Koshty Polityka prywatności

Administrator

Administratorem danych jest Propsy Digital Sp. z o.o., ul. Marsz. Józefa Piłsudskiego 74/320, 50-020 Wrocław, KRS 0001158753, NIP 8971950004, REGON 541052080.

Kontakt w sprawach danych osobowych: privacy@propsydigital.com. Nie wyznaczyliśmy inspektora ochrony danych — wszystkie sprawy prowadzi ten adres.

Zanim założysz konto

Nic, czego sam nie wpiszesz, i prawie nic, co trafiałoby do nas. Wydatki dodane przed zalogowaniem leżą w pamięci Twojej przeglądarki — nie wysyłamy ich nigdzie i nie mamy do nich dostępu.

Wyjątkiem jest odczyt: żeby model przeczytał paragon, plik musi trafić na serwer. Co się z nim dzieje, opisuje sekcja „Zdjęcia i nagrania”.

Liczbę darmowych odczytów pamięta podpisane ciasteczko. Nie ma w nim żadnej informacji o Tobie — tylko licznik i to, której metody dotyczy.

Dane konta

Konto zakłada logowanie przez Google. Dostajemy od niego identyfikator konta, adres e-mail, imię i nazwisko oraz adres zdjęcia profilowego. Hasła nie widzimy nigdy — logowanie w całości odbywa się po stronie Google.

Zdjęcia profilowego nie kopiujemy do siebie. Pokazujemy je przez nasz własny serwer obrazów, więc otwarcie ekranu ustawień nie mówi Google, że akurat na nim jesteś.

Co jest zapisane na koncie

Wszystko poniżej należy do Twojego budżetu i jest widoczne wyłącznie dla osób, które do niego należą — dopóki nikogo nie zaprosisz, tylko dla Ciebie. Pilnuje tego reguła własności zapisana w bazie danych, a nie w interfejsie — aplikacja świadomie nie ma klucza, którym dałoby się tę regułę ominąć.

• —Wydatki: tytuł, kwota, kategoria, moment wydania pieniędzy, sposób dodania i koszyk odczytany z paragonu.
• —Adres punktu sprzedaży odczytany z paragonu: ulica, kod pocztowy i miasto sklepu.
• —Przychody, cele oszczędnościowe i wpisy comiesięczne, jeżeli ich używasz.
• —Informacja, że Koshty zostało uruchomione z ikony na ekranie głównym, i kiedy stało się to pierwszy raz. Dzięki niej nie proponujemy dodania aplikacji na innych urządzeniach tego konta.
• —Wiadomości do twórcy i odpowiedzi na nie.
• —Licznik odczytów w bieżącym miesiącu: jeden wiersz na odczyt, bez treści odczytu.

Wspólny budżet

Budżet możesz prowadzić razem z inną osobą, na przykład z kimś, z kim mieszkasz. Zapraszasz ją linkiem. Osoba, która go otworzy i się zaloguje, może jedynie poprosić o dołączenie — wpuszczasz ją Ty.

Prosząc o dołączenie, pokazujesz osobie zapraszającej swoje imię i nazwisko, adres e-mail oraz zdjęcie profilowe z konta Google, żeby wiedziała, kogo wpuszcza. Po dołączeniu osoby w budżecie widzą nawzajem swoje imiona i zdjęcia.

Każda osoba w budżecie widzi wszystkie jego wpisy i może je zmieniać: wydatki razem z koszykami i adresami sklepów, przychody, cele, wpisy comiesięczne, kategorie, stan oszczędności i miesięczną poduszkę. Osoba zaproszona do budżetu, który już istnieje, widzi także wpisy sprzed swojego dołączenia — mówi o tym ekran zaproszenia, zanim ktokolwiek zostanie zaproszony.

Budżet prowadzony z innymi osobami ma historię zmian: kto i kiedy dodał, zmienił, usunął albo przywrócił wpis i co dokładnie się zmieniło, a także kto dołączył do budżetu, kto go opuścił i kto zmienił jego nazwę. Historię widzą osoby w budżecie — każda od dnia, w którym dołączyła.

Link zaproszenia działa 7 dni. Przechowujemy wyłącznie jego skrót kryptograficzny, więc samego linku nie da się odtworzyć z naszej bazy.

