Polityka prywatności

Kto jest odpowiedzialny

Olstad Digital (nr rej. 938 090 432, Selma Ellefsens vei 3H, 0581 Oslo, Norwegia) jest administratorem danych w zakresie opisanego tu przetwarzania. Kontakt: kontakt@nordicdigitalapp.no.

W skrócie

• Twój budżet jest zapisany na telefonie. Bez konta nie możemy go zobaczyć.
• Konto jest opcjonalne (Apple, Google, Facebook lub e-mail). Z kontem i Pro budżet jest synchronizowany z naszym serwerem w UE (Irlandia), aby korzystać z niego na kilku urządzeniach.
• Nie ma połączenia z bankiem.
• Pliki CSV i Excel z banku są odczytywane tylko na Twoim telefonie. Sam plik nigdy nie jest zapisywany, kopiowany ani wysyłany.
• Aplikacja wysyła Twój budżet na nasz serwer tylko wtedy, gdy synchronizujesz z Pro, a obrazy do odczytu przez AI tylko wtedy, gdy wyrazisz zgodę. Jeśli na telefonie masz włączoną kopię zapasową, Apple (iCloud) lub Google (Twoje konto Google) uwzględnia w niej dane aplikacji.
• Raporty o awariach nie zawierają imienia i nazwiska, adresu e-mail, konta ani adresu IP.
• Możesz bezpłatnie wyeksportować i usunąć wszystko w aplikacji.

Przechowywane na Twoim telefonie

Aplikacja przechowuje to we własnej pamięci na telefonie. Nie jest to wysyłane do nas i zostaje usunięte, gdy usuniesz wszystkie dane w aplikacji lub ją odinstalujesz:

• Konta, które tworzysz (wybrane przez Ciebie nazwy, saldo i waluta; nie są to konta bankowe).
• Twoje operacje: data, kwota, waluta, kategoria, odbiorca i opcjonalna notatka.
• Stałe pozycje, cele oszczędnościowe, własne kategorie i kategoria zapamiętana dla każdego odbiorcy.
• Ustawienia: dzień wypłaty, budżet miesięczny, język i waluta oraz to, czy zezwalasz na odczyt przez AI.
• Losowy identyfikator urządzenia. Opuszcza telefon tylko jako kod jednokierunkowy, na potrzeby liczenia odczytów przez AI (zob. niżej).
• Gdy jesteś zalogowany(-a): dane logowania, w bezpiecznej pamięci telefonu (pęk kluczy na iPhonie, Android Keystore). Nigdy nie trafiają do kopii zapasowej.
• Obrazy, które zdecydujesz się zachować po imporcie.

Numery referencyjne płatności nigdy nie są zapisywane, podobnie jak pełny numer konta. Aplikacja może zapisać ostatnie cztery cyfry numeru konta, aby rozpoznać konto.

Kopia zapasowa na telefonie

Jeśli masz włączoną kopię zapasową, telefon uwzględnia w niej dane aplikacji: na Androidzie w kopii zapasowej na Twoim koncie Google, na iPhonie w iCloud. Dzięki temu budżet wraca na nowym telefonie. Kopię zapasową przechowują Apple i Google na własnych warunkach, a włączasz ją i wyłączasz w ustawieniach telefonu.

Dane logowania i bezpieczna pamięć nigdy nie trafiają do kopii zapasowej, więc na nowym telefonie logujesz się ponownie.

Import plików CSV i Excel

Gdy importujesz plik CSV lub Excel z banku, plik jest odczytywany tylko na Twoim telefonie. Sam plik nigdy nie jest zapisywany, kopiowany ani wysyłany – ani na serwer, ani do AI.

Z pliku zapisywane są tylko data (i data księgowania, jeśli plik ją zawiera), opis, kwota, odbiorca, saldo z banku do uzgodnienia konta oraz ostatnie cztery cyfry numeru konta, aby rozpoznać konto. Numery referencyjne płatności, inne odnośniki i pozostałe kolumny pliku nie są zapisywane.

Transakcje, których bank jeszcze nie zaksięgował, są zapisywane jako zwykłe transakcje i od razu liczone. Jeśli takiej transakcji brakuje w późniejszym imporcie z banku, aplikacja pyta, czy chcesz ją usunąć. Nigdy nie jest usuwana sama.

Aplikacja zapamiętuje układ kolumn w pliku, bez ich zawartości, aby kolejny import był szybszy. Gdy jesteś zalogowany z Pro, jest to synchronizowane razem z pozostałymi ustawieniami.

Odczyt przez AI dotyczy tylko zdjęć i plików PDF i tylko za Twoją zgodą.

