Ochrana osobných údajov
Bonasea (app.bonasea.com a aplikácie Bonasea pre Android, iPhone a iPad) · platné od 26. októbra 2026
Tu je, aké údaje Bonasea spracúva, prečo, kto ich vidí a ako dlho ich držíme.
1. Prevádzkovateľ
Noosa s. r. o., Nevská 8392/6, 841 06 Bratislava, Slovenská republika, IČO 51212242. Kontakt vo veciach osobných údajov: noosa.sro@gmail.com. Podpora k aplikácii: support@bonasea.com. Zodpovednú osobu (DPO) sme neurčili.
2. Aké údaje spracúvame a prečo
| Údaje | Účel | Právny základ | Uchovanie |
|---|---|---|---|
| Účet: používateľské meno, e-mail, meno z prihlásenia cez Google alebo Apple, identifikátor poskytovateľa prihlásenia, hash hesla, verejné meno (ak si ho nastavíš), dátum vzniku a príznaky, ktoré nastavuje správca (napr. zákaz prispievať do komunity). Pri prihlásení cez Google, Apple alebo e-mailový kód ti používateľské meno vytvoríme z časti e-mailu pred @ – iným používateľom sa nikdy neukazuje. Pri Sign in with Apple uchovávame aj token od Apple, zašifrovaný, len aby sme ho vedeli pri zrušení účtu alebo odpojení Apple zrušiť. | vytvorenie účtu, prihlásenie, prepojenie spôsobov prihlásenia, obnova prístupu | plnenie zmluvy (poskytnutie služby) | do zrušenia účtu. Keď niektoré prihlásenie odpojíš, zapamätáme si ho (poskytovateľ a jeho identifikátor, pri e-maile adresa), aby sa k účtu samo znova nepripojilo – tiež do zrušenia účtu. |
| Obsah, ktorý vytvoríš: lode a ich parametre (aj poznámky), trasy a ich body, obľúbené miesta a domovská marína so súradnicami, užitočné kontakty (od verzie 4.6.6: meno, druh, telefón, e-mail, web, kanál VHF, poznámka a poloha, ak ju zadáš; vidíš ich len ty), notifikačné pravidlá, vlastné úpravy mapy, nastavenia (aj kotviacej stráže); odpoveď na vytvorenie trasy, lode, miesta, kontaktu, recenzie alebo spätnej väzby si server 24 hodín pamätá, aby opakované odoslanie pri slabom signáli nevytvorilo kópiu | fungovanie aplikácie (plánovanie, výhľad počasia, navigácia) | plnenie zmluvy | do vymazania tebou alebo do zrušenia účtu |
| Poloha zariadenia (GPS) počas navigácie, pri zistení polohy na mape a počas kotviacej stráže | zobrazenie polohy, kurzu, hĺbky pod loďou a vzdialenosti od pevniny, aktuálne podmienky a výhľad na zvyšok trasy, upozornenia pred cieľom, stráženie kotvy a nočná predpoveď na kotve | súhlas (povolenie polohy v zariadení; v aplikácii pre Android navyše samostatný súhlas so sledovaním na pozadí) | spracúva sa priebežne; počas plavby a kotviacej stráže beží v aplikácii pre Android služba na popredí, takže poloha sa sleduje aj so zhasnutou obrazovkou. Na server ide poloha len v dopyte, z ktorého server vypočíta odpoveď (napr. hĺbku, vzdialenosť od brehu, podmienky, výstrahy, pri zapnutí stráže polohu kotvy); do databázy sa z neho neukladá. Uloží sa len tak, ako to opisujú riadky o živom zdieľaní, o zázname plavby a o zázname kotviacej stráže. |
| Živé zdieľanie polohy (len keď ho sám zapneš) | odkaz, na ktorom rodina alebo posádka vidí, kde je loď | súhlas – vzniká až vytvorením odkazu | Kto má odkaz, vidí bez prihlásenia názov lode, jej poslednú polohu a čas. Na serveri je jeden riadok, ktorý sa prepisuje – posledná poloha, čas, názov lode a počet otvorení odkazu. Žiadna história sa neukladá, takže z odkazu sa nedá zistiť, kade loď išla. Platnosť si zvolíš (hodina, príchod do cieľa alebo koniec dňa), nikdy dlhšie ako 24 hodín. Riadok sa zmaže, keď zdieľanie zrušíš alebo zrušíš účet; po uplynutí platnosti odkaz hneď prestane fungovať a server riadok vymaže najneskôr do hodiny. Token odkazu sa do prístupového logu nezapisuje. |
| Zdieľanie trasy odkazom (len keď odkaz sám vytvoríš) | poslať trasu posádke alebo kamarátovi | plnenie zmluvy – odkaz vytváraš sám | Kto má odkaz, vidí názov trasy, jej body so súradnicami a tvoje verejné meno (pozri nižšie). Počítame, koľkokrát bol odkaz otvorený. Odkaz nemá obmedzenú platnosť: funguje, kým zdieľanie nezrušíš, trasu nezmažeš alebo nezrušíš účet. |
| Záznam plavby (stopa) a lodný denník – postupnosť polôh s časom, rýchlosťou a kurzom, zastávky, pri noci na kotve poloha kotvy a najväčší posun, podmienky z predpovede, ktoré appka počas plavby ukazovala, a to, čo dopíšeš: názov, posádka, poznámka, hodnotenie mora a plavby, palivo, motohodiny; od verzie 3.62 aj súhrn merania pohybu lode, od 3.76 merania vĺn v unášaní (pozri nižšie) a od 3.84 to, kde bol telefón počas plavby (v držiaku, položený voľne, vo vrecku, v ruke alebo „neviem“, ktoré sa uloží aj vtedy, keď odpovedať nechceš), na čo sa appka spýta pri uložení plavby | lodný denník: mapa preplávanej trasy, vzdialenosť, čas, export do GPX. Súhrnne, bez polôh a mien, porovnávame predpoveď s tvojím hodnotením a meraním, aby bol výpočet komfortu presnejší a aby sme vedeli, ktorá predpoveď vĺn je v ktorom regióne najpresnejšia; účty s vypnutými štatistikami sa do toho nezapočítavajú. | súhlas – nahrávanie sa dá kedykoľvek vypnúť v Nastavenia → Plavba, odoslanie na server je samostatný vedomý krok; porovnávanie predpovede: oprávnený záujem | V telefóne: každá plavba sa zaznamená automaticky, aby sa dala uložiť aj vtedy, keď na to pri vyplávaní zabudneš. Neuložené stopy sa samy mažú – predvolene po 30 dňoch, kratšie než 10 minút po 7; obidva časy si nastavíš. Na serveri: až keď plavbu sám uložíš do denníka. Potom tam zostane, kým ju nezmažeš ty alebo nezrušíš účet. Mená iných ľudí píš do poľa Posádka len s ich vedomím. |
