Privacy Policy

Last updated: 31 July 2026

Cauro supports people working through behavioural addictions: adult content, digital gaming and social media. What you write inside the app is personal, and some of it concerns your health. This policy explains in plain language what data we collect, why we need it, who processes it on our behalf, how long we keep it and what rights you have under the GDPR.

1. Data controller and contact

The controller of your personal data is Michał Mil, who runs Cauro as an unregistered business activity (in Polish: działalność nierejestrowana) within the meaning of Article 5(1) of the Polish Entrepreneurs' Law of 6 March 2018. This form of activity does not involve entry in the business register, and therefore no company registration numbers (NIP, REGON) are assigned to it.

Contact details: ul. Czesława Wroczyńskiego 1/35, 21-500 Biała Podlaska, Poland, e-mail: contact@cauro.app. E-mail is the fastest way to reach us in any matter concerning your data.

We have not appointed a Data Protection Officer. Given the scale and nature of the processing, the GDPR does not require one. Requests concerning your data are handled directly by the controller at the address above.

2. Scope of this policy

This policy covers the Cauro application, available as a Progressive Web App at https://my.cauro.app, and the website at https://cauro.app.

It does not cover external services you may open from within Cauro — in particular the Stripe payment page and the Google sign-in screen. Those services operate under their own privacy policies.

3. What data we collect

Account data

Your e-mail address and the first name you enter during onboarding. If you sign in with Google, we receive your e-mail address, your name and a Google account identifier. We never receive your Google password. If you register with an e-mail address and a password, the password is stored only as a cryptographic hash by our authentication provider and is not visible to us.

Onboarding interview answers

The areas you want to work on, how often the behaviour occurs and how long it has been present, what you have already tried, your triggers, the times of day that are hardest for you, the impact on your life, your goal and your preferred tone of communication.

Content you create in the app

• Journal entries — the titles and contents of the notes you write.
• Conversations with the AI assistant — your messages and the assistant's replies.
• Progress data — selected habit areas, clean-day streaks, logged urges and moments of crisis, estimated time and money saved.
• Settings and notifications — your app preferences and the notifications generated for you.

Payment data

Your plan, subscription status, trial dates and the customer identifier assigned by Stripe (stripe_customer_id). Cauro never sees and never stores your card number, expiry date or CVC.

Technical data

Standard server logs kept by our hosting providers (IP address, time of request, browser and device type), used to keep the service running, diagnose errors and protect it against abuse.

4. Purposes of processing and legal bases

• Providing the service — creating and maintaining your account, saving your journal, conversations, streaks and progress. Legal basis: performance of a contract, Article 6(1)(b) GDPR; for health-related content additionally your explicit consent, Article 9(2)(a) GDPR.
• Personalising the experience — building your plan and generating assistant responses that take your interview answers into account. Legal basis: performance of a contract, Article 6(1)(b) GDPR, and your explicit consent, Article 9(2)(a) GDPR.
• Handling payments and subscriptions — starting the trial, charging the subscription, unlocking Pro features, managing cancellations. Legal basis: performance of a contract, Article 6(1)(b) GDPR, and our legal obligations in accounting and tax matters, Article 6(1)(c) GDPR.
• Keeping the service secure and reliable — preventing abuse, diagnosing errors, improving stability. Legal basis: our legitimate interest, Article 6(1)(f) GDPR.
• Service messages — for example about your account, a trial that is about to end, or changes to these documents. Legal basis: performance of a contract, Article 6(1)(b) GDPR. Any marketing messages are sent only with your separate consent, Article 6(1)(a) GDPR, which you may withdraw at any time.
• Establishing or defending legal claims — Legal basis: our legitimate interest, Article 6(1)(f) GDPR.

Providing your data is voluntary, but the data listed in section 3 as account, onboarding and payment data is necessary to use Cauro. Without it we cannot create an account, generate a plan or provide the subscription.

5. Artificial intelligence — what Cauro is and is not

The assistant inside Cauro is powered by a large language model. Your messages, journal context and interview answers relevant to a given request are transmitted to the AI model provider (Google) in order to generate a reply. We send only what is necessary for that purpose. The data sent through the interface we use is not used to train the provider's models.

