Polityka prywatności

Polityka prywatności Kithora

Witamy w Kithora. Uważamy, że Twoje prywatne chwile, plany i dane należą do Ciebie. Dlatego opracowaliśmy Kithora jako aplikację Local-First. W przeciwieństwie do konwencjonalnych aplikacji chmurowych nie przechowujemy Twoich danych osobowych na centralnych serwerach w celu ich analizy lub sprzedaży. Twoje urządzenie jest Twoim sejfem.

Niniejsza polityka prywatności wyjaśnia, w jaki sposób zbieramy, wykorzystujemy i chronimy dane podczas korzystania z naszej aplikacji mobilnej i naszej strony internetowej. Administratorem danych w rozumieniu RODO jest:

Arndt Lehmann
Glück-Auf-Straße 41, 09394 Hohndorf, Niemcy
E-mail: [email protected]

1. Zasada Local-First i przechowywanie danych

Kithora opiera się na zdecentralizowanej architekturze. Oznacza to:

• Brak kont: Nie musisz tworzyć konta użytkownika z adresem e-mail ani numerem telefonu. Nie znamy Twojej tożsamości.
• Lokalne przechowywanie: Wszystkie treści (Kory, Kroki, finanse, zdjęcia) są przechowywane głównie lokalnie na Twoim urządzeniu.
• Szyfrowane kopie zapasowe: Twoje dane są szyfrowane i przechowywane w naszej infrastrukturze synchronizacji, dzięki czemu możesz je przywrócić na nowym urządzeniu. Nie mamy dostępu do niezaszyfrowanej treści.

Podstawa prawna: Art. 6 ust. 1 lit. b RODO (wykonanie umowy) — lokalne przechowywanie i szyfrowana synchronizacja są istotnymi elementami usługi, z której korzystasz.

2. Synchronizacja i szyfrowanie

Do wymiany danych między różnymi urządzeniami (np. w ramach grupy) Kithora korzysta z szyfrowanej infrastruktury synchronizacji.

• Tylko szyfrowane dane: Nasze serwery synchronizacji działają jak ślepi kurierzy. Przechowują i przesyłają zaszyfrowane pakiety danych bez możliwości odczytania treści.
• Szyfrowanie end-to-end (E2E): Wszystkie dane opuszczające Twoje urządzenie są zaszyfrowane. Tylko urządzenia Twojej grupy (Kith) posiadają klucz do ich odszyfrowania.
• Trwałe przechowywanie: Zaszyfrowane dane są przechowywane na naszych serwerach, aby umożliwić synchronizację między urządzeniami i przywracanie na nowych urządzeniach. Ponieważ dane są szyfrowane end-to-end, ani my, ani osoby trzecie nie możemy odczytać treści.

Podstawa prawna: Art. 6 ust. 1 lit. b RODO (wykonanie umowy).

3. Hosting i logi serwera

Nasza strona internetowa i usługi są obsługiwane na własnych lub wynajmowanych serwerach w UE. Każdorazowo, gdy uzyskiwany jest dostęp do naszej strony internetowej lub usług aplikacji, następujące dane są automatycznie rejestrowane w plikach dziennika serwera:

• Adres IP urządzenia uzyskującego dostęp
• Data i godzina dostępu
• Żądany URL/punkt końcowy
• Ilość przesłanych danych
• Typ i wersja przeglądarki (w przypadku dostępu przez internet)
• System operacyjny

Dane te są przetwarzane wyłącznie w celu zapewnienia bezawaryjnego działania, wykrywania i zapobiegania atakom oraz optymalizacji technicznej. Nie są łączone z innymi źródłami danych. Pliki dziennika są automatycznie usuwane po 30 dniach.

Podstawa prawna: Art. 6 ust. 1 lit. f RODO (uzasadniony interes w zakresie bezpieczeństwa i stabilności usługi).

Nie są wykorzystywane zewnętrzne usługi CDN (Content Delivery Networks). Wszystkie zasoby potrzebne do działania strony internetowej (czcionki, skrypty, arkusze stylów) są dostarczane bezpośrednio z naszego własnego serwera. Nie dochodzi zatem do transferu danych do serwerów podmiotów trzecich.

4. Pliki cookie

Nasza strona internetowa używa wyłącznie technicznie niezbędnych plików cookie:

• Cookie sesji: Służy do powiązania Twojej sesji i jest usuwany po zamknięciu przeglądarki.
• Cookie tokenu CSRF: Chroni formularze przed atakami Cross-Site Request Forgery. Usuwany po zamknięciu przeglądarki.
• Cookie języka: Przechowuje aktywnie wybrany przez Ciebie język, aby strona internetowa była wyświetlana w tym samym języku przy kolejnych odwiedzinach. Czas przechowywania: 1 rok. Ten plik cookie jest ustawiany tylko wtedy, gdy aktywnie wybierasz język.