Odczyt wyciągów, paragonów i faktur przez AI (opcjonalnie)

Gdy importujesz zrzut ekranu lub zdjęcie wyciągu albo skanujesz paragon lub fakturę, możesz pozwolić, aby AI je odczytała. Aplikacja najpierw prosi o zgodę, a na ekranie importu możesz to w każdej chwili wyłączyć. Bez zgody wszystko jest odczytywane na telefonie i nic nie jest wysyłane.

Za zgodą obraz, dzisiejsza data, waluta, Twój kraj, kategorie aplikacji (jako kody) i nagłówki kolumn konta (tylko nagłówki, bez zawartości) są wysyłane przez nasz serwer w Supabase (Irlandia) do Anthropic (USA), który odczytuje transakcje za pomocą swojego modelu AI (Claude) i odsyła je z powrotem. Zapytanie przechodzi przez najbliższy Ci serwer Supabase; ani my, ani Supabase nie przechowujemy obrazu ani transakcji. Anthropic nie używa danych przesyłanych przez swoje API do trenowania modeli i usuwa je w ciągu 30 dni (privacy.claude.com).

Aby usługa mieściła się w limitach, nasz serwer liczy odczyty przez AI na urządzenie i dzień. Telefon wysyła tylko jednokierunkowy kod utworzony z losowego identyfikatora urządzenia, a serwer przed zapisaniem tworzy z niego nowy kod za pomocą tajnego klucza, więc licznika nie da się powiązać z Tobą ani z Twoim kontem. Zapisywane są tylko kod, data i liczba, a licznik jest automatycznie usuwany po 30 dniach.

Tylko w wersji darmowej: na potrzeby limitu skanów AI telefon wysyła jednokierunkowy kod utworzony z identyfikatora telefonu, nigdy sam identyfikator. Serwer tworzy z niego nowy kod za pomocą tajnego klucza i zapisuje tylko ten kod, miesiąc, informację, czy to wersja testowa, oraz liczbę. Zahaszowany identyfikator urządzenia służy wyłącznie do liczenia darmowych skanów AI, nie do śledzenia, a licznik jest automatycznie usuwany po 13 miesiącach. Z Pro żaden identyfikator telefonu nie jest wysyłany.

Skanowanie paragonów i faktur

Gdy skanujesz paragon lub fakturę, obraz jest odczytywany na telefonie albo przez AI, jeśli wyraziłeś zgodę (patrz wyżej). Obraz jest usuwany zaraz po odczytaniu, także gdy anulujesz lub coś pójdzie nie tak. Z obrazu zapisywane są tylko sklep, data, kwota i kategoria. Numery referencyjne płatności i numery kont nigdy nie są zapisywane.

Raporty o awariach

Gdy aplikacja ulegnie awarii lub wystąpi błąd, raport jest wysyłany do Sentry (UE, Niemcy): co poszło nie tak i gdzie w aplikacji, co działo się tuż wcześniej (bez treści z Twojego budżetu), wersja aplikacji oraz model telefonu i wersja systemu. Sentry nie zapisuje adresu IP, a raporty nie zawierają imienia i nazwiska, adresu e-mail ani konta. Są przechowywane najwyżej 90 dni i służą wyłącznie do naprawiania błędów.

Aktualizacje aplikacji

Przy każdym uruchomieniu aplikacja pyta Expo (USA), usługę dostarczającą aktualizacje, czy jest nowa wersja. Expo otrzymuje wtedy adres IP, platformę (iOS lub Android), wersję aplikacji i losowy identyfikator instalacji – nic o Tobie ani o Twoim budżecie.

Zakup Pro

Pro kupuje się w App Store lub Google Play. Płatność obsługuje Apple lub Google według własnych polityk prywatności; nigdy nie widzimy danych Twojej karty.

RevenueCat (USA) przechowuje informację, czy masz Pro. Aplikacja łączy się z RevenueCat przy każdym uruchomieniu, także w wersji darmowej, z anonimowym identyfikatorem klienta tworzonym przez RevenueCat lub z ID Twojego konta, gdy jesteś zalogowany(-a), aby Pro było przypisane do konta. RevenueCat otrzymuje ze sklepu zakupy i potwierdzenia zakupu, a także platformę i wersję aplikacji. W wersjach testowych i przy zakupach testowych klient jest oznaczany jako testowy. Historia zakupów zostaje w sklepie i w RevenueCat także wtedy, gdy usuniesz konto, więc Twój zakup nie przepada.