Responses generated by the assistant do not constitute automated decision-making producing legal effects concerning you or similarly significantly affecting you within the meaning of Article 22 of the GDPR. We do not profile you for advertising purposes.

6. Help in a crisis

Cauro is not an emergency service and does not monitor your entries in real time. If you are in danger, or you are thinking about harming yourself or someone else, please reach out for immediate help:

• 112 — the emergency number (Poland and the whole European Union).
• 116 123 — helpline for adults in emotional crisis (Poland).
• 800 70 2222 — Support Centre for people in a mental health crisis, available 24/7 (Poland).

Outside Poland, please use your local emergency number and crisis helplines.

7. Payments and subscription

Payments are handled by Stripe. When you start a subscription, you are redirected to a payment page hosted by Stripe. Card details are entered on Stripe's side and never reach our servers.

The subscription starts with a 7-day free trial. We store only the Stripe customer identifier and your subscription status, so that we know whether to unlock Pro features. You can manage your subscription, change your payment method or cancel at any time through the Stripe customer portal available in the app settings.

In relation to payment data, Stripe acts as an independent controller under its own privacy policy.

8. Signing in and authentication

You can create an account with an e-mail address and a password, or sign in with your Google account. Authentication is provided by Supabase. Passwords are stored only in hashed form and are never visible to us or transmitted in a readable form.

9. Recipients of data and sub-processors

We use a small number of carefully selected providers. Each of them processes data only to the extent necessary to deliver its part of the service, on the basis of a data processing agreement.

• Supabase — authentication and the PostgreSQL database in which your account, journal, conversations and progress are stored. Data is hosted in the European Union (Ireland).
• Google LLC (Gemini API) — the AI model that generates the assistant's responses. United States.
• Stripe, Inc. / Stripe Payments Europe, Ltd. — payments, subscriptions and the customer portal. Ireland and the United States.
• Vercel Inc. — hosting of the application and of this website. United States, with delivery from an edge network.

Your data may also be disclosed to public authorities where we are required to do so by law.

We do not sell your data, we do not share it with advertisers and we do not use it for advertising profiling.

10. Transfers outside the European Economic Area

Some of the providers listed above are established in the United States or may process data outside the EEA. In such cases the transfer takes place on the basis of the safeguards provided for in Chapter V of the GDPR, in particular:

• the European Commission's Standard Contractual Clauses (Implementing Decision (EU) 2021/914), or
• an adequacy decision — the EU–US Data Privacy Framework, where the recipient is certified under it.

You may request further information about the safeguards applied by writing to the e-mail address in section 1.

11. How long we keep your data

• Account and content in the app — for as long as your account exists. After you delete your account, the data is removed from the active database, and residual copies in encrypted backups are overwritten within up to 30 days.
• Accounting records connected with payments — for 5 years counted from the end of the tax year in which the payment obligation arose, as required by Polish tax law.
• Data processed on the basis of consent — until you withdraw that consent.
• Data needed to establish or defend claims — until the relevant limitation periods expire.
• Technical logs — for the retention period applied by our hosting providers, typically no longer than several weeks.

12. Your rights

Under the GDPR you have the right to:

• access your data and obtain a copy of it (Article 15),
• rectify data that is inaccurate or incomplete (Article 16),
• erase your data — "the right to be forgotten" (Article 17),
• restrict processing (Article 18),
• data portability (Article 20),
• object to processing based on our legitimate interest (Article 21),
• withdraw your consent at any time, including consent to the processing of health data, without affecting the lawfulness of processing carried out before the withdrawal (Article 7(3)).

To exercise any of these rights, write to contact@cauro.app. We will respond without undue delay and no later than one month from receiving your request. You can also delete your account yourself from within the app.

You also have the right to lodge a complaint with the supervisory authority: the President of the Personal Data Protection Office (UODO), ul. Stawki 2, 00-193 Warsaw, Poland.

