Polityka prywatności

Administrator danych: ADAM MISIAK, Brzozowa 5, Brzoza, Poland · NIP: 5542979661 · Adres poczty elektronicznej: support@qesto.app

§ 1. Postanowienia ogólne

1. Niniejsza Polityka prywatności określa zasady przetwarzania danych osobowych Użytkowników aplikacji Qesto oraz realizuje obowiązek informacyjny, o którym mowa w art. 13 i 14 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 („RODO").
2. Administratorem danych osobowych jest ADAM MISIAK, Brzozowa 5, Brzoza, Poland, NIP: 5542979661 („Administrator"). Kontakt w sprawach danych osobowych: support@qesto.app albo pisemnie na adres Administratora.
3. Administrator nie wyznaczył inspektora ochrony danych.
4. Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie.
5. Numer wersji i data wejścia w życie Polityki prywatności są podane przy jej treści. Poprzednie wersje pozostają dostępne.

§ 2. Cele, podstawy prawne i zakres przetwarzania

1. Administrator przetwarza dane osobowe w następujących celach i na następujących podstawach:
   1. zawarcie i wykonanie Umowy, w tym prowadzenie Konta - adres poczty elektronicznej, imię i nazwisko, skrót hasła, ustawienia; podstawa: art. 6 ust. 1 lit. b RODO;
   2. świadczenie Usługi w zakresie Treści Użytkownika - konta finansowe, transakcje, kwoty, daty, kategorie, etykiety, kontrahenci, budżety, płatności cykliczne, historia importów; podstawa: art. 6 ust. 1 lit. b RODO;
   3. uwierzytelnianie dwuskładnikowe - zaszyfrowany sekret TOTP; podstawa: art. 6 ust. 1 lit. b RODO (funkcja włączana przez Użytkownika w ramach Usługi);
   4. obsługa Planu Płatnego - identyfikatory klienta i transakcji u Operatora Płatności, status Planu, zdarzenia płatności, kwota, waluta i data płatności, zapis żądania rozpoczęcia świadczenia przed upływem terminu do odstąpienia (z wersją dokumentu, językiem i czasem), zapisy oświadczeń o odstąpieniu od Umowy; podstawa: art. 6 ust. 1 lit. b RODO;
   5. wypełnienie obowiązków prawnych, w szczególności z zakresu prawa podatkowego i konsumenckiego (potwierdzenia na Trwałym nośniku, rozpatrywanie reklamacji); podstawa: art. 6 ust. 1 lit. c RODO;
   6. zapewnienie bezpieczeństwa i ciągłości Usługi - adres IP, typ urządzenia, logi techniczne, raporty błędów, liczniki prób logowania; podstawa: art. 6 ust. 1 lit. f RODO, gdzie prawnie uzasadnionym interesem Administratora jest ochrona Usługi i Użytkowników przed nadużyciami oraz usuwanie awarii;
   7. ustalenie, dochodzenie i obrona przed roszczeniami - dane niezbędne do wykazania zawarcia i wykonania Umowy, złożonych oświadczeń i akceptacji dokumentów; podstawa: art. 6 ust. 1 lit. f RODO;
   8. wysyłka wiadomości transakcyjnych i podsumowań - potwierdzenia, linki jednorazowe, zawiadomienia o zmianach dokumentów, podsumowania okresowe włączone przez Użytkownika; podstawa: art. 6 ust. 1 lit. b RODO;
   9. Funkcje AI - dane wskazane w § 6; podstawa: art. 6 ust. 1 lit. a RODO (zgoda);
   10. analityka korzystania z Aplikacji - dane wskazane w § 7; podstawa: art. 6 ust. 1 lit. a RODO (zgoda) w związku z art. 399 ustawy z dnia 12 lipca 2024 r. - Prawo komunikacji elektronicznej.
2. Podanie adresu poczty elektronicznej, hasła oraz imienia i nazwiska jest warunkiem zawarcia Umowy. Podanie danych rozliczeniowych jest warunkiem zakupu Planu Płatnego. Wprowadzanie Treści Użytkownika oraz korzystanie z uwierzytelniania dwuskładnikowego, importu, Funkcji AI i analityki jest dobrowolne; niepodanie danych skutkuje wyłącznie niedostępnością danej funkcji.
3. Administrator nie zbiera celowo danych szczególnych kategorii, o których mowa w art. 9 RODO, i nie uzyskuje dostępu do rachunków bankowych Użytkownika. Użytkownik powinien unikać wprowadzania takich danych w opisach i notatkach.
4. Część danych rozliczeniowych Administrator otrzymuje od Operatora Płatności: identyfikatory transakcji, status płatności, kwotę, walutę oraz datę utworzenia sesji płatniczej. Na ich podstawie Aplikacja może utworzyć w Treściach Użytkownika zapis transakcji odpowiadający zakupowi, jeżeli Użytkownik posiada co najmniej jedno konto finansowe w Aplikacji i możliwe jest przeliczenie waluty.
5. Treści Użytkownika mogą zawierać dane osobowe osób trzecich (w szczególności nazwy kontrahentów i osób, z którymi Użytkownik prowadzi rozliczenia). Administrator przetwarza je wyłącznie w celu świadczenia Usługi na rzecz Użytkownika, który wprowadza je w ramach czynności o charakterze osobistym lub domowym.

