub zadanie osobie bez konta — drugiemu rodzicowi, babci, opiekunce. Taki link tworzy wyłącznie rodzic w aplikacji, a strona pokazuje jedną sprawę: określenie dziecka, tytuł, termin, godzinę, miejsce i rzeczy do przygotowania.

Link jest ograniczony czasowo, rodzic może go wycofać, a odpowiedź odbiorcy (przyjęte, odrzucone, zrobione) wraca do rodziny. Odbiorcy nie zakładamy konta i nie prosimy go o żadne dane. Te strony nie są indeksowane i nie trafiają do analityki.

Analityka i diagnostyka awarii

Analityka produktowa (PostHog) rejestruje ograniczone zdarzenia: co się stało, w jakim języku, jakiego rodzaju było źródło, ile propozycji przyjęto, oraz identyfikator rodziny i instalacji, a przy nowej instalacji oznaczenia kampanii linku, z którego przyszła (np. link akademii). Nie wysyłamy do niej treści źródłowych, transkrypcji, imion dzieci, notatek zdrowotnych, adresów e-mail ani danych nadawcy przekazanej wiadomości.

Diagnostyka awarii (Sentry) otrzymuje raporty o błędach i uruchomieniach aplikacji, żebyśmy mogli je naprawić. Zawierają informacje techniczne o urządzeniu i przebiegu awarii.

Na tej stronie internetowej analityka uruchamia się dopiero po wyrażeniu zgody. Aplikacja mobilna wysyła opisane wyżej ograniczone zdarzenia bez osobnego kroku zgody; nigdy nie zawierają treści ani imion.

Subskrypcja i płatności

Subskrypcję sprzedaje Google Play. Płatność obsługuje Google — nie otrzymujemy i nie przechowujemy numeru karty ani danych rozliczeniowych.

Cykl życia subskrypcji normalizuje dla nas RevenueCat. Jako identyfikator wysyłamy wyłącznie identyfikator rodziny w Orbenie; nie przekazujemy adresu e-mail, imion ani żadnych danych dzieci. Po naszej stronie przechowujemy stan uprawnienia rodziny i daty okresu.

Usunięcie konta Orbeny nie anuluje subskrypcji w Google Play. Subskrypcję anuluje się w Google Play i piszemy o tym osobno, bo to dwie różne operacje.

Dostawcy, którzy przetwarzają dane dla nas

Nie sprzedajemy danych i nie udostępniamy ich reklamodawcom. Korzystamy natomiast z dostawców, którzy przetwarzają dane na nasze zlecenie, i dlatego nie twierdzimy, że dane nie opuszczają nigdy naszych systemów.

Supabase — uwierzytelnianie, baza danych i prywatny magazyn plików. Resend — poczta wychodząca, w tym newsletter, i przekazywane wiadomości rodziny. OpenAI — wyciąganie propozycji z treści i transkrypcja głosu. PostHog — analityka produktowa. Sentry — diagnostyka awarii. Expo i usługa Google — dostarczanie powiadomień. Google Play i RevenueCat — sprzedaż subskrypcji i jej cykl życia. Google — logowanie kontem Google, jeśli je wybierzesz.

Dane możemy też ujawnić, jeśli wymaga tego prawo.

Jak długo przechowujemy dane

Dane konta i rodziny przechowujemy tak długo, jak istnieje konto i rodzina. Pliki źródłowe usuwamy według zasad opisanych wyżej — po zapisaniu lub zakończeniu sprawy albo gdy rodzic je usunie, a nagrania po uzyskaniu transkrypcji.

Jedno ograniczenie mówimy wprost, bo dotyczy tego, co rodzic może od nas oczekiwać: dla kont nie mamy mechanizmu, który usuwałby dane po upływie określonego czasu. Usunięcie jest wynikiem działania — rodzica albo naszego przetwarzania — a nie upływu terminu. Nie obiecujemy więc automatycznego wygasania treści tekstowych ani transkrypcji na koncie.