Zdjęcia i nagrania

Zdjęcie paragonu i nagranie głosowe nie są u nas zapisywane. Plik trafia do pamięci serwera, jedzie do modelu, wraca jako odczytany tekst i znika. Nie ma kubełka na pliki, nie ma czego zabezpieczać i nie ma czego usuwać na żądanie.

Zdjęcie jest zmniejszane w Twojej przeglądarce, zanim gdziekolwiek pojedzie. Przy okazji ginie cały blok EXIF razem ze współrzędnymi GPS — informacja o tym, gdzie stałeś, robiąc zdjęcie, do nas nie dociera.

Adres zapisany przy wydatku jest adresem sklepu wydrukowanym na paragonie, nie Twoim. Widzisz go na ekranie przed zapisem, a „Odrzuć” jest jego usunięciem.

Ceny na wspólnej mapie

Od 18 września 2026 r. z każdego paragonu zapisanego na koncie powstaje też osobny zapis cen dla wspólnej mapy: sklep i jego adres, produkt, ilość, cena i dzień zakupu. Nie ma w nim identyfikatora konta, odnośnika do wydatku ani godziny zakupu. Powstaje także z paragonów, które były na koncie wcześniej, do dwóch miesięcy wstecz.

Tworząc ten zapis, korzystamy z Twojego paragonu, dlatego piszemy o tym tutaj. Podstawą jest nasz prawnie uzasadniony interes — porównanie cen, z którego korzystają wszyscy użytkownicy. Przysługuje Ci prawo sprzeciwu wobec tego przetwarzania na zasadach art. 21 RODO; opisuje je sekcja „Twoje prawa”.

Gotowy zapis cen nie jest powiązany ani z Tobą, ani z kontem. Nie potrafimy go więc wskazać na żądanie ani usunąć razem z kontem — nie wiemy, który jest Twój.

Model czyta paragon poza Europą

To jedyne miejsce, w którym dane wyjeżdżają poza Europejski Obszar Gospodarczy. Piszemy o nim osobno, zamiast chować je w liście dostawców.

Zdjęcie paragonu czyta Anthropic. Interfejs tego dostawcy nie ma dziś opcji przetwarzania w Unii — wybór jest między Stanami Zjednoczonymi a „globalnie”. Notatka głosowa jedzie do dwóch: najpierw OpenAI zamienia dźwięk na tekst, bo żaden model Anthropica nie przyjmuje dźwięku, a dopiero potem tekst czyta Anthropic. Obaj dostawcy mają siedzibę w Stanach Zjednoczonych.

Podstawą przekazania są umowy powierzenia zawarte z tymi dostawcami wraz ze standardowymi klauzulami umownymi zatwierdzonymi przez Komisję Europejską.

Zakres jest ograniczony tym, że po naszej stronie nic z tego nie zostaje. Po stronie dostawców treść zapytania może być przechowywana krótko na potrzeby wykrywania nadużyć — u obu do 30 dni — i zgodnie z warunkami ich interfejsów nie służy do trenowania modeli.

Reszta systemu stoi w Europie: baza danych i logowanie w Supabase we Frankfurcie, aplikacja na Vercelu w regionie fra1, analityka w europejskiej chmurze PostHoga.

Po co i na jakiej podstawie

Każdy cel ma własną podstawę prawną, a jeden z nich — analityka — ma Twoją zgodę i nic poza nią.

• —Prowadzenie konta i pokazywanie Twoich wpisów — wykonanie umowy, art. 6 ust. 1 lit. b RODO.
• —Wspólny budżet — pokazywanie wpisów budżetu oraz imienia, zdjęcia i adresu e-mail osobom, z którymi go prowadzisz albo do których prosisz o dołączenie — wykonanie umowy, art. 6 ust. 1 lit. b RODO: robimy to, o co prosisz, zapraszając kogoś albo prosząc o dołączenie.
• —Odczyt zdjęcia i notatki głosowej — wykonanie umowy: robimy to, o co prosisz, dotykając przycisku.
• —Limity odczytów i ochrona przed nadużyciem — prawnie uzasadniony interes, art. 6 ust. 1 lit. f RODO: rachunek u dostawcy modelu płaci ktoś realny.
• —Zapis cen z paragonu na wspólną mapę — prawnie uzasadniony interes, art. 6 ust. 1 lit. f RODO. Sprzeciw zgłasza się na adres kontaktowy.
• —Odpowiadanie na wiadomości i reklamacje — wykonanie umowy oraz nasz uzasadniony interes.
• —Analityka produktu — wyłącznie Twoja zgoda, art. 6 ust. 1 lit. a RODO. Jej brak nie zmienia w działaniu aplikacji niczego.