§ 3. Szyfrowanie Treści Użytkownika

1. Kluczem chronionym hasłem Użytkownika oraz Kluczem Odzyskiwania szyfrowane są: opisy i notatki transakcji, miejsce transakcji, nazwy kont finansowych, nazwy kontrahentów, nazwy etykiet, nazwy budżetów, odpowiadające im pola w regułach płatności cyklicznych oraz sekret uwierzytelniania dwuskładnikowego.
2. Nie są szyfrowane: kwoty, daty, waluty, typ transakcji, kategorie, limity i okresy budżetów oraz salda. Dane te są niezbędne do wykonywania obliczeń, budżetowania i prezentacji wykresów.
3. Szyfrowanie nie ma charakteru szyfrowania typu end-to-end. Treści są odszyfrowywane w pamięci serwera w zakresie niezbędnym do realizacji żądania Użytkownika. Szyfrowanie chroni dane w razie nieuprawnionego dostępu do bazy danych lub kopii zapasowej.
4. Wyszukiwanie w polach zaszyfrowanych odbywa się z użyciem indeksu deterministycznego, który umożliwia ustalenie, że dwa zapisy mają tę samą treść, oraz częstotliwości jej występowania, bez ujawnienia samej treści.

§ 4. Klucz Odzyskiwania i skutki resetu hasła

1. Administrator nie przechowuje kopii klucza szyfrującego ani Klucza Odzyskiwania i nie ma technicznej możliwości ich odtworzenia. Administrator nie prowadzi depozytu kluczy.
2. Zmiana hasła nie unieważnia Klucza Odzyskiwania.
3. Reset hasła dokonany z użyciem linku otwartego w przeglądarce, w której Użytkownik pozostaje w pełni zalogowany (z ukończonym uwierzytelnianiem dwuskładnikowym, jeżeli jest włączone), nie powoduje usunięcia danych: klucz jest zabezpieczany nowym hasłem, a Użytkownikowi, który nie posiadał Klucza Odzyskiwania, wydawany jest nowy Klucz Odzyskiwania. Po resecie wszystkie aktywne sesje Użytkownika zostają zakończone.
4. W każdym innym przypadku reset hasła bez użycia Klucza Odzyskiwania powoduje trwałe i nieodwracalne usunięcie: transakcji, przelewów, kont finansowych, budżetów, szablonów, reguł płatności cyklicznych wraz z odrzuconymi propozycjami takich reguł, kontrahentów, etykiet, kategorii oraz historii importów; przywracany jest domyślny zestaw kategorii i etykiet; wyłączane jest uwierzytelnianie dwuskładnikowe. Usunięciu podlegają również dane niezaszyfrowane, ponieważ bez klucza nie mogłyby być prezentowane w spójnej postaci.
5. Resetowi, o którym mowa w ust. 4, nie podlegają:
   1. Konto wraz z hasłem i ustawieniami;
   2. dane Planu Płatnego: powiązanie z Operatorem Płatności, potwierdzenia zakupu, zapisy żądań rozpoczęcia świadczenia i oświadczeń o odstąpieniu od Umowy, akceptacje dokumentów - jako dane, których przechowywanie wynika z § 2 ust. 1 pkt 4, 5 i 7;