Jest jeden wyjątek: dane osoby korzystającej bez konta, która nie zabezpieczyła rodziny kontem, usuwamy po 30 dniach bez żadnej aktywności — czyli gdy przez 30 dni aplikacja nie została otwarta. Usuwamy wtedy identyfikator, rodzinę i wszystko, co w niej zapisano, a pliki źródłowe tak szybko, jak to możliwe. Wystarczy otworzyć aplikację, żeby termin liczył się od nowa; po założeniu konta ta zasada przestaje obowiązywać.

Usuwanie konta i danych rodziny

Konto usuwa się w aplikacji, w Narzędziach rodziny. Skutek zależy od roli. Opiekun traci dostęp i logowanie, a plany rodziny zostają dla właściciela. Właściciel jedynej osoby w rodzinie usuwa logowanie oraz dane tej rodziny w aplikacji — dzieci, plany, zapisane informacje i dane o zdrowiu; pliki źródłowe usuwamy, gdy to możliwe.

Jeśli jesteś właścicielem, a inni opiekunowie nadal mają dostęp, usunięcie konta jest wstrzymane. Możesz usunąć ich z rodziny albo poprosić, żeby sami ją opuścili — potem możesz usunąć konto. Możesz też od razu usunąć całą rodzinę. Bez tego usunięcie jednego konta zabrałoby dane, z których korzystają inni dorośli.

Opiekun może opuścić rodzinę w Narzędziach rodziny, bez usuwania konta i bez zgody właściciela. Gdy ktoś opuszcza rodzinę albo zostaje z niej usunięty — przez właściciela albo przez nas po zgłoszeniu dotyczącym bezpieczeństwa dziecka lub przymusu — zapisujemy, kiedy to się stało i jaką drogą. Osoba usunięta przez kogoś innego dostaje w aplikacji i e-mailem krótką informację, że nie ma już dostępu, bez podania powodu. To, co dodała, zostaje w rodzinie. Usunięcie z rodziny nie anuluje subskrypcji w Google Play.

Usunięcie danych rodziny to inna operacja niż usuwanie plików źródłowych po przeglądzie, i inna niż anulowanie subskrypcji w Google Play.

Bez konta dane usuwa się w Narzędziach rodziny przyciskiem „Usuń dane i zacznij od nowa”: znika identyfikator, rodzina i wszystko, co w niej zapisano. Jeśli bez konta zalogujesz się do innego, istniejącego konta, aplikacja najpierw zapyta, czy usunąć rodzinę utworzoną bez konta — nie łączymy rodzin.

Twoje prawa

Masz prawo dostępu do swoich danych, ich sprostowania, usunięcia i ograniczenia przetwarzania, prawo do przenoszenia danych oraz prawo sprzeciwu. Zgodę na przechowywanie danych zdrowotnych możesz wycofać w każdej chwili.

Możesz też złożyć skargę do organu nadzorczego — w Polsce jest to Prezes Urzędu Ochrony Danych Osobowych.

Ta strona internetowa

Poza prezentacją aplikacji ta strona zbiera zapisy do programu pierwszych rodzin i zgłoszenia zainteresowania ceną. W formularzu programu możemy zapisać adres e-mail, język, liczbę dzieci, przybliżone przedziały wieku, rodzaje zajęć dodatkowych oraz odpowiedzi dotyczące piłki młodzieżowej, testów Androida i pracy zawodowej rodzica. Formularz ceny zapisuje adres e-mail, wybrany plan i źródło kampanii.

Osobny formularz badania o opiece nad starszym rodzicem, dostępny tylko z linków do tego badania, zapisuje adres e-mail, język, to, komu pomagasz, kto jeszcze uczestniczy w opiece, które sprawy wymagają najwięcej organizowania, czy mieszkają z Tobą dzieci, jak widzisz płacenie oraz czy chcesz porozmawiać. Wszystkie odpowiedzi są do wyboru z listy; formularz nie pyta o zdrowie ani diagnozy tej osoby. Używamy ich wyłącznie do tego badania i kontaktu w jego sprawie, a usuwamy po jego zakończeniu, najpóźniej po 12 miesiącach.

