Polityka prywatności Kostra

Administratorem danych osobowych przetwarzanych w Kostrze jest wskazana wyżej osoba fizyczna prowadząca jednoosobową działalność gospodarczą, zarejestrowana w Polsce i działająca pod nazwą HulerDevelopment. Nie wyznaczyliśmy inspektora ochrony danych. Art. 37 RODO tego nie wymaga: nie jesteśmy organem publicznym, naszą główną działalnością nie jest monitorowanie na dużą skalę i nie przetwarzamy na dużą skalę szczególnych kategorii danych. Każde pytanie, żądanie i skarga trafia na podany wyżej adres e-mail i jest obsługiwana osobiście przez administratora.

Tylko to, czego aplikacja potrzebuje, żeby prowadzić Twoją dokumentację pojazdu. Konkretnie: • Konto: adres e-mail i nazwa wyświetlana. Jeśli rejestrujesz się hasłem, przechowujemy jego skrót bcrypt, nigdy samo hasło. Jeśli logujesz się przez Google albo Apple, zamiast tego przechowujemy identyfikator konta otrzymany od dostawcy. • Token autoryzacji Apple: przy logowaniu przez Apple zachowujemy token odświeżający wystawiony przez Apple. Ma jedno zastosowanie — cofnięcie autoryzacji w Apple przy usuwaniu konta, czego Apple od nas wymaga i czego bez tego tokena nie da się zrobić. • Ustawienia aplikacji: waluta podstawowa, język, jednostki odległości i objętości oraz ukryte przez Ciebie kategorie wydatków. • Pojazdy: nazwa, marka, model, rok, numer rejestracyjny, VIN, początkowy stan licznika, domyślny rodzaj paliwa, cena zakupu i waluta — te z nich, które zdecydujesz się wypełnić. Wymagana jest wyłącznie nazwa. • Wydatki: kategoria, data, kwota, waluta, stan licznika, Twoje notatki, a przy tankowaniu także rodzaj paliwa, ilość, jednostka, informacja o pełnym baku i stacja. • Przejazdy: data, cel, początkowy i końcowy stan licznika, miejsce docelowe, kontrahent i opis. Każda edycja przejazdu zachowuje kopię zastąpionych wartości, bo ewidencja, którą można zmienić bez śladu, jest dla urzędu skarbowego bezwartościowa. Ta historia zmian jest usuwana razem z przejazdem. • Przypomnienia: rodzaj, tytuł, termin, stan licznika i wyprzedzenie, z jakim chcesz być ostrzeżony. • Własne kategorie: wybrana nazwa, ikona i kolor. • Sesje: dla każdego aktywnego logowania przechowujemy identyfikator tokena odświeżającego, termin jego ważności i informację o unieważnieniu. Samego tokena nigdy nie przechowujemy — dzięki temu wylogowanie zgubionego urządzenia ma realne znaczenie. • Techniczne dane serwera: nasz dostawca hostingu zapisuje adres IP i podstawowe dane każdego wywołania API, tak jak każdy serwer, na potrzeby bezpieczeństwa i diagnostyki. • Subskrypcja: który plan masz wykupiony, czy nadal działa, kiedy kończy się bieżący okres, oraz identyfikator, który sklep nadał subskrypcji — dzięki niemu możemy o nią zapytać sklep. Twojej karty nie widzimy nigdy: płatność przyjmują Apple i Google i informują nas wyłącznie o tym, że nastąpiła.

Jedna rzecz, co do której zwykle zakłada się, że gdzieś trafia, nie trafia nigdzie: • Przypomnienia. Powiadomienia planuje lokalnie system operacyjny telefonu. Nie ma serwera push, nie mamy żadnego tokena push i nie widzimy ani nie wywołujemy powiadomień, które otrzymujesz.

