Polityka prywatności

Ostatnia aktualizacja: 14 października 2026

W skrócie

• Bez konta, bez treści od nas. Tunvio to odtwarzacz. Twoje strumienie pochodzą bezpośrednio od dostawcy, którego sam wprowadziłeś.
• Nie prosimy o Twoje dane dostępowe. Nie prosimy o hasła, adresy dostawców ani nazwy kanałów i nie otrzymujemy ich umyślnie; teksty błędów są automatycznie filtrowane pod kątem adresów internetowych i danych dostępowych, co nie może być doskonałe (punkt 7). Przy informacjach o filmach i napisach nasze proxy widzi tylko identyfikator lub oczyszczony tytuł (punkt 8); same obrazy ładują się bezpośrednio z serwera obrazów TMDB (punkt 8). Jeśli korzystasz z synchronizacji urządzeń, Twoje profile trafiają do Twojego własnego miejsca przechowywania (punkt 10).
• To, co udostępniasz dobrowolnie, jest domyślnie wyłączone: dane użytkowania i raporty awarii, udostępniane znaczniki przeskoku, synchronizację urządzeń i parowanie urządzeń włączasz wyłącznie sam – i w każdej chwili możesz je z powrotem wyłączyć.
• Nasze własne usługi nie przechowują adresów IP i nie prowadzą dzienników dostępu (w sprawie serwera internetowego tunv.io patrz punkt 3).
• Płatności odbywają się przez sklep lub RevenueCat – danych płatniczych nigdy nie widzimy.

Szczegóły znajdziesz poniżej.

1. Administrator danych i charakter usługi

Administratorem danych aplikacji „Tunvio” w rozumieniu RODO jest operator projektu Tunvio wskazany w nocie prawnej (https://tunv.io/impressum) (dalej „my”). Kontakt w sprawach ochrony danych: support@tunv.io

Tunvio jest wyłącznie aplikacją do odtwarzania. Nie dostarczamy żadnych treści, nie hostujemy strumieni i nie prowadzimy usług medialnych. Każde połączenie IPTV prowadzi bezpośrednio do serwera, który sam wprowadziłeś jako profil (Xtream Codes, playlista M3U, bezpośredni adres URL strumienia lub portal Stalker). Informacje o Twojej odpowiedzialności przy wyborze źródła znajdziesz w Warunkach korzystania (https://tunv.io/terms-of-use).

2. Dane na Twoim urządzeniu

Tunvio przechowuje na Twoim urządzeniu następujące dane:

• profile z adresem URL serwera, nazwą użytkownika i hasłem Twojego dostawcy oraz opcjonalną nazwą profilu
• historię oglądania, ulubione, ustawienia i opcjonalny kod PIN kontroli rodzicielskiej dla każdego profilu
• miniatury i metadane TMDB jako pamięć podręczną (punkt 8)
• pobrane treści i nagrania, jeśli je utworzysz
• dla każdego profilu informację, w którym miejscu serialu przeskoczyłeś czołówkę lub napisy końcowe, aby aplikacja mogła tam zaproponować „Pomiń czołówkę” lub „Następny odcinek” – a jeśli włączyłeś udostępnianie, także jeszcze niewysłane zgłoszenia (punkt 8)
• anonimowy identyfikator zakupu przy zakupach w przeglądarce (punkt 5) oraz identyfikator gospodarstwa domowego i identyfikator urządzenia, gdy tylko sparujesz urządzenia (punkt 5.1)

Dane dostępowe, kod PIN kontroli rodzicielskiej, dane logowania do synchronizacji urządzeń i identyfikatory parowania znajdują się w zaszyfrowanym magazynie Twojego systemu operacyjnego; na telewizorach Samsung (Tizen), które nie oferują takiego magazynu, w wewnętrznej pamięci aplikacji. Historię i ulubione możesz usunąć w ustawieniach; odinstalowanie aplikacji usuwa wszystko.

Wyjątek: własny folder. Jeśli dla nagrań i pobranych treści wybierzesz własny folder (np. na karcie SD), pliki należą do tego folderu: pozostają po odinstalowaniu aplikacji, a zależnie od folderu i platformy mogą je odczytać inne aplikacje. Musisz je wtedy usunąć samodzielnie. W żadnym wypadku nie mamy dostępu do tych plików.

Tych danych nie otrzymujemy. Istnieją tylko dwa wyjątki, które włączasz sam: jeśli parujesz urządzenia, nasza usługa parowania przechowuje identyfikator gospodarstwa domowego i identyfikator urządzenia (punkt 5.1). Jeśli udostępniasz znaczniki przeskoku, zebrane zgłoszenia trafiają – bez powiązania z profilem czy dostawcą – do naszej usługi znaczników przeskoku (punkt 8). Jeśli korzystasz z synchronizacji urządzeń, profile, historia, ulubione i ustawienia trafiają do Twojego własnego miejsca przechowywania, a nie do nas (punkt 10).

3. Nasze własne serwery

Niektóre funkcje korzystają z serwerów, które prowadzimy sami: parowanie urządzeń (pair.tunv.io), zgłoszenia błędów (diag.tunv.io), metadane i znaczniki przeskoku (tmdb.tunv.io), napisy (subs.tunv.io) oraz sprawdzanie aktualizacji i dokumenty prawne (tunv.io).