Używamy tego wyłącznie do kwalifikacji do testów, kontaktu w tej sprawie i zrozumienia, z jakiego kanału trafiło zgłoszenie. Adresów z tych formularzy nie używamy do newslettera. Formularze na stronie nie proszą o imiona dzieci, dokumenty medyczne ani treści wiadomości dotyczących dzieci.

Newsletter

Na tej stronie można zapisać się na newsletter: co nowego w aplikacji, nie częściej niż raz w miesiącu. Zapisujemy wtedy adres e-mail, język, wersję treści zgody, daty zapisu i potwierdzenia oraz to, czy zapis przyszedł z tej strony, czy z linku w aplikacji. Podstawą jest Twoja zgoda (art. 6 ust. 1 lit. a RODO): osobne pole, niezaznaczone z góry, od którego nie zależy korzystanie z aplikacji.

Zapis działa dopiero po potwierdzeniu linkiem z naszego e-maila, bo adres mógł wpisać ktoś inny. Niepotwierdzony adres dostaje od nas tylko tę jedną wiadomość. Po 30 dniach link wygasa. Niepotwierdzony adres usuwamy przy najbliższym porządkowaniu listy — przy kolejnym zapisie albo przed wysyłką — i do tego czasu nic na niego nie wysyłamy. Wiadomości wysyła Resend.

Zgodę wycofujesz w każdej chwili linkiem „Wypisz się” w każdym newsletterze albo pisząc na adres podany niżej. Wycofanie nie zmienia zgodności z prawem wysyłek sprzed wycofania. Po wypisaniu zostawiamy adres z datami zapisu i wypisania, żeby więcej nie pisać i móc pokazać, kiedy zgoda obowiązywała; na Twoją prośbę usuniemy i to.

Newsletter i konto w aplikacji to dwie osobne rzeczy. Konto nie zapisuje na newsletter, a adresów z kont, formularza programu, formularza ceny ani badań nie używamy do newslettera. Usunięcie konta nie wypisuje z newslettera, a wypisanie się nie zmienia niczego w aplikacji.

Badanie z rodzinami korzystającymi z aplikacji

Jeśli zgodzisz się wziąć udział w naszym badaniu (kilka rozmów w ciągu około czterech tygodni), zapisujemy Twój kontakt, język, źródło zaproszenia, datę zgody i notatki z rozmów. Notatki nie zawierają imion dzieci ani informacji o zdrowiu.

Za Twoją zgodą łączymy też identyfikator Twojej rodziny w Orbenie z udziałem w badaniu, żeby zbiorczo policzyć, jak korzystasz z aplikacji — liczby zdarzeń, a nie treści, które zapisujesz.

Te dane przechowujemy poza aplikacją i używamy ich wyłącznie do tego badania i kontaktu w jego sprawie. Usuwamy je, gdy zrezygnujesz, a w pozostałych przypadkach po zakończeniu badania, najpóźniej po 12 miesiącach od pierwszego zapisu. Dane w samej aplikacji pozostają na Twoim koncie, dopóki go nie usuniesz.

Zmiany i kontakt

Jeśli zmienimy sposób przetwarzania danych, zmienimy tę informację i datę jej aktualizacji. Data u góry pozwala sprawdzić, czy informacja odpowiada wersji aplikacji, którą masz.

W sprawach danych — dostępu, sprostowania, usunięcia, wycofania zgody — napisz na adres podany niżej.

What this notice covers

Orbena helps a family turn school messages, photos of notes, PDFs and short voice recordings into concrete events and tasks that a parent confirms. This notice covers the Orbena Android application, the server it talks to, and this website.

The controller is the entity operating Orbena. Processing takes place in the European Union and — to the extent described in the service-providers section below — with providers operating outside the EEA under standard contractual clauses.