13. Security

We apply technical and organisational measures appropriate to the nature of the data we process:

• all data is transmitted over encrypted connections (TLS / HTTPS),
• access to the database is protected by row-level security rules, so that each account can only reach its own records,
• passwords are stored only as hashes by the authentication provider,
• server-side keys and secrets are never embedded in the application delivered to your browser,
• access to production data is limited to the controller and used only where necessary to operate the service.

No system can guarantee absolute security, but we take these measures seriously and review them as the product grows.

14. Age of users

Cauro is intended exclusively for adults (18+). The service is not addressed to people under 18 and we do not knowingly collect their data. If you believe a minor has created an account, please contact us and we will delete it together with the associated data.

15. Cookies and browser storage

Cauro uses only strictly necessary cookies and browser local storage — to keep you signed in (session), to remember your language and app preferences, and to remember a plan you selected before registering.

We do not use advertising cookies, marketing trackers or third-party analytics. We do not build advertising profiles and we do not share data with ad networks. Because we use only strictly necessary storage, no consent banner is required.

Pages operated by Stripe and Google may set their own cookies when you visit them.

16. Changes to this policy

If we change this policy, we will update the date at the top of the page. If the changes are material — for example a new category of data, a new purpose of processing or a new processor — we will inform you inside the application or by e-mail before they take effect, and where the law requires it we will ask for your consent.

Questions about privacy, requests concerning your data, or anything else covered by this document: contact@cauro.app.

Wersja polska

Polityka prywatności

Ostatnia aktualizacja: 31 lipca 2026

Cauro wspiera osoby, które wychodzą z uzależnień behawioralnych: od treści dla dorosłych, gier cyfrowych i mediów społecznościowych. To, co zapisujesz w aplikacji, jest osobiste, a część tych informacji dotyczy Twojego zdrowia. Ta polityka wyjaśnia prostym językiem, jakie dane zbieramy, po co ich potrzebujemy, kto przetwarza je w naszym imieniu, jak długo je przechowujemy i jakie masz prawa na gruncie RODO.

1. Administrator danych i kontakt

Administratorem Twoich danych osobowych jest Michał Mil, prowadzący Cauro w ramach działalności nierejestrowanej w rozumieniu art. 5 ust. 1 ustawy z dnia 6 marca 2018 r. — Prawo przedsiębiorców. Ta forma działalności nie wiąże się z wpisem do rejestru przedsiębiorców, dlatego nie są jej nadane numery NIP ani REGON.

Dane kontaktowe: ul. Czesława Wroczyńskiego 1/35, 21-500 Biała Podlaska, e-mail: contact@cauro.app. Poczta elektroniczna jest najszybszą drogą kontaktu w każdej sprawie dotyczącej Twoich danych.

Nie powołaliśmy inspektora ochrony danych. Skala i charakter przetwarzania nie wymagają tego na gruncie RODO. Żądania dotyczące danych obsługuje bezpośrednio administrator pod powyższymi danymi kontaktowymi.

2. Zakres tej polityki

Polityka obejmuje aplikację Cauro, dostępną jako aplikacja PWA pod adresem https://my.cauro.app, oraz stronę https://cauro.app.

Nie obejmuje usług zewnętrznych, które możesz otworzyć z poziomu Cauro — w szczególności strony płatności Stripe i ekranu logowania Google. Usługi te działają na podstawie własnych polityk prywatności.

3. Jakie dane zbieramy

Dane konta

Adres e-mail oraz imię, które podajesz podczas onboardingu. Jeśli logujesz się przez Google, otrzymujemy Twój adres e-mail, imię i identyfikator konta Google. Nigdy nie otrzymujemy Twojego hasła do Google. Jeśli rejestrujesz się adresem e-mail i hasłem, hasło jest przechowywane wyłącznie w postaci skrótu kryptograficznego po stronie dostawcy uwierzytelniania i nie jest dla nas widoczne.

Odpowiedzi z wywiadu wstępnego (onboarding)

Obszary, nad którymi chcesz pracować, częstotliwość i czas trwania zachowania, dotychczasowe próby zmiany, wyzwalacze, pory dnia, które są dla Ciebie najtrudniejsze, wpływ nawyku na Twoje życie, cel oraz preferowany ton komunikacji.

