Polityka prywatności CoinTrack

1. W skrócie

Administratorem Twoich danych jest Mikołaj Zienkowicz prowadzący jednoosobową działalność gospodarczą (dalej: „my”).
Dane konta (e-mail, imię, sposób logowania) przechowujemy oddzielnie od danych finansowych (budżetów, wydatków, majątku). Baza finansowa zna Cię tylko pod wewnętrznym identyfikatorem (pseudonimem).
Dane są szyfrowane podczas przesyłania i przechowywania (TLS i szyfrowanie po stronie dostawców infrastruktury). Bazy danych działają w regionie Frankfurt (Niemcy), u dostawców z siedzibą w USA, z zabezpieczeniami wymaganymi przez RODO (pkt 12).
Asystent AI (czat) działa na platformie AI Google Cloud, wywoływanej z naszego serwera. Model AI przetwarza dane w Unii Europejskiej. Treść rozmowy, zdjęcia paragonów do odczytu i Dane budżetowe potrzebne do odpowiedzi trafiają do Google. Historię rozmów zapisujemy w bazie danych CoinTrack, ale zdjęć paragonów nie zapisujemy. Skanowanie paragonów wymaga Twojej wyraźnej zgody (pkt 5). Asystent może proponować wpisy, ale do budżetu trafiają tylko te, które zatwierdzisz.
Import z pliku CSV (Plus i Premium): plik odczytuje Twoja przeglądarka. Do budżetu trafiają tylko operacje, które zatwierdzisz (pkt 8).
Nie trenujemy AI na Twoich danych. Nie sprzedajemy danych. Nie używamy danych finansowych do reklam.
Analityka (PostHog) działa tylko po Twojej zgodzie. Marketing e-mail - tylko po osobnej zgodzie.
Tryb offline (od jego udostępnienia) włączasz sam, osobno na każdym urządzeniu; domyślnie jest wyłączony. Gdy go włączysz, ostatnio pobrane dane Pulpitu i Budżetu oraz wpisy czekające na wysłanie zapisujemy na tym urządzeniu, najdłużej do wyłączenia trybu offline albo wylogowania (pkt 15).
Masz prawo do dostępu do danych, ich poprawienia, usunięcia, przeniesienia (eksport), ograniczenia, sprzeciwu i cofnięcia zgody oraz skargi do Prezesa UODO.

2. Administrator i kontakt

Administrator: Mikołaj Zienkowicz, prowadzący jednoosobową działalność gospodarczą, ul. Długa 45A/2, 66-210 Zbąszynek, NIP 9271966162, REGON 388791452.

W sprawach danych osobowych pisz na contact@cointrack.pl albo na adres ul. Długa 45A/2, 66-210 Zbąszynek. Nie wyznaczyliśmy inspektora ochrony danych, bo nie mamy takiego obowiązku (art. 37 RODO).