• Lokalizacja: parowanie, zgłoszenia błędów, proxy metadanych i znaczniki przeskoku działają na naszych serwerach w Niemczech. Przy parowaniu, zgłoszeniach błędów i znacznikach przeskoku nie uczestniczy żaden podmiot przetwarzający i nie dochodzi do przekazania danych do państwa trzeciego.
• Brak przechowywania adresów IP: usługi parowania, zgłoszeń błędów, metadanych, znaczników przeskoku i napisów nie prowadzą dzienników dostępu. Twój adres IP jest potrzebny wyłącznie do przesłania zapytania; nie jest przechowywany, łączony z żadnym identyfikatorem ani przekazywany dalej.
• Serwer internetowy tunv.io (sprawdzanie aktualizacji, dokumenty prawne) jest zwykłym serwerem internetowym strony; może prowadzić zwykłe, krótkotrwałe zapisy dostępu (adres IP, czas, żądany plik). Aplikacja nie wysyła przy tych zapytaniach żadnego identyfikatora ani danych profilu.
• Ochrona przed nadużyciami: aby ograniczyć częstotliwość zapytań i przeciwdziałać zautomatyzowanym zapytaniom, przy parowaniu, metadanych, znacznikach przeskoku i napisach adres IP już przy odbiorze jest przekształcany w krótkotrwały pseudonim. Jego klucz istnieje wyłącznie w pamięci operacyjnej i jest regularnie wymieniany; potem pseudonimu nie da się już przypisać do żadnego adresu. Serwer diagnostyczny przechowuje w tym celu adres jedynie ulotnie w pamięci operacyjnej. Podstawą prawną jest nasz prawnie uzasadniony interes w bezpiecznym działaniu usług (art. 6 ust. 1 lit. f RODO, motyw 49).

4. Połączenia z Twoim dostawcą IPTV

Tunvio łączy się bezpośrednio z serwerem, który wprowadziłeś. Za to, jakie dane ten serwer przetwarza, odpowiada Twój dostawca, a nie my. Zapoznaj się z jego polityką prywatności.

Casting. Jeśli korzystasz z castingu na urządzenie Chromecast lub DLNA (tam, gdzie jest to oferowane), aplikacja przekazuje temu urządzeniu w Twojej sieci lokalnej adres strumienia – zawierający adres Twojego dostawcy, a w przypadku Xtream Twoje dane dostępowe; urządzenie samo pobiera następnie strumień od Twojego dostawcy. Jeśli na urządzeniu wyświetlany jest plakat, adres obrazu TMDB może zostać przekazany również, a urządzenie ładuje go wtedy bezpośrednio z image.tmdb.org (punkt 8). Nic z tego nie przechodzi przez nasze serwery.

4.1 Diagnostyka odtwarzania („Co jest nie tak?”)

Gdy odtwarzanie się zacina lub nie powiedzie, Tunvio automatycznie sprawdza przyczynę: za pomocą kilku krótkich zapytań testowych do serwera Twojego dostawcy (rozwiązywanie nazwy, nawiązanie połączenia, połączenie szyfrowane, krótkie pobranie strumienia, a w przypadku Xtream i Stalker wywołanie interfejsu konta z Twoimi zapisanymi danymi dostępowymi) – czyli tych samych połączeń co podczas odtwarzania. Ponadto aplikacja odczytuje na Twoim urządzeniu, czy aktywny jest VPN lub aplikacja filtrująca, czy sieć zgłasza połączenie z internetem oraz czy ustawiony jest prywatny DNS. Wynik pozostaje na Twoim urządzeniu, chyba że wyślesz go wraz ze zgłoszeniem błędu (punkt 7.1).

„Sprawdź dokładniej”. Tylko jeśli to dotkniesz (i nie jest aktywny prywatny DNS), Tunvio pyta przez połączenie szyfrowane Cloudflare, a zastępczo Google Public DNS, czy nazwa serwera Twojego dostawcy jest znana. Przesyłana jest wyłącznie ta nazwa serwera – bez danych dostępowych, bez ścieżki, bez identyfikatora urządzenia; jak przy każdym połączeniu, usługa widzi przy tym Twój adres IP. Wynik pozostaje na Twoim urządzeniu, chyba że wyślesz go wraz ze zgłoszeniem błędu (punkt 7.1). Podstawą prawną jest Twoje żądanie (art. 6 ust. 1 lit. b lub lit. f RODO). Zastosowanie mają informacje o ochronie prywatności Cloudflare (cloudflare.com/privacypolicy) lub Google (policies.google.com/privacy); możliwe jest przekazanie danych do USA.

5. Zakupy i subskrypcje

Funkcje premium są opcjonalne. Tam, gdzie nic nie jest sprzedawane (np. na telewizorach Samsung), nie są w tym celu przekazywane żadne dane.

