Polityka prywatności

Administratorem danych osobowych użytkowników serwisu Kto Płaci (ktoplaci.pl) jest [DO UZUPEŁNIENIA: imię i nazwisko / nazwa działalności (JDG)], adres: [DO UZUPEŁNIENIA: adres siedziby], NIP: [DO UZUPEŁNIENIA: NIP] (dalej „my”).

Kontakt w sprawach danych osobowych: [email protected].

• Dane konta: adres e-mail, opcjonalnie imię lub pseudonim i awatar (zdjęcie albo emoji), ustawienia powiadomień, plan (darmowy / Plus).
• Treści grup: nazwy grup, wydatki (opisy, kwoty, waluty, daty, podziały), spłaty, komentarze, historia zmian. Te dane widzą pozostali członkowie Twoich grup, bo do tego służy aplikacja.
• Dane logowania: przy logowaniu Google otrzymujemy Twój adres e-mail, imię i zdjęcie profilowe z konta Google. Nie widzimy Twojego hasła; nie stosujemy haseł.
• Dane techniczne: logi serwera (adres IP, czas żądania, przeglądarka), identyfikatory sesji, subskrypcje powiadomień push (identyfikator przeglądarki), dane o użyciu funkcji AI (liczba wywołań, koszt).
• Zdjęcia paragonów: jeśli używasz skanowania, przesłane zdjęcie jest przetwarzane w celu odczytania pozycji i kwot.

• Świadczenie usługi (art. 6 ust. 1 lit. b RODO): konto, grupy, rozliczenia, powiadomienia, obsługa zgłoszeń.
• Obowiązki prawne (art. 6 ust. 1 lit. c RODO): rachunkowość i podatki, gdy korzystasz z płatnych funkcji.
• Uzasadniony interes (art. 6 ust. 1 lit. f RODO): bezpieczeństwo (logi, limity zapytań, blokady nadużyć), statystyki użycia potrzebne do rozwijania aplikacji, dochodzenie roszczeń.
• Zgoda (art. 6 ust. 1 lit. a RODO): zapis na listę oczekujących, powiadomienia push (zgodę wyrażasz w przeglądarce i możesz ją cofnąć w każdej chwili).

Korzystamy z zaufanych podmiotów przetwarzających:

• Hosting: [DO UZUPEŁNIENIA: dostawca serwera VPS + kraj] (infrastruktura, na której działa aplikacja i baza danych).
• Resend (USA): wysyłka e-maili transakcyjnych (kody logowania, powiadomienia).
• Google (logowanie Google OAuth).
• OpenRouter (USA) i dostawcy modeli AI: przetwarzanie treści, które świadomie wyślesz do funkcji AI (tekst wydatku, zdjęcie paragonu, statystyki grupy do podsumowania). Nie używamy tych danych do trenowania własnych modeli.
• Cloudflare: DNS i ochrona ruchu, jeśli włączona: [DO UZUPEŁNIENIA: potwierdź zakres].
• Stripe: obsługa płatności, gdy uruchomimy zakup planu Plus (o czym poinformujemy w aktualizacji tej polityki).

Część z tych podmiotów działa poza Europejskim Obszarem Gospodarczym (USA). Przekazywanie danych odbywa się na podstawie decyzji Komisji Europejskiej (EU-US Data Privacy Framework) albo standardowych klauzul umownych.

• Dane konta i treści grup: przez czas istnienia konta. Wydatki i spłaty w grupach pozostają widoczne dla pozostałych członków także po odejściu z grupy, bo są częścią wspólnej historii rozliczeń.
• Logi techniczne: do 90 dni.
• Dane rozliczeniowe (przy płatnym planie): 5 lat podatkowych.
• Lista oczekujących: do zakończenia naboru na daną funkcję albo do cofnięcia zgody.

Masz prawo do: dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia, sprzeciwu wobec przetwarzania na podstawie uzasadnionego interesu oraz cofnięcia zgody w dowolnym momencie. Napisz na [email protected].

Masz też prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (uodo.gov.pl).

Używamy wyłącznie plików niezbędnych do działania: ciasteczka sesji (utrzymanie zalogowania) oraz pamięci przeglądarki dla ustawień aplikacji (PWA). Nie używamy cookies reklamowych ani zewnętrznych narzędzi śledzących, dlatego nie wyświetlamy banera cookies.

Połączenia są szyfrowane (HTTPS), dostęp do bazy danych jest ograniczony, logowanie odbywa się bez haseł (jednorazowe kody i Google), a działania na pieniądzach w grupach zostawiają trwały ślad w historii zmian widocznej dla członków grupy.

O istotnych zmianach poinformujemy w aplikacji lub e-mailem. Aktualna wersja zawsze znajduje się pod adresem ktoplaci.pl/dokumenty/polityka-prywatnosci.