| Záznam kotviacej stráže („čierna skrinka“, od verzie 4.1.0) – obsahuje presnú polohu: pri zapnutí stráže poloha kotvy, polomer kruhu, reťaz a hĺbka, ak si ich zadal, výsledok kontroly pred nocou a tvoje potvrdenie „Zapnúť aj tak“, skúška sirény, model zariadenia, verzia systému a aplikácie a časové pásmo; počas noci za každú minútu súhrn – počet polôh, najväčšia a posledná vzdialenosť lode od kotvy, presnosť GPS, stav batérie a nabíjania; a presne každé rozhodnutie a udalosť – drift, spustenie, stíšenie a koniec sirény a čím, strata a návrat GPS, spustenie, reštart alebo zastavenie služby, zmeny povolení, režimu Nerušiť a hlasitosti budíka, zlyhanie úložiska, vypnutie stráže a kým | časová os noci na kotve v tvojom lodnom denníku (čo stráž videla a robila); preukázať, čo stráž v noci robila, keď sa niečo pokazí – pri tvojej sťažnosti, v spore alebo pri nároku voči nám; odstraňovanie chýb stráže | plnenie zmluvy (časová os v lodnom denníku) a oprávnený záujem (preukazovanie, uplatňovanie a obhajoba právnych nárokov; spoľahlivosť stráže) | Zapisuje sa v telefóne počas stráže a sám sa nahrá na server k tvojmu účtu, keď je telefón online (aj počas noci). Samostatný prepínač nemá: ak nechceš, aby záznam vznikal, stráž nezapínaj – appka to povie pri zapnutí. Na serveri sa drží 90 dní od noci (noc nahratá neskôr 90 dní od nahratia), potom sa sám zmaže; pri zrušení účtu hneď. Okrem teba ho môže otvoriť len správca, vždy so záznamom v audite konzoly. Je súčasťou kópie tvojich údajov. Z telefónu sa maže, keď server potvrdí, že má všetko, a pri odhlásení. Ak namietneš proti spracúvaniu na základe oprávneného záujmu, záznam, ktorý už existuje, ponecháme do uplynutia 90 dní len vtedy, keď ho potrebujeme na preukázanie alebo obhajobu právneho nároku. Záznam plavby nenahrádza: plná stopa noci na kotve sa na server dostane, len keď noc uložíš do lodného denníka, ako doteraz. |
| Meranie pohybu lode senzormi telefónu (akcelerometer, gyroskop) počas navigácie do cieľa | objektívne porovnať predpoveď s tým, ako more loďou naozaj hádzalo | oprávnený záujem; vypneš ho prepínačom Štatistiky používania v Nastavenia → Dáta – vtedy appka nemeria | Surové vzorky zo senzorov spracúva telefón a na server ich nikdy neposiela. Z 20-sekundových úsekov vypočíta súhrnné čísla (zvislé zrýchlenie, údery za minútu, špičky, perióda, náklon, pokrytie) a tie sa na server dostanú len ako súčasť záznamu plavby, ktorý sám uložíš; zostávajú s ním. Výnimka: u správcu a u účtov, ktorým správca sprístupní obrazovku Pohyb lode (testovanie), appka meria aj pri vypnutých štatistikách a meranie ukladá v telefóne; z telefónu odíde, len keď ho vyexportujú. Na obrazovke Pohyb lode sa dá odmerať aj výška a perióda vĺn, keď loď unáša s vypnutým motorom: telefón vtedy pošle na server svoju polohu, aby k meraniu pridal, čo pre to miesto a hodinu hovorí predpoveď, a výsledok (výška a perióda vĺn, poloha, predpoveď) uloží v telefóne; keď sa plavba práve nahráva, ide aj do jej záznamu a na server sa dostane, až keď plavbu uložíš. Súhrnne, bez polôh a mien, ho porovnávame s predpoveďou vĺn. Na meranie presnosti predpovedí vĺn sa merania z uložených plavieb používajú len v súhrnoch za región a deň, z meraní aspoň dvoch účtov, nikdy po účtoch: ukladá sa len počet porovnaní, súčty odchýlok každého modelu v regióne za deň a koľko z porovnaní bolo z telefónu v držiaku, položeného voľne, vo vrecku, v ruke alebo bez údaja (400 dní), nie meranie, poloha ani účet; účty s vypnutými štatistikami sa do toho nezapočítavajú. |
| Komunita: miesta, ktoré pridáš (druh, názov, poloha), recenzie (hviezdičky, text, vlastnosti miesta, mesiac návštevy, jazyk, voľba „bez mena“), fotky, nahlásenia (dôvod a poznámka) a autori, ktorých si skryješ | zdieľanie odporúčaní s ostatnými kapitánmi; moderovanie podľa Podmienok používania a pravidiel obchodov s aplikáciami | plnenie zmluvy (príspevky zverejňuješ sám); nahlasovanie a moderovanie: oprávnený záujem | Recenzie a schválené fotky vidia ostatní prihlásení používatelia; pri recenzii je tvoje verejné meno, ak ju nezverejníš bez mena. Text recenzie sa zobrazí hneď, fotka až po schválení správcom; fotky sa zmenšia a prekódujú a odstránia sa z nich údaje EXIF vrátane polohy GPS. Dve nahlásenia (pri mieste tri) od účtov starších ako deň, nie od autora obsahu, ho automaticky skryjú, kým ho neposúdi správca; ten istý obsah môžeš nahlásiť znova, keď správca o tvojom nahlásení rozhodne. Kto nahlasoval, vidí len správca. Recenzie, fotky, nahlásenia a skrytia zostávajú, kým ich nezmažeš alebo nezrušíš účet (pri zmazanej recenzii sa text a fotky vymažú hneď a zostane len neviditeľný technický záznam s hviezdičkami a dátumom, ktorý zanikne so zrušením účtu). Miesta, ktoré si pridal, zostanú aj po zrušení účtu, bez údaju o tom, kto ich pridal. |
| Hlásenia chýb: keď v appke nastane chyba – text chyby a jej technický priebeh, adresa obrazovky v appke, verzia a platforma, čas, IP adresa a pri prihlásení identifikátor účtu; pri chybe servera cesta požiadavky, text chyby a identifikátor účtu | odstraňovanie chýb, stabilita a bezpečnosť | oprávnený záujem | 30 dní. Appka ich posiela aj bez prihlásenia a bez ohľadu na prepínač štatistík – bez nich by sa pád na telefóne nedal opraviť. |
| Technické logy servera: IP adresa, čas, metóda a cesta požiadavky a stavový kód. Súradnice, vyhľadávané výrazy, tokeny odkazov ani prihlasovacie kódy sa do logu nezapisujú – hodnoty v adrese sa pred zápisom nahradia hviezdičkou (okrem krátkeho zoznamu neškodných, napr. počtu dní predpovede). Typ prehliadača ani účet sa do tohto logu neukladajú. | bezpečnosť, prevádzka, odstraňovanie chýb | oprávnený záujem | Logy sa mažú podľa veľkosti, nie podľa dátumu: server drží najviac 5 × 20 MB logov aplikácie a 3 × 10 MB logov proxy a najstaršie záznamy priebežne prepisuje – v praxi po niekoľkých dňoch až týždňoch. |
| Prihlásené zariadenia: typ prehliadača a systému, čas prihlásenia a poslednej aktivity, odtlačok (hash) tokenu relácie a čas, kedy si v relácii naposledy potvrdil, že si to ty (heslom alebo kódom z e-mailu pred zrušením účtu či prepojením alebo odpojením prihlásenia) | správa relácií, možnosť odhlásiť zariadenie, overenie pred citlivou zmenou účtu | oprávnený záujem / bezpečnosť | do odhlásenia, najviac 90 dní od posledného použitia (najviac 20 posledných prihlásení) |
| Štatistiky používania – nie sú anonymné, sú viazané na tvoj účet (pseudonymné): ktoré obrazovky a funkcie si použil (udalosti z uzavretého zoznamu), kedy, počty ako trvanie plavby v minútach alebo počet bodov trasy, trvanie výpočtov na serveri, verzia aplikácie a platforma, identifikátor dátového balíka regiónu (mimo našich balíkov štvorec 0,5°, teda približne 55 km); k tomu súhrn aktivity účtu (prvé a posledné použitie, počet aktívnych dní, kedy si prvýkrát uložil trasu, otvoril výhľad a navigoval, minúty navigácie, posledná verzia a platforma) | vidieť, čo v aplikácii funguje, kde sa ľudia zaseknú a kam plánujú plavby; prevádzkovateľ ich v správcovskej konzole vidí aj pri jednotlivých účtoch | oprávnený záujem; vypneš ich v Nastavenia → Dáta prepínačom Štatistiky používania | jednotlivé udalosti 90 dní, súhrnné denné čísla bez väzby na osobu 2 roky, súhrn aktivity účtu do zrušenia účtu |