   3. ustawienia Funkcji AI i licznik ich wywołań, preferencje i historia wysyłek podsumowań, układ pulpitu, profile importu (zawierające nadaną przez Użytkownika nazwę i nagłówki kolumn pliku, które mogą wskazywać instytucję, z której pochodził import) oraz ręcznie ustawione kursy walut;
   4. dane techniczne dotyczące zakończonych relacji rozliczeniowych.
6. Po resecie, o którym mowa w ust. 4, wszystkie aktywne sesje i niewykorzystane linki jednorazowe tracą ważność, dotychczasowy Klucz Odzyskiwania zostaje unieważniony, a Użytkownik otrzymuje nowy.

§ 5. Odbiorcy danych

1. Dane osobowe są powierzane następującym podmiotom przetwarzającym, na podstawie umów, o których mowa w art. 28 RODO, wyłącznie w zakresie niezbędnym do realizacji wskazanego celu:
   1. Hetzner Online GmbH (Niemcy) - hosting serwerów Aplikacji;
   2. Google Cloud Storage (region europejski) - przechowywanie kopii zapasowych, szyfrowanych przed przesłaniem;
   3. Resend (Stany Zjednoczone) - wysyłka poczty elektronicznej; przetwarza adres odbiorcy, temat i treść każdej wiadomości wysyłanej przez Administratora;
   4. Sentry (infrastruktura w Unii Europejskiej) - monitorowanie błędów i wydajności, w zakresie § 8;
   5. PostHog (infrastruktura w Unii Europejskiej) - analityka, wyłącznie po wyrażeniu zgody, w zakresie § 7;
   6. dostawca modelu językowego wskazany Użytkownikowi przy włączaniu Funkcji AI - wyłącznie po wyrażeniu zgody, w zakresie § 6.
2. Operator Płatności (Stripe, w ramach usługi Link) przetwarza dane podawane przy płatności jako odrębny administrator, na podstawie własnej polityki prywatności (stripe.com/privacy). Administrator nie otrzymuje danych karty płatniczej.
3. W ramach Usługi dane są przekazywane również:
   1. do usługi Have I Been Pwned - w celu sprawdzenia, czy hasło nie występuje w znanych wyciekach przekazywane jest wyłącznie pięć pierwszych znaków skrótu SHA-1 hasła (model k-anonimowości); hasło ani adres poczty elektronicznej nie są przekazywane;
   2. do BudgetBakers Wallet - wyłącznie na polecenie Użytkownika uruchamiającego import, z użyciem przekazanego przez niego tokenu.
4. Kursy walut są pobierane z usługi Frankfurter bez przekazywania danych osobowych.
5. Dane mogą być udostępniane organom publicznym wyłącznie na podstawie przepisów prawa.
6. Dostęp do danych w ramach Administratora ma wyłącznie Administrator, w zakresie niezbędnym do świadczenia Usługi, obsługi zgłoszeń i zapewnienia bezpieczeństwa. Czynności administracyjne wykonywane wobec Konta są rejestrowane, bez zapisywania wartości danych.