3. Jakie dane przetwarzamy i skąd je mamy

Kategoria	Przykłady	Skąd
Dane konta	adres e-mail, informacja o jego weryfikacji, imię, adres zdjęcia profilowego z Google (zapisany w danych konta, aplikacja go nie wyświetla), sposób logowania (Google / link e-mail), sesje logowania, data założenia Konta, zaakceptowane wersje dokumentów i zgody	od Ciebie; imię, e-mail i adres zdjęcia profilowego - od Google, jeśli logujesz się przez Google
Dane Rodziny	nazwa Rodziny, członkostwo i role (właściciel, członek), zaproszenia (kto kogo zaprosił, status, termin ważności, kiedy i w jakim języku wysłaliśmy wiadomość z zaproszeniem; przy zaproszeniu na adres, który nie ma jeszcze Konta - zaszyfrowany adres e-mail osoby zapraszanej i jego skrót kryptograficzny, w bazie danych konta, nie w bazie finansowej; token z linku zaproszenia - tylko jako skrót; po zablokowaniu kolejnych zaproszeń - skrót adresu osoby, która o to poprosiła); przy Twoim członkostwie - czy i kiedy ukryłeś na Pulpicie listę „Zacznij w 4 krokach” (dotyczy tylko Ciebie, inni Członkowie nadal ją widzą)	od Ciebie i od innych Członków Rodziny; adres e-mail osoby zapraszanej - od zapraszającego (Właściciela Rodziny)
Dane budżetowe (finansowe)	budżety miesięczne (kwoty zaplanowane na kategorie wydatków w danym miesiącu), własne kategorie wydatków, przychody i wydatki z ich kategoriami, wpisy cykliczne (nazwa, kwota, kategoria, powtarzalność) i tworzone z nich wystąpienia, cele wraz z wpłatami na cel i wypłatami z celu, majątek i zobowiązania z historią wartości, Zadania (wiersz niżej), powiązania wpisów z pozycjami importu (kwota, data, sprzedawca i opis z importu), wpisy zaproponowane przez Asystenta AI, które zatwierdziłeś; przy wpisie zapisanym w trybie offline - losowy klucz nadany przez urządzenie (bez treści), dzięki któremu ten sam wpis nie zapisze się dwa razy (pkt 15)	od Ciebie i Członków Rodziny (wystąpienia wpisów cyklicznych aplikacja tworzy sama, według ustawionej reguły); z importowanych plików; z Funkcji Bank (od dostawcy usługi dostępu do informacji o rachunku)
Zadania (część Danych budżetowych)	tytuł i notatka (np. numer rachunku do przelewu, tytuł przelewu, link) - szyfrowane w aplikacji (pkt 16.4); pierwszy termin i powtarzanie; nieobowiązkowo kwota, kategoria, sposób płatności (np. „zapisz wydatek po odhaczeniu”) i powiązanie z wpisem cyklicznym; terminy, z którymi coś się stało (odhaczony, przesunięty, pominięty, usunięty), a przy odhaczeniu - data i godzina, sposób (ręcznie albo z importu), pseudonim osoby, która odhaczyła (nigdy e-mail ani imię), oraz powiązanie z wydatkiem zapisanym po odhaczeniu albo z pozycją importu; przy imporcie - kontrahent z importu zapamiętany dla Zadania (szyfrowany) i pary Zadanie–pozycja importu, które odrzuciłeś („To nie to”), zapisane z identyfikatorem pozycji importu, bez jej treści (pkt 8)	od Ciebie i Członków Rodziny; kolejne terminy wylicza aplikacja według ustawionego powtarzania; kontrahenta - z importu
Rozmowy z Asystentem AI	treść Twoich wiadomości i odpowiedzi Asystenta; zdjęć paragonów nie zapisujemy (pkt 5); ślad zmian z czatu (pkt 5 ust. 4)	od Ciebie; odpowiedzi - generowane przez model Google Gemini
Skanowanie paragonów	zdjęcie paragonu - tylko na czas odczytu, bez zapisu; wynik odczytu (data, kwota, sklep, pozycje) w kolejce „Do zatwierdzenia”; Twoja zgoda na przetwarzanie danych szczególnie chronionych (data i godzina, treść zgody, ewentualne cofnięcie)	od Ciebie; wynik odczytu - generowany przez model Google Gemini
Dane z importu (pkt 8)	operacje z pliku CSV, które wybierzesz do importu: data, kwota, sprzedawca lub kontrahent i opis operacji (opis może zawierać dane kontrahentów) oraz odcisk operacji (skrót); ustawienie kolumn pliku zapamiętane dla Rodziny; kategorie zapamiętane dla sprzedawców; operacje, które pominiesz albo odrzucisz, zostają w kolejce importu z tymi samymi danymi (pkt 8.6)	od Ciebie, z pliku pobranego z Twojej bankowości internetowej