| Notifikačný token zariadenia (od verzie 4.6.8, v aplikácii pre Android, iPhone a iPad): adresa na doručovanie správ, ktorú zariadeniu pridelí Google (Firebase Cloud Messaging) alebo Apple (Apple Push Notification service), druh služby, model zariadenia a kedy sa zaregistrovalo a naposledy prevzalo správu; k nemu výstrahy, ktoré sme ti rozhodli poslať (úroveň, nadpis a text upozornenia, čas, komu ju už doručili) | poslať ti oranžovú alebo červenú úradnú výstrahu pre tvoju domácu marínu, aj keď je aplikácia zatvorená – nič iné | súhlas (povolenie notifikácií v zariadení); výstrahy vypneš v Nastavenia → Plavba prepínačom Výstrahy pre domácu marínu | token do odhlásenia v tomto zariadení, do zrušenia účtu alebo kým ho Google či Apple neoznačia za neplatný (napr. po odinštalovaní aplikácie); vypnutý prepínač zastaví výstrahy, token môže ostať. Záznamy o výstrahách 30 dní. |
| Nákupy a predplatné (od verzie 4.7.0, v aplikácii pre Android, iPhone a iPad; kým nákupy nespustíme, žiadne nevznikajú): plán alebo predplatné (Weekly, Charter, Pro), obchod (Google Play alebo App Store), číslo objednávky či transakcie v obchode, začiatok a koniec obdobia, či sa obnovuje, stav (aktívne, čaká, skončené, zrušené), odpoveď obchodu o transakcii bez osobných údajov a či ide o testovací nákup. Cenník: z krajiny obchodu, ktorú aplikácia pošle pri štarte, si server uloží len to, či platí cenník USA alebo ostatného sveta – krajinu samotnú nie. Skúšobné obdobie: odtlačok (HMAC so serverovým tajomstvom) identifikátora zariadenia, ktorý aplikácia ešte v telefóne zahašuje, a kedy sa skúšobné obdobie začalo – bez väzby na účet | sprístupniť to, čo si si kúpil, vo všetkých tvojich zariadeniach, overiť nákup, jeho obnovu, zrušenie či vrátenie peňazí, ukázať správny cenník a dať skúšobné obdobie len raz na zariadenie | plnenie zmluvy; skúšobné obdobie raz na zariadenie – oprávnený záujem (zabrániť jeho opakovanému čerpaniu) | nákupy do zrušenia účtu; odtlačok zariadenia natrvalo, aby sa skúšobné obdobie neopakovalo. Na ochranu pred zneužitím nákupov uchovávame 3 roky jednosmerný odtlačok (HMAC) identifikátora transakcie v obchode a jej stav (udelená, spotrebovaná, vrátená), bez prepojenia na tvoj účet; zrušenie účtu ho nemaže. Platbu, platobné údaje a doklad o kúpe vedie obchod (Google alebo Apple) ako predávajúci – my ich nevidíme. |
| Spätná väzba: text správy, e-mail na odpoveď (z účtu alebo zadaný), druh správy, verzia, platforma a obrazovka; naše poznámky a odpovede | odpovedať ti a opravovať chyby | oprávnený záujem / súhlas (správu píšeš dobrovoľne) | kým podnet neuzavrieme, potom ešte 2 roky. Upozornenie na novú správu (s jej textom a tvojím používateľským menom) aj naše odpovede idú e-mailom, takže zostávajú aj v našej e-mailovej schránke. |
| Jednorazové prihlasovacie kódy (e-mail): e-mailová adresa, odtlačok (hash) kódu, počet pokusov; pri prihlásení cez Google alebo Apple krátkodobé technické údaje o priebehu prihlásenia | prihlásenie bez hesla, bezpečná výmena pri prihlásení, pri účte bez hesla potvrdenie zrušenia účtu a prepojenia či odpojenia prihlásenia | plnenie zmluvy | kód platí 10 minút a ukladá sa len jeho odtlačok; záznam s adresou sa zmaže po prihlásení, inak najneskôr do hodiny po vypršaní kódu. Technické údaje prihlásenia cez Google a Apple platia najviac 10 minút a server ich zmaže najneskôr do dvoch hodín. |
| Obnova zabudnutého hesla: odtlačok (hash) jednorazového odkazu, ktorý ti pošleme e-mailom, a čas jeho vzniku a platnosti | nastavenie nového hesla, keď si ho zabudneš | plnenie zmluvy | odkaz platí 30 minút a dá sa použiť raz; ukladáme ho len ako odtlačok so serverovým tajomstvom a do záznamov servera sa nedostane. Záznam sa zmaže po použití, pri novej žiadosti či zmene hesla, inak najneskôr do hodiny po vypršaní. O každej zmene, nastavení alebo obnove hesla ti pošleme e-mail na adresu účtu, ak ju máš – nikdy s heslom. |
| Záznam správcovskej konzoly: čas, čo správca urobil (napr. otvoril údaje účtu alebo fotku, exportoval ich, zrušil účet, moderoval príspevok), číslo dotknutého účtu a IP adresa správcu; kedy nahlásenia príspevok automaticky skryli (ktorý príspevok a koľko nahlásení); neúspešné pokusy o prihlásenie do konzoly so zadaným menom a IP adresou | bezpečnosť a preukázanie, kto a kedy pristupoval k údajom | oprávnený záujem | bez časového obmedzenia; neúspešné pokusy o prihlásenie 180 dní |
| Záznam o zrušenom účte: odtlačok (hash) e-mailovej adresy a používateľského mena so serverovým tajomstvom, dátum vzniku a zrušenia účtu, dôvod zrušenia; mimo databázy ešte číslo účtu s týmito dvoma dátumami | aby sa nová registrácia nerátala ako nový používateľ, aby sme vedeli odpovedať, či bol účet zrušený, a aby obnova databázy zo zálohy zrušený účet nevrátila | oprávnený záujem | bez časového obmedzenia; adresu ani meno z odtlačku spätne získať nemožno |
Čo o tebe vidia iní
Verejné meno. Pri tvojich recenziách, na zdieľanej trase a v súboroch GPX, ktoré vyexportuješ, sa ukazuje tvoje verejné meno. Je to meno, ktoré si nastavíš v Nastavenia → Účet → Verejné meno; ak žiadne nenastavíš, krstné meno z prihlásenia cez Google alebo Apple; ak ani to, používateľské meno, ktoré si si sám zvolil pri registrácii s heslom (nikdy nie meno vytvorené z e-mailu, meno so znakom @, meno zhodné s časťou e-mailu pred @ ani meno, ktoré sa vydáva za Bonaseu); inak neutrálne „Kapitán“ so štyrmi znakmi odvodenými z účtu, napríklad Kapitán 4F2A, z ktorých sa účet spätne zistiť nedá. E-mailovú adresu ani jej časť pred @ iným používateľom nikdy neukazujeme. Recenzia zverejnená bez mena neukazuje žiadne meno.
- Ostatní prihlásení používatelia vidia komunitné miesta (druh, názov, poloha – nie to, kto ich pridal), tvoje recenzie (hviezdičky, text, vlastnosti miesta, mesiac návštevy a verejné meno, ak recenzia nie je bez mena) a schválené fotky. Keď si autora skryješ, neuvidíš jeho príspevky pod tou istou tvárou: skrytím autora recenzie s menom jeho príspevky s menom, skrytím autora recenzie bez mena len jeho ďalšie príspevky bez mena. Preto sa tým nedozvieš, kto recenziu bez mena napísal, a jeho meno sa s ňou nespojí.