Kostra nie zawiera żadnego SDK reklamowego, analitycznego ani do raportowania awarii. Nie ma w aplikacji niczego, co raportowałoby Twoje zachowanie nam lub komukolwiek innemu. W szczególności nie zbieramy: identyfikatorów reklamowych, Twojej lokalizacji ani śladu GPS, kontaktów, kalendarza, listy innych aplikacji, historii przeglądania, danych karty płatniczej ani danych bankowych. Nie śledzimy Cię pomiędzy aplikacjami i stronami, nie profilujemy Cię i nie sprzedajemy, nie wynajmujemy ani nie udostępniamy Twoich danych w celach reklamowych. Stany licznika i miejsca docelowe wpisane w przejazd to dane, które sam wprowadziłeś; aplikacja nigdy nie rejestruje, gdzie znajduje się Twój telefon.

• Prowadzenie konta i przechowywanie zapisów — art. 6 ust. 1 lit. b RODO, wykonanie umowy zawieranej przez założenie konta. Bez tych danych nie ma usługi: cała aplikacja to Twoja dokumentacja. • Przeliczanie kwot między walutami — art. 6 ust. 1 lit. b, część tej samej usługi. Dzienne kursy referencyjne pobieramy od zewnętrznego dostawcy; wysyłamy mu kody walut, nigdy nic o Tobie. • Utrzymanie bezpieczeństwa usługi — art. 6 ust. 1 lit. f, nasz prawnie uzasadniony interes w ochronie kont przed nieuprawnionym dostępem i nadużyciami. Obejmuje to hashowanie haseł, unieważnianie sesji, ograniczanie liczby żądań i logi serwera. Uznajemy ten interes za wyważony, bo zakres danych jest minimalny, a alternatywą jest pozostawienie Twojej dokumentacji bez ochrony. Możesz wnieść sprzeciw na podstawie art. 21, a my wyjaśnimy Ci ten test w Twojej sprawie. • Odpowiadanie na zgłoszenia i żądania — art. 6 ust. 1 lit. c, nasz obowiązek prawny z rozdziału III RODO, oraz art. 6 ust. 1 lit. b dla zwykłego wsparcia. • Uprawnienie do powiadomień — art. 6 ust. 1 lit. a, Twoja zgoda wyrażona w oknie systemu operacyjnego, którą możesz w każdej chwili wycofać w ustawieniach urządzenia. Odmowa nie blokuje reszty aplikacji. Nie prosimy o szczególne kategorie danych (art. 9) i aplikacja nie ma na nie pola. Prosimy nie wpisywać danych o zdrowiu, poglądach politycznych ani podobnych do notatek tekstowych; jeśli to zrobisz, decydujesz się je przechowywać i możesz je w każdej chwili usunąć. Obsługa subskrypcji mieści się w tej samej umowie — art. 6 ust. 1 lit. b. Bez wiedzy o tym, czy jest opłacona i do kiedy, nie możemy otworzyć Ci aplikacji, a weryfikacja zakupu w sklepie jest częścią tego samego: tylko tak odróżnia się rzeczywistą subskrypcję od deklaracji, że się ją ma.

Korzystamy z kilku dostawców, każdego na podstawie umowy powierzenia wymaganej przez art. 28 RODO, działającego wyłącznie na nasze polecenie: • Neon (Neon Inc.) — baza danych PostgreSQL z Twoim kontem i zapisami. Region: Frankfurt, Niemcy. • DigitalOcean (DigitalOcean LLC) — serwery obsługujące API Kostry. Region: Frankfurt, Niemcy. Dwa kolejne podmioty nie są naszymi podmiotami przetwarzającymi, lecz niezależnymi administratorami, a do tego, co robią, stosują się ich własne polityki prywatności: • Google i Apple, jeśli korzystasz z ich logowania. Przekazują nam identyfikator konta, adres e-mail i imię; dowiadują się, że korzystasz z Kostry. Usługa Ukryj mój e-mail od Apple daje Ci adres pośredniczący zamiast prawdziwego i aplikacja działa z nim normalnie. • Apple i Google jako sklepy z aplikacjami — dystrybucja, statystyki instalacji i ewentualna diagnostyka awarii, na której zbieranie zgodziłeś się na poziomie systemu operacyjnego. Raz dziennie nasz serwer odpytuje też zewnętrzny serwis kursów walut (open.er-api.com). To zapytanie nie zawiera żadnych danych osobowych. Poza tym nie udostępniamy danych nikomu, z wyjątkiem sytuacji, w której jesteśmy prawnie zobowiązani ujawnić je organowi publicznemu działającemu w granicach swoich uprawnień, albo gdyby wymagało tego przeniesienie działalności — o czym zostałbyś uprzedzony. Apple i Google obsługują też samą płatność i występują tam jako sprzedawca, a nie jako podmiot przetwarzający na nasze polecenie. Przyjmują pieniądze, wystawiają fakturę, decydują o zwrotach i przekazują nam wyłącznie informację, czy subskrypcja jest ważna i do kiedy. Dane karty, adres rozliczeniowy i dane podatkowe należą do nich i nigdy do nas nie trafiają — co oznacza też, że żądanie skierowane do nas ich nie ujawni.