Dane rozliczeniowe	identyfikatory zamówień i płatności w Przelewy24, metoda płatności (BLIK, przelew, karta), Plan, Okres Planu, kwoty, status płatności i zwrotów, kwota Rabatu z programu poleceń użytego w zamówieniu, kraj zamieszkania wskazany przy zamówieniu (sprzedaż tylko w UE, VAT/OSS) oraz kraj ustalony na podstawie adresu IP w chwili zamówienia (bez samego adresu IP) - jako drugi dowód miejsca zamieszkania dla VAT (art. 24f rozporządzenia 282/2011); przy zwrocie przelewem na wskazany przez Ciebie rachunek (§ 10 ust. 4 Regulaminu) - numer tego rachunku oraz imię i nazwisko jego posiadacza; w Przelewy24: adres e-mail, kwota i opis zamówienia, kraj i język płatności, adres IP oraz dane płatności podawane bezpośrednio Przelewy24 lub Twojemu bankowi (np. dane karty, dane rachunku i jego posiadacza przy przelewie); tylko przy fakturze na żądanie - imię i nazwisko lub firma, adres, NIP	od Ciebie i od Przelewy24; kraj na podstawie adresu IP ustalamy sami w chwili zamówienia, przez naszego dostawcę hostingu (Vercel Inc., pkt 11)
Dane z formularza odstąpienia od umowy lub prośby o zwrot	imię i nazwisko (w aplikacji wpisane z danych konta, możesz je zmienić), uwaga i dodatkowy adres e-mail na kopię potwierdzenia (oba nieobowiązkowe). Nie zapisujemy ich w bazie danych: trafiają tylko do e-maila z potwierdzeniem i jego kopii, a imię i nazwisko oraz uwaga także do zawiadomienia o oświadczeniu, które dostajemy na contact@cointrack.pl. W rejestrze oświadczeń zapisujemy umowę, rodzaj oświadczenia, sposób jego złożenia, datę i godzinę otrzymania, a przy oświadczeniu wysłanym e-mailem lub pocztą także datę (i godzinę, jeśli jest znana) jego wysłania, kwotę zwrotu i odwołanie do płatnika (skrót i szyfrogram identyfikatora, bez e-maila). Jeśli oświadczenie przyszło e-mailem lub pocztą, potwierdzenie wysyłamy jednorazowo także na adres, z którego napisałeś(-aś), albo który podałeś(-aś) w liście, a jeśli nie masz już Konta - tylko na ten adres. Tego adresu nie zapisujemy w rejestrze ani w logach aplikacji i nie ponawiamy na niego wysyłki; przechodzi przez Resend, który wysyła potwierdzenie (pkt 11), i zostaje w naszej korespondencji z Tobą.	od Ciebie
Dane do kontroli Okresu próbnego	skrót kryptograficzny (HMAC) adresu e-mail osoby, która rozpoczęła Okres próbny - bez samego adresu - data rozpoczęcia Okresu próbnego Rodziny oraz data zapisu skrótu	generowane przy rozpoczęciu Okresu próbnego
Dane programu poleceń	kod (link) polecający przypisany do Konta; pseudonimowe identyfikatory Konta polecającego i Konta osoby poleconej (bez adresów e-mail); status polecenia i jego daty (założenie Konta, płatność, przyznanie albo odmowa Rabatu); przyznane Rabaty, termin ich ważności i wykorzystanie (zamówienie i kwota Rabatu). Do sprawdzenia, czy Konto osoby poleconej jest nowe, używamy skrótu e-maila do kontroli Okresu próbnego (bez samego adresu)	generowane, gdy Ty lub osoba przez Ciebie polecona korzystacie z programu poleceń. Polecający widzi status polecenia (oczekuje na upływ 14 dni - z datą przyznania Rabatu - albo zaliczone), bez Twojego e-maila, Planu i kwot
Dane Połączonych aplikacji AI	skrót (hash) tokenu, zakres, termin ważności, dziennik użycia (data, narzędzie, wynik)	generowane przy korzystaniu z funkcji
Dane techniczne i bezpieczeństwa	adres IP, typ przeglądarki/urządzenia, logi serwera i błędów, liczniki użycia funkcji (bez treści), dziennik zużycia AI (rodzaj funkcji, model, liczba tokenów, koszt, liczba pozycji, wynik - bez treści, pkt 5)	z Twojego urządzenia, automatycznie
Dane analityczne (tylko po zgodzie)	odsłony, kliknięcia, zdarzenia w aplikacji (np. „utworzono budżet”), bez kwot i opisów transakcji	z Twojego urządzenia, po zgodzie
Korespondencja	treść wiadomości, reklamacji i żądań RODO; przy wiadomościach na contact@cointrack.pl także adres i nazwa nadawcy, załączniki i nagłówki; numer rachunku i imię i nazwisko jego właściciela, jeśli podasz je do zwrotu przelewem (Regulamin § 10 ust. 4)	od Ciebie

