Last updated: August 13, 2026
Data controller: Salim Aleulov, acting as the data controller for the Rismål app. Rismål is the name of the app/project.
Address: Fatimaplein 95, 6214 TX Maastricht, the Netherlands.
Email for all privacy matters: rismalapp@gmail.com.
This policy describes what data the Rismål mobile app (Android) and its Supabase-based cloud backend collect, why, on what legal basis, who can see it, and how you can control it.
Rismål can be used without creating an account. In that mode, your personal plant collection, nicknames, purchase dates, notes, next-care dates, plant photos, care journal, community-post drafts, and catalog bookmarks are stored only on your device and are never sent to us. We do not see or process this data at all until you sign in.
Language and theme preferences are also stored locally and are deliberately not synced — you will need to set them again after a reinstall.
A local recovery snapshot used to protect your data during migrations, and technical sync/activation markers, are likewise stored only on your device. The app's last-crash log is also stored locally and is not transmitted anywhere automatically.
None of this local data is copied into Android's cloud backup or device-to-device transfer either — app backup is fully disabled (allowBackup=false) with explicit exclusion rules on every supported Android version.
When you register, we receive your email address and password (handled by Supabase's authentication system). We do not have direct access to your password in plain text.
Display name, a short bio, your specialties, and an avatar photo. Your display name and avatar are publicly visible to any user of the app, including visitors who are not signed in.
Once you sign in, your plant collection, nicknames, dates, notes, plant photos, and care journal are synced to the cloud and kept private to you, enforced at the database level (row-level security).
Care topic, conditions, action taken, result, duration, before/after photos, and — if provided — a location/city. A publication becomes visible to other users, including signed-out visitors, until it is hidden by moderation or you delete it.
Comments on publications are publicly visible under the same rules as the publication itself. Your vote ("helpful"/"not helpful") is counted in a public aggregate; we do not reveal to other users who cast which vote. Content reports are visible only to you and to the administrator. Your saved-publications list, your blocked-users list, and your notifications are visible only to you.
If you contact us through the in-app feedback form, we receive your email address, the type and text of your message, and, where applicable, our reply and internal admin notes. This is visible only to you and the administrator.
We do not use device GPS or geolocation. If you manually enter a city/location when publishing, it becomes part of that publication and follows the same visibility rules.
Plant photos are stored privately. Profile photos and before/after photos on community publications are stored as publicly accessible files (via direct link), consistent with content you have chosen to publish.
Like any cloud service, our Supabase-based infrastructure automatically generates technical data as it processes each request: IP address, device User-Agent, metadata about authentication events, storage and edge-function requests, and technical logs. This is standard infrastructure operation needed to run and secure the service — Rismål does not build a separate analytics or user-profiling system on top of it.
We do not rely on consent (GDPR Art. 6(1)(a)) as a blanket basis for all data. Most processing is necessary for the performance of our contract with you (Art. 6(1)(b)): you register and use specific features (your collection, publications, feedback), and processing the related data is necessary to provide that feature. Content moderation, handling reports, blocking other users, safeguards during account deletion, and technical connection/security data rely on our legitimate interest (Art. 6(1)(f)) in keeping the community and the service safe and functional, balanced against your rights and reasonable expectations. Plant-card AI-generation history and related cost records — created only by staff with an admin/editor role managing the catalog, not by regular app users — are likewise processed on the basis of legitimate interest, maintaining catalog quality and auditability; after such a staff member's account is deleted, the record's direct link to their account is removed, but the record itself is kept (see Section 9). Where we must comply with a legal obligation (for example, a request from a competent authority), we may rely on Art. 6(1)(c).
Some data in Rismål is public by design: your display name, avatar, published care experiences (including photos and any location you provide), and comments are visible to anyone opening the app, including signed-out visitors. A publication stops being publicly visible only if you delete it, or if it is hidden by moderation for violating community guidelines. We never make your email address or password public under any circumstances.
We do not sell your personal data, and we do not use it for third-party targeted advertising — the app contains no third-party analytics or advertising SDKs.