Zapisy w bazie danych są przechowywane w Unii Europejskiej, we Frankfurcie w Niemczech. Spółki prowadzące tę infrastrukturę są jednak zarejestrowane w Stanach Zjednoczonych i nie można wykluczyć zdalnego dostępu administracyjnego spoza EOG. Każde takie przekazanie jest objęte standardowymi klauzulami umownymi przyjętymi przez Komisję Europejską na podstawie art. 46 ust. 2 lit. c RODO wraz ze środkami uzupełniającymi z naszych umów z tymi dostawcami, a tam, gdzie dostawca posiada certyfikację — także decyzją o adekwatności EU–US Data Privacy Framework z 10 lipca 2023 r. Jeśli logujesz się przez Google albo Apple, to logowanie odbywa się na ich infrastrukturze i na ich własnych zabezpieczeniach przekazywania. O kopię odpowiednich zabezpieczeń możesz poprosić pod wskazanym wyżej adresem.

• Twoje konto i wszystko, co w nim jest: do momentu usunięcia konta. Nie wygaszamy nieaktywnych kont i nie kasujemy po cichu starych wpisów — historia wydatków jest użyteczna tylko wtedy, gdy jest kompletna. • Po usunięciu konta: rekordy w bazie są usuwane natychmiast. Kopie mogą przetrwać w rotacyjnych backupach naszych dostawców do 30 dni, po czym wygasają samoczynnie; nie potrafimy wcześniej wyjąć z backupu pojedynczego rekordu i nie odtwarzamy z niego usuniętych kont. • Zapisy sesji: do wygaśnięcia tokena odświeżającego (30 dni) plus krótki okres dla sesji unieważnionych, bo druga próba użycia unieważnionego tokena to sygnał, że został wykradziony. • Logi serwera: przechowywane przez dostawcę hostingu przez krótki okres operacyjny, nie dłużej niż 30 dni. • Korespondencja z nami: tak długo, jak to potrzebne do załatwienia sprawy, a później wyłącznie tam, gdzie wymaga tego termin przedawnienia. • Zapisy o subskrypcji: dopóki istnieje konto, i usuwane razem z nim. Faktur nie przechowujemy — wystawiają je sklepy i obowiązują ich własne okresy przechowywania.

Na podstawie RODO masz prawo do: • Dostępu do swoich danych i otrzymania ich kopii (art. 15). • Sprostowania nieprawidłowych danych (art. 16) — większość z nich możesz poprawić bezpośrednio w aplikacji. • Usunięcia danych (art. 17) — patrz następny punkt. • Ograniczenia przetwarzania (art. 18) i sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21). • Otrzymania danych w ustrukturyzowanym formacie nadającym się do odczytu maszynowego (art. 20). Aplikacja już teraz eksportuje wydatki i przejazdy do CSV z ekranów Statystyki i Przejazdy; o resztę wystarczy poprosić. • Wycofania zgody w każdej chwili (art. 7 ust. 3), bez wpływu na to, co zrobiono przed jej wycofaniem. Napisz na podany wyżej adres e-mail. Odpowiadamy w ciągu miesiąca od otrzymania żądania, a przy sprawach złożonych możemy ten termin przedłużyć o dwa miesiące, podając powód (art. 12 ust. 3). Nie pobieramy za to opłat, chyba że żądanie jest ewidentnie nieuzasadnione lub nadmierne. Możemy poprosić o potwierdzenie, że kontrolujesz adres e-mail konta — nie po to, by Cię zniechęcić, lecz dlatego, że wydanie Twojej dokumentacji komuś, kto się pod Ciebie podszywa, byłoby gorszym błędem.