Who uses Orbena, and whose data we process

Orbena is for adults: parents and caregivers aged 18 and over. Only an adult uses the application, with or without an account.

Children are not users of the application, but we do process their data — first name, surname, date of birth, assigned activities, dates and whatever a parent chooses to record. A child not being a user does not reduce the protection that data gets.

Account and family

Creating an account requires an email address and a password, or a Google account. We store a user identifier, the email address, family membership and the role within the family (owner or caregiver). Authentication and the database run on Supabase.

If you sign in with a Google account instead of a password, Google gives us that account’s email address, the name on its profile and the address of its profile photo, and Supabase keeps them with the account. You then set no password. We get no access to Gmail, contacts or files in the Google account.

One family is one shared space. Every adult with access to a family sees its children, plans and saved information — that is the point of the product rather than a side effect, and we say so plainly, because it decides what is worth recording in Orbena.

Orbena can also be used without creating an account ("Try without an account"). We then create an anonymous user identifier, with no email address, password or Google account, and the family, children and plans are saved on our servers exactly as with an account — not only on the phone. Without an account, however, this data cannot be recovered after the app is removed or on another phone. When you later add an email or a Google account ("Secure your family"), the same identifier becomes an ordinary account and nothing that was added is lost.

Children, plans and tasks

A child profile holds what a parent enters: first name, surname, date of birth and activities. Events and tasks hold a title, date, time, location, who is responsible, what to prepare and the parent’s own notes.

This data is what makes the application work — the Today and Schedule screens, reminders and handing an item to someone else. We process it to deliver the service the parent is using.

Capture: text, photos, PDFs, voice

When a parent captures something, the content reaches our server. Text is stored as source content for review. Photos, screenshots and PDFs go to private file storage the application has no public access to — the server reads them on its own side. A voice recording goes there the same way, for as long as transcription takes.

A photo, screenshot or PDF is removed once its item is saved or completed, or when the parent removes the file. A dismissed or never-reviewed item — including a held message with an attachment — keeps its file until the parent removes it or deletes the family. A voice recording is removed once a usable transcript exists; if transcription failed, the recording is kept so the parent can retry, and is removed at the latest once two processing attempts are spent.

We are precise about this because the boundary matters: we remove file bytes, not the record in the application. An event or task the parent confirmed, and the source text, remain — that is what a family uses Orbena for. Deleting family data is a separate operation, described below.

Family Inbox (forwarded email)

A family can get its own Orbena email address and forward school messages to it. Such a message becomes an item for review — unless it only repeats something already saved and Orbena can tell for sure, in which case nothing changes and it is only noted in history. Subject and body are flattened to text. Mail is handled by Resend.

We do not connect to a parent’s mailbox and we do not read it in the background. Only what a parent forwards to the Orbena address is processed. Up to three attachments — PDFs and photos — are read together with the text, when the message passed virus scanning and the file is what it claims to be. They are handled like photos and PDFs added in the app (see above). Images inside the email body, such as a signature logo, are not read, and other files, such as Word documents, are skipped and Review says so.

A message from a sender the family has not approved is held before processing, so no AI provider sees it. We keep a delivery ledger of identifiers and timestamps, with no sender, subject or body. The original message is not stored — only its text and the attachments that were read, as described above. Files from a sender the family has blocked are never fetched.

AI processing

Proposed events and tasks are produced with the help of an AI provider (OpenAI). Calls are made only from our server — the phone application never contacts the provider and holds no keys.

We send the provider the minimum necessary: the kind of source, the text content or file bytes, the language, today’s date in the family’s timezone, the first names and surnames of that family’s children, and short labels of existing plans so the match is accurate. A voice recording goes to transcription with the language stated. We do not send passwords, authentication tokens, the sender address of a forwarded message, family members’ email addresses, or analytics identifiers.