Osoby zapraszane do Rodziny (art. 14 RODO). Jeśli ktoś zaprosił Cię do Rodziny, Twój adres e-mail otrzymaliśmy od zapraszającego, czyli Właściciela tej Rodziny (art. 14 ust. 2 lit. f RODO). Na ten adres wysyłamy wiadomość z zaproszeniem. Już w niej, przy pierwszym kontakcie (art. 14 ust. 3 lit. b RODO), podajemy, kto jest administratorem, skąd mamy adres, w jakim celu i na jakiej podstawie go przetwarzamy, jak długo go przechowujemy, komu go powierzamy i jakie masz prawa, w tym prawo sprzeciwu. Szczegóły: pkt 7 ust. 2.

Dane innych osób (art. 14 RODO). Opisy transakcji z importu lub banku mogą zawierać dane osób trzecich (np. nadawcy przelewu), podobnie jak nazwy wpisów i notatki Zadań, które wpisujesz Ty albo Członkowie Rodziny (np. numer rachunku wynajmującego). Używamy ich wyłącznie do prowadzenia budżetu Rodziny, która je wprowadziła lub zaimportowała. W Funkcji Bank usuwamy takie dane przed zapisem. Poinformowanie każdej takiej osoby indywidualnie byłoby niemożliwe lub wymagałoby niewspółmiernego wysiłku (art. 14 ust. 5 lit. b RODO), dlatego publikujemy tę informację.

Nie chcemy danych szczególnych kategorii. Z wydatków można czasem wywnioskować np. informacje o zdrowiu czy przekonaniach. Nie tworzymy automatycznie kategorii ani wniosków dotyczących takich informacji i nie wykorzystujemy ich do żadnych innych celów niż prowadzenie Twojego budżetu. Kategorie, które sam tworzysz, pozostają Twoje. Prosimy, nie wpisuj do opisów wydatków ani do rozmów z Asystentem AI danych o zdrowiu. Przy imporcie nie wysyłamy do AI operacji, których opis wskazuje na takie dane (pkt 8). Wyjątek: Skanowanie paragonów. Paragon (np. z apteki) może ujawniać dane o zdrowiu lub inne dane szczególnie chronione. Dlatego zdjęcie paragonu przetwarzamy tylko za Twoją wyraźną zgodą (art. 9 ust. 2 lit. a RODO, pkt 5).