§ 6. Funkcje AI

1. Funkcje AI są nieaktywne do czasu wyrażenia zgody przez Użytkownika. Zgoda dotyczy konkretnego dostawcy modelu; zmiana dostawcy wymaga ponownego wyrażenia zgody.
2. Dostawcy przekazywane są wyłącznie dane zagregowane: zsumowane kwoty oraz nazwy kategorii, w tym nazwy nadane przez Użytkownika. Nie są przekazywane pojedyncze transakcje, ich opisy ani nazwy kontrahentów. Ograniczenie to jest wymuszane po stronie serwera.
3. Podsumowania okresowe są generowane bez udziału modelu językowego.
4. Administrator zapisuje metadane wywołań Funkcji AI, bez treści zapytań, odpowiedzi modelu i kwot.
5. Administrator nie zawarł z dostawcą modelu umowy o zerowej retencji danych. Dane przekazane dostawcy są przechowywane przez niego przez okres i na zasadach określonych w jego warunkach, wskazanych Użytkownikowi przy włączaniu Funkcji AI.
6. Funkcje AI obejmują profilowanie w rozumieniu art. 4 pkt 4 RODO: Aplikacja sumuje wydatki według kategorii, porównuje je z historią Użytkownika i wskazuje odchylenia. Profilowanie to nie prowadzi do decyzji wywołujących wobec Użytkownika skutki prawne ani w podobny sposób istotnie na niego wpływających (art. 22 RODO).
7. Zgodę można cofnąć w każdym czasie, wyłączając Funkcje AI w Aplikacji.

§ 7. Analityka

1. Za zgodą Użytkownika, wyrażoną w Aplikacji, Administrator korzysta z narzędzia PostHog w celu analizy sposobu korzystania z Aplikacji i jej ulepszania. Bez zgody narzędzie nie jest ładowane.
2. Przetwarzane są: zdarzenia dotyczące korzystania z Aplikacji (w tym otwierane widoki), identyfikator Użytkownika oraz cechy ogólne: miesiąc rejestracji, rodzaj Planu, przedziały liczby zapisów i kont finansowych, rodzaj urządzenia i sposób uruchomienia Aplikacji, posiadanie Klucza Odzyskiwania oraz to, czy używana jest waluta domyślna. Przetwarzana jest także przybliżona lokalizacja urządzenia (kraj, region, miasto, kod pocztowy, przybliżone współrzędne i strefa czasowa), ustalana przez PostHog na podstawie adresu IP w chwili odebrania zdarzenia; sam adres IP nie jest zapisywany. Treści wyświetlane na ekranie są maskowane; nie są nagrywane sesje ani przekazywane Treści Użytkownika.
3. Dane analityczne są zapisywane w pamięci lokalnej przeglądarki, bez użycia plików cookie.
4. Zgodę można cofnąć w każdym czasie w Ustawieniach Aplikacji, w sekcji „Usage analytics". Po cofnięciu zgody narzędzie przestaje zbierać dane, a identyfikator urządzenia jest usuwany.

§ 8. Monitorowanie błędów

1. Raport błędu przesyłany do Sentry obejmuje ścieżkę żądania i treść wyjątku. Treść wyjątku może zawierać fragment danych, których dotyczył błąd. Administrator nie przekazuje celowo Treści Użytkownika.
2. Raporty nie zawierają identyfikatora Użytkownika, adresu IP, plików cookie, adresu poczty elektronicznej, treści żądań ani zmiennych lokalnych.
3. Monitorowanie wydajności obejmuje również żądania zakończone powodzeniem - w zakresie ścieżki i czasu odpowiedzi, bez ich zawartości.
4. Monitorowanie obejmuje serwer oraz Aplikację w przeglądarce. Raport z przeglądarki zawiera dodatkowo nazwę ekranu oraz rodzaj i wersję przeglądarki i systemu operacyjnego. Adresy są przekazywane bez parametrów zapytania; kliknięcia, wpisywane wartości i treści wyświetlane na ekranie nie są rejestrowane.