- Kto má odkaz na zdieľanú trasu, vidí jej názov, body so súradnicami a tvoje verejné meno – kým zdieľanie nezrušíš.
- Kto má odkaz na živú polohu, vidí bez prihlásenia názov lode, jej poslednú polohu a čas – len počas platnosti odkazu.
- Súbor GPX, ktorý vyexportuješ, obsahuje trasu alebo stopu a tvoje verejné meno; komu ho pošleš, rozhoduješ ty.
Upozornenia push (od verzie 4.6.8) posielame len pri oranžovej alebo červenej úradnej výstrahe pre tvoju domácu marínu – nič iné, žiadnu reklamu; červenú hneď, oranžovú nájdenú v noci až ráno (pozri riadok Notifikačný token zariadenia). Bonasea je určená dospelým; nie je určená deťom a vedome od nich údaje nezbierame.
3. Cookies a úložisko v zariadení
Cookies. Používame funkčnú cookie ap_session (prihlásenie; HttpOnly, Secure; platí 90 dní od posledného použitia alebo do odhlásenia) a počas prihlásenia cez Google alebo Apple vo webovom prehliadači na 10 minút cookie ap_oauth, ktorá viaže prihlásenie na tento prehliadač. Nepoužívame reklamné ani sledovacie cookies a žiadnu analytickú službu tretej strany.
V zariadení (v úložisku prehliadača alebo aplikácie) appka ukladá: nastavenia zariadenia (jazyk, téma, jednotky, vrstvy mapy); zmeny nastavení účtu, ktoré ešte nedošli na server (odídu pri najbližšom spojení); rozpísané trasy a lode, kým ich neuložíš alebo nezahodíš (najviac 7 dní, odhlásenie ich zmaže); kópiu svojich súborov, mapových dlaždíc a stiahnutých offline regiónov; posledné odpovede servera (napr. trasy, lodný denník vrátane stôp GPS, komunitu), aby bolo čo ukázať bez signálu – odpovede o konkrétnych miestach (napr. nočná predpoveď na kotvisku, príliv na polohe lode, miesta v okolí) appka v zariadení maže 14 dní po stiahnutí a detail plavby deň po jej dni (telefón bez signálu si ich nechá, kým nedostane nové); zaznamenávané plavby pred uložením do denníka; rozbehnutú navigáciu a kotviacu stráž (poloha kotvy, nočná predpoveď, zadaná hĺbka); posledný overený účet, aby appka naštartovala aj bez signálu; posledný prehľad; kľúč k satelitnej mape; a pri účtoch s obrazovkou Pohyb lode aj meranie pohybu. Zadaná hĺbka a rozvrh nočných upozornení na kotve ostávajú len v telefóne.
Odhlásenie z tohto zariadenia vymaže údaje účtu, ktoré sú v ňom uložené – uložené odpovede servera (trasy, lodný denník so stopami GPS), zaznamenané plavby, záznamy kotviacej stráže, ktoré ešte neodišli na server, meranie pohybu, prehľady, kľúč k mape a podobne. Nastavenia zariadenia (jazyk, jednotky, vrstvy mapy) a stiahnuté offline mapy zostanú. Zrušenie účtu v aplikácii vymaže to isté a navyše všetky nastavenia aplikácie v tomto zariadení.
Aplikácia pre Android si pri kotviacej stráži pamätá jej stav (vrátane poslednej polohy kotvy) do ďalšej stráže a polohy zaznamenané počas stráže, kým ich appka po otvorení neprenesie do záznamu plavieb; od verzie 4.1.0 aj záznam stráže, kým ho nenahrá na server (pozri riadok Záznam kotviacej stráže). Zo zálohy Androidu do účtu Google aj z prenosu na nový telefón vylučujeme stav kotviacej stráže vrátane polohy kotvy a záznamu stráže, záznamy plavieb, uložené údaje aplikácie a prihlásenie.
Aplikácia pre iPhone a iPad drží stav kotviacej stráže, jej záznam, polohy navigácie, kým ich appka neprenesie, a stiahnuté mapy v priečinkoch mimo zálohy iCloud; prihlásenie je len v Kľúčenke tohto zariadenia, nie v Kľúčenke iCloud. Ostatné údaje aplikácie (nastavenia, rozpracované záznamy plavieb) ukladá iOS ako údaje webovej stránky a môžu byť súčasťou zálohy iPhonu alebo iPadu podľa jeho nastavení.
Čo do štatistík nikdy nejde: tvoja presná poloha, súradnice trasy, názvy trás a marín, IP adresa ani žiadny voľný text. Každá udalosť má pevne daný názov z uzavretej listiny a len hodnoty z vymenovaného zoznamu alebo čísla v stanovenom rozsahu; čo do nej nepatrí, server zahodí. Prepínač Štatistiky používania v Nastavenia → Dáta zastaví zber na serveri, nielen v aplikácii, a vypne aj meranie pohybu lode; hlásenia chýb sa posielajú ďalej.
Prístup k osobným údajom cez internú správcovskú konzolu je chránený heslom a druhým faktorom; otvorenie údajov konkrétneho účtu, exporty, zrušenie účtu, moderovanie a ďalšie zásahy sa zaznamenávajú (pozri tabuľku).
4. Príjemcovia a služby tretích strán
- Hetzner Online GmbH – server v Norimbergu (Nemecko), na ktorom beží aplikácia, databáza, fotky a zálohy, a úložisko v Helsinkách (Fínsko) so šifrovanou kópiou záloh, ktorú Hetzner nevie prečítať; údaje spracúva len v našom mene.
- Zoho Mail (dátové centrum v EÚ) – odosiela naše e-maily: prihlasovacie kódy (tvoja adresa a kód), kódy na potvrdenie zmeny v účte (tvoja adresa, používateľské meno a kód), odkazy na obnovu hesla (tvoja adresa, používateľské meno a odkaz), upozornenia na zmenu, nastavenie či obnovu hesla (tvoja adresa, používateľské meno, čas a typ zariadenia; heslo nikdy) a odpovede na spätnú väzbu; do našej schránky cez neho chodia aj upozornenia na novú spätnú väzbu (text a používateľské meno).
- Google a Apple – ak sa prihlásiš cez ne: pri prihlásení nám odovzdajú identifikátor, e-mail a meno. Pri Sign in with Apple uchovávame token od Apple, zašifrovaný, a pri zrušení účtu alebo odpojení Apple požiadame Apple o jeho zrušenie.
- Google (Firebase Cloud Messaging, v aplikácii pre Android) a Apple (Apple Push Notification service, na iPhone a iPad) – doručujú upozornenia push: dostanú notifikačný token zariadenia a obsah upozornenia (úroveň a druh výstrahy, oblasť, jej začiatok a koniec, text úradu a názov tvojej domácej mariny); tvoje meno, e-mail ani polohu nie.
- Google Play a Apple App Store – pri nákupe server overí nákup priamo u obchodu: pošle mu identifikátor nákupu (token alebo číslo transakcie) a dostane jeho stav; obchod nám potom posiela správy o obnove, zrušení a vrátení peňazí. Platbu a platobné údaje spracúva obchod podľa svojich zásad, nie my.