Treści, które tworzysz w aplikacji

• Wpisy w dzienniku — tytuły i treści notatek, które piszesz.
• Rozmowy z asystentem AI — Twoje wiadomości i odpowiedzi asystenta.
• Dane o postępach — wybrane obszary nawyków, serie dni bez nawrotu, zapisane impulsy i momenty kryzysu, szacowany zaoszczędzony czas i pieniądze.
• Ustawienia i powiadomienia — Twoje preferencje w aplikacji oraz generowane dla Ciebie powiadomienia.

Dane płatnicze

Plan, status subskrypcji, daty okresu próbnego oraz identyfikator klienta nadany przez Stripe (stripe_customer_id). Cauro nigdy nie widzi ani nie przechowuje numeru Twojej karty, daty ważności ani kodu CVC.

Dane techniczne

Standardowe logi serwerowe prowadzone przez dostawców hostingu (adres IP, czas zapytania, typ przeglądarki i urządzenia), służące utrzymaniu usługi, diagnostyce błędów i ochronie przed nadużyciami.

4. Cele i podstawy prawne przetwarzania

• Świadczenie usługi — założenie i prowadzenie konta, zapisywanie dziennika, rozmów, serii i postępów. Podstawa: wykonanie umowy, art. 6 ust. 1 lit. b RODO; w zakresie treści dotyczących zdrowia dodatkowo Twoja wyraźna zgoda, art. 9 ust. 2 lit. a RODO.
• Personalizacja — budowanie planu i generowanie odpowiedzi asystenta uwzględniających Twoje odpowiedzi z wywiadu. Podstawa: wykonanie umowy, art. 6 ust. 1 lit. b RODO, oraz wyraźna zgoda, art. 9 ust. 2 lit. a RODO.
• Obsługa płatności i subskrypcji — uruchomienie okresu próbnego, pobranie opłaty, odblokowanie funkcji Pro, obsługa anulowania. Podstawa: wykonanie umowy, art. 6 ust. 1 lit. b RODO, oraz obowiązki prawne w zakresie rachunkowości i podatków, art. 6 ust. 1 lit. c RODO.
• Bezpieczeństwo i niezawodność usługi — zapobieganie nadużyciom, diagnostyka błędów, poprawa stabilności. Podstawa: nasz prawnie uzasadniony interes, art. 6 ust. 1 lit. f RODO.
• Wiadomości serwisowe — na przykład o koncie, kończącym się okresie próbnym lub zmianach w tych dokumentach. Podstawa: wykonanie umowy, art. 6 ust. 1 lit. b RODO. Wiadomości marketingowe wysyłamy wyłącznie za Twoją odrębną zgodą, art. 6 ust. 1 lit. a RODO, którą możesz w każdej chwili wycofać.
• Ustalenie lub obrona roszczeń — Podstawa: nasz prawnie uzasadniony interes, art. 6 ust. 1 lit. f RODO.

Podanie danych jest dobrowolne, ale dane wskazane w sekcji 3 jako dane konta, dane z wywiadu i dane płatnicze są niezbędne do korzystania z Cauro. Bez nich nie założymy konta, nie wygenerujemy planu ani nie udostępnimy subskrypcji.

5. Sztuczna inteligencja — czym Cauro jest, a czym nie jest

Asystent w Cauro działa w oparciu o duży model językowy. Twoje wiadomości oraz kontekst potrzebny do udzielenia odpowiedzi, w tym istotne fragmenty odpowiedzi z wywiadu, są przekazywane dostawcy modelu AI (Google) w celu wygenerowania odpowiedzi. Przesyłamy tylko to, co jest do tego niezbędne. Dane przesyłane przez interfejs, z którego korzystamy, nie są wykorzystywane do trenowania modeli dostawcy.

Odpowiedzi asystenta nie stanowią zautomatyzowanego podejmowania decyzji wywołującego wobec Ciebie skutki prawne lub w podobny sposób istotnie na Ciebie wpływającego w rozumieniu art. 22 RODO. Nie profilujemy Cię w celach reklamowych.

