How Listo handles data on your phone and after you sign in.
Privacy Policy
Version of 24 September 2026
This is an English translation. The Polish version is the legally binding text and prevails if the two versions differ.
1. Who we are
Michał Sadurski, ul. Kolejowa 50, 05-120 Legionowo, Poland (info@kiwiprojekt.pl), is the data controller under the General Data Protection Regulation (GDPR) for the data described in this policy. For any privacy questions or requests, write to this email address.
2. Scope of this document
This document applies to the Listo application for iOS and Android and to the backend server it connects to.
Listo works entirely without an account. Until you sign in, all your lists remain solely on your device, and we receive no data. This document outlines what happens when you choose to create or sign in to an account.
3. What we process and why
When you sign in and while you maintain an account, we process:
An internal account number that we assign. It identifies your account and nothing else.
Your authentication identity from Apple or Google: which provider you used, and the app-scoped identifier issued by that provider.
The display name provided by Apple or Google. Apple sends this once upon your first sign-in. We keep it so other members on shared lists know who you are.
If you sign in with Apple: a refresh token that Apple issues for Listo. We use it for one thing. When you delete your account, we send it back to Apple so that Apple revokes Listo's access to your Apple ID.
The lists, tasks, and groups you choose to back up, along with the timestamp of each change and the account ID that made it.
Your list memberships: which lists your account belongs to, and whether you own or joined each list.
Invitation links you generate, stored as cryptographic hashes so the server can validate incoming joins.
Your active session, stored as a hashed token to keep your device signed in.
If you buy a subscription: the date it ends, which product you bought (Plus or Plus for families), and the store's reference for it. That reference is the original transaction ID from the App Store, or the purchase token from Google Play. The server uses it to ask the store whether the subscription has renewed. We never see your card or other payment details.
If you buy Plus for families or join a family: which accounts belong to the family, when each member joined, and the family links you make, stored as cryptographic hashes.
If you report a list or a member: your account, the list, the member you reported (if any), the reason you chose from a fixed set, and the time. A report copies nothing from the list.
If you block a member: which account blocked which, and when.
We process this data to back up your selected lists off your phone, sync them across devices where you sign in, share them with people you invite, and give you the Plus you paid for, including its renewals. This is the service you request when signing in, and the legal basis is contract performance under Article 6(1)(b) of the GDPR.
We process reports and blocks to stop abuse of shared lists. To stop repeated sign-in attempts, the server also counts the sign-ins from each IP address over one minute. It does not save the address. The legal basis for both is our legitimate interest in keeping the service safe, under Article 6(1)(f) of the GDPR. We do not use your data for any other purpose.
We do not process:
Private lists. Any list you keep stored only on your phone never reaches our servers.
Your email address. Listo asks Apple and Google for your name, not for your email address. If a sign-in token carries an email address anyway, we do not store it.
Any analytics, advertising, tracking, or profiling data. The app contains no third-party analytics packages, advertising IDs, or tracking code.
We do not make automated decisions or profile you.
4. Who sees your data
Other members of a shared list. Members see your display name, which tasks you added or completed, and whether you currently have the list open. You request this visibility when you share or join a list. Real-time presence (whether you have the list open) passes directly between active connections and is never saved to disk.
People with an invitation link. Before they join, they see the list's title and the display name of its owner.
The people in your family. The owner of a family sees each member's display name and when they joined. A member sees the owner's display name and whether the owner still pays for Plus for families. Members do not see each other on the family screen. Someone who opens a family link sees the owner's display name before joining.
Cloudflare, Inc. Cloudflare operates our backend infrastructure under a Data Processing Agreement as required by Article 28 of the GDPR. Cloudflare processes data strictly on our instructions and stores nothing for its own purposes. When someone makes a report, the server sends us an email through Cloudflare. The email holds the number of new reports, their reasons, and their report IDs, and nothing about any account or list.
Apple and Google. Apple and Google provide sign-in and handle subscription payments under their own privacy policies. During an Apple sign-in, the server trades a one-time code with Apple for the refresh token described in section 3. When you subscribe, the server sends the store's reference for your subscription to Apple or Google, to confirm the purchase and to check for renewals. We never share your lists with them.