- Mapové dlaždice si telefón sťahuje priamo od poskytovateľov – tí vidia IP adresu a ktoré dlaždice, teda približne akú oblasť si prezeráš: OpenFreeMap (predvolený podklad), servery OpenStreetMap v Spojenom kráľovstve (podklad OpenStreetMap, náhradný podklad a mapa na stránke živého zdieľania), OpenSeaMap (námorné značky na podkladoch OpenStreetMap a satelit), Esri v USA (satelitná mapa, len keď ju zvolíš) a EMODnet (voliteľná vrstva hĺbok). Hĺbky, reliéf a značky v predvolenej mape sú z nášho servera.
- Open-Meteo, prípadne Copernicus Marine Service – predpovede počasia a vĺn. Náš server im posiela len súradnice štvorcov siete 0,05° (približne 5 km) pre tvoje trasy, miesta a aktuálnu polohu, aj v predstihu, aby bol výhľad pripravený, a na meranie presnosti predpovedí aj štvorce, v ktorých sa v uložených plavbách merali vlny v unášaní; nič, čo by ťa identifikovalo.
- Úradné výstrahy – od MeteoAlarm sťahuje server celé zoznamy výstrah, bez údajov o tebe. Rovnako, bez údajov o tebe, sťahuje od amerického Národného hurikánového centra (NHC) celé zoznamy aktívnych búrok v Atlantiku a ich pobrežných výstrah, od Météo-France celé súbory výstrah (vigilance) pre Guadeloupe, Martinik, Svätý Martin a Svätý Bartolomej a od MetService celý zoznam výstrah pre Nový Zéland. Pri polohách v Severnej Amerike sa server pýta americkej meteorologickej služby NWS na výstrahy pre konkrétny bod – dostane jeho súradnice, nič o tebe. Satelitnú oblačnosť (NOAA), radar (ARSO), merania vetra z letísk (aviationweather.gov, NOAA) a staníc DHMZ a merania vetra a vĺn z bójí a pobrežných staníc NOAA NDBC, z bójí Copernicus Marine (In Situ), z vlnových bójí vlády Queenslandu, z vlnových bójí pri Sydney, v Port Phillip, pri Perthe a pri Mission Beach cez Australian Ocean Data Network (AODN), z rifových meteostaníc AIMS a hodinové správy staníc Nového Zélandu (SYNOP od MetService) z verejnej cache informačného systému WMO server sťahuje bez akýchkoľvek údajov o tebe – nič o tebe ani o tvojej polohe im neposiela.
- Google Maps – len keď ťukneš na „Otvoriť v Google Maps“; je to obyčajný odkaz s názvom a súradnicami miesta.
- Ďalší ľudia – ako opisuje časť „Čo o tebe vidia iní“; kam odkaz alebo súbor pošleš, rozhoduješ ty.
Mimo EÚ/EHP sú z nich: Google (prihlásenie cez Google, odkazy do Google Maps, upozornenia push v Androide), Esri (USA) pri satelitnej mape, servery dlaždíc OpenStreetMap v Spojenom kráľovstve, Apple pri prihlásení cez Apple a pri upozorneniach push na iPhone a iPad a NWS (USA) pri polohách v Severnej Amerike. Údaje sa im odovzdávajú podľa ich vlastných podmienok a v rámci mechanizmov, ktoré na prenos mimo EÚ/EHP stanovuje GDPR. Údaje nepredávame ani neposkytujeme na reklamu či marketing.
5. Tvoje práva
Máš právo na prístup k údajom, ich opravu, vymazanie, obmedzenie spracúvania, prenosnosť a námietku proti spracúvaniu na základe oprávneného záujmu, ako aj právo kedykoľvek odvolať súhlas (napr. vypnutím prístupu k polohe alebo sledovania na pozadí, alebo zrušením zdieľania).
- Priamo v aplikácii: trasy, lode, miesta, záznamy plavieb, recenzie a fotky zmažeš sám (záznam kotviacej stráže sa maže sám po 90 dňoch alebo s účtom); trasy, miesta a záznamy plavieb vyexportuješ do GPX; verejné meno nastavíš v Nastavenia → Účet, kde vidíš aj prihlásené zariadenia a odhlásiš ich; štatistiky vypneš v Nastavenia → Dáta a nahrávanie plavieb v Nastavenia → Plavba.
- Celý účet zrušíš v Nastavenia → Účet → Zrušiť účet; postup aj zoznam toho, čo sa zmaže a čo zostane, je na verejnej stránke /delete-account.
- Kópiu všetkých údajov, ktoré o tebe máme (vo formáte JSON vrátane záznamov kotviacej stráže, spolu s fotkami, ktoré si pridal, v jednom súbore ZIP), si zatiaľ nevieš stiahnuť sám – pošleme ti ju na požiadanie. Ak potrebuješ opraviť údaj, ktorý v aplikácii zmeniť nevieš (napr. e-mail), napíš nám.
Žiadosti posielaj na noosa.sro@gmail.com, ideálne z adresy, ktorú máš v účte; vybavíme ich najneskôr do 30 dní. Sťažnosť môžeš podať Úradu na ochranu osobných údajov SR (dataprotection.gov.sk).
6. Bezpečnosť
Prenos je šifrovaný (HTTPS), heslá ukladáme ako PBKDF2 hash, prihlasovacie kódy a odkazy na obnovu hesla len ako hash so serverovým tajomstvom, prihlásené zariadenia len ako odtlačok (hash) ich tokenu – samotný token je len v cookie v tvojom zariadení – a token od Apple zašifrovaný. Relácie sa dajú odhlásiť z ktoréhokoľvek zariadenia. Heslo si zmeníš v Nastavenia → Účet; pri zmene si vyberieš, či sa odhlásia ostatné zariadenia, a keď má účet e-mailovú adresu, príde ti o nej e-mail. Správcovská konzola beží na samostatnej adrese a vyžaduje heslo aj druhý faktor. Databáza sa denne zálohuje na tom istom serveri a uchováva sa najviac 14 denných kópií. Každú noc ide aj šifrovaná kópia databázy a fotiek na úložisko mimo servera (Hetzner, Helsinki), kde sa drží 14 denných, 8 týždenných a 6 mesačných záloh. Poskytovateľ hostingu navyše zálohuje celý server vrátane fotiek a tieto zálohy sa v rotácii prepisujú. Zmazané údaje preto môžu v zálohách ostať, kým sa neprepíšu – v kópii mimo servera najviac asi 6 mesiacov. Keby sme databázu obnovovali zo zálohy, účty zrušené po jej vzniku sa pri obnove zrušia znova.
7. Zmeny
Aktuálna verzia je vždy na tejto adrese; dátum účinnosti je uvedený hore. Pri podstatnej zmene ťa upozorníme v aplikácii.
Privacy Policy
Bonasea (app.bonasea.com and the Bonasea apps for Android, iPhone and iPad) · effective 26 October 2026
What data Bonasea processes, why, who sees it and how long we keep it.
1. Controller
Noosa s. r. o., Nevská 8392/6, 841 06 Bratislava, Slovakia, company ID (IČO) 51212242. Privacy contact: noosa.sro@gmail.com. App support: support@bonasea.com. We have not appointed a data protection officer.
