Polityka prywatności

Kto odpowiada

Administratorem opisanego tu przetwarzania danych jest Andrey Fedyukov, Mecumstraße 52, 40225 Düsseldorf, Niemcy.

Z każdym pytaniem o swoje dane pisz na [email protected]. Możesz też złożyć skargę do organu nadzorczego ds. ochrony danych w kraju UE, w którym mieszkasz.

Co przechowujemy

Dane konta, jeśli je zakładasz: adres e-mail, identyfikatory metody logowania (Apple lub Google, jeśli logujesz się w ten sposób) i techniczne znaczniki czasu twoich sesji.

Samą książkę: operacje, konta, kategorie, operacje cykliczne, zaplanowane płatności, budżety, ustawienia walut i notatki, które piszesz. Jeśli książka jest wspólna — także skład grupy i jej kody zaproszenia.

Jeśli kupujesz Topf Plus: to, że zakup nastąpił, i do kiedy jest ważny, anonimowy identyfikator, który serwis zakupów nadaje twojej instalacji, oraz — jeśli masz konto — powiązanie między nimi. Nie twoją kartę, twój Apple ID ani twoje konto Google: przechowuje je sklep i nie pokazuje nam niczego z tego.

Jeśli korzystasz z wprowadzania głosowego, mając konto: dla każdego miesiąca kalendarzowego liczbę udanych wprowadzeń głosowych przypisanych do twojego konta, żeby można było stosować obowiązujący limit — miesięczny limit w darmowej wersji, a w Plus górną granicę chroniącą przed nadużyciami. Przechowujemy miesiąc kalendarzowy, tę liczbę i czas jej ostatniej zmiany; wypowiedzianego przez ciebie zdania ani szkiców, które z niego powstały, nie przechowujemy. We wspólnej książce wprowadzenia głosowe uczestników bez własnego Plus są przypisywane do konta właściciela grupy.

Jeśli korzystasz ze skanowania paragonów, mając konto: dla każdego miesiąca kalendarzowego liczbę paragonów odczytanych dla twojego konta, żeby można było stosować obowiązujący limit. Tak jak przy wprowadzaniu głosowym przechowujemy miesiąc kalendarzowy, tę liczbę i czas jej ostatniej zmiany; zdjęcia paragonu ani szkiców, które z niego powstały, nie przechowujemy. We wspólnej książce skany uczestników bez własnego Plus są przypisywane do konta właściciela grupy.

To pełna lista tego, co przechowujemy razem z kontem. W aplikacji nie ma identyfikatora reklamowego, odcisku urządzenia ani śledzenia przez podmioty zewnętrzne; opisane niżej statystyki użycia nie są powiązane z twoim kontem.

Korzystanie bez konta

Z Topf można korzystać bez konta. Twoja książka zostaje wtedy na urządzeniu i nie jest wysyłana. Wprowadzanie głosowe i skanowanie paragonów wymagają internetu i przesyłają dane, gdy z nich korzystasz. Zakupy Plus przechodzą przez App Store albo Google Play i serwis zakupów. Aplikacja wysyła też anonimowe statystyki użycia, które możesz wyłączyć. Szczegóły poniżej.

Po co przetwarzamy dane i na jakiej podstawie

Żeby dostarczyć produkt, z którego postanawiasz korzystać: przechowywać twoją książkę, synchronizować ją między urządzeniami i przywracać na nowym. Podstawa prawna: wykonanie umowy (art. 6 ust. 1 lit. b RODO).

Żeby umożliwić logowanie: wysłanie kodu logowania na twój adres e-mail. Podstawa prawna: wykonanie umowy (art. 6 ust. 1 lit. b RODO).

Żeby wiedzieć, czy masz Plus: sprawdzenie zakupu w serwisie zakupów i przechowywanie jego aktualnego stanu na naszym serwerze. Podstawa prawna: wykonanie umowy (art. 6 ust. 1 lit. b RODO).

Żeby stosować miesięczne limity wprowadzeń głosowych i skanów paragonów: liczenie jednych i drugich w każdym miesiącu kalendarzowym, bo darmowa wersja obejmuje ich ograniczoną liczbę. Podstawa prawna: wykonanie umowy (art. 6 ust. 1 lit. b RODO).

Żeby rozumieć, jak korzysta się z aplikacji, i ją ulepszać: statystyki użycia. Podstawa prawna: prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO).

Żeby usługa działała, a wprowadzanie głosowe i skanowanie paragonów nie były nadużywane. Podstawa prawna: prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO).

Gdzie są dane

Pełna kopia twojej książki jest na twoim urządzeniu, w lokalnej bazie danych, i działa tam bez sieci.

Jeśli masz konto, te same dane są przechowywane w bazie PostgreSQL hostowanej przez Supabase we Frankfurcie nad Menem w Niemczech (AWS eu-central-1) i docierają na twoje urządzenia przez serwis synchronizacji PowerSync. Dostęp jest ograniczony dla każdego użytkownika przez zabezpieczenia na poziomie wierszy (row-level security): konto czyta własną książkę, a jeśli należy do wspólnej — tę książkę.