Our cloud backend runs on Supabase (Supabase Pte. Ltd), which acts as our data processor/service provider — it processes data on our instructions and under a Data Processing Addendum we have entered into with them. Supabase's current subprocessor list is published at supabase.com/legal/customer-resources/subprocessor-list and may be updated independently of this document.
We may disclose data to a competent public authority where required by law.
Your account data is hosted on Supabase infrastructure in the London, UK region. The European Commission has recognized the UK as providing an adequate level of data protection (adequacy decision, renewed 19 December 2025 through 27 December 2031) — this means hosting and transferring data in the UK does not require additional safeguards such as Standard Contractual Clauses, in the same way as hosting within the EEA.
Separately, certain of Supabase's own internal platform operations (as our processor) may involve transferring data to countries without such an adequacy decision — specifically the United States and Singapore, where Supabase Pte. Ltd. itself is incorporated. Those transfers rely on Standard Contractual Clauses approved by the European Commission, as described in Supabase's own Privacy Policy and DPA.
We have not implemented automatic, time-based deletion for any of the categories described above. Data is kept until you delete it yourself, until a moderator makes a decision about reported content, or until you delete your account entirely. Plant-card AI-generation history and related cost records (applicable only to staff with an admin/editor role) are kept indefinitely even after the corresponding account is deleted — the record's direct link to that account is removed, and we keep the record itself to audit the quality of the plant catalog. Technical connection and security data generated by Supabase's own infrastructure is retained under Supabase's own practices as our processor; we do not set a separate retention period for it ourselves.
You can delete your account at any time from the Account section of the app. When you do:
Deletion of cloud data is irreversible.
We apply reasonable technical and organizational safeguards: database-level row security, private and public storage categories for files, and encryption of data in transit. No system can guarantee absolute protection against unauthorized access — we do not claim otherwise, but we commit to responding to any security issue we become aware of.
Under the GDPR you have the right to: access your personal data (Art. 15); have it corrected (Art. 16); request its erasure ("right to be forgotten", Art. 17); restrict its processing (Art. 18); receive it in a portable format (Art. 20); and object to processing based on legitimate interest (Art. 21). To exercise any of these rights, email us at rismalapp@gmail.com. Under Art. 12(3) GDPR, we will respond within one month of receiving your request; that period may be extended by a further two months where necessary, taking into account the complexity and number of requests, in which case we will inform you of the extension and the reasons for it within the first month.
You have the right to lodge a complaint about our processing of your personal data with a data protection supervisory authority. Because the data controller is established in the Netherlands, this is the Autoriteit Persoonsgegevens: autoriteitpersoonsgegevens.nl.
Rismål currently does not verify users' ages. If you believe a child has provided us with their personal data, please contact us at rismalapp@gmail.com and we will look into it and take appropriate action.
We may update this policy as the app evolves. The date at the top of this document reflects the last update. For material changes, we will try to notify you within the app.
Salim Aleulov, Fatimaplein 95, 6214 TX Maastricht, the Netherlands. Email: rismalapp@gmail.com.
Контролёр данных: Салим Алеулов (Salim Aleulov), действующий как оператор персональных данных приложения Rismål. Rismål — название приложения/проекта.
Адрес: Fatimaplein 95, 6214 TX Maastricht, Нидерланды.
Электронная почта по всем вопросам конфиденциальности: rismalapp@gmail.com.
Эта политика описывает, какие данные собирает мобильное приложение Rismål (Android) и связанный с ним облачный бэкенд на базе Supabase, зачем, на каком правовом основании, кому они становятся видны и как ими управлять.
Rismål можно использовать без регистрации. В этом режиме ваша личная коллекция растений, никнеймы, даты покупки, заметки, дата следующего ухода, фотографии растений, журнал наблюдений, черновики публикаций и избранное каталога хранятся только на вашем устройстве и никогда не передаются нам. Мы физически не видим и не обрабатываем эти данные, пока вы не войдёте в аккаунт.
Настройки языка и темы оформления также хранятся локально и не синхронизируются намеренно — при переустановке приложения их нужно будет выбрать заново.
Резервная копия для восстановления данных при сбоях и технические маркеры синхронизации также хранятся только на устройстве. Файл последнего сбоя приложения (crash log) сохраняется локально и никуда не передаётся автоматически.