Public authorities. Only when statutory law strictly obliges us to disclose information.
We never sell your data or share it with advertisers.
5. Where your data is stored
All database components storing your data reside within the European Union. Network requests from your device pass through Cloudflare's global edge network, which may route traffic through servers outside the EU. No user data is stored on edge servers outside the EU, and our agreement with Cloudflare incorporates standard contractual clauses approved by the European Commission.
6. Retention periods
Account details, identity, display name, lists, and memberships: kept until you delete your account. A membership also ends when you leave a list or its owner removes you.
The Apple refresh token: kept until you delete your account.
Session tokens: kept for 90 days from sign-in, then automatically deleted.
Invitation links and family links: valid for 7 days at most, then automatically deleted. A family link also goes as soon as someone uses it.
A place in a family: kept until the owner removes the member, the member leaves, or either account is deleted.
Sign-in attempts in progress: kept for 5 minutes.
Reports: kept for 90 days, then automatically deleted. A report stays for those 90 days even if the account that made it, or the account it names, is deleted.
Blocks: kept until either account is deleted.
Lists you take off the server: titles and tasks are wiped immediately. A single entry with only the list ID is retained so offline devices learn about the change once they reconnect.
Lists you delete: we wipe the title, groups, and tasks from the server immediately. We keep only a marker with the list ID, the time of the deletion, and the ID of the account that deleted it. The marker holds none of the list's content. We keep it for as long as we run the service, so that a phone that was offline learns the list is gone when it reconnects. Other members keep their own copy on their phones as a private list.
Subscription end dates: kept on your account until you delete it. The store's reference for a subscription is kept until the store tells us that the subscription has ended, or until you delete your account. We do not store records of renewals, refunds, or cancellations.
7. Account deletion
The application Settings screen includes a Delete account option. Selecting it permanently removes your account, identity records, active sessions, memberships, subscription references, family place, blocks, and every list you own from the server immediately, without requiring manual approval from us. Each list leaves only the marker described in section 6, so that other phones learn the list is gone. When your account is deleted, we also remove your account ID from every marker.
If you signed in with Apple, the deletion also asks Apple to revoke Listo's access to your Apple ID. If you own a family, its members lose the Plus that you gave them.
Tasks you added to a list owned by someone else remain on that list, but your name and account association are stripped. Reports follow the 90-day period in section 6.
Deleting your server account does not erase data stored on your phone. Your phone keeps its local lists and continues working offline without an account. Other devices that were signed in retain whatever local copy they already downloaded.
Deleting your account does not cancel a subscription. Cancel it in the App Store or Google Play.
Under the GDPR, you have the right to access your personal data, request rectification or erasure, restrict processing, receive your data in a portable format, and object to processing where applicable by law. Because your lists stay on your phone and you can delete your account directly in Settings, you can exercise most rights directly in the app. For other requests, write to info@kiwiprojekt.pl.
You also have the right to lodge a complaint with the President of the Personal Data Protection Office (Prezes Urzędu Ochrony Danych Osobowych), ul. Stawki 2, 00-193 Warsaw, Poland.
Providing personal data is entirely voluntary. Without it, server backup and sharing cannot function, but the app remains fully functional as a local to-do list.
9. Data on your device
Listo maintains its primary database locally on your phone. That data remains under your direct control. If your phone backs up its storage to Apple iCloud or Google Drive, those backups fall under Apple's or Google's privacy terms.
10. Changes to this policy
The date at the top indicates the current version. Any revised version will be published at this same URL, and the app links directly to the active version. If we ever intend to process your data for a purpose not described here, we will inform you before that processing begins, in accordance with Article 13(3) of the GDPR.
Polityka prywatności
Wersja z dnia 24 września 2026 r.
1. Kim jesteśmy
Michał Sadurski, ul. Kolejowa 50, 05-120 Legionowo (info@kiwiprojekt.pl), jest administratorem danych osobowych w rozumieniu RODO w odniesieniu do danych opisanych w tym dokumencie. We wszystkich sprawach dotyczących prywatności pisz na ten adres e-mail.
2. Czego dotyczy ten dokument
Aplikacji Listo na iOS i Androida oraz serwera, z którym się łączy.