We are careful about provider retention, because it is four separate things. API traffic is not used to train models by default. Our calls set the option intended to stop response content being persisted as a stored object on the provider side. That is not the same as no retention: the provider may keep API inputs and outputs for a limited period for abuse monitoring, safety and legal compliance. Contractual zero data retention is a separate entitlement, and we do not claim it. So we do not tell you that nothing is retained by the provider.

An AI proposal never changes a plan by itself. The parent reviews and confirms it, and for critical events that confirmation is mandatory. A message that only repeats what is already saved changes nothing, so it needs no confirmation.

Health information

A parent can record health information in an organisational sense: an appointment date, a location, a vaccination, a reminder note. Such information may also appear inside content a parent captured or forwarded.

We treat it as data requiring particular protection. Storing health data in the application rests on the parent’s explicit consent, and without it the rest of the product keeps working. Every adult with access to the family can see this information.

Orbena is not a medical device and gives no medical advice, diagnosis or treatment recommendation. It is organisational help.

Notifications

If a parent turns reminders on, we store the device notification token and send notifications through the Expo service, which uses Google’s system service. The token is a device identifier for notifications, not content.

Notifications can be turned off in the application or in Android settings. Turning them off does not delete family data.

Shared action links

A parent can hand a single event or task to someone without an account — the other parent, a grandparent, a babysitter. Only a parent creates such a link, and the page shows one item: how the child is referred to, the title, date, time, location and what to prepare.

The link is time-limited, the parent can revoke it, and the recipient’s answer (accepted, declined, done) goes back to the family. We create no account for the recipient and ask them for no data. These pages are not indexed and are not sent to analytics.

Analytics and crash diagnostics

Product analytics (PostHog) records bounded events: what happened, in which language, what kind of source it was, how many proposals were accepted, plus a family and installation identifier, and for a new install the campaign tags of the link that led to it (for example an academy link). We do not send it source content, transcripts, child names, health notes, email addresses, or anything about the sender of a forwarded message.

Crash diagnostics (Sentry) receive error and startup reports so we can fix them. They contain technical information about the device and the course of the failure.

On this website, analytics start only after consent. The mobile app sends the bounded events above without a separate consent step; they never contain content or names.

Subscription and payments

The subscription is sold by Google Play. Payment is handled by Google — we neither receive nor store a card number or billing details.

The subscription lifecycle is normalised for us by RevenueCat. The only identifier we send is the family’s Orbena identifier; we do not pass an email address, names, or any child data. On our side we store the family’s entitlement state and period dates.

Deleting an Orbena account does not cancel a Google Play subscription. A subscription is cancelled in Google Play, and we state that separately because they are two different operations.

Service providers processing data for us

We do not sell data and we do not share it with advertisers. We do use providers that process data on our instructions, which is why we do not claim that data never leaves our systems.

Supabase — authentication, database and private file storage. Resend — outgoing mail, including the newsletter, and a family’s forwarded messages. OpenAI — extracting proposals from content, and voice transcription. PostHog — product analytics. Sentry — crash diagnostics. Expo and Google’s service — delivering notifications. Google Play and RevenueCat — selling the subscription and its lifecycle. Google — signing in with a Google account, if you choose it.

We may also disclose data where the law requires it.

How long we keep data

Account and family data is kept for as long as the account and the family exist. Source files are removed under the rules described above — once the item is saved or completed, or when the parent removes them, and recordings once a transcript exists.

We state one limitation plainly, because it concerns what a parent may expect of us: for accounts we have no mechanism that deletes data once a set period has passed. Deletion is the result of an action — a parent’s, or our processing — not of a deadline. So we do not promise automatic expiry of text content or transcripts in an account.

There is one exception: the data of someone using Orbena without an account, who has not secured the family with an account, is deleted after 30 days without any activity — that is, when the app has not been opened for 30 days. We then delete the identifier, the family and everything saved in it, and source files as soon as possible. Opening the app starts the 30 days again; once an account is created, this rule no longer applies.