• Zakup przez sklep: jeśli Twoja aplikacja pochodzi z Apple App Store, Google Play lub Amazon Appstore, płatność obsługuje sklep.
• Zakup w przeglądarce: w wersjach spoza sklepu (np. na komputery) aplikacja otwiera stronę płatności RevenueCat, Inc.; to, co tam wpiszesz, otrzymują RevenueCat i jego dostawca usług płatniczych, który obsługuje płatność.
• W obu przypadkach nie otrzymujemy ani nie przechowujemy danych płatniczych.
• Zarządzanie subskrypcjami: aby sprawdzić, czy zakup jest aktywny, korzystamy z RevenueCat, Inc. (USA). RevenueCat otrzymuje od aplikacji anonimowy, losowo wygenerowany identyfikator użytkownika oraz potwierdzenia zakupu z wykorzystanej drogi zakupu – bez imion i nazwisk i bez danych płatniczych; Twój adres e-mail wyłącznie do wstępnego wypełnienia strony płatności (patrz niżej). Informacja o ochronie prywatności: https://www.revenuecat.com/privacy
• Przywracanie zakupu z przeglądarki: ponieważ nie ma konta, zakup dokonany w przeglądarce przywracasz na innym urządzeniu za pomocą adresu e-mail użytego przy zakupie. Aplikacja przekształca go na Twoim urządzeniu w wyprowadzony identyfikator (skrót); tylko on służy do sprawdzenia i pozostaje na urządzeniu. Sam adres nie jest trwale przechowywany. Jeśli następnie ponownie otworzysz stronę płatności, adres zostanie tam wstępnie wpisany.

Podstawą prawną jest wykonanie umowy (art. 6 ust. 1 lit. b RODO).

5.1 Premium na wielu urządzeniach (parowanie urządzeń)

Jeśli kupiłeś Premium, możesz korzystać z niego na kolejnych urządzeniach: opłacone urządzenie wyświetla ośmiocyfrowy kod, który wpisujesz na drugim urządzeniu. Oba należą wtedy do jednego gospodarstwa domowego (najwyżej siedem urządzeń) ze wspólną, losowo wygenerowaną tożsamością zakupu. Odbywa się to przez naszą usługę pair.tunv.io (punkt 3). Aplikacja kontaktuje się z nią wyłącznie wtedy, gdy wyświetlasz kod lub go wpisujesz – nigdy automatycznie ani w tle.

Dla każdego gospodarstwa domowego przechowywane są wyłącznie: losowy, generowany przez aplikację identyfikator urządzenia dla każdego urządzenia (nie identyfikator systemu operacyjnego, identyfikator reklamowy, numer seryjny ani adres MAC), model urządzenia jako nazwa wyświetlana (np. „Pixel 8”, a w przeciwnym razie rodzaj urządzenia, np. „Samsung TV”), moment sparowania, losowy identyfikator gospodarstwa domowego, moment powstania gospodarstwa domowego, informacja, czy kiedykolwiek wykorzystano kod, oraz dzienny licznik żądanych kodów. Sam kod jest ważny 10 minut, a następnie zostaje usunięty; z chwilą wykorzystania jest natychmiast zużyty.

To jedyny z naszych własnych serwerów, który przechowuje trwały identyfikator urządzenia – inaczej nie da się zbudować listy urządzeń, z której możesz usuwać urządzenia.

Nie są przechowywane: adres IP, adres e-mail, imię i nazwisko ani konto; nic o Twoich zakupach (przy żądaniu kodu aplikacja przesyła swoją tożsamość zakupu, aby można było rozpoznać istniejące gospodarstwo domowe; anonimowy identyfikator pojedynczej instalacji jest przy tym odrzucany, a uprawnienia nie są sprawdzane); nic o profilach, dostawcach, kanałach ani tytułach. W dziennikach usługi nie ma kodów ani identyfikatorów.

RevenueCat po sparowaniu: identyfikator użytkownika z punktu 5 jest wtedy taki sam dla wszystkich urządzeń gospodarstwa domowego – jest nim losowy identyfikator gospodarstwa domowego.

Okres przechowywania i usuwanie: sparowane urządzenie pozostaje zapisane, dopóki go nie usuniesz – bez automatycznego wygasania. W Ustawienia → Premium widzisz wszystkie urządzenia swojego gospodarstwa domowego i możesz usunąć każde z nich; wpis jest natychmiast usuwany, a wraz z ostatnim urządzeniem także gospodarstwo domowe. Jeśli usuniesz własne urządzenie, otrzymuje ono z powrotem własną tożsamość zakupu. Jedyny wyjątek od braku wygasania: próba parowania, w której nigdy nie wykorzystano kodu, jest usuwana po 30 dniach.

Podstawą prawną jest Twoja zgoda (art. 6 ust. 1 lit. a RODO), której udzielasz, wyświetlając lub wpisując kod, i którą wycofujesz, usuwając urządzenie.

6. Firebase (Google) – analityka i raporty o awariach

Tylko na Androidzie i iOS Tunvio korzysta z Firebase firmy Google Ireland Ltd. / Google LLC – i wyłącznie za Twoją zgodą. Obie usługi są domyślnie wyłączone; przy pierwszym uruchomieniu pytamy Cię o zgodę, a jeśli odmówisz, najwyżej jeszcze jeden raz.

• Firebase Analytics: pseudonimowe statystyki użytkowania (np. wyświetlone ekrany, wersja urządzenia i aplikacji, przybliżony region), analizowane za pomocą pseudonimowego identyfikatora w celu ulepszania aplikacji.
• Firebase Crashlytics: raporty o awariach i błędach (dane techniczne o tym, w którym miejscu programu wystąpił błąd, wersja urządzenia i aplikacji) w celu usuwania awarii.