2. What we process and why
| Data | Purpose | Legal basis | Retention |
|---|---|---|---|
| Account: username, e-mail, the name from Google or Apple sign-in, the sign-in provider's identifier, password hash, public name (if you set one), date created and flags set by the operator (e.g. barred from posting in the community). When you sign in with Google, Apple or an e-mail code, your username is made from the part of your e-mail before the @ – it is never shown to other users. With Sign in with Apple we also keep Apple's token, encrypted, only so that we can revoke it when you delete the account or unlink Apple. | account, sign-in, linking sign-in methods, recovery | contract (providing the service) | until account deletion. When you unlink a sign-in method we remember it (the provider and its identifier; for e-mail, the address) so that it does not re-attach by itself – also until account deletion. |
| Your content: boats and their details (including notes), routes and their points, favourite places and your home marina with coordinates, notification rules, your own map fixes, settings (including the anchor watch); the server remembers its answer to creating a route, boat, place, review or feedback for 24 hours, so that sending it again on a weak signal does not make a copy | running the app (planning, weather outlook, navigation) | contract | until you delete it / account deletion |
| Device location (GPS) while navigating, when you locate yourself on the map and while an anchor watch is armed | position, heading, depth under keel and distance to shore, current conditions and the outlook for the rest of the route, arrival alerts, anchor watch and the night forecast at anchor | consent (device location permission; in the Android app a separate in-app consent for background tracking) | processed live; in the Android app a foreground service follows the position during a cruise and an anchor watch, so it also runs with the screen off. The position reaches the server only inside the query the server answers (e.g. depth, distance to shore, conditions, warnings, the anchor position when a watch is armed); it is not stored in the database from there. It is stored only as the rows on live sharing, cruise recording and the anchor-watch record describe. |
| Live position sharing (only when you switch it on) | a link on which family or crew can see where the boat is | consent – given by creating the link | Anyone with the link sees, without signing in, the boat's name, its last position and the time of it. The server keeps one row, overwritten in place – last position, time, boat name and how often the link was opened. No history is stored, so the link cannot reveal where the boat has been. You choose the validity (an hour, arrival at the destination or the end of the day), never more than 24 hours. The row is deleted when you stop sharing or delete your account; once the validity runs out the link stops working at once and the server deletes the row within the hour at the latest. The link's token is not written to the access log. |
| Sharing a route by link (only when you create the link) | send a route to your crew or a friend | contract – you create the link | Anyone with the link sees the route's name, its points with coordinates and your public name (see below). We count how often the link was opened. The link does not expire: it works until you stop sharing, delete the route or delete your account. |
| Cruise recording (track) and logbook – positions with time, speed and course, stops, for a night at anchor the anchor position and the largest drift, the forecast conditions the app showed during the cruise, and what you add: name, crew, note, ratings of the sea and the passage, fuel, engine hours; since version 3.62 also the summary of the boat-motion measurement, since 3.76 wave measurements while drifting (see below) and since 3.84 where the phone was during the cruise (in a holder, in a pocket, in the hand or "don't know"), which the app asks when the cruise is saved | the logbook: a map of the cruise sailed, distance, duration, GPX export. In aggregate, without positions or names, we compare the forecast with your rating and the measurement to make the comfort score more accurate and to learn which wave forecast is the most accurate in which region; accounts with statistics switched off are left out. | consent – recording can be switched off in Settings → Cruise at any time, and uploading is a separate, deliberate step; comparing forecasts: legitimate interest | On your phone: every cruise is recorded automatically so it can be saved even when you forget to start recording as you leave. Unsaved tracks delete themselves – after 30 days by default, 7 for anything shorter than 10 minutes; both are yours to set. On the server: only once you save a cruise to the logbook yourself. It then stays until you delete it or delete your account. Only put other people's names in the Crew field with their knowledge. |
| Anchor-watch record (the "black box", since version 4.1.0) – it contains precise location: when the watch is armed, the anchor position, the circle's radius, the chain and depth if you entered them, the pre-night check's result and your "Arm anyway", the siren test, the device model, the system and app version and the time zone; during the night a summary of every minute – the number of fixes, the boat's largest and last distance from the anchor, GPS accuracy, battery and charging state; and every decision and event exactly – drift, the siren started, silenced and stopped and by what, GPS lost and back, the service started, restarted or stopped, changes of permissions, Do not disturb and alarm volume, a failing store, the watch stopped and by whom | the timeline of a night at anchor in your logbook (what the watch saw and did); to show what the watch did during the night when something goes wrong – in your complaint, in a dispute or in a claim against us; fixing the watch's faults | contract (the timeline in the logbook) and legitimate interest (establishing, exercising and defending legal claims; the watch's reliability) | Written on the phone during the watch and uploaded to your account by itself whenever the phone is online (also during the night). It has no switch of its own: if you do not want the record made, do not arm the watch – the app says so when you arm it. Kept on the server for 90 days from the night (a night uploaded later, 90 days from the upload), then deleted by itself; when you delete your account, at once. Apart from you only the operator can open it, and always with a row in the console's audit. Part of the copy of your data. Deleted from the phone once the server confirms it has everything, and when you sign out. If you object to processing based on legitimate interest, we keep a record that already exists until its 90 days are up only when we need it to establish or defend a legal claim. It does not replace the cruise recording: the full track of a night at anchor reaches the server only when you save the night to the logbook, as before. |
| Boat-motion measurement with the phone's sensors (accelerometer, gyroscope) while navigating to a destination | to compare the forecast objectively with how the sea actually moved the boat | legitimate interest; the Usage statistics switch in Settings → Data turns it off – the app then does not measure | The raw sensor samples are processed on the phone and never sent to the server. From 20-second windows the phone computes summary figures (vertical acceleration, slams per minute, peaks, period, tilt, coverage), and these reach the server only as part of a cruise you save to the logbook yourself; they stay with it. Exception: for the operator and for accounts the operator has given the Boat motion screen (testing), the app measures even with statistics off and keeps the measurement on the phone; it leaves the phone only when they export it. On the Boat motion screen the height and period of the waves can also be measured while the boat drifts with the engine off: the phone then sends its position to the server to add what the forecast says for that place and hour, and keeps the result (wave height and period, position, forecast) on the phone; when a cruise is being recorded it also goes into that recording and reaches the server only when you save the cruise. In aggregate, without positions or names, we compare it with the wave forecast. To measure how accurate the wave forecasts are, the measurements of saved cruises are used only in aggregates per region and day, from the measurements of at least two accounts, never per account: all that is kept is the number of comparisons, the sums of each model's errors in a region for a day and how many of the comparisons came from a phone in a holder, in a pocket, in the hand or without that answer (400 days), not the measurement, the position or the account; accounts with statistics switched off are left out. |
| Community: places you add (kind, name, position), reviews (stars, text, features of the place, month of the visit, language, the "without my name" choice), photos, reports (reason and note) and authors you hide | sharing recommendations with other skippers; moderation under the Terms of Use and the app stores' rules | contract (you publish contributions yourself); reporting and moderation: legitimate interest | Reviews and approved photos are seen by other signed-in users; a review shows your public name unless you publish it without a name. A review's text appears at once, a photo only after the operator approves it; photos are resized and re-encoded, and their EXIF data, including the GPS position, is removed. Two reports (three for a place) from accounts older than a day, other than the content's author, hide it automatically until the operator reviews it; you can report the same content again once the operator has decided on your report. Who reported something is visible only to the operator. Reviews, photos, reports and hidden authors stay until you delete them or your account (when you delete a review, its text and photos go at once and only an invisible technical record with the stars and the date remains, which goes with the account). Places you added stay after the account is deleted, without any record of who added them. |
| Error reports: when an error happens in the app – the error text and its technical trace, the address of the screen in the app, version and platform, time, IP address and, when signed in, the account identifier; for a server error the request path, the error text and the account identifier | fixing bugs, stability and security | legitimate interest | 30 days. The app sends them even when you are not signed in and regardless of the statistics switch – without them a crash on a phone could not be fixed. |