Aplikacja działa bez konta. Dopóki się nie zalogujesz, wszystko, co zapisujesz, zostaje wyłącznie w Twoim telefonie, a my nie otrzymujemy żadnych danych. Ten dokument opisuje, co dzieje się po zalogowaniu.
3. Co przetwarzamy i po co
Gdy się logujesz i przez cały czas posiadania konta przetwarzamy:
Wewnętrzny numer konta, który nadajemy. Identyfikuje Twoje konto i nic więcej.
Tożsamość potwierdzoną przez Apple lub Google: informację, z którego dostawcy skorzystałeś, oraz identyfikator nadany Ci w tej aplikacji.
Nazwę wyświetlaną przekazaną przez Apple lub Google. Apple przekazuje ją raz, przy pierwszym logowaniu; przechowujemy ją po to, żeby inni członkowie widzieli, kim jesteś na udostępnionych listach.
Jeśli logujesz się przez Apple: token odświeżania, który Apple wydaje dla Listo. Służy nam do jednego. Gdy usuniesz konto, odsyłamy go do Apple, żeby Apple odebrało Listo dostęp do Twojego Apple ID.
Listy, zadania i grupy, które zdecydujesz się zapisać w kopii zapasowej, wraz ze znacznikiem czasu każdej zmiany i kontem, które ją wprowadziło.
Informację, do których list należy Twoje konto oraz czy jesteś właścicielem listy, czy do niej dołączyłeś.
Linki z zaproszeniami, które tworzysz, przechowywane jako skrót kryptograficzny (hash), żeby serwer mógł zrealizować dołączenie.
Twoją aktywną sesję, przechowywaną jako skrót tokenu, żeby telefon pozostał zalogowany.
Jeśli wykupisz subskrypcję: datę jej końca, kupiony produkt (Plus albo Plus dla rodzin) i numer, pod którym zna ją sklep. W App Store jest to pierwotny identyfikator transakcji, a w Google Play token zakupu. Serwer pyta sklep na jego podstawie, czy subskrypcja się odnowiła. Nie widzimy numeru karty ani innych danych płatniczych.
Jeśli wykupisz Plus dla rodzin lub dołączysz do rodziny: to, które konta należą do rodziny, kiedy każdy członek dołączył, oraz linki rodzinne, które tworzysz, przechowywane jako skrót kryptograficzny (hash).
Jeśli zgłosisz listę lub członka: Twoje konto, listę, zgłoszonego członka (jeśli jest), powód wybrany z zamkniętej listy oraz czas zgłoszenia. Zgłoszenie nie kopiuje niczego z listy.
Jeśli zablokujesz członka: które konto zablokowało które i kiedy.
Przetwarzamy te dane, żeby przechowywać kopię zapasową Twoich list poza telefonem, synchronizować je między urządzeniami, na których się zalogujesz, umożliwiać dzielenie się listami z zaproszonymi osobami oraz zapewnić opłacony Plus wraz z jego odnowieniami. Jest to usługa, o którą wnioskujesz, logując się do konta, a podstawą prawną jest wykonanie umowy zgodnie z art. 6 ust. 1 lit. b RODO.
Zgłoszenia i blokady przetwarzamy, żeby przeciwdziałać nadużyciom na udostępnionych listach. Żeby powstrzymać powtarzane próby logowania, serwer liczy też logowania z każdego adresu IP w ciągu minuty. Nie zapisuje tego adresu. Podstawą prawną w obu przypadkach jest nasz prawnie uzasadniony interes, czyli bezpieczeństwo usługi (art. 6 ust. 1 lit. f RODO). Nie wykorzystujemy tych danych do żadnych innych celów.
Nie przetwarzamy:
List prywatnych. Każda lista przechowywana wyłącznie w telefonie nigdy nie trafia na nasze serwery.
Twojego adresu e-mail. Listo prosi Apple i Google o Twoje imię i nazwisko, a nie o adres e-mail. Jeśli token logowania mimo to zawiera adres e-mail, nie zapisujemy go.