Do tych zgłoszeń nie dodajemy danych dostępowych, haseł, nazw profili ani adresów odtwarzania. Teksty błędów wytworzone przez system lub przez używane biblioteki są przekazywane do Crashlytics w takiej postaci, w jakiej są, i nie są przez nas filtrowane; mogą zawierać adres serwera lub adres internetowy. Zgłoszenie awarii zawiera też krótki opis stanu: fazę synchronizacji, zużycie pamięci i najdłuższe zawieszenie, rodzaj profilu, klasy wielkości katalogu oraz postęp wyszukiwania metadanych w krokach co 10 %. Możliwe jest przekazanie danych do USA; Google opiera je na standardowych klauzulach umownych UE. Informacja o ochronie prywatności: https://policies.google.com/privacy

Podstawą prawną jest Twoja zgoda (art. 6 ust. 1 lit. a RODO, § 25 ust. 1 TDDDG). Możesz ją w każdej chwili wycofać ze skutkiem natychmiastowym w Ustawienia → Dane i pamięć → „Dane użytkowania i raporty awarii”.

7. Własne zgłoszenia błędów (diag.tunv.io)

Ten sam przełącznik „Dane użytkowania i raporty awarii” steruje automatycznymi zgłoszeniami błędów do naszego serwera diagnostycznego (punkt 3). Działają one na wszystkich platformach, także na telewizorach i komputerach. Bez Twojej zgody nic nie jest wysyłane.

Celem jest wyłącznie usuwanie błędów: wykrywanie ich, grupowanie jednakowych, usuwanie i sprawdzanie, czy poprawka działa. Bez analizy korzystania, bez profilowania, bez reklam.

Przesyłane są wyłącznie:

• rodzaj i klasa błędu (np. błąd odtwarzania, logowania lub synchronizacji, awaria, zawieszony interfejs; przekroczenie limitu czasu, błąd dekodera, limit połączeń; ewentualnie kod statusu HTTP jako liczba)
• okoliczności techniczne: silnik odtwarzania i etap dekodowania, rodzaj lub zakres treści (na żywo, film, serial, przewodnik programów, pobieranie; przy błędach synchronizacji, Cast i eksportu także rodzaj celu lub przyczyny, na przykład wybrane miejsce przechowywania synchronizacji), rodzaj profilu (nie dostawca), a w profilach połączonych informacja, czy dotknięte było jedno, kilka czy wszystkie źródła
• wersja i rodzaj kompilacji aplikacji, platforma, główna wersja systemu operacyjnego, model urządzenia, język i ustawienie regionu oraz pamięć urządzenia jako zgrubny stopień
• przy zawieszeniach i niektórych błędach odtwarzania: jak intensywnie aplikacja była zajęta naciśnięciami klawiszy w sekundach poprzedzających (zgrubny poziom: niski, średni lub wysoki) oraz jaki rodzaj wewnętrznego zadania w tle był wykonywany (na przykład odczyt katalogu lub przewodnika programów) – tylko rodzaj zadania, nigdy plik, adres, profil ani liczba
• po twardym przerwaniu poprzedniej sesji jego rodzaj w nazewnictwie systemu operacyjnego (np. „nie odpowiada”); jeśli system nie mógł go nazwać – dlaczego nie (brak dostępnego zapisu lub brak zapisu, który by pasował) oraz zgrubna klasa czasu (minuty, godziny lub dni) między ostatnią oznaką działania a najbliższym zapisem systemu
• przy powolnym lub nieudanym starcie aplikacji: który etap startu był najwolniejszy lub się nie powiódł (stała nazwa wewnętrzna) i ile milisekund trwał start; gdy otwiera się start w trybie bezpiecznym – jak został wywołany oraz niewielkie liczniki ostatnich niedokończonych startów
• przy awariach i zawieszeniach zakończonych przez system dane techniczne o tym, w którym miejscu programu wystąpił błąd, wraz z oczyszczonym komunikatem błędu i nazwą ekranu aplikacji (np. „odtwarzacz” – nigdy treść). Przy awariach pamięci i połączeń komunikat zawiera ponadto krótki wiersz stanu: fazę synchronizacji, zużycie pamięci przez aplikację w megabajtach, rodzaj profilu (nigdy liczbę źródeł), najdłuższe zawieszenie w milisekundach, postęp wyszukiwania metadanych w krokach co 10 % oraz tylko klasy wielkości katalogu i tego wyszukiwania (na przykład „od 3 000 do 10 000 pozycji”) – nigdy dokładne liczby
• czas zdarzenia odczytany z zegara urządzenia (służy do zachowania kolejności zgłoszeń oczekujących w kolejce; jest zapisywany wraz ze zgłoszeniem)
• identyfikator dzienny, losowany na nowo każdego dnia. Łączy zgłoszenia z tego samego dnia; na przestrzeni dni urządzenia nie da się rozpoznać. Identyfikator urządzenia ani instalacji nie istnieje.