6. Pomoc w sytuacji kryzysowej

Cauro nie jest służbą ratunkową i nie monitoruje Twoich wpisów na bieżąco. Jeśli jesteś w niebezpieczeństwie albo myślisz o zrobieniu krzywdy sobie lub komuś innemu, skorzystaj z natychmiastowej pomocy:

• 112 — numer alarmowy (Polska i cała Unia Europejska).
• 116 123 — telefon zaufania dla osób dorosłych w kryzysie emocjonalnym.
• 800 70 2222 — Centrum Wsparcia dla osób w kryzysie psychicznym, czynne całą dobę.

Poza Polską skorzystaj z lokalnego numeru alarmowego i lokalnych telefonów wsparcia.

7. Płatności i subskrypcja

Płatności obsługuje Stripe. Rozpoczynając subskrypcję, zostajesz przekierowany na stronę płatności prowadzoną przez Stripe. Dane karty wpisujesz po stronie Stripe i nigdy nie trafiają one na nasze serwery.

Subskrypcja startuje 7-dniowym bezpłatnym okresem próbnym. Przechowujemy jedynie identyfikator klienta Stripe oraz status subskrypcji, żeby wiedzieć, czy odblokować funkcje Pro. Subskrypcją możesz zarządzać, zmienić metodę płatności lub anulować ją w każdej chwili w portalu klienta Stripe dostępnym w ustawieniach aplikacji.

W zakresie danych płatniczych Stripe działa jako niezależny administrator na podstawie własnej polityki prywatności.

8. Logowanie i uwierzytelnianie

Konto możesz założyć na adres e-mail z hasłem albo zalogować się kontem Google. Uwierzytelnianie zapewnia Supabase. Hasła przechowywane są wyłącznie w postaci skrótów, nie są dla nas widoczne i nie są przesyłane w postaci czytelnej.

9. Odbiorcy danych i podprocesorzy

Korzystamy z niewielkiej liczby starannie wybranych dostawców. Każdy z nich przetwarza dane wyłącznie w zakresie niezbędnym do realizacji swojej części usługi, na podstawie umowy powierzenia przetwarzania.

• Supabase — uwierzytelnianie i baza danych PostgreSQL, w której przechowywane są Twoje konto, dziennik, rozmowy i postępy. Dane hostowane są w Unii Europejskiej (Irlandia).
• Google LLC (Gemini API) — model AI generujący odpowiedzi asystenta. Stany Zjednoczone.
• Stripe, Inc. / Stripe Payments Europe, Ltd. — płatności, subskrypcje i portal klienta. Irlandia i Stany Zjednoczone.
• Vercel Inc. — hosting aplikacji i tej strony. Stany Zjednoczone, z dostarczaniem treści przez sieć brzegową.

Twoje dane mogą zostać ujawnione również organom publicznym, jeżeli obowiązek taki wynika z przepisów prawa.

Nie sprzedajemy Twoich danych, nie udostępniamy ich reklamodawcom i nie wykorzystujemy ich do profilowania reklamowego.

10. Przekazywanie danych poza Europejski Obszar Gospodarczy

Część wymienionych wyżej dostawców ma siedzibę w Stanach Zjednoczonych lub może przetwarzać dane poza EOG. W takich przypadkach przekazanie odbywa się na podstawie zabezpieczeń przewidzianych w rozdziale V RODO, w szczególności:

• standardowych klauzul umownych Komisji Europejskiej (decyzja wykonawcza (UE) 2021/914), albo
• decyzji o odpowiednim stopniu ochrony — EU–US Data Privacy Framework, jeżeli odbiorca posiada certyfikację w tym programie.

Więcej informacji o zastosowanych zabezpieczeniach możesz uzyskać, pisząc na adres e-mail wskazany w sekcji 1.