Deleting an account and family data

An account is deleted in the application, under Family tools. What happens depends on the role. A caregiver loses access and their login, and the family’s plans stay with the owner. An owner who is the only person in the family deletes their login and that family’s app data — children, plans, saved information and health data; source files are removed where possible.

If you are the owner and other caregivers still have access, account deletion is held. You can remove them from the family, or ask them to leave it, and then delete your account. You can also delete the whole family straight away. Without that, deleting one account would take away data other adults are using.

A caregiver can leave a family in Family tools, without deleting their account and without the owner’s agreement. When someone leaves a family or is removed from it — by the owner, or by us after a report about a child’s safety or coercion — we record when it happened and by which route. A person removed by someone else gets a short note in the app and by email that they no longer have access, with no reason given. What they added stays with the family. Removal from a family does not cancel a Google Play subscription.

Deleting family data is a different operation from removing source files after review, and a different one from cancelling a Google Play subscription.

Without an account, data is deleted in Family tools with "Delete data and start over": the identifier, the family and everything saved in it are removed. If, without an account, you sign in to a different, existing account, the app first asks whether to delete the family created without an account — families are never merged.

Your rights

You have the right to access your data, to have it corrected, deleted or its processing restricted, the right to data portability, and the right to object. Consent to storing health data can be withdrawn at any time.

You can also complain to a supervisory authority — in Poland, the President of the Personal Data Protection Office.

This website

Besides presenting the application, this site collects early-family programme signups and pricing-interest submissions. The programme form may store your email, language, number of children, approximate age ranges, activity categories, and answers about youth football, Android testing and working-parent status. The pricing form stores your email, selected plan and campaign source.

A separate research form about caring for an older parent, reached only through links to that research, stores your email, language, who you help care for, who else is involved, which things take the most organising, whether children live with you, how you see paying, and whether you would like to talk. Every answer is picked from a list; the form does not ask about that person’s health or diagnosis. We use the answers only for this research and to contact you about it, and delete them when it ends, at the latest after 12 months.

We use this only to select people for testing, to contact you about it, and to understand which channel produced a submission. We do not use addresses from these forms for the newsletter. The forms on this site do not ask for child names, medical documents or raw child-related messages.

Newsletter

This site lets you sign up for a newsletter: what is new in the app, at most once a month. We then store your email address, language, the version of the consent wording, the dates you signed up and confirmed, and whether the sign-up came from this site or from the link in the app. The legal basis is your consent (Article 6(1)(a) GDPR): a separate box, not ticked in advance, that using the app does not depend on.

A sign-up works only once you confirm it with the link in our email, because someone else may have typed the address. An unconfirmed address gets only that one message from us. After 30 days the link expires. We delete an unconfirmed address the next time the list is tidied — at the next sign-up or before a send — and send nothing to it until then. The messages are sent by Resend.

You can withdraw consent at any time with the "Unsubscribe" link in every newsletter, or by writing to the address below. Withdrawing does not affect the lawfulness of what was sent before. After you unsubscribe we keep the address with the dates you signed up and unsubscribed, so that we do not write again and can show when consent applied; on request we delete that too.

The newsletter and an app account are separate. An account does not sign you up, and we do not use addresses from accounts, the programme form, the pricing form or our studies for the newsletter. Deleting an account does not unsubscribe you, and unsubscribing changes nothing in the app.

Research with families who use the app

If you agree to take part in our study (a few conversations over about four weeks), we store your contact details, language, how you were invited, the date of your consent and our conversation notes. The notes contain no children’s names and no health information.

With your permission we also link your family’s Orbena id to the study, so we can count how you use the app — numbers of actions, not the content you save.

We keep this outside the app and use it only for this study and to contact you about it. We delete it when you leave the study, and otherwise when the study ends, at the latest 12 months after the first record. Data in the app itself stays in your account until you delete it.

Changes and contact

If we change how we process data, we will change this notice and its update date. The date at the top lets you check whether the notice matches the version of the application you have.

For data matters — access, correction, deletion, withdrawing consent — write to the address below.