Wprowadzanie głosowe

Przy wprowadzaniu głosowym twoje zdanie zwykle rozpoznaje usługa rozpoznawania mowy w urządzeniu. Na iPhonie jest to usługa Apple, na Androidzie usługa wybrana w systemie, zwykle Google. Może ona działać na samym urządzeniu albo na serwerach swojego dostawcy, na jego własnych warunkach. Na nasz serwer trafia tylko powstały tekst — razem z kontekstem, bez którego nie da się go zrozumieć: językiem interfejsu, dzisiejszą datą, strefą czasową, walutą główną i nazwami twoich aktywnych kont i kategorii.

Ten tekst trafia do OpenAI, które zamienia go w szkice operacji. Szkice wracają na urządzenie i są ci pokazywane; do książki nic nie jest zapisywane, dopóki nie potwierdzisz.

Jeśli rozpoznawanie na urządzeniu jest niedostępne, wysyłane jest samo nagranie, które transkrybuje ten sam dostawca. W obu przypadkach dźwięk i tekst przechodzą przez naszą funkcję wyłącznie w pamięci i nie są przez nas przechowywane — ani w bazie danych, ani w pliku, ani w logu. Jeśli masz konto, udane wprowadzenie jedynie zwiększa o jeden opisaną wyżej miesięczną liczbę wprowadzeń.

OpenAI przetwarza te dane w naszym imieniu jako podmiot przetwarzający. Jego API jest używane w trybie, w którym przesłane dane nie służą do trenowania modeli; w celu wykrywania nadużyć dostawca może przechowywać zapytanie i odpowiedź na nie do 30 dni, a dłużej — jeśli wymaga tego prawo albo jeśli jest to uzasadnione potrzebą ochrony jego usług lub osób trzecich przed szkodą. Nie dyktuj niczego, czego nie powinien zobaczyć podmiot przetwarzający.

Skanowanie paragonów

Żeby zeskanować paragon, robisz mu zdjęcie w aplikacji albo wybierasz jedno ze swoich zdjęć; aplikacja dostaje tylko to zdjęcie, które wybierzesz. Zanim zdjęcie opuści urządzenie, jest zmniejszane i zapisywane od nowa bez metadanych, na przykład bez miejsca i czasu wykonania. Nic nie jest wysyłane, dopóki nie pozwolisz na to w aplikacji, a zgodę możesz w każdej chwili wycofać w Ustawienia → Prywatność.

Zdjęcie trafia na nasz serwer razem z kontekstem potrzebnym do jego odczytania: językiem interfejsu, dzisiejszą datą, strefą czasową, walutą główną i nazwami twoich kategorii wydatków. Stamtąd przekazujemy je OpenAI, które odczytuje paragon i zamienia go w szkice operacji. Szkice wracają na twoje urządzenie i są ci pokazywane; nic nie trafia do książki, dopóki tego nie potwierdzisz.

Razem ze zdjęciem idzie wszystko, co jest wydrukowane na paragonie: jeśli są na nim twoje imię i nazwisko, adres albo e-mail, OpenAI też je dostaje. Zdjęcie przechodzi przez naszą funkcję w pamięci i nie przechowujemy go ani w bazie danych, ani w pliku, ani w logu. Jeśli korzystasz z konta, odczytany paragon zwiększa miesięczną liczbę skanów o jeden; zdjęcie, z którego nic nie udało się odczytać, się nie liczy.

OpenAI przetwarza te dane w naszym imieniu jako podmiot przetwarzający, z tymi samymi ustawieniami i tym samym przechowywaniem w celu wykrywania nadużyć co przy wprowadzaniu głosowym. Nie skanuj niczego, czego nie powinien zobaczyć podmiot przetwarzający.

E-mail

Kody logowania są wysyłane przez Amazon Simple Email Service (AWS, Frankfurt nad Menem, Niemcy). Serwis otrzymuje twój adres e-mail, żeby dostarczyć wiadomość. Nie wysyłamy e-maili marketingowych i nie ma żadnej listy mailingowej.

Kursy walut

Dzienne kursy walut pochodzą z publicznego serwisu api.frankfurter.dev. Zapytanie wysyła raz dziennie nasz serwer dla wszystkich, a nie twoje urządzenie — więc korzystanie z wielu walut nic temu serwisowi o tobie nie mówi.