Z założenia nie są zbierane: nazwy kanałów, filmów i seriali, wyszukiwane hasła, nazwy profili i użytkowników, hasła i inne dane dostępowe, adresy MAC oraz numery seryjne. Swobodny tekst błędu jest filtrowany wyłącznie pod kątem adresów i danych dostępowych. Adresy: adresy internetowe, adresy IP i ciągi znaków wyglądające jak dane dostępowe są przed wysłaniem maskowane na urządzeniu, a nasz serwer w drugim przebiegu, który nie potrafi rozpoznać każdej nazwy serwera, usuwa nazwy serwerów zapisane bez adresu (punkt 7.1). Adresy odtwarzania i serwera są zatem maskowane na urządzeniu i usuwane na serwerze w zakresie, w jakim można je rozpoznać.

Podstawą prawną jest Twoja zgoda (art. 6 ust. 1 lit. a RODO, § 25 ust. 1 TDDDG), którą możesz wycofać jak w punkcie 6. Okres przechowywania: pojedyncze zgłoszenia są usuwane po 90 dniach; potem pozostają tylko zagregowane liczby dla danego wzorca błędu (liczba wystąpień, pierwsze i ostatnie wystąpienie, dotknięte wersje) bez powiązania ze zgłoszeniem ani urządzeniem. W sprawie dostępu i usunięcia patrz punkt 12.

7.1 Zgłoszenie błędu wysłane przez Ciebie

W Ustawienia → „Zgłoś problem” albo w odtwarzaczu przez „Co jest nie tak?” → „Zgłoś problem” możesz sam wysłać zgłoszenie. Opuszcza ono Twoje urządzenie tylko wtedy, gdy je wyślesz – nie jest buforowane ani wysyłane później – i nie zależy od przełącznika „Dane użytkowania i raporty awarii”. Okno wysyłki proponuje Ci włączenie automatycznych zgłoszeń – dobrowolnie i bez wstępnego zaznaczenia.

Przesyłane są: Twój tekst, techniczny dziennik Twojej sesji wraz z ostatnimi błędami programu (możesz go wcześniej obejrzeć w „Co zostanie wysłane?”), rodzaj problemu, wersja aplikacji, rodzaj kompilacji, platforma, główna wersja systemu operacyjnego, model urządzenia, język i ustawienie regionu, silnik odtwarzania, rodzaj profilu, informacja, czy Premium jest aktywne, czas zgłoszenia odczytany z zegara urządzenia – a przy zgłoszeniu z odtwarzacza wynik diagnostyki z punktu 4.1 w postaci krótkich wartości, bez nazw serwerów, adresów IP i danych dostępowych.

Tekst i dziennik są przed wysłaniem automatycznie maskowane na urządzeniu: adresy internetowe (wszystko ze schematem, takim jak https://), adresy IPv4, adresy e-mail oraz ciągi znaków wyglądające jak dane dostępowe (takie jak password=… lub user:pass@host). Nasz serwer powtarza to i usuwa także nazwy serwerów zapisane bez adresu – w drugim przebiegu, który nie potrafi rozpoznać każdej nazwy serwera. Mimo to nie wpisuj haseł w swoim tekście – w zwykłym zdaniu czyszczenie ich nie rozpozna.

Zgłoszenie nie zawiera identyfikatora, który łączyłby je z Twoim urządzeniem, a jedynie losowy numer referencyjny, który zostaje Ci wyświetlony. Podając go, możesz pod adresem support@tunv.io zażądać dostępu do danych lub ich usunięcia. Podstawą prawną jest Twoja zgoda wyrażona przez wysłanie (art. 6 ust. 1 lit. a RODO). Okres przechowywania: 90 dni.

8. Metadane i obrazy (TMDB)

Tunvio uzupełnia filmy i seriale o opisy, oceny, loga, plakaty i klasyfikacje wiekowe z The Movie Database (TMDB). Należy to do sposobu prezentowania katalogu i nie ma własnego przełącznika; zbuforowane metadane możesz usunąć w Ustawienia → Dane i pamięć.

Opisy, oceny i adresy obrazów są pobierane przez nasze proxy tmdb.tunv.io (punkt 3), a nie bezpośrednio z TMDB. Przesyłane jest tylko to, czego potrzebuje zapytanie: przy wyszukiwaniu oczyszczony tytuł i ewentualnie rok wydania, w pozostałych przypadkach identyfikator TMDB, a przy sezonach numer sezonu; każde zapytanie zawiera ponadto język aplikacji, a przy dostępności w usługach streamingowych region Twojego urządzenia. To, który odcinek oglądasz i jak długo on trwa, nie jest przesyłane, podobnie jak dane profilu, dane dostępowe czy dane odtwarzania. Wyniki są buforowane na proxy i na Twoim urządzeniu.

Same pliki obrazów pochodzą bezpośrednio z TMDB. Plakaty, tła, loga tytułów, kadry z odcinków, loga usług streamingowych oraz zdjęcia obsady i ekipy są ładowane przez Twoje urządzenie z serwera obrazów TMDB image.tmdb.org, a nie przez nasze proxy. TMDB otrzymuje zatem Twój adres IP, User-Agent wysyłany przez Twoje urządzenie (ten, który ustawiono dla Twojego aktywnego profilu – domyślnie ogólny ciąg znaków odtwarzacza multimediów) oraz ścieżkę pliku żądanego obrazu, która identyfikuje dany plakat lub zdjęcie – na tej podstawie i na podstawie Twojego adresu IP TMDB może rozpoznać, jakie tytuły są wyświetlane – ale nie dane dostępowe, dane profilu ani dane odtwarzania. Dzieje się tak za każdym razem, gdy obraz nie jest (lub nie jest już) zapisany na Twoim urządzeniu (obrazy w pamięci podręcznej są przechowywane przez około tydzień), gdy tylko proxy zwróci adres obrazu dla danego tytułu; podobnie jak metadane, nie ma to własnego przełącznika. To, co TMDB robi z tymi danymi, reguluje jego własna polityka prywatności, na którą nie mamy wpływu.