Danych analitycznych, reklamowych, śledzących ani profilujących. Aplikacja nie zawiera żadnych pakietów analitycznych, identyfikatorów reklamowych ani zewnętrznego kodu śledzącego.
Nie podejmujemy wobec Ciebie żadnych zautomatyzowanych decyzji ani nie prowadzimy profilowania.
4. Kto widzi Twoje dane
Pozostali członkowie udostępnionej listy. Widzą Twoją nazwę wyświetlaną, zadania, które dodałeś lub ukończyłeś, oraz to, czy masz w danej chwili otwartą listę. O taką widoczność wnioskujesz, udostępniając listę lub do niej dołączając. Informacja o aktywnej obecności (czy masz otwartą listę) jest przekazywana bezpośrednio między aktywnymi połączeniami i nigdzie nie jest zapisywana na dysku.
Osoby z linkiem z zaproszeniem. Zanim dołączą, widzą tytuł listy i nazwę wyświetlaną jej właściciela.
Osoby w Twojej rodzinie. Właściciel rodziny widzi nazwę wyświetlaną każdego członka i datę jego dołączenia. Członek widzi nazwę wyświetlaną właściciela i to, czy właściciel nadal płaci za Plus dla rodzin. Członkowie nie widzą się nawzajem na ekranie rodziny. Osoba, która otworzy link rodzinny, przed dołączeniem widzi nazwę wyświetlaną właściciela.
Cloudflare, Inc. Prowadzi infrastrukturę serwerową w naszym imieniu na podstawie umowy powierzenia przetwarzania danych osobowych (DPA), wymaganej przez art. 28 RODO. Cloudflare przetwarza dane wyłącznie na nasze polecenie i nie przechowuje ich na własne potrzeby. Gdy ktoś wyśle zgłoszenie, serwer wysyła nam przez Cloudflare e-mail. Zawiera on liczbę nowych zgłoszeń, ich powody i identyfikatory, a nic o żadnym koncie ani liście.
Apple i Google. Obsługują logowanie i płatności za subskrypcję na podstawie własnych polityk prywatności. Przy logowaniu przez Apple serwer wymienia z Apple jednorazowy kod na token odświeżania opisany w punkcie 3. Gdy wykupisz subskrypcję, serwer przekazuje Apple lub Google numer, pod którym sklep ją zna, żeby potwierdzić zakup i sprawdzać odnowienia. Nigdy nie przekazujemy im Twoich list.
Organy publiczne. Wyłącznie wtedy, gdy przepisy prawa wprost zobowiążą nas do udostępnienia informacji.
Nigdy nie sprzedajemy danych ani nie udostępniamy ich na potrzeby reklamy.
5. Gdzie są Twoje dane
Wszystkie komponenty bazy danych przechowujące Twoje dane znajdują się w Unii Europejskiej. Żądania sieciowe z Twojego telefonu przechodzą przez globalną sieć brzegową Cloudflare, która może kierować ruch przez serwery poza Unią. Żadne dane użytkowników nie są zapisywane na serwerach brzegowych poza Unią, a nasza umowa z Cloudflare zawiera standardowe klauzule umowne zatwierdzone przez Komisję Europejską.
6. Jak długo przechowujemy dane
Konto, dane tożsamości, nazwę, listy i członkostwa: do czasu usunięcia przez Ciebie konta. Członkostwo kończy się też, gdy opuścisz listę albo usunie Cię z niej jej właściciel.
Token odświeżania Apple: do czasu usunięcia przez Ciebie konta.
Tokeny sesji: przez 90 dni od logowania, po czym są automatycznie usuwane.
Linki z zaproszeniem i linki rodzinne: najwyżej przez 7 dni, po czym są automatycznie usuwane. Link rodzinny znika też od razu po użyciu.
Miejsce w rodzinie: do czasu, gdy właściciel usunie członka, członek opuści rodzinę albo jedno z tych kont zostanie usunięte.
Zapis trwającego logowania: przez 5 minut.
Zgłoszenia: przez 90 dni, po czym są automatycznie usuwane. Zgłoszenie zostaje przez te 90 dni także wtedy, gdy konto, które je wysłało, albo konto, którego dotyczy, zostanie usunięte.
Blokady: do czasu usunięcia jednego z tych kont.