Te pliki cookie są bezwzględnie niezbędne do działania strony internetowej. Nie są stosowane pliki cookie śledzące, analityczne ani reklamowe. Nie jest zatem wymagana odrębna zgoda.

Uwaga: Niniejsze informacje o plikach cookie dotyczą wyłącznie naszej strony internetowej. Sama aplikacja mobilna nie wykorzystuje żadnych plików cookie ani technologii śledzących.

Podstawa prawna: Art. 6 ust. 1 lit. f RODO (uzasadniony interes) w związku z § 25 ust. 2 Nr. 2 TDDDG (technicznie niezbędne pliki cookie).

5. Subskrypcje i zakupy (RevenueCat)

Do zarządzania subskrypcjami (Kithora Premium, sponsorstwo Hero) i zakupami w aplikacji korzystamy z usługi RevenueCat, Inc., 633 Tarava St Ste 101, San Francisco, CA 94116, USA.

• Anonimowe ID urządzenia: W celu weryfikacji i przywrócenia Twojego statusu zakupu (np. «Free», «Premium», «Hero») przekazujemy do RevenueCat zanonimizowane ID urządzenia lub wygenerowane ID użytkownika aplikacji.
• Brak danych osobowych: Nie przekazujemy do RevenueCat nazw, adresów e-mail ani treści Twoich Kor.
• Płatności są realizowane w całości za pośrednictwem Google Play Store lub Apple App Store. Kithora nie przechowuje danych kart kredytowych.

Podstawa prawna: Art. 6 ust. 1 lit. b RODO (wykonanie umowy — świadczenie i zarządzanie Twoją subskrypcją).

Transfer do państw trzecich: RevenueCat ma siedzibę w USA. Transfer danych odbywa się na podstawie Ram Ochrony Danych UE-USA (art. 45 RODO), w zakresie, w jakim RevenueCat jest certyfikowany, oraz uzupełniająco na podstawie standardowych klauzul umownych (art. 46 ust. 2 lit. c RODO). RevenueCat przetwarza wyłącznie zanonimizowane ID urządzeń; RevenueCat nie jest w stanie ustalić powiązania osobowego.

6. Korzystanie ze Sztucznej Inteligencji (SI)

Kithora oferuje opcjonalne funkcje SI (np. analiza PDF list załogi, planowanie podróży, optymalizacja budżetu). Przetwarzanie odbywa się za pośrednictwem zewnętrznych dostawców usług SI. Kithora automatycznie wybiera odpowiedniego dostawcę dla Twojego żądania.

6.1 Stosowani dostawcy usług SI

• Google (Alphabet Inc.) — Siedziba: Mountain View, CA, USA.
• OpenAI, Inc. — Siedziba: San Francisco, CA, USA.
• Anthropic, PBC — Siedziba: San Francisco, CA, USA.
• Moonshot AI (Beijing Moonshot Technology Co., Ltd.) — Siedziba: Pekin, Chiny.
• Z-AI — Siedziba: Chiny.

6.2 Przetwarzanie danych

• Przetwarzanie: Gdy korzystasz z funkcji SI, odpowiednie dane (np. tekst przesłanego pliku PDF lub Twoje dane budżetowe) są wysyłane do odpowiedniego dostawcy w celu przetworzenia.
• Brak trenowania: Przekazane dane są wykorzystywane wyłącznie w celu realizacji Twojego żądania. Nie są przechowywane na stałe i nie są używane do trenowania modeli SI (Zero Data Retention przy korzystaniu z API).
• Przejrzystość: Analizy SI mają miejsce tylko wtedy, gdy aktywujesz odpowiednią funkcję (np. «Skanuj manifest» lub «Optymalizuj budżet»).
• Automatyczne kierowanie: Kithora automatycznie wybiera optymalnego dostawcę na podstawie dostępności i przydatności. Nie wybierasz dostawcy samodzielnie.

Podstawa prawna: Art. 6 ust. 1 lit. a RODO (zgoda) — przetwarzanie przez SI aktywujesz każdorazowo aktywnie i dobrowolnie.

6.3 Transfer do państw trzecich

• USA (Google, OpenAI, Anthropic): Transfer danych odbywa się na podstawie standardowych klauzul umownych (art. 46 ust. 2 lit. c RODO). Wszyscy trzej dostawcy podlegają ponadto Ramom Ochrony Danych UE-USA.
• Chiny (Moonshot AI, Z-AI): Transfer danych odbywa się na podstawie standardowych klauzul umownych (art. 46 ust. 2 lit. c RODO). Zwracamy uwagę, że w Chinach nie istnieje odpowiedni poziom ochrony danych uznany przez Komisję Europejską. Dane są wykorzystywane wyłącznie do przetwarzania żądań i nie są przechowywane na stałe.