| Server logs: IP address, time, the request method and path, and the status code. Coordinates, search terms, link tokens and sign-in codes are never written to the log – values in the address are replaced with an asterisk before the line is written (except a short list of harmless ones, such as the number of forecast days). Neither the browser type nor the account is written to this log. | security, operations, troubleshooting | legitimate interest | Logs are deleted by size, not by date: the server keeps at most 5 × 20 MB of application logs and 3 × 10 MB of proxy logs and overwrites the oldest lines as it goes – in practice after a few days to a few weeks. |
| Signed-in devices: browser and system type, sign-in and last activity time, a hash of the session token, and when you last confirmed it was you in that session (with the password or a code by e-mail, before deleting the account or linking or unlinking a sign-in) | session management, signing a device out, checking it is you before a sensitive change to the account | legitimate interest / security | until sign-out, at most 90 days after the last use (at most the 20 most recent sign-ins) |
| Usage statistics – not anonymous: they are linked to your account (pseudonymous): which screens and features you used (events from a closed list), when, amounts such as the cruise length in minutes or the number of route points, how long the server's calculations took, app version and platform, the region pack id (outside our packs a 0.5° square, roughly 55 km); plus a summary of the account's activity (first and last use, number of active days, when you first saved a route, opened an outlook and navigated, minutes navigated, last version and platform) | to see what works in the app, where people get stuck and where they plan cruises; the operator can see them per account in the operator console | legitimate interest; switch them off in Settings → Data with the Usage statistics switch | individual events 90 days, daily aggregates with no link to a person 2 years, the account's activity summary until the account is deleted |
| The device's notification token (from version 4.6.8, in the apps for Android, iPhone and iPad): the address for delivering messages that Google (Firebase Cloud Messaging) or Apple (Apple Push Notification service) gives the device, which service it is, the device model, and when it registered and last took a message; with it the warnings we decided to send you (level, the notification's title and text, time, which devices have it) | to send you an orange or red official warning for your home marina, also while the app is closed – nothing else | consent (the device's permission for notifications); you switch the warnings off in Settings → Cruise with Warnings for the home marina | the token until you sign out on that device, delete the account, or Google or Apple say it is no longer valid (e.g. after the app was uninstalled); switching off stops the warnings, the token may stay. The records of warnings 30 days. |
| Purchases and subscriptions (from version 4.7.0, in the apps for Android, iPhone and iPad; none exist until we switch purchases on): the plan or subscription (Weekly, Charter, Pro), the store (Google Play or the App Store), the store's order or transaction number, the start and end of the period, whether it renews, its status (active, waiting, ended, revoked), the store's answer about the transaction without personal data and whether it is a test purchase. Price list: of the store country the app sends when it starts, the server keeps only whether the US price list or the rest of the world's applies – not the country itself. Trial: a hash (HMAC with a server secret) of the device identifier, which the app already hashes on the phone, and when the trial started – not linked to any account | to give you what you bought on all your devices, to verify the purchase, its renewal, cancellation or refund, to show the right price list and to give the trial only once per device | performance of the contract; the trial once per device – legitimate interest (preventing it from being taken again and again) | purchases until the account is deleted; the device hash permanently, so that the trial is not repeated. To prevent purchase abuse we keep, for 3 years, a one-way fingerprint (HMAC) of the store transaction ID and its state (granted, consumed, refunded), not linked to your account; deleting your account does not remove it. The payment, payment details and the receipt are handled by the store (Google or Apple) as the seller – we never see them. |
| Feedback: the message, a reply e-mail (the account's or one you type), kind of message, version, platform and screen; our notes and replies | to answer you and fix bugs | legitimate interest / consent (you choose to write) | until we close the thread, then 2 more years. The notification of a new message (with its text and your username) and our replies travel by e-mail, so they also remain in our mailbox. |
| One-time sign-in codes (e-mail): e-mail address, a hash of the code, number of attempts; with Google or Apple sign-in, short-lived technical data about the sign-in in progress | passwordless sign-in, a safe hand-over during sign-in, and on an account without a password, confirming the deletion of the account and the linking or unlinking of a sign-in | contract | a code is valid for 10 minutes and only its hash is stored; the record with the address is deleted once you sign in, otherwise within the hour after the code expires. Technical data of a Google or Apple sign-in is valid for at most 10 minutes and the server deletes it within two hours at the latest. |
| Forgotten password: a hash of the one-time link we e-mail to you, and when it was made and until when it is valid | setting a new password when you have forgotten it | contract | the link is valid for 30 minutes and works once; we keep it only as a hash made with a server secret, and it never reaches the server logs. The record is deleted once the link is used, when you ask again or change your password, otherwise within the hour after it expires. Whenever your password is changed, set or reset we e-mail the account's address, if it has one – never with the password. |
| Operator console log: time, what the operator did (e.g. opened an account's data or a photo, exported it, deleted an account, moderated a contribution), the number of the account concerned and the operator's IP address; when reports hid a contribution automatically (which one and how many reports); failed console sign-in attempts with the name entered and the IP address | security, and being able to show who accessed data and when | legitimate interest | no time limit; failed sign-in attempts 180 days |
| Record of a deleted account: a hash of the e-mail address and of the username (made with a server secret), the dates the account was created and deleted, the reason for deletion; outside the database also the account's number with those two dates | so that a new registration is not counted as a new user, to be able to answer whether an account was deleted, and so that restoring the database from a backup cannot bring a deleted account back | legitimate interest | no time limit; neither the address nor the name can be recovered from the hash |
What others see
Public name. Your reviews, a shared route and the GPX files you export show your public name. It is the name you set in Settings → Account → Public name; if you have not set one, the first name from Google or Apple sign-in; failing that, the username you chose yourself when registering with a password (never a name made from your e-mail, one containing @, one equal to the part of your e-mail before the @ or one that poses as Bonasea); otherwise a neutral “Kapitán” with four characters derived from the account, for example Kapitán 4F2A, from which the account cannot be worked out. We never show your e-mail address or the part of it before the @ to other users. A review published without a name shows no name at all.
- Other signed-in users see community places (kind, name, position – not who added them), your reviews (stars, text, features of the place, month of the visit and your public name unless the review is without a name) and approved photos. When you hide an author you no longer see their contributions under the same face: hiding the author of a named review hides their named contributions, hiding the author of a review without a name hides only their other contributions without a name. So it never tells you who wrote a review without a name, and never ties their name to it.
- Anyone with a link to a shared route sees its name, its points with coordinates and your public name – until you stop sharing.
- Anyone with a live-position link sees, without signing in, the boat's name, its last position and the time – only while the link is valid.
- A GPX file you export contains the route or track and your public name; who you send it to is up to you.
Push notifications (from version 4.6.8) are sent only for an orange or red official warning for your home marina – nothing else, no advertising; a red one at once, an orange one found at night in the morning (see the row The device's notification token). Bonasea is meant for adults; it is not directed at children and we do not knowingly collect their data.
3. Cookies and on-device storage
Cookies. We use the functional cookie ap_session (sign-in; HttpOnly, Secure; valid for 90 days after the last use or until you sign out) and, while you sign in with Google or Apple in a web browser, for 10 minutes the cookie ap_oauth, which ties the sign-in to that browser. No advertising or tracking cookies and no third-party analytics service.
On the device (in browser or app storage) the app keeps: device settings (language, theme, units, map layers); changes to the account's settings that have not reached the server yet (they go at the next connection); routes and boats being written until you save or discard them (at most 7 days, signing out deletes them); a copy of its own files, of map tiles and of downloaded offline regions; the last answers from the server (e.g. routes, the logbook including GPS tracks, the community) so that there is something to show without signal – answers about particular places (e.g. the night forecast at an anchorage, the tide at the boat's position, places nearby) are deleted from the device 14 days after they were fetched, and a trip's detail the day after its day (a phone without signal keeps them until newer ones arrive); cruises being recorded before they are saved to the logbook; a navigation or anchor watch in progress (anchor position, night forecast, the depth you entered); the last verified account, so that the app starts without signal; the last outlook; the key for the satellite map; and, for accounts with the Boat motion screen, the motion measurement. The depth you enter and the schedule of night alerts at anchor stay on the phone only.