§ 9. Przekazywanie danych poza Europejski Obszar Gospodarczy

1. Serwery Aplikacji i kopie zapasowe znajdują się w Europejskim Obszarze Gospodarczym.
2. Dane mogą być przekazywane poza Europejski Obszar Gospodarczy, w szczególności do Stanów Zjednoczonych, przez Operatora Płatności, Resend, Sentry, PostHog (wyłącznie po wyrażeniu zgody na analitykę) oraz dostawcę modelu językowego (wyłącznie po włączeniu Funkcji AI).
3. Przekazanie odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework, art. 45 RODO) - wobec odbiorców objętych certyfikacją - a w pozostałym zakresie na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO).
4. Kopię standardowych klauzul umownych Administrator udostępnia na żądanie przesłane na adres support@qesto.app.

§ 10. Bezpieczeństwo

1. Administrator stosuje środki techniczne i organizacyjne, o których mowa w art. 32 RODO, w szczególności:
   1. szyfrowanie wybranych Treści Użytkownika (§ 3) i kopii zapasowych;
   2. wygasanie sesji po okresie bezczynności oraz po upływie maksymalnego czasu od zalogowania; unieważnienie sesji na wszystkich urządzeniach przy wylogowaniu i zmianie hasła;
   3. jednorazowe linki o ograniczonym czasie ważności;
   4. ograniczenie liczby prób logowania, z zapisem skrótu SHA-256 adresu poczty elektronicznej zamiast samego adresu;
   5. uwierzytelnianie dwuskładnikowe (TOTP).

§ 11. Okresy przechowywania danych

1. Dane Konta i Treści Użytkownika - do czasu usunięcia Konta, z zastrzeżeniem § 4 i ust. 2.
2. Kopie zapasowe - nie dłużej niż 12 miesięcy od ich wykonania. Administrator nie usuwa danych pojedynczego Konta z kopii zapasowych; w razie odtworzenia kopii zapasowej dane Kont usuniętych wcześniej są ponownie usuwane.
3. Dane Planu Płatnego, zapisy żądań, oświadczeń o odstąpieniu i akceptacji dokumentów - przez okres trwania Umowy, a po jej rozwiązaniu do upływu okresu przedawnienia roszczeń (art. 118 Kodeksu cywilnego), nie dłużej niż 6 lat od końca roku kalendarzowego, w którym Umowa uległa rozwiązaniu; dane wymagane przepisami podatkowymi - przez 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku.
4. Przetworzone zdarzenia płatności otrzymane od Operatora Płatności - 30 dni.
5. Techniczny zapis usuniętego Konta w module płatności - 7 dni od usunięcia Konta, w celu zapobieżenia odtworzeniu Konta przez opóźnione zdarzenie od Operatora Płatności.
6. Rejestr czynności administracyjnych wykonanych wobec Konta - nie dłużej niż 6 lat od dnia wykonania czynności.
7. Logi techniczne, raporty błędów i liczniki prób logowania - nie dłużej niż 90 dni.
8. Dane analityczne - nie dłużej niż 12 miesięcy od ich zebrania albo do cofnięcia zgody.
9. Dane przetwarzane na podstawie zgody - do czasu jej cofnięcia, a po tym czasie przez okres niezbędny do wykazania jej wyrażenia.

§ 12. Usunięcie Konta

1. Usunięcie Konta skutkuje usunięciem Konta, Treści Użytkownika i kluczy szyfrujących, z wyjątkiem danych wskazanych w § 11 ust. 2, 3, 5 i 6, przechowywanych przez okres tam wskazany.
2. Administrator nie wystawia faktur ani dokumentów podatkowych za sprzedaż Planów Płatnych; czyni to Operator Płatności.