4. Cele, podstawy prawne i okresy przechowywania

Cel	Podstawa prawna (RODO)	Jak długo
Założenie i prowadzenie Konta, logowanie, świadczenie usług CoinTrack (budżet, Zadania, Rodzina, Asystent AI, import z pliku, kopia danych)	umowa - art. 6 ust. 1 lit. b	do usunięcia Konta; Zadania z historią odhaczeń należą do Rodziny - do usunięcia Zadania z historią, Rodziny albo Konta jej jedynego Członka (pkt 7.5); potem do 31 dni w kopiach zapasowych (pkt 10)
Zaproszenia do Rodziny: sprawdzenie, czy adres może dołączyć, wysłanie wiadomości z zaproszeniem (także do osoby bez Konta), ponowne wysłanie i anulowanie przez Właściciela, potwierdzenie albo odrzucenie przez osobę zaproszoną, pokazanie Właścicielowi statusu zaproszenia (pkt 7 ust. 2)	wobec osoby zapraszanej, do przyjęcia zaproszenia - prawnie uzasadniony interes, art. 6 ust. 1 lit. f. Zapraszający ma interes w zaproszeniu wybranej przez siebie osoby do wspólnego budżetu, a my - w doręczeniu zaproszenia bez ujawniania, czy adres ma Konto, oraz w zapobieganiu nadużyciom. Po przyjęciu - umowa, lit. b. Wobec zapraszającego - umowa, lit. b. Blokada kolejnych zaproszeń po sprzeciwie - prawnie uzasadniony interes, art. 6 ust. 1 lit. f: uszanowanie sprzeciwu i niewysyłanie kolejnych zaproszeń	zaszyfrowany adres osoby zapraszanej i jego skrót: przy przyjęciu zaproszenia usuwamy je od razu (adres zostaje tylko jako dane konta osoby, która dołączyła); po odrzuceniu, anulowaniu albo wygaśnięciu przechowujemy je jeszcze 30 dni, a potem usuwamy (kopie zapasowe - do 31 dni, pkt 10). Przez te 30 dni zapraszający widzi status zaproszenia z zamaskowanym adresem (np. a***@example.com), a my możemy wyjaśnić zgłoszenie niechcianego zaproszenia lub nadużycia. Po sprzeciwie - usuwamy je niezwłocznie. Skrót tokenu z linku - do przyjęcia, odrzucenia, anulowania albo wygaśnięcia zaproszenia. Wpis o zaproszeniu w bazie finansowej (kto zaprosił, do której Rodziny, status, termin - bez adresu osoby zapraszanej) - do usunięcia Rodziny, Konta zapraszającego albo Konta osoby zaproszonej. Blokada kolejnych zaproszeń (po kliknięciu „Nie chcę zaproszeń” albo na Twoją prośbę po sprzeciwie): osobny zapis w bazie danych konta - tylko skrót adresu, bez samego adresu - do odwołania blokady. Blokadę odwołasz, pisząc na contact@cointrack.pl z adresu, którego dotyczy.
Import z pliku: rozpoznanie układu pliku, sprawdzenie duplikatów, dopasowanie do Twoich wpisów i Zadań, kolejka „Do zatwierdzenia”, podpowiedzi kategorii - także z AI, jeśli ich nie wyłączysz (pkt 8)	umowa - lit. b	jak inne Dane budżetowe: dopóki ich nie usuniesz, najdłużej do usunięcia Konta (kopie zapasowe wygasają w ciągu 31 dni); operacje pominięte i odrzucone - do usunięcia Rodziny (pkt 8.6); dane do sprawdzenia duplikatów operacji, których nie wybierzesz do importu - nie zapisujemy ich
Skanowanie paragonów: odczyt zdjęcia paragonu i propozycja wpisu (pkt 5)	umowa - lit. b; dla danych szczególnych kategorii widocznych na paragonie - Twoja wyraźna zgoda, art. 9 ust. 2 lit. a	zdjęcie - tylko na czas odczytu, nie zapisujemy go; wynik odczytu i zatwierdzone wpisy - jak inne Dane budżetowe
Dziennik zużycia AI: liczenie limitów, kontrola kosztów AI i wykrywanie nadużyć (pkt 5)	umowa - lit. b (limity Planu); prawnie uzasadniony interes - lit. f (kontrola kosztów, zapobieganie nadużyciom)	13 miesięcy od zapisu; wcześniej - razem z usunięciem Rodziny
Tryb offline, gdy włączysz go na urządzeniu: przechowywanie na tym urządzeniu ostatnio pobranych danych Pulpitu i Budżetu oraz wpisów czekających na wysłanie (pkt 15)	umowa - lit. b; zapis na urządzeniu i odczyt z niego bez zgody w banerze cookies, bo są konieczne do działania funkcji, którą włączyłeś (art. 399 ust. 3 pkt 2 Prawa komunikacji elektronicznej)	na urządzeniu: wpis - do jego wysłania; dane Pulpitu i Budżetu - do następnego pobrania, najdłużej 30 dni; wszystko - najdłużej do wyłączenia trybu offline, wylogowania, otwarcia aplikacji po wygaśnięciu sesji, przełączenia Rodziny albo usunięcia danych witryny
Obsługa Planów płatnych, Okresu próbnego, limitów, płatności przez Przelewy24, przedłużeń, odstąpień i zwrotów	umowa - art. 6 ust. 1 lit. b	przez czas umowy, a potem do przedawnienia roszczeń; rejestr oświadczeń (odstąpienia od umowy i prośby o zwrot): do 31 grudnia szóstego roku po roku, w którym upłynął termin zwrotu płatności, a jeśli toczy się spór - do jego zakończenia
Wystawianie faktur, prowadzenie księgowości, rozliczenie VAT	obowiązek prawny - art. 6 ust. 1 lit. c (ustawa o VAT, Ordynacja podatkowa, ustawa o rachunkowości)	5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku (art. 86 § 1 w zw. z art. 70 § 1 Ordynacji podatkowej)
Ewidencja VAT dla sprzedaży do konsumentów z innych krajów UE (procedura OSS) - dotyczy, gdy rozliczamy VAT w procedurze OSS: kraj zamieszkania i dowody jego ustalenia (deklaracja, kraj z adresu IP), data, kwota, stawka VAT	obowiązek prawny - lit. c	10 lat od końca roku, w którym dokonano sprzedaży (art. 369k dyrektywy 2006/112/WE)