Zwiastuny. Jeśli dotkniesz zwiastuna (nie na telewizorach Samsung), aplikacja otwiera aplikację YouTube lub przeglądarkę. To Twoje działanie poza Tunvio; od tej chwili obowiązuje polityka prywatności YouTube (Google), a adres filmu jest przekazywany YouTube.

Pobieranie udostępnianych znaczników przeskoku. Podczas odtwarzania odcinka serialu Tunvio pyta przez to samo proxy, czy inni widzowie przekazali dla tego sezonu znaczniki czołówki i napisów końcowych (patrz niżej). Przesyłane są tylko identyfikator TMDB i numer sezonu – nie odcinek, czas trwania ani tytuł; właściwy odcinek aplikacja wybiera na Twoim urządzeniu. Proponowany jest przycisk, nigdy automatyczny przeskok.

Podstawą prawną tego wszystkiego jest nasz prawnie uzasadniony interes w wygodnym wyświetlaniu i odtwarzaniu (art. 6 ust. 1 lit. f RODO). Możesz wnieść sprzeciw (art. 21 RODO): wobec zapytań o metadane i obrazy przez support@tunv.io, wobec pobierania znaczników przeskoku za pomocą przełącznika „Pokazuj udostępniane znaczniki przeskoku” w Ustawienia → Dane i pamięć. Samo TMDB podlega własnym warunkom (https://www.themoviedb.org/privacy-policy); nie jesteśmy powiązani z TMDB.

Napisy online przez proxy Tunvio (OpenSubtitles)

Jeśli wyszukujesz napisy online (lub włączysz automatyczne pobieranie – domyślnie wyłączone), zapytanie przechodzi przez nasze proxy subs.tunv.io (punkt 3). Przesyłane są tylko identyfikator TMDB lub IMDB tytułu – albo zastępczo oczyszczony tytuł, rok, numer sezonu i odcinka – oraz żądane języki; bez danych profilu, danych dostępowych ani danych odtwarzania. Proxy odpytuje OpenSubtitles przy użyciu naszego dostępu, więc nie potrzebujesz własnego konta; napisy są buforowane na proxy i na Twoim urządzeniu. Podstawą prawną jest nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO). OpenSubtitles podlega własnej polityce prywatności (https://www.opensubtitles.com); nie jesteśmy powiązani z OpenSubtitles.

Udostępniane znaczniki przeskoku (opcjonalnie)

Możesz dobrowolnie przyczyniać się do udostępnianych znaczników przeskoku: gdy przeskoczysz czołówkę lub w trakcie napisów końcowych przejdziesz do następnego odcinka, Tunvio wysyła to miejsce, bez odniesienia do Twojej osoby, do naszej usługi tmdb.tunv.io/skip, którą sami prowadzimy w Niemczech.

Tylko za zgodą. Udostępnianie jest domyślnie wyłączone i nie zależy od przełącznika „Dane użytkowania i raporty awarii”. Gdy po raz pierwszy przeskoczysz czołówkę, aplikacja zapyta Cię małym komunikatem; jeśli nie odpowiesz, udostępnianie pozostaje wyłączone, a po trzech komunikatach bez odpowiedzi aplikacja przestaje pytać. Zgoda obowiązuje tylko na tym urządzeniu i nie jest przenoszona przez synchronizację urządzeń.

Dla każdego zgłoszenia przesyłane są wyłącznie: rodzaj (czołówka lub napisy końcowe), identyfikator TMDB serialu, numer sezonu i odcinka, czas trwania odcinka i miejsce przeskoku (przy czołówce pozycja, z której przeskoczyłeś, i pozycja, w której wylądowałeś; przy napisach końcowych pozycja przejścia), każde zaokrąglone do pełnych sekund.

Nie są przesyłane: tytuły, dostawca, profile, moment oglądania ani żaden identyfikator urządzenia, instalacji czy identyfikator dzienny. Przeskoki za pomocą już udostępnionych znaczników nie są odsyłane.

Zbiorczo, a nie od razu. Zgłoszenia są gromadzone na Twoim urządzeniu (dla każdego odcinka i rodzaju tylko najnowsze) i wysyłane najwyżej raz dziennie.

Adres IP. Nie jest przechowywany (punkt 3). Aby jedno urządzenie było liczone tylko raz na odcinek i dzień, do najbliższej wymiany klucza dodatkowo przechowywana jest zaszyfrowana wartość utworzona z pseudonimu i odcinka, a następnie jest ona odrzucana. Ani adres, ani pseudonim nie są zapisywane przy zgłoszeniu (prawnie uzasadniony interes, art. 6 ust. 1 lit. f RODO).