Zakupy

Topf Plus kupuje się na iPhonie w App Store firmy Apple, a na Androidzie w Google Play, z kontem lub bez. Sama płatność, twoja karta i twój Apple ID albo konto Google zostają w sklepie; my nigdy ich nie widzimy. Apple i Google przetwarzają zakup jako niezależni administratorzy według własnych polityk prywatności. RevenueCat (RevenueCat, Inc., USA) otrzymuje potwierdzenie zakupu ze sklepu (paragon App Store albo token zakupu Google Play), anonimowy identyfikator twojej instalacji i — jeśli masz konto — jego identyfikator, a potem informuje aplikację i nasz serwer, czy Plus jest aktywny i do kiedy. RevenueCat przetwarza te dane w naszym imieniu jako podmiot przetwarzający; przekazywanie danych do USA opiera się na standardowych klauzulach umownych UE.

Statystyki użycia

Żeby rozumieć, gdzie ludzie się gubią i co poprawić, aplikacja wysyła statystyki użycia do PostHog (PostHog Inc., USA; dane są przechowywane w UE, we Frankfurcie): jak korzysta się z aplikacji — które ekrany są otwierane i jakie działania są w niej wykonywane. Każde zdarzenie zawiera wersję aplikacji, system operacyjny i jego wersję, język, strefę czasową i losowy identyfikator instalacji.

Nigdy nie wysyłamy kwot, notatek, nazw kont i kategorii, treści wypowiedzianych zdań, twojego adresu e-mail ani identyfikatora twojego konta. Adres IP jest odrzucany i nie służy do ustalania twojej lokalizacji. Statystyki nie są powiązane z twoim kontem; po ponownej instalacji aplikacji identyfikator instalacji jest nowy. Wysyłanie można wyłączyć w aplikacji: Ustawienia → Prywatność → Statystyki użycia.

Podstawa prawna: nasz prawnie uzasadniony interes w ulepszaniu aplikacji (art. 6 ust. 1 lit. f RODO). PostHog przetwarza te dane w naszym imieniu jako podmiot przetwarzający; przekazywanie danych do USA opiera się na standardowych klauzulach umownych UE. Zdarzenia są dostępne do analizy przez rok; starsze nie trafiają już do raportów, ale PostHog może przechowywać je w swoim archiwum. Ponieważ statystyki nie są powiązane z tobą, nie możemy wyodrębnić ani usunąć zdarzeń jednej instalacji.

Ta strona

Strona jest hostowana w Cloudflare Pages. Nie ma formularzy, plików cookie, analityki ani osadzonych treści podmiotów trzecich. Tylko strona główna odczytuje języki ustawione w twojej przeglądarce, żeby otworzyć się w jednym z nich, i nic z tego nie jest zapisywane. Cloudflare przetwarza dane techniczne, które widzi każdy serwer WWW — twój adres IP, żądany adres, user agent — żeby dostarczyć stronę i chronić usługę.

Kto jeszcze widzi dane

Tylko wymienione wyżej podmioty przetwarzające, każdy do jednego zadania, które wykonuje:

• Supabase — hosting bazy danych i usługi logowania;
• PowerSync — synchronizacja między bazą danych a twoimi urządzeniami;
• OpenAI — zamiana wypowiedzianego zdania lub zdjęcia paragonu w szkice;
• Amazon Web Services — dostarczanie e-maili i infrastruktura, na której działa baza danych;
• RevenueCat — obsługa zakupów w aplikacji i stan twojego uprawnienia do Plus;
• PostHog — statystyki użycia aplikacji;
• Cloudflare — hosting tej strony i domeny.

Dbamy o to, aby podmioty trzecie, którym przekazujemy dane użytkowników, chroniły je w takim samym lub równoważnym stopniu, jaki opisuje niniejsza polityka prywatności i jaki przewidują mające zastosowanie do naszej aplikacji wymogi ochrony danych.

Twoje dane nie są sprzedawane, wypożyczane, udostępniane reklamodawcom ani używane do trenowania czyichkolwiek modeli.

Jak długo przechowujemy dane

Tak długo, jak istnieje twoje konto. Usunięcie konta usuwa książkę z serwera; kopia zsynchronizowana już na twoje urządzenia znika, gdy się wylogujesz albo usuniesz aplikację.

Operacja usunięta w aplikacji od razu znika z książki i ze wszystkich sum; zaraz potem usunięcie można jeszcze cofnąć. Na serwerze pozostaje zapisana, oznaczona jako usunięta, dopóki nie usuniesz konta.

Twoje prawa

Na mocy RODO masz prawo dostępu do danych, ich sprostowania i usunięcia, ograniczenia przetwarzania i przenoszenia danych, a także prawo sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie.

Usuwanie jest wbudowane w aplikację: Ustawienia → Konto → Usuń konto usuwa twoje dane z serwera, a przy logowaniu przez Apple od razu cofa też to uprawnienie. We wszystkich innych sprawach pisz na [email protected].

Dzieci

Topf nie jest skierowany do dzieci i nie jest przeznaczony dla osób poniżej 16. roku życia.

Zmiany

Gdy ta polityka się zmienia, zmienia się też data na górze. O zmianie, która istotnie wpływa na postępowanie z twoimi danymi, aplikacja poinformuje, zanim zacznie ona obowiązywać.