Konto wraz z całą zawartością możesz usunąć z poziomu aplikacji, w Ustawienia → Usuń konto. Działa natychmiast i jest nieodwracalne. Jeśli aplikacja została już odinstalowana albo nie możesz się zalogować, skorzystaj ze strony usuwania konta pod adresem /kostra/delete-account albo napisz na podany wyżej e-mail. Usunięcie konta kasuje pojazdy, wydatki, przejazdy wraz z historią zmian, przypomnienia, własne kategorie i sesje. Jeśli konto jest powiązane z logowaniem Apple, jednocześnie cofamy naszą autoryzację w Apple, dzięki czemu Kostra przestaje figurować przy Twoim Apple ID. Usunięcie aplikacji z telefonu nie usuwa konta — zapisy pozostają na naszym serwerze i kasuje je wyłącznie jedna z dwóch powyższych dróg.

• Cały ruch między aplikacją a naszym API idzie po TLS. • Hasła przechowujemy jako skróty bcrypt; nie potrafimy ich odczytać i nigdy nie poprosimy Cię o hasło. • Tokeny dostępu wygasają po 15 minutach; tokeny odświeżające można unieważnić, a serwer przechowuje wyłącznie identyfikator każdego z nich, nie sam token. • Tokeny na urządzeniu trzymane są w bezpiecznym magazynie platformy — Keychain na iOS, Keystore na Androidzie. • Na Androidzie udział aplikacji w systemowej kopii zapasowej w chmurze jest wyłączony, więc lokalne dane aplikacji nie trafiają do backupu, który dałoby się odtworzyć na innym telefonie. • Dane w spoczynku są szyfrowane przez dostawców bazy danych i magazynu plików. • Dostęp administracyjny do danych produkcyjnych ma wyłącznie administrator. Żaden system nie jest doskonały. Jeśli kiedykolwiek dojdzie do naruszenia, które może zagrozić Twoim prawom, zawiadomimy organ nadzorczy w ciągu 72 godzin i poinformujemy Cię bezpośrednio, zgodnie z art. 33 i 34 RODO.

Kostra jest narzędziem dla właścicieli samochodów i nie jest kierowana do dzieci. Do posiadania konta trzeba mieć ukończone 16 lat albo niższy wiek ustalony w Twoim kraju na podstawie art. 8 ust. 2 RODO, lecz nie mniej niż 13 lat. Nie przetwarzamy świadomie danych osób poniżej tego wieku. Jeśli sądzisz, że konto założyło dziecko, napisz do nas, a je usuniemy.

Nie ma go. Kostra nie podejmuje zautomatyzowanych decyzji wywołujących wobec Ciebie skutki prawne lub podobnie istotne w rozumieniu art. 22 RODO i nie profiluje Cię. Statystyki pokazywane w aplikacji to arytmetyka na wprowadzonych przez Ciebie wpisach, policzona po to, żebyś ją przeczytał.

Jeśli zmienimy sposób, w jaki aplikacja obchodzi się z danymi, zaktualizujemy tę stronę i datę u góry. O zmianie istotnej dla Ciebie — nowy podmiot przetwarzający, nowy cel, dłuższy okres przechowywania — poinformujemy w aplikacji albo e-mailem, zanim zacznie obowiązywać, a jeżeli zmiana wymaga Twojej zgody, poprosimy o nią, zamiast ją zakładać.

Jeśli uważasz, że przetwarzamy Twoje dane niezgodnie z prawem, napisz najpierw do nas — większość problemów szybciej rozwiązuje się bezpośrednio. Masz też prawo wnieść skargę do organu nadzorczego (art. 77 RODO). Naszym organem jest Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa — uodo.gov.pl. Możesz równie dobrze złożyć skargę do organu kraju UE, w którym mieszkasz lub pracujesz.