7. Uprawnienia aplikacji

Aby Kithora mogła działać, potrzebujemy dostępu do określonych funkcji Twojego urządzenia:

• Aparat: Do skanowania i fotografowania paragonów i dokumentów. Wyłącznie na Twoje żądanie.
• Biblioteka zdjęć: Do przesyłania zdjęć do Kroniki lub na potrzeby analiz SI. Wyłącznie na Twoje żądanie.
• Powiadomienia: Do opcjonalnych powiadomień push o aktywności grupy.

Podstawa prawna: Art. 6 ust. 1 lit. a RODO (zgoda) — odpowiedniego uprawnienia udzielasz aktywnie za pośrednictwem swojego systemu operacyjnego.

8. Usługi podmiotów trzecich

Kithora korzysta z następujących dostawców zewnętrznych:

• RevenueCat, Inc. (San Francisco, USA): Zarządzanie subskrypcjami (zob. punkt 5).
• Google (Alphabet Inc.) (Mountain View, USA): Dostawca SI dla opcjonalnych funkcji SI (zob. punkt 6).
• OpenAI, Inc. (San Francisco, USA): Dostawca SI dla opcjonalnych funkcji SI (zob. punkt 6).
• Anthropic, PBC (San Francisco, USA): Dostawca SI dla opcjonalnych funkcji SI (zob. punkt 6).
• Moonshot AI (Beijing Moonshot Technology Co., Ltd.) (Pekin, Chiny): Dostawca SI dla opcjonalnych funkcji SI (zob. punkt 6).
• Z-AI (Chiny): Dostawca SI dla opcjonalnych funkcji SI (zob. punkt 6).
• Apple App Store / Google Play Store: Do realizacji płatności za subskrypcje i zakupy w aplikacji. Polityki prywatności Apple i Google mają zastosowanie dodatkowo.

9. Twoje prawa (Art. 15-21, 77 RODO)

Przysługują Ci następujące prawa w odniesieniu do Twoich danych osobowych:

• Prawo dostępu (art. 15 RODO): Masz prawo do żądania informacji o przetwarzanych przez nas danych osobowych.
• Prawo do sprostowania (art. 16 RODO): Masz prawo do żądania poprawienia nieprawidłowych danych.
• Prawo do usunięcia (art. 17 RODO): Masz prawo do żądania usunięcia Twoich danych, o ile nie istnieją ustawowe obowiązki przechowywania.
• Prawo do ograniczenia przetwarzania (art. 18 RODO): Masz prawo do żądania ograniczenia przetwarzania Twoich danych.
• Prawo do przenoszenia danych (art. 20 RODO): Masz prawo do otrzymania swoich danych w ustrukturyzowanym, powszechnie używanym i nadającym się do odczytu maszynowego formacie.
• Prawo do sprzeciwu (art. 21 RODO): Masz prawo do wniesienia w dowolnym momencie sprzeciwu wobec przetwarzania Twoich danych z przyczyn związanych z Twoją szczególną sytuacją, o ile przetwarzanie opiera się na art. 6 ust. 1 lit. f RODO.

Ponieważ Kithora jest aplikacją Local-First i nie przechowuje danych osobowych na centralnych serwerach, które mogłyby być przypisane do Ciebie, klasyczne wnioski o dostęp lub usunięcie danych są zazwyczaj bezprzedmiotowe. Twoje dane są zaszyfrowane — tylko Ty i Twoja grupa możecie je odszyfrować. Jeśli usuniesz aplikację, lokalne dane zostaną usunięte z Twojego urządzenia.

Aby skorzystać ze swoich praw, skontaktuj się z: [email protected]

10. Prawo do wniesienia skargi do organu nadzorczego

Zgodnie z art. 77 RODO masz prawo do wniesienia skargi do organu nadzorczego ds. ochrony danych, jeśli uważasz, że przetwarzanie Twoich danych osobowych jest niezgodne z prawem. Właściwym dla nas organem nadzorczym jest:

Sächsischer Datenschutz- und Transparenzbeauftragter
Devrientstraße 5
01067 Dresden
Telefon: +49 351 85471-101
Strona internetowa: www.datenschutz.sachsen.de

11. Dzieci

Kithora nie jest skierowana do dzieci poniżej 16. roku życia. Ponieważ nie zbieramy kont, nie możemy weryfikować wieku użytkowników. Korzystanie przez osoby niepełnoletnie leży w gestii rodziców lub opiekunów prawnych.

12. Zmiany niniejszej polityki prywatności

Zastrzegamy sobie prawo do dostosowania niniejszej polityki prywatności w przypadku zmian w aplikacji lub otoczeniu prawnym. Aktualną wersję zawsze znajdziesz w aplikacji i na naszej stronie internetowej.

13. Kontakt

Arndt Lehmann
Glück-Auf-Straße 41, 09394 Hohndorf
E-mail: [email protected]