Przechowywanie i publikacja. Przechowywane są wymienione wartości oraz dzień otrzymania (bez godziny). Znacznik jest pokazywany innym dopiero wtedy, gdy zgadza się kilka niezależnych zgłoszeń z różnych dni – i wtedy tylko jako wartość środkowa (mediana) wraz z liczbą zgłoszeń, nigdy jako pojedyncze zgłoszenie. Pojedyncze zgłoszenia są całkowicie usuwane po 180 dniach. Pozostaje tylko już opublikowany znacznik jako mediana z liczbą zgłoszeń i dni otrzymania; jeśli później wystarczająco dużo nowych zgłoszeń mu przeczy, on również zostaje usunięty.

Podstawą prawną jest Twoja zgoda (art. 6 ust. 1 lit. a RODO, § 25 ust. 1 TDDDG). Możesz ją w każdej chwili wycofać w Ustawienia → Dane i pamięć → „Udostępniaj znaczniki przeskoku”; od tej chwili nic nie jest wysyłane, a jeszcze niewysłane zgłoszenia są usuwane. Nie wpływa to na pobieranie udostępnianych znaczników. Wysłane zgłoszenia nie zawierają identyfikatora, dlatego nie możemy przypisać ich do Ciebie, udzielić o nich informacji ani usunąć ich pojedynczo (art. 11 RODO, patrz punkt 12).

9. Sprawdzanie aktualizacji (tunv.io)

Na Androidzie i iOS Tunvio przy uruchomieniu i przy ręcznym sprawdzeniu pobiera plik konfiguracyjny z https://tunv.io/app/config.json (punkt 3). Zawiera on wyłącznie informacje o aplikacji: aktualną i minimalną obsługiwaną wersję oraz adresy pobierania lub adresy sklepów. Informacje o Twoich profilach, Twoim dostawcy czy treściach nie są przesyłane; w sprawie adresu IP patrz punkt 3. Podstawą prawną jest nasz prawnie uzasadniony interes w bezpiecznej, aktualnej aplikacji (art. 6 ust. 1 lit. f RODO).

Jeśli aktualizacje instalujesz samodzielnie na Androidzie poza sklepem, aplikacja może pobrać plik instalacyjny z adresu podanego w tym pliku konfiguracyjnym; ten serwer otrzymuje wtedy Twój adres IP i zwykłe dane zapytania.

Dokumenty prawne. Gdy otwierasz w aplikacji politykę prywatności, warunki korzystania, notę prawną lub deklarację dostępności, Tunvio próbuje na wszystkich platformach załadować aktualną wersję z https://tunv.io/legal/ (limit czasu sześć sekund); jeśli to się nie powiedzie, wyświetlana jest kopia dołączona do aplikacji. Wysyłane jest wyłącznie zapytanie o plik – bez informacji o profilach ani treściach; w sprawie adresu IP patrz punkt 3. Podstawą prawną jest nasz prawnie uzasadniony interes w wyświetlaniu aktualnego tekstu (art. 6 ust. 1 lit. f RODO).

10. Synchronizacja urządzeń (iCloud / Google Drive / OneDrive / WebDAV)

Opcjonalnie Tunvio synchronizuje profile, ulubione, historię i ustawienia między Twoimi urządzeniami. Funkcja jest domyślnie wyłączona; łączysz ją w Ustawienia → Synchronizacja urządzeń i wybierasz, które kategorie są synchronizowane. Nie prowadzimy serwera synchronizacji i nigdy nie otrzymujemy tych danych – trafiają one bezpośrednio do wybranego przez Ciebie miejsca przechowywania:

• iCloud (iOS) lub Google Drive (Android): w prywatnym obszarze aplikacji na Twoim własnym koncie, którego inne aplikacje nie mogą odczytać.
• Microsoft OneDrive: logujesz się bezpośrednio u Microsoftu za pomocą kodu urządzenia; hasła nie wpisujesz w aplikacji. Microsoft prosi przy tym o dostęp do Twoich plików w OneDrive – wymaga tego Microsoft, aby aplikacja mogła utworzyć własny folder; używany jest tylko ten folder. Dostęp możesz wycofać na account.live.com/consent/Manage.
• WebDAV: wybrany przez Ciebie serwer, np. własna Nextcloud lub NAS. Adres i dane logowania pozostają na Twoim urządzeniu (punkt 2).

Synchronizowane są też Twoje profile (adres URL serwera, nazwa użytkownika) oraz kod PIN kontroli rodzicielskiej. Hasła Twoich kont IPTV nie są przesyłane; na nowym urządzeniu wpisujesz je jednorazowo. W profilach M3U, z bezpośrednim adresem URL i Stalker dane dostępowe stanowią jednak część samego adresu (adresu URL playlisty lub adresu MAC) i dlatego wędrują razem z profilem.

Po rozłączeniu plik synchronizacji pozostaje w Twoim miejscu przechowywania, dopóki go nie usuniesz (iCloud: Ustawienia → Twoje imię → iCloud → Zarządzaj miejscem; Google Drive: Ustawienia → Zarządzaj aplikacjami → usuń ukryte dane aplikacji; OneDrive: usuń folder aplikacji; WebDAV: usuń plik na swoim serwerze).