Listy, które zdejmiesz z serwera: ich tytuły i zadania są wymazywane natychmiast. Pozostaje jedynie pojedynczy wpis z identyfikatorem listy, dzięki czemu telefon będący offline dowiaduje się o zmianie po ponownym połączeniu.
Listy, które usuniesz: tytuł, grupy i zadania wymazujemy z serwera od razu. Zostaje tylko znacznik z identyfikatorem listy, czasem usunięcia i identyfikatorem konta, które ją usunęło. Znacznik nie zawiera nic z treści listy. Przechowujemy go, dopóki działa usługa, żeby telefon, który był offline, po ponownym połączeniu dowiedział się, że listy już nie ma. Pozostali członkowie zachowują na swoich telefonach własną kopię jako listę prywatną.
Daty końca subskrypcji: zostają na koncie do czasu jego usunięcia. Numer, pod którym sklep zna subskrypcję, przechowujemy, dopóki sklep nie poinformuje nas o jej końcu, albo do czasu usunięcia konta. Nie zapisujemy historii odnowień, zwrotów ani anulowań.
7. Usunięcie konta
W Ustawieniach aplikacji znajduje się opcja Usuń konto. Jej wybranie natychmiast i bez konieczności kontaktu z nami trwale usuwa z serwera Twoje konto, tożsamość, aktywne sesje, członkostwa, numery subskrypcji, miejsce w rodzinie, blokady oraz każdą listę, której jesteś właścicielem. Po każdej takiej liście zostaje tylko znacznik opisany w punkcie 6, żeby inne telefony dowiedziały się, że jej już nie ma. Przy usunięciu konta usuwamy też identyfikator Twojego konta z każdego znacznika.
Jeśli logowałeś się przez Apple, usunięcie konta prosi też Apple o odebranie Listo dostępu do Twojego Apple ID. Jeśli jesteś właścicielem rodziny, jej członkowie tracą Plus, który im dałeś.
Zadania dodane przez Ciebie do listy należącej do kogoś innego pozostają na tej liście, ale Twoje imię i powiązanie z kontem są z nich usuwane. Zgłoszenia podlegają 90-dniowemu okresowi z punktu 6.
Usunięcie konta z serwera nie kasuje list z żadnego telefonu. Twój telefon zachowuje swoje lokalne listy i działa dalej w trybie offline bez konta. Inne urządzenia, które były zalogowane, zachowują pobraną wcześniej kopię lokalną.
Usunięcie konta nie anuluje subskrypcji. Anuluj ją w App Store albo w Google Play.
Możesz także poprosić nas o usunięcie konta, pisząc na adres info@kiwiprojekt.pl.
Na podstawie RODO masz prawo dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, otrzymania ich w formacie ustrukturyzowanym (przenoszenie danych) oraz sprzeciwu tam, gdzie przepisy na to pozwalają. Ponieważ Twoje listy znajdują się w telefonie, a konto usuwasz samodzielnie w Ustawieniach, z większości tych praw możesz skorzystać bezpośrednio w aplikacji. W pozostałych sprawach napisz na adres info@kiwiprojekt.pl.
Masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.
Podanie danych jest w pełni dobrowolne. Bez nich synchronizacja z serwerem i udostępnianie list nie mogą działać, ale aplikacja nadal w pełni realizuje swoje funkcje jako lokalna lista zadań.
9. Dane w Twoim telefonie
Listo prowadzi własną bazę danych lokalnie w telefonie. Te dane pozostają pod Twoją wyłączną kontrolą. Jeśli telefon tworzy kopię zapasową w chmurze Apple iCloud lub Google Drive, kopia ta podlega warunkom prywatności Apple lub Google.
10. Zmiany
Data u góry określa bieżącą wersję dokumentu. Nowa wersja zastępuje dotychczasową pod tym samym adresem internetowym, a aplikacja odsyła zawsze do wersji aktualnej. Jeśli kiedykolwiek zamierzalibyśmy przetwarzać Twoje dane w celu innym niż tu opisany, poinformujemy Cię o tym przed rozpoczęciem takiego przetwarzania, zgodnie z art. 13 ust. 3 RODO.