11. Jak długo przechowujemy dane

• Konto i treści w aplikacji — tak długo, jak istnieje Twoje konto. Po usunięciu konta dane znikają z aktywnej bazy, a pozostałości w zaszyfrowanych kopiach zapasowych są nadpisywane w ciągu maksymalnie 30 dni.
• Dokumentacja księgowa związana z płatnościami — przez 5 lat, licząc od końca roku podatkowego, w którym powstał obowiązek podatkowy, zgodnie z polskimi przepisami podatkowymi.
• Dane przetwarzane na podstawie zgody — do czasu jej wycofania.
• Dane potrzebne do ustalenia lub obrony roszczeń — do upływu odpowiednich terminów przedawnienia.
• Logi techniczne — przez okres retencji stosowany przez dostawców hostingu, zwykle nie dłużej niż kilka tygodni.

12. Twoje prawa

Na podstawie RODO masz prawo do:

• dostępu do swoich danych i uzyskania ich kopii (art. 15),
• sprostowania danych nieprawidłowych lub niekompletnych (art. 16),
• usunięcia danych — „prawo do bycia zapomnianym" (art. 17),
• ograniczenia przetwarzania (art. 18),
• przenoszenia danych (art. 20),
• sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie (art. 21),
• wycofania zgody w dowolnym momencie, w tym zgody na przetwarzanie danych o zdrowiu, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem (art. 7 ust. 3).

Aby skorzystać z któregokolwiek z tych praw, napisz na contact@cauro.app. Odpowiemy bez zbędnej zwłoki, nie później niż w ciągu miesiąca od otrzymania żądania. Konto możesz też usunąć samodzielnie z poziomu aplikacji.

Masz również prawo wnieść skargę do organu nadzorczego: Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.

13. Bezpieczeństwo

Stosujemy środki techniczne i organizacyjne odpowiednie do charakteru przetwarzanych danych:

• wszystkie dane przesyłane są szyfrowanym połączeniem (TLS / HTTPS),
• dostęp do bazy chronią reguły bezpieczeństwa na poziomie wiersza (row-level security), dzięki czemu każde konto sięga wyłącznie po własne rekordy,
• hasła przechowywane są wyłącznie w postaci skrótów po stronie dostawcy uwierzytelniania,
• klucze i sekrety serwerowe nigdy nie trafiają do aplikacji ładowanej w Twojej przeglądarce,
• dostęp do danych produkcyjnych ma wyłącznie administrator i korzysta z niego tylko wtedy, gdy jest to niezbędne do utrzymania usługi.

Żaden system nie daje absolutnej gwarancji bezpieczeństwa, ale traktujemy te środki poważnie i weryfikujemy je wraz z rozwojem produktu.

14. Wiek użytkowników

Cauro jest przeznaczone wyłącznie dla osób pełnoletnich (18+). Usługa nie jest kierowana do osób poniżej 18. roku życia i nie zbieramy świadomie ich danych. Jeśli podejrzewasz, że konto założyła osoba niepełnoletnia, napisz do nas — usuniemy je wraz z powiązanymi danymi.

15. Pliki cookie i pamięć przeglądarki

Cauro korzysta wyłącznie z niezbędnych plików cookie i pamięci lokalnej przeglądarki — po to, żeby utrzymać Twoje zalogowanie (sesja), zapamiętać język i preferencje aplikacji oraz plan wybrany przed rejestracją.

Nie używamy plików cookie do celów reklamowych, nie stosujemy narzędzi śledzących ani zewnętrznej analityki marketingowej. Nie budujemy profili reklamowych i nie przekazujemy danych sieciom reklamowym. Ponieważ korzystamy wyłącznie z pamięci niezbędnej do działania usługi, baner zgody nie jest wymagany.

Strony prowadzone przez Stripe i Google mogą ustawiać własne pliki cookie w momencie ich odwiedzenia.

16. Zmiany polityki

Jeśli zmienimy tę politykę, zaktualizujemy datę na górze strony. Przy zmianach istotnych — na przykład nowej kategorii danych, nowym celu przetwarzania lub nowym podmiocie przetwarzającym — poinformujemy Cię w aplikacji lub mailem, zanim zaczną obowiązywać, a jeżeli wymaga tego prawo, poprosimy o Twoją zgodę.

Pytania o prywatność, żądania dotyczące Twoich danych i wszystko inne, co obejmuje ten dokument: contact@cauro.app.