Program poleceń: przypisanie polecenia, sprawdzenie warunków i wyłączeń, przyznanie, zwrot i rozliczenie Rabatów (§ 8 ust. 13 Regulaminu)	umowa - art. 6 ust. 1 lit. b; sprawdzenie wyłączeń i zapobieganie nadużyciom (np. poleceniu samego siebie) - prawnie uzasadniony interes, lit. f	do rozliczenia polecenia i wykorzystania albo wygaśnięcia Rabatów
Obrona przed roszczeniami dotyczącymi programu poleceń	prawnie uzasadniony interes - lit. f	do 31 grudnia szóstego roku po roku, w którym polecenie zostało ostatecznie rozliczone (Rabat wykorzystany, wygasł albo odmówiliśmy jego przyznania) - art. 118 k.c.; także po usunięciu Konta. Kwota Rabatu użytego w zakupie jest częścią dokumentów płatności i przechowujemy ją 5 lat jak faktury
Wiadomości serwisowe (link logowania, potwierdzenia zawarcia umowy i płatności, informacje o nieudanej płatności, przypomnienia o końcu Okresu Planu, potwierdzenia odstąpienia od umowy, informacje o przyznaniu, odmowie, zwrocie i wygaśnięciu Rabatu z programu poleceń, informacje o przekazaniu, przejęciu i planowanym usunięciu Rodziny, zmiany dokumentów, alerty bezpieczeństwa)	umowa - lit. b; obowiązek prawny - lit. c (informacje wymagane przez ustawę o prawach konsumenta)	przez czas umowy
Rozpatrywanie reklamacji, odpowiedzi na wiadomości	umowa - lit. b; obowiązek prawny - lit. c; nasz prawnie uzasadniony interes - lit. f (komunikacja)	do zakończenia sprawy, a potem do przedawnienia roszczeń (poczta z contact@ - okresy z wiersza niżej)
Przechowywanie poczty wysłanej na contact@cointrack.pl i naszych odpowiedzi	jak cel sprawy, której dotyczy wiadomość: umowa - lit. b; obowiązek prawny - lit. c; nasz prawnie uzasadniony interes - lit. f (komunikacja, ustalenie, dochodzenie i obrona roszczeń)	(a) oświadczenie o odstąpieniu od umowy albo prośba o zwrot i korespondencja w tej sprawie (także numer rachunku do zwrotu) - do 31 grudnia szóstego roku po roku, w którym upłynął termin zwrotu płatności; (b) reklamacje i inna korespondencja dotycząca umowy - do 31 grudnia szóstego roku po roku, w którym zakończyła się umowa albo, jeśli później, sprawa; (c) żądania z RODO i odpowiedzi na nie - do 31 grudnia trzeciego roku po roku, w którym zakończyliśmy sprawę; (d) pozostałe wiadomości - 12 miesięcy od ostatniej wiadomości w wątku; spam i próby wyłudzenia usuwamy od razu, najpóźniej po 30 dniach. Jeśli trwa spór albo postępowanie, wiadomości z nim związane trzymamy do jego zakończenia, a po prawomocnym wyroku - do przedawnienia stwierdzonego nim roszczenia. Załączników większych niż 30 MB nie archiwizujemy - Resend usuwa je po 30 dniach.
Obsługa żądań RODO (rozliczalność)	obowiązek prawny - lit. c (art. 5 ust. 2, art. 7 ust. 1 RODO)	zapis zgody - przez czas trwania zgody i do przedawnienia roszczeń (zasadniczo do 6 lat); żądanie z RODO i odpowiedź - do 31 grudnia trzeciego roku po roku, w którym zakończyliśmy sprawę
Dowód zgód w rejestrze zgód: wybór w banerze cookies (także zapisany przy Koncie), akceptacje Regulaminu, potwierdzenie zapoznania się z Polityką prywatności, oświadczenia przy zakupie Planu (akceptacja Regulaminu, żądanie rozpoczęcia Planu przed upływem 14 dni na odstąpienie od umowy, potwierdzenie, że funkcje „wkrótce” nie są częścią Planu), zgoda na przetwarzanie danych szczególnych kategorii przy Skanowaniu paragonów i jej cofnięcie, zgoda na marketing e-mail i jej wycofanie	prawnie uzasadniony interes - lit. f (obrona przed roszczeniami i rozliczalność, art. 5 ust. 2 i art. 7 ust. 1 RODO)	wybór w banerze cookies: 3 lata od wygaśnięcia albo wycofania zgody; akceptacje Regulaminu, potwierdzenia zapoznania się z Polityką prywatności i zgody przy zakupie: 6 lat od zakończenia umowy (art. 118 k.c.), czyli od usunięcia Konta, a dla zgód przy zakupie od końca opłaconego Okresu Planu, jeśli trwa ona jeszcze po usunięciu Konta (liczymy go jako usunięcie Konta plus 12 miesięcy); zgoda przy zakupie zapisana bez Konta: 7 lat od jej wyrażenia (12 miesięcy i 6 lat); zgoda przy Skanowaniu paragonów i zgoda na marketing e-mail: 3 lata od ich cofnięcia albo od usunięcia Konta; wpisy, którym minął termin, usuwamy raz dziennie
Bezpieczeństwo, zapobieganie nadużyciom (np. wielokrotnemu Okresowi próbnemu), logi	prawnie uzasadniony interes - lit. f	logi serwera (logi funkcji u Vercela): do 1 dnia; logi bezpieczeństwa: 12 miesięcy; liczniki ochrony Asystenta AI przed nadużyciami - do 2 dni; licznik dziennego limitu zaproszeń do Rodziny (Rodzina, pseudonim zapraszającego, dzień, liczba - bez adresu e-mail; Regulamin § 9 ust. 10) - do 2 dni; skrót e-maila do kontroli Okresu próbnego (używany też do sprawdzenia, czy Konto osoby poleconej jest nowe - § 8 ust. 13 Regulaminu): 24 miesiące od jego zapisu, także po usunięciu Konta (potem ten sam e-mail może znów rozpocząć Okres próbny), skróty po terminie usuwamy raz dziennie
Ustalenie, dochodzenie i obrona roszczeń	prawnie uzasadniony interes - lit. f	do przedawnienia roszczeń (zasadniczo 6 lat, dla świadczeń okresowych 3 lata - art. 118 k.c.)
Analityka produktu i strony (PostHog)	zgoda - lit. a; dostęp do urządzenia - zgoda z art. 399 Prawa komunikacji elektronicznej	do cofnięcia zgody; zdarzenia w PostHog przechowujemy 12 miesięcy
Marketing e-mail (newsletter, oferty)	zgoda - lit. a oraz zgoda z art. 398 Prawa komunikacji elektronicznej	do cofnięcia zgody