Powiadomienie, że subskrypcja Pro jest aktywna

Jeśli masz subskrypcję Pro odnawianą co miesiąc lub co rok, aplikacja co najmniej raz na sześć miesięcy pokazuje powiadomienie, że subskrypcja jest aktywna, ile kosztuje i jak ją anulować. Jeśli jesteś zalogowany, dostajesz je także e-mailem. Wymaga tego prawo norweskie (digitalytelsesloven, § 33), a każde powiadomienie zapisujemy, aby móc wykazać, że zostało przekazane. Rejestr zawiera:

• Kod Twojego klienta RevenueCat, utworzony tajnym kluczem, oraz identyfikator zakupu ze sklepu.
• Sklep, produkt i plan (miesięczny lub roczny).
• Datę, której dotyczyło powiadomienie, kiedy zostało wyświetlone i zamknięte (ze strefą czasową telefonu) oraz czy dotknięto «Zarządzaj subskrypcją».
• Kanał (w aplikacji, powiadomienie zaplanowane na telefonie, powiadomienie push lub e-mail), język, cenę i walutę oraz to, którą wersję tekstu otrzymałeś (z kodem tekstu).
• Dla e-maili: kiedy został wysłany i identyfikator wiadomości z Resend.

Rejestr nigdy nie zawiera Twojego imienia i nazwiska, adresu e-mail ani identyfikatora konta. Aby móc wysłać e-mail, osobno przechowujemy identyfikator konta i datę następnego powiadomienia; są usuwane, gdy usuniesz konto.

Jeśli jesteś zalogowany i zezwoliłeś na powiadomienia aplikacji w telefonie, informacja może też przyjść jako powiadomienie push. Wtedy przechowujemy token push telefonu – adres, którego Apple lub Google używa do dostarczania powiadomień właśnie na ten telefon – razem z identyfikatorem Twojego konta, wyłącznie w celu wysłania tej informacji. Informacja jest wysyłana przez Expo (USA), które przekazuje ją do Apple Push Notification service (iPhone) lub Google Firebase Cloud Messaging (Android). Zawiera tylko tekst o subskrypcji, nic z Twojego budżetu. Token jest usuwany, gdy się wylogujesz, usuniesz konto lub wyłączysz powiadomienia (aplikacja wtedy go usuwa), a także gdy Apple lub Google poinformuje, że przestał być ważny. Powiadomienia aplikacji możesz wyłączyć w ustawieniach telefonu.

Podstawą wysyłania informacji i przechowywania tokenu push jest obowiązek prawny (art. 6 ust. 1 lit. c RODO): prawo wymaga, abyśmy informowali o trwającej subskrypcji (digitalytelsesloven, § 33, w Norwegii oraz podobne przepisy w innych krajach). To, czy aplikacja może wysyłać powiadomienia push, wybierasz sam w ustawieniach telefonu. Bez push otrzymasz informację w aplikacji, a także e-mailem, jeśli jesteś zalogowany.

Rejestr przechowujemy przez 3 lata od ostatniego aktywnego dnia subskrypcji, także jeśli usuniesz konto, ale wtedy bez niczego, co łączyłoby go z Tobą. Podstawą jest nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) w możliwości wykazania, że przekazaliśmy informacje wymagane przez prawo.

Opcjonalne konto i synchronizacja (Pro)

Możesz zalogować się przez Apple, Google, Facebook (Meta) lub e-mail. Logowaniem zajmuje się Supabase na serwerach w kraju: Irlandia. Zapisujemy wtedy Twój adres e-mail, ID konta, imię i nazwisko, jeśli dostawca je udostępnia, język aplikacji oraz w wersjach testowych znacznik testu. Z Apple możesz ukryć adres e-mail; widzimy wtedy tylko adres przekazujący Apple.

Z Pro budżet jest synchronizowany z Twoim kontem: konta, operacje, operacje stałe, budżet, cele oszczędnościowe, własne kategorie, zapamiętani odbiorcy i ustawienia, które Ci towarzyszą (dzień wypłaty, pensja, budżet). Każda zmiana jest zapisywana z czasem i urządzeniem. Dane są szyfrowane podczas przesyłania i przechowywania, a odczytać je może tylko Twoje konto.

Kody i linki do logowania są wysyłane e-mailem przez Resend (USA), z Twoim adresem i językiem. Link otwiera naszą stronę internetową, hostowaną w Vercel, która przekierowuje Cię do aplikacji. Aby każdy e-mail został wysłany tylko raz, nasz serwer przechowuje wyłącznie ID wiadomości, typ i status przez 7 dni, nigdy adres.

Możesz wylogować się w każdej chwili; dane zostają na telefonie. «Usuń konto» usuwa konto i wszystkie dane zapisane z nim na naszym serwerze. Co zostaje: historia zakupów w sklepie i w RevenueCat, liczniki niepowiązane z imieniem i nazwiskiem ani kontem (usuwane po 30 dniach i 13 miesiącach) oraz logi samych usług, przechowywane zgodnie z ich warunkami.