Komu powierzamy dane

Nie sprzedajemy danych i nie udostępniamy ich brokerom ani sieciom reklamowym. Poniżsi dostawcy przetwarzają je na nasze zlecenie, w zakresie potrzebnym do tego, żeby aplikacja działała.

• —Supabase — baza danych, logowanie i sesje. Frankfurt, Unia Europejska.
• —Vercel — hosting aplikacji. Region fra1, Frankfurt, Unia Europejska.
• —Anthropic — odczyt paragonu i odczyt transkrypcji. Stany Zjednoczone.
• —OpenAI — zamiana notatki głosowej na tekst. Stany Zjednoczone.
• —PostHog — analityka produktu, chmura europejska, wyłącznie za Twoją zgodą.
• —Google — logowanie. W zakresie Twojego konta Google jest odrębnym administratorem i działa na własnych zasadach.

Jak długo

Dane konta trzymamy tak długo, jak istnieje konto. Usunięcie opisuje osobny dokument.

• —Wydatki, przychody, cele i wpisy comiesięczne — do usunięcia konta. Skasowany wpis znika ze wszystkich list natychmiast, ale w bazie zostaje oznaczony jako skasowany, dopóki konto istnieje. Jeżeli chcesz, żeby zniknął naprawdę wcześniej, napisz na adres kontaktowy.
• —Wpisy we wspólnym budżecie — dopóki istnieje budżet, także po usunięciu konta osoby, która je dodała; znika wtedy przy nich jej imię. Opisuje to dokument o usunięciu danych.
• —Historia zmian wspólnego budżetu — dopóki istnieje budżet; po usunięciu konta znika z niej imię tej osoby.
• —Prośby o dołączenie do budżetu, z imieniem, adresem e-mail i zdjęciem osoby proszącej — do usunięcia konta tej osoby albo budżetu.
• —Wiadomości do twórcy — do usunięcia konta.
• —Licznik odczytów — do usunięcia konta; służy limitowi miesięcznemu.
• —Zapis cen na wspólnej mapie — nie jest powiązany z kontem, więc nie znika razem z nim.
• —Zdjęcia i nagrania — nie są przechowywane w ogóle.
• —Ciasteczka i pamięć przeglądarki — terminy w polityce cookies.

Twoje prawa

Przysługuje Ci dostęp do danych, ich sprostowanie, usunięcie, ograniczenie przetwarzania, przenoszenie, sprzeciw wobec przetwarzania opartego na uzasadnionym interesie oraz cofnięcie zgody na analitykę w dowolnym momencie. Cofnięcie nie wpływa na to, co działo się wcześniej.

Każde żądanie wyślij na privacy@propsydigital.com. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca.

Masz też prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.

Zautomatyzowane decyzje

Nie profilujemy i nie podejmujemy wobec Ciebie zautomatyzowanych decyzji wywołujących skutki prawne. Model czyta paragon i proponuje kategorię — to propozycja, którą zatwierdzasz albo odrzucasz, a nie rozstrzygnięcie o Tobie.

Bezpieczeństwo

Sesję trzyma ciasteczko niedostępne dla skryptów. Klucze do modeli są wyłącznie po stronie serwera i przeglądarka nigdy ich nie widzi. Własność wiersza w bazie egzekwuje Row Level Security, a aplikacja świadomie nie ma klucza serwisowego, który mógłby te reguły pominąć — dzięki temu reguła w bazie jest jedyną regułą, jaka istnieje.

Zdarzenia analityczne przechodzą przez zamknięty schemat, który wycina wszystko, czego dane zdarzenie nie zadeklarowało. Nazwa sklepu, produkt, kwota i kategoria nie trafiają do analityki nigdy.

Dzieci

Koshty nie jest kierowane do osób poniżej 16 roku życia i świadomie nie zbieramy ich danych. Jeżeli wiesz, że konto należy do dziecka, napisz na adres kontaktowy — usuniemy je.

Zmiany

Gdy ten dokument się zmieni, zmieni się data na górze strony, a o zmianie istotnej uprzedzimy w aplikacji.