Polityka prywatności

1. Administrator danych: [administrator], kontakt: [adres kontaktowy]. Kontakt wyłącznie mailowy. Nie wyznaczono inspektora ochrony danych.

2. Jakie dane przetwarzamy:

• dane konta: e-mail, imię i nazwisko (opcjonalnie), data urodzenia (opcjonalnie), skrót hasła, ustawienia, klucz 2FA (jeśli włączone);
• dane, które sam wprowadzasz: budżet (wpisy, kategorie, limity, oszczędności, pensja), rachunki i subskrypcje, zadania, projekty, cele, długi, wyjazdy, delegacje i czas pracy, pojazdy i ich koszty, wiadomości w ramach rodziny / grup;
• płatności z telefonu (aplikacja Android, jeśli ją zainstalujesz i sparujesz): kwota, waluta, sprzedawca, czas, końcówka karty — odczytane z powiadomień wybranych aplikacji bankowych / portfela. Treść innych powiadomień nie jest wysyłana;
• lokalizacja GPS miejsca płatności lub wydatku: tylko gdy włączysz tę funkcję i nadasz zgodę w telefonie;
• dane techniczne: dziennik aktywności (logowania, w tym nieudane, z adresem IP; zmiany danych) — w celach bezpieczeństwa;
• kod zaproszenia (data użycia, kto zaprosił).

3. Cel i podstawa:

• świadczenie usługi zgodnie z Regulaminem (art. 6 ust. 1 lit. b RODO);
• bezpieczeństwo, ochrona przed nadużyciami i kopie zapasowe (art. 6 ust. 1 lit. f — prawnie uzasadniony interes);
• lokalizacja i odczyt powiadomień — na podstawie Twojej zgody wyrażonej w aplikacji / systemie (art. 6 ust. 1 lit. a), którą możesz w każdej chwili wycofać w ustawieniach.

4. Hosting i bezpieczeństwo: serwer VPS w OVHcloud, centrum danych w Warszawie (UE). Połączenia wyłącznie HTTPS. Baza danych zaszyfrowana (AES-256, klucz przechowywany poza dyskiem z bazą). Kopie zapasowe zaszyfrowane, przechowywane na serwerze oraz w prywatnym repozytorium GitHub (GitHub Inc., z zabezpieczeniem umownym SCC / EU-US Data Privacy Framework). Dostawca widzi wyłącznie zaszyfrowane pliki. Opcjonalnie 2FA i „wyloguj wszędzie”.

5. Odbiorcy: dane nie są sprzedawane ani udostępniane w celach marketingowych. Przetwarzają je wyłącznie dostawcy infrastruktury (OVHcloud — hosting; GitHub — zaszyfrowane kopie) na podstawie umów powierzenia. Kursy walut pobierane z publicznego API NBP — bez Twoich danych.

6. Okres przechowywania:

• dane konta i treści: do usunięcia konta;
• usunięte elementy trafiają do Kosza i są trwale usuwane po 90 dniach (ustawienie 7–365 dni / nigdy);
• kopie zapasowe: 30 dziennych + 12 miesięcznych (dane usunięte znikają z kopii najpóźniej po ok. 12 miesiącach);
• dziennik bezpieczeństwa: 12 miesięcy.

7. Twoje prawa: dostęp do danych, sprostowanie, usunięcie („prawo do bycia zapomnianym”), ograniczenie, przeniesienie (eksport w Ustawienia → Dane → „Pobierz moje dane”), sprzeciw, cofnięcie zgody (bez wpływu na wcześniejsze przetwarzanie). Skarga do Prezesa UODO (ul. Stawki 2, 00-193 Warszawa). Wnioski: [adres kontaktowy]. Odpowiedź do 30 dni.

8. Aplikacja Android — uprawnienia:

Każde uprawnienie można odebrać w ustawieniach systemu. Bez nich aplikacja działa, ale nie zapisze płatności / miejsca automatycznie.

• dostęp do powiadomień (odczyt tylko z wybranych aplikacji płatniczych);
• lokalizacja (także w tle — „Zezwalaj zawsze” — wyłącznie w chwili płatności);
• powiadomienia (propozycje przypisania).

9. Profilowanie: podpowiedzi kategorii i wyjazdów są liczone automatycznie z Twoich danych wyłącznie na Twoje potrzeby. Nie wywołują skutków prawnych i nie są przekazywane dalej.

10. Zmiany: o zmianie polityki informujemy w aplikacji; aktualna wersja i data na tej stronie.