Widżet i przypomnienia

Widżet pokazuje liczby z danych na telefonie, a przypomnienia o stałych pozycjach są ustawiane na telefonie. W żadnym z tych przypadków nic nie jest wysyłane.

Komu udostępniamy dane

• Supabase (Irlandia, UE): logowanie, synchronizacja dla Pro, serwer odczytu przez AI i liczniki.
• Anthropic (USA): odczyt przez AI, tylko za Twoją zgodą.
• Resend (USA): e-maile z kodami i linkami do logowania.
• RevenueCat (USA): status Pro i zakupy.
• Sentry (UE, Niemcy): raporty o awariach, bez adresu IP.
• Expo (USA): aktualizacje aplikacji oraz przekazywanie powiadomienia push o subskrypcji.
• Vercel (USA): nasza strona internetowa, w tym strona otwierana przez link do logowania.
• Apple, Google i Meta: App Store, Google Play, logowanie przez nie, jeśli je wybierzesz, kopia zapasowa telefonu oraz dostarczanie powiadomień push (Apple Push Notification service i Google Firebase Cloud Messaging).
• Kursy walut: nasz serwer pobiera kursy z Frankfurter i ExchangeRate-API. Żadne dane o Tobie nie są tam wysyłane.

Gdy dane trafiają do USA, dostawcy stosują standardowe klauzule umowne UE lub EU–US Data Privacy Framework. Nigdy nie sprzedajemy danych, a aplikacja nie ma reklam ani śledzenia.

Podstawa prawna

• Świadczenie usługi aplikacji, z której korzystasz (art. 6 ust. 1 lit. b RODO): konto i synchronizacja (Supabase), logowanie przez Apple, Google, Facebook lub e-mail (Resend) oraz zakup Pro (App Store, Google Play i RevenueCat).
• Twoja zgoda na odczyt przez AI (art. 6 ust. 1 lit. a RODO), przez Supabase do Anthropic. Możesz ją w każdej chwili wycofać.
• Nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) w naprawianiu błędów (Sentry), dostarczaniu aktualizacji aplikacji (Expo), utrzymaniu usługi w limitach (liczniki) i prowadzeniu strony internetowej (Vercel).

Jak długo przechowujemy dane

• Na telefonie: do czasu ich usunięcia w aplikacji lub odinstalowania aplikacji.
• Twoje konto i zsynchronizowane dane: do czasu usunięcia konta w aplikacji.
• Obrazy do odczytu przez AI: nie są u nas przechowywane. W Anthropic: usuwane w ciągu 30 dni, z wyjątkiem zapytań oznaczonych jako możliwe nadużycie (privacy.claude.com).
• Importowane pliki CSV i Excel: nie są przechowywane. Zostają tylko transakcje, które zapiszesz, i układ kolumn pliku.
• Licznik odczytów przez AI (kod jednokierunkowy, data i liczba): 30 dni.
• Licznik darmowych skanów AI (zahaszowany identyfikator urządzenia, miesiąc i liczba): 13 miesięcy.
• Dziennik e-maili logowania (bez adresu): 7 dni.
• Token push dla informacji o subskrypcji: do czasu wylogowania, usunięcia konta lub wyłączenia powiadomień.
• Raporty o awariach: najwyżej 90 dni.
• E-maile logowania w Resend: 30 dni (resend.com). Własne logi i kopie zapasowe Supabase: najwyżej 7 dni (supabase.com). RevenueCat (revenuecat.com), Expo (expo.dev) i Vercel (vercel.com): zgodnie z ich warunkami, które nie podają stałego okresu.
• Kopia zapasowa na telefonie: u Apple lub Google, zgodnie z ich warunkami, dopóki jej nie usuniesz.

Twoje prawa

Wszystkie swoje dane możesz przeglądać, poprawiać i eksportować w aplikacji (Ja → Eksport danych, bezpłatnie dla wszystkich) oraz usuwać (Ja → Usuń wszystkie dane z tego telefonu). Możesz w każdej chwili sprzeciwić się przetwarzaniu i wycofać zgodę na odczyt przez AI.

Jeśli masz pytania, napisz na kontakt@nordicdigitalapp.no. Organem nadzorczym jest norweski organ ochrony danych (Datatilsynet), do którego możesz złożyć skargę. Jeśli mieszkasz w UE/EOG, możesz też złożyć skargę do organu ochrony danych we własnym kraju.

Dzieci

Saldo Pocket nie jest przeznaczone dla dzieci poniżej 13 lat i świadomie nie przetwarzamy ich danych.

Zmiany

Jeśli zmienimy tę politykę, zaktualizujemy tę stronę i datę na górze. Jeśli zmiana ma znaczenie dla sposobu wykorzystania Twoich danych, poinformujemy o tym w aplikacji.