Podstawą prawną jest Twoja zgoda (art. 6 ust. 1 lit. a RODO), udzielana przez połączenie i wycofywana przez rozłączenie. Zastosowanie mają polityki prywatności Apple (https://www.apple.com/legal/privacy), Google (https://policies.google.com/privacy) i Microsoftu (https://privacy.microsoft.com/privacystatement) lub warunki podmiotu prowadzącego Twój serwer WebDAV.

Synchronizacja w sieci domowej (LAN)

Dodatkowo lub alternatywnie urządzenia synchronizują dane bezpośrednio w sieci lokalnej – także telewizory bez synchronizacji w chmurze. Ta funkcja również jest domyślnie wyłączona: jednorazowo parujesz urządzenia sześciocyfrowym kodem PIN, a następnie wymieniają one dane bezpośrednio, z szyfrowaniem end-to-end; klucz znajduje się wyłącznie na Twoich urządzeniach. Ponieważ nie uczestniczy w tym żadna obca pamięć, tą drogą przesyłane są także hasła. Bez serwera, bez połączenia z internetem, bez osób trzecich. Podstawą prawną jest Twoja zgoda (art. 6 ust. 1 lit. a RODO), którą możesz wycofać, rozłączając parowanie lub wyłączając funkcję.

11. Odbiorcy w skrócie

12. Twoje prawa

Na mocy RODO przysługuje Ci prawo dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych i sprzeciwu, a także prawo do wniesienia skargi do organu nadzorczego ds. ochrony danych. W tym celu skontaktuj się z support@tunv.io. Zgody możesz w każdej chwili wycofać ze skutkiem na przyszłość bezpośrednio w ustawieniach; dane lokalne usuwasz sam w ustawieniach lub przez odinstalowanie aplikacji.

Prawo sprzeciwu (art. 21 RODO). W zakresie, w jakim przetwarzamy dane na podstawie naszego prawnie uzasadnionego interesu (punkty 3, 4.1, 8 i 9), możesz w każdej chwili wnieść sprzeciw z przyczyn związanych z Twoją szczególną sytuacją – e-mailem na support@tunv.io. W przypadku pobierania udostępnianych znaczników przeskoku wystarczy przełącznik „Pokazuj udostępniane znaczniki przeskoku”.

Dane, których nie możemy Ci przypisać (art. 11 RODO). Automatyczne zgłoszenia błędów (punkt 7) i udostępniane znaczniki przeskoku (punkt 8) celowo nie zawierają identyfikatora, za pomocą którego moglibyśmy przypisać je do osoby lub urządzenia. Nie możemy Cię w nich zidentyfikować, a prawa z art. 15–20 RODO w tym zakresie nie mają zastosowania – chyba że podasz dodatkowe informacje umożliwiające przypisanie (art. 11 ust. 2 RODO). Twoje prawo do wycofania zgody i prawo do wniesienia skargi pozostają nienaruszone. Inaczej jest w przypadku:

• zgłoszeń błędów wysłanych samodzielnie: za pomocą numeru referencyjnego odnajdujemy i usuwamy zgłoszenie (punkt 7.1).
• parowania urządzeń: również tam nie przechowujemy imienia i nazwiska ani konta, ale pełny stan swojego gospodarstwa domowego widzisz w Ustawienia → Premium i sam usuwasz tam wpisy (punkt 5.1).

13. Zmiany

Dostosowujemy niniejszą politykę, gdy aplikacja się zmienia. Aktualna wersja jest dostępna pod adresem https://tunv.io/privacy-policy oraz w aplikacji w Ustawienia → O aplikacji → Polityka prywatności.

---

Ta strona internetowa: statystyki odwiedzin

Ta sekcja dotyczy wyłącznie strony internetowej tunv.io, nie aplikacji. Sama aplikacja nie zawiera żadnych statystyk strony internetowej; to, co przetwarza, jest opisane powyżej.

Odwiedziny strony internetowej liczymy za pomocą Umami — oprogramowania statystycznego, które sami utrzymujemy na własnym serwerze (stats.tunv.io). Dane nie trafiają do żadnego usługodawcy.

• Co jest liczone: odwiedzona strona, strona, z której przychodzisz (referrer), przeglądarka, system operacyjny, typ urządzenia, rozmiar ekranu, język, kraj (ustalany na podstawie adresu IP) oraz kliknięcia przycisków pobierania (Google Play, APK).
• Czego nie ma: żadnych plików cookie, żadnych wpisów w pamięci Twojego urządzenia, żadnego zapisywania Twojego adresu IP, żadnego śledzenia między stronami internetowymi, żadnego przekazywania osobom trzecim. Przestrzegamy ustawienia „Do Not Track” w Twojej przeglądarce.
• Podstawa prawna: nasz prawnie uzasadniony interes w zrozumieniu, jak strona internetowa jest używana, i w jej ulepszaniu (art. 6 ust. 1 lit. f RODO). Ponieważ nie są używane ani pliki cookie, ani pamięć urządzenia, zgoda nie jest wymagana.
• Twój sprzeciw: możesz w każdej chwili wnieść sprzeciw wobec analizy — napisz do nas, korzystając z danych kontaktowych podanych w nocie prawnej, albo włącz w przeglądarce „Do Not Track”.
• Okres przechowywania: dane są usuwane, gdy tylko przestaną być potrzebne do tego celu.