Signing out of this device deletes the account's data stored on it – cached server answers (routes, the logbook with GPS tracks), recorded cruises, anchor-watch records not uploaded yet, the motion measurement, outlooks, the map key and the like. Device settings (language, units, map layers) and downloaded offline charts stay. Deleting the account in the app deletes the same and, in addition, all of the app's settings on this device.
In the Android app the anchor watch remembers its state (including the last anchor position) until the next watch, and the positions recorded during a watch until the app, once opened, moves them into the cruise recordings; since version 4.1.0 also the watch's record until it has been uploaded to the server (see the Anchor-watch record row). The anchor-watch state including the anchor position and the watch's record, the cruise recordings, the app's stored data and your sign-in are all excluded from Android backup to your Google account and from transfers to a new phone.
The iPhone and iPad app keeps the anchor-watch state, the watch's record, navigation positions until the app has moved them, and downloaded maps in folders excluded from iCloud backup; your sign-in is only in this device's Keychain, not in iCloud Keychain. The app's other data (settings, cruise recordings not yet saved) is stored by iOS as website data and may be part of the iPhone's or iPad's backup, depending on its settings.
What never enters the statistics: your exact position, route coordinates, route or marina names, your IP address, or any free text. Every event has a fixed name from a closed list and only values from an enumerated list or numbers within a set range; anything else is discarded by the server. The Usage statistics switch in Settings → Data stops collection on the server, not just in the app, and also switches off the boat-motion measurement; error reports are still sent.
Access to personal data through our internal operator console requires a password and a second factor; opening a particular account's data, exports, account deletions, moderation and other interventions are logged (see the table).
4. Recipients and third-party services
- Hetzner Online GmbH – the server in Nuremberg (Germany) that runs the app, the database, the photos and the backups, and storage in Helsinki (Finland) holding an encrypted copy of the backups that Hetzner cannot read; it processes data only on our behalf.
- Zoho Mail (EU data centre) – sends our e-mails: sign-in codes (your address and the code), codes to confirm a change to the account (your address, username and the code), password reset links (your address, username and the link), notices that a password was changed, set or reset (your address, username, the time and the kind of device; never the password) and replies to feedback; notifications of new feedback (text and username) also reach our mailbox through it.
- Google and Apple – if you sign in with them: at sign-in they give us an identifier, an e-mail address and a name. With Sign in with Apple we keep Apple's token, encrypted, and ask Apple to revoke it when you delete the account or unlink Apple.
- Google (Firebase Cloud Messaging, in the Android app) and Apple (Apple Push Notification service, on iPhone and iPad) – deliver push notifications: they receive the device's notification token and what the notification says (the warning's level and kind, its area, start and end, the office's text and the name of your home marina); not your name, e-mail or position.
- Google Play and the Apple App Store – for a purchase the server verifies it directly with the store: it sends the purchase identifier (a token or a transaction number) and receives its status; the store then tells us about renewals, cancellations and refunds. The payment and payment details are processed by the store under its own policy, not by us.
- Map tiles are downloaded by the phone directly from the providers, who see the IP address and which tiles, i.e. roughly the area you are looking at: OpenFreeMap (default base map), OpenStreetMap's servers in the United Kingdom (the OpenStreetMap base map, the fallback base map and the map on the live-sharing page), OpenSeaMap (seamarks on the OpenStreetMap and satellite base maps), Esri in the USA (satellite map, only when you choose it) and EMODnet (optional depth layer). Depths, relief and seamarks on the default map come from our own server.
- Open-Meteo, and where used Copernicus Marine Service – weather and wave forecasts. Our server sends them only the coordinates of 0.05° grid squares (about 5 km) for your routes, places and current position, also ahead of time so that the outlook is ready, and, to measure how accurate the forecasts are, the squares where waves were measured while drifting on saved cruises; nothing that identifies you.
- Official warnings – from MeteoAlarm the server downloads whole lists of warnings, with nothing about you. In the same way, with nothing about you, it downloads the US National Hurricane Center's (NHC) whole lists of active storms in the Atlantic and their coastal warnings, from Météo-France the whole files of its warnings (vigilance) for Guadeloupe, Martinique, Saint-Martin and Saint-Barthélemy, and from MetService the whole list of its warnings for New Zealand. For positions in North America the server asks the US National Weather Service (NWS) for the warnings at a specific point – it receives that point's coordinates, nothing about you. Satellite cloud (NOAA), radar (ARSO), wind measurements of airports (aviationweather.gov, NOAA) and DHMZ stations, and wind and wave measurements of NOAA NDBC buoys and coastal stations of Copernicus Marine (In Situ) buoys, of the Queensland Government's wave buoys, of the wave buoys off Sydney, in Port Phillip, off Perth and off Mission Beach through the Australian Ocean Data Network (AODN), from AIMS's reef weather stations and the hourly reports of New Zealand's stations (SYNOP, MetService) from the public cache of the WMO Information System are downloaded by the server without any data about you – nothing about you or your position is sent to them.
- Google Maps – only when you tap “Open in Google Maps”; it is a plain link with the place's name and coordinates.
- Other people – as described under “What others see”; where you send a link or a file is your decision.
Outside the EU/EEA among these are: Google (Google sign-in, Google Maps links, push notifications on Android), Esri (USA) for the satellite map, OpenStreetMap's tile servers in the United Kingdom, Apple for Sign in with Apple and for push notifications on iPhone and iPad, and the NWS (USA) for positions in North America. Data reaches them under their own terms and within the mechanisms the GDPR provides for transfers outside the EU/EEA. We do not sell data or use it for advertising or marketing.
5. Your rights
You have the right of access, rectification, erasure, restriction, portability and to object to processing based on legitimate interest, and you may withdraw consent at any time (e.g. by revoking location access or background tracking, or by stopping a share).
- In the app: delete routes, boats, places, logbook entries, reviews and photos yourself (the anchor-watch record deletes itself after 90 days, or with the account); export routes, places and logbook entries to GPX; set your public name in Settings → Account, where you also see and sign out your devices; switch statistics off in Settings → Data and cruise recording in Settings → Cruise.
- Delete the whole account in Settings → Account → Delete account; the steps and the list of what is deleted and what remains are on the public page /delete-account.
- A copy of all the data we hold about you (in JSON format, including the anchor-watch records, together with the photos you added, in one ZIP file) cannot yet be downloaded in the app – we send it to you on request. If you need to correct something you cannot change in the app (such as your e-mail address), write to us.
Send requests to noosa.sro@gmail.com, ideally from the address on your account; we handle them within 30 days. You may lodge a complaint with the Slovak Data Protection Office (dataprotection.gov.sk).
6. Security
HTTPS everywhere, PBKDF2 password hashes, one-time codes and password reset links stored only as hashes with a server secret, signed-in devices only as a hash of their token – the token itself exists only in the cookie on your device – Apple's token encrypted, sign-out of any device. You change your password in Settings → Account, choose whether your other devices are signed out and, when the account has an e-mail address, get an e-mail about it. The operator console runs at a separate address and needs a password and a second factor. The database is backed up daily on the same server and at most 14 daily copies are kept. Every night an encrypted copy of the database and the photos also goes to storage off the server (Hetzner, Helsinki), which keeps 14 daily, 8 weekly and 6 monthly backups. The hosting provider also backs up the whole server, photos included, and these backups are overwritten in rotation. Deleted data can therefore remain in backups until they are overwritten – in the off-site copy for up to about 6 months. Should we ever restore the database from a backup, accounts deleted after that backup was made are deleted again as part of the restore.
7. Changes
The current version is always available at this address; the effective date is at the top. Material changes are announced in the app.