§ 13. Prawa osoby, której dane dotyczą

1. Użytkownikowi przysługuje prawo dostępu do danych (art. 15 RODO), ich sprostowania (art. 16), usunięcia (art. 17), ograniczenia przetwarzania (art. 18) oraz przenoszenia danych (art. 20).
2. Prawo przenoszenia danych Użytkownik może wykonać również samodzielnie, w każdym Planie, eksportując Treści Użytkownika do pliku CSV.
3. W zakresie, w jakim podstawą przetwarzania jest zgoda, Użytkownik może ją cofnąć w każdym czasie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem.
4. Wnioski należy kierować na adres support@qesto.app. Administrator rozpatruje je bez zbędnej zwłoki, nie później niż w terminie miesiąca od ich otrzymania, z możliwością przedłużenia na zasadach art. 12 ust. 3 RODO.
5. Użytkownikowi przysługuje prawo wniesienia skargi do organu nadzorczego - Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa (uodo.gov.pl).

Prawo sprzeciwu. W zakresie, w jakim dane są przetwarzane na podstawie art. 6 ust. 1 lit. f RODO (§ 2 ust. 1 pkt 6 i 7), Użytkownikowi przysługuje prawo wniesienia w każdym czasie sprzeciwu wobec przetwarzania z przyczyn związanych z jego szczególną sytuacją (art. 21 RODO). Administrator przestaje przetwarzać dane w tym zakresie, chyba że wykaże istnienie ważnych, prawnie uzasadnionych podstaw, nadrzędnych wobec interesów, praw i wolności Użytkownika, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń.

§ 14. Pliki cookie i pamięć przeglądarki

1. Aplikacja korzysta wyłącznie z następujących plików cookie, niezbędnych do świadczenia Usługi:
   1. __Host-qesto_refresh - utrzymanie sesji; niedostępny dla skryptów strony;
   2. __Host-qesto_pending - przechowywany wyłącznie między podaniem hasła a kodem uwierzytelniania dwuskładnikowego; niedostępny dla skryptów strony;
   3. sidebar_state - zapamiętanie stanu panelu bocznego (wartość true albo false).
2. W pamięci lokalnej przeglądarki przechowywane są ponadto:
   1. znacznik trwania sesji (qesto:signed-in), niebędący tokenem ani kluczem;
   2. ustawienia interfejsu (motyw, układ nawigacji, preferencje tabel, ostatnio otwarte konto finansowe);
   3. zapis decyzji w sprawie analityki (qesto:analytics-consent) wraz z datą i wersją;
   4. dane narzędzia analitycznego - wyłącznie po wyrażeniu zgody (§ 7);
   5. szkic przerwanego importu pliku CSV: ustawienia odczytu pliku, przypisania kolumn, dopasowania nazw kont, kategorii, etykiet i kontrahentów, konto domyślne, etap importu oraz wprowadzone ręcznie salda;
   6. ostatnie wyniki Funkcji AI (nazwy kategorii, kwoty i zmiany procentowe) - wyłącznie po włączeniu Funkcji AI, do czasu zamknięcia karty przeglądarki.
3. Token dostępowy nie jest zapisywany w pamięci przeglądarki. Szkic importu i wyniki Funkcji AI zawierają dane finansowe Użytkownika i są usuwane przy wylogowaniu. Na urządzeniu współdzielonym Użytkownik powinien wylogować się po zakończeniu korzystania z Aplikacji.
4. Pliki cookie i dane, o których mowa w ust. 1 i ust. 2 pkt 1-3, 5 i 6, są niezbędne do świadczenia Usługi żądanej przez Użytkownika i nie wymagają zgody (art. 399 Prawa komunikacji elektronicznej).

§ 15. Zmiany Polityki prywatności

1. Każda zmiana jest publikowana jako nowa, numerowana wersja z datą wejścia w życie. Poprzednie wersje pozostają dostępne.
2. O istotnej zmianie Administrator informuje Użytkowników na adres poczty elektronicznej przypisany do Konta oraz w Aplikacji, co najmniej 14 dni przed dniem jej wejścia w życie.