Эти локальные данные также не копируются в облачное резервное копирование Android или при переносе на новое устройство через штатные средства Android — резервное копирование приложения полностью отключено (allowBackup=false) с явными правилами исключения на всех поддерживаемых версиях Android.
При регистрации мы получаем ваш email и пароль (обрабатывается системой аутентификации Supabase). Мы не имеем прямого доступа к паролю в открытом виде.
Отображаемое имя, краткое «о себе», специализация и фотография аватара. Отображаемое имя и аватар видны публично любому пользователю приложения, включая незалогиненных посетителей.
При входе в аккаунт ваша коллекция растений, никнеймы, даты, заметки, фотографии растений и журнал наблюдений синхронизируются в облако и становятся приватными для вас — видны только вам через контроль доступа на уровне базы данных (RLS).
Тема ухода, условия, действие, результат, длительность, до/после-фотографии и — если указано — местоположение/город. Публикация становится видна другим пользователям (включая незалогиненных), пока не скрыта модерацией или не удалена вами.
Комментарии к публикациям видны публично на тех же условиях, что и сами публикации. Ваш голос («полезно»/«не полезно») учитывается в публичном агрегированном счётчике; мы не раскрываем другим пользователям, кто именно проголосовал. Жалобы на контент видны только вам и администратору. Список сохранённых публикаций, список заблокированных пользователей и уведомления видны только вам.
Если вы пишете нам через форму обратной связи, мы получаем ваш email, тип и текст обращения, а также, при необходимости, наш ответ и внутренние заметки администратора. Это видно только вам и администратору.
Мы не используем GPS или геолокацию устройства. Если вы вручную указываете город/местоположение при публикации, оно становится частью публикации и подчиняется тем же правилам видимости.
Фотографии растений хранятся приватно. Фотографии профиля и фотографии «до/после» в публикациях сообщества хранятся публично доступными файлами (по прямой ссылке), как и положено для контента, который вы решили опубликовать.
Как и любой облачный сервис, наша инфраструктура на базе Supabase автоматически создаёт технические данные при обработке каждого запроса: IP-адрес, User-Agent устройства, метаданные операций аутентификации, обращений к файловому хранилищу и серверным функциям, а также технические логи. Это стандартная работа инфраструктуры, необходимая для функционирования и безопасности сервиса, — Rismål не строит на основе этих данных отдельную систему аналитики или профилирования пользователей.
Мы не используем согласие (ст. 6(1)(a) GDPR) как общее основание для всех данных. Основная часть обработки — прямое исполнение договора с вами (ст. 6(1)(b)): вы регистрируетесь и используете конкретные функции (коллекция, публикации, обратная связь), и обработка соответствующих данных необходима именно для предоставления этой функции. Модерация контента, обработка жалоб, блокировки пользователей, защита от злоупотреблений при удалении аккаунта и технические данные соединения/безопасности опираются на законный интерес (ст. 6(1)(f)) — поддержание безопасности и работоспособности сообщества, соразмерно вашим правам и ожиданиям. История AI-генерации карточек растений и связанные с ней записи о стоимости (создаются только сотрудниками с ролью администратора/редактора при работе с каталогом, не рядовыми пользователями) также обрабатываются на основании законного интереса — обеспечения качества и проверяемости каталога; после удаления аккаунта такого сотрудника прямая привязка записи к его аккаунту удаляется, но сама запись сохраняется (см. раздел 9). При необходимости выполнить юридическое обязательство (например, запрос компетентного органа) мы вправе опираться на ст. 6(1)(c).
Часть данных в Rismål — публичная по своей природе: ваше отображаемое имя, аватар, опубликованные записи об уходе за растениями (включая фото и указанное местоположение) и комментарии видны любому человеку, открывшему приложение, включая тех, кто не вошёл в аккаунт. Публикация становится невидимой публично только если вы её удалите или если она скрыта модерацией за нарушение правил сообщества. Мы не публикуем ваш email или пароль ни при каких обстоятельствах.
Мы не продаём ваши персональные данные и не используем их для таргетированной рекламы третьих лиц — в приложении нет сторонних SDK для аналитики или рекламы.