Podanie danych konta jest dobrowolne, ale bez nich nie założysz Konta. Podanie danych do faktury jest konieczne, jeśli chcesz ją otrzymać. Zgody na analitykę i marketing są całkowicie dobrowolne - bez nich CoinTrack działa tak samo. Zgoda przy Skanowaniu paragonów też jest dobrowolna: bez niej nie zeskanujesz paragonu, ale pozostałe funkcje działają tak samo.

5. Asystent AI (czat) i Skanowanie paragonów

Asystent AI w aplikacji, w tym odczyt paragonu ze zdjęcia, działa na platformie AI Google Cloud (Gemini Enterprise Agent Platform, dawniej Vertex AI), w lokalizacji „eu” (Regulamin § 13) - model AI przetwarza dane w Unii Europejskiej. Zapytanie do Google wysyła nasz serwer, a nie Twoja przeglądarka (Informacja o AI - Załącznik nr 3 do Regulaminu). Z tej samej usługi korzysta Skanowanie paragonów (ekran „Skanuj paragon” albo zdjęcie załączone w czacie) i podpowiadanie kategorii przy imporcie (pkt 8).
Do Google wysyłamy: treść rozmowy, zdjęcie paragonu do odczytu oraz Dane budżetowe Rodziny potrzebne do odpowiedzi (np. przychody, wydatki, majątek, cele, nazwę Rodziny). Z Zadań wysyłamy kwoty zaplanowane w danym miesiącu, jako część sumy zaplanowanych wydatków, a gdy Asystent AI potrzebuje ich do odpowiedzi