Наш облачный бэкенд работает на платформе Supabase (Supabase Pte. Ltd), которая выступает по отношению к нам как процессор/поставщик услуг (processor/service provider) — она обрабатывает данные по нашему поручению и в соответствии с заключённым Data Processing Addendum. Актуальный список суб-процессоров Supabase публикуется по адресу supabase.com/legal/customer-resources/subprocessor-list и может обновляться независимо от этого текста.
Мы можем раскрыть данные компетентным государственным органам, если это требуется по закону.
Данные вашего аккаунта хранятся в инфраструктуре Supabase в регионе Лондон, Великобритания. Великобритания признана Европейской комиссией страной с адекватным уровнем защиты данных (adequacy decision, продлено 19 декабря 2025 до 27 декабря 2031) — это означает, что передача и хранение данных в Великобритании не требует дополнительных защитных мер вроде Standard Contractual Clauses, так же как и хранение внутри ЕЭЗ.
Отдельно, часть собственных служебных операций Supabase как нашего процессора может включать передачу данных в страны без такого решения об адекватности — в частности, в США и Сингапур, где зарегистрирована сама компания Supabase Pte. Ltd. Для таких передач применяются стандартные договорные условия (Standard Contractual Clauses), утверждённые Европейской комиссией, как указано в официальной Privacy Policy и DPA Supabase.
Мы не реализовали автоматическое удаление данных по истечении срока ни для одной из перечисленных категорий. Данные хранятся до тех пор, пока вы сами их не удалите, пока модератор не примет решение по жалобе или контенту, либо пока вы не удалите аккаунт целиком. История AI-генерации карточек растений и связанные записи о стоимости (относится только к сотрудникам с ролью администратора/редактора) хранятся бессрочно даже после удаления соответствующего аккаунта — прямая привязка записи к этому аккаунту удаляется, запись используется нами для аудита качества каталога растений. Технические данные соединения и безопасности (IP, User-Agent, логи), которые генерирует инфраструктура Supabase, хранятся по правилам самой Supabase как нашего процессора — мы не устанавливаем для них отдельный собственный срок.
Вы можете удалить аккаунт в любой момент через раздел «Аккаунт» в приложении. При удалении:
Удаление необратимо для облачных данных.
Мы применяем разумные технические и организационные меры защиты: контроль доступа на уровне строк базы данных, приватные и публичные категории хранилища файлов, шифрование соединения при передаче данных. Ни одна система не может гарантировать абсолютную защиту от несанкционированного доступа — мы не даём такой гарантии, но обязуемся реагировать на выявленные проблемы безопасности.
В соответствии с GDPR вы вправе: получить доступ к своим персональным данным (ст. 15); потребовать их исправления (ст. 16); потребовать удаления («право быть забытым», ст. 17); ограничить обработку (ст. 18); получить свои данные в переносимом формате (ст. 20); возразить против обработки, основанной на законном интересе (ст. 21). Для реализации любого из этих прав напишите нам на rismalapp@gmail.com. В соответствии со ст. 12(3) GDPR мы ответим не позднее чем через один месяц с момента получения запроса; при необходимости, с учётом сложности и количества запросов, этот срок может быть продлён ещё на два месяца — в этом случае мы уведомим вас о продлении и его причинах в течение первого месяца.
Вы вправе подать жалобу на обработку ваших персональных данных в надзорный орган по защите данных — Autoriteit Persoonsgegevens (Нидерланды), поскольку контролёр данных зарегистрирован по месту жительства в Нидерландах: autoriteitpersoonsgegevens.nl.
На данный момент Rismål не проверяет возраст пользователя. Если вы считаете, что ребёнок предоставил нам свои персональные данные, напишите нам на rismalapp@gmail.com, и мы рассмотрим ситуацию и примем соответствующие меры.
Мы можем обновлять эту политику по мере развития приложения. Дата последнего обновления указана в начале документа. При существенных изменениях мы постараемся уведомить вас в приложении.
Салим Алеулов, Fatimaplein 95, 6214 TX Maastricht, Нидерланды. Email: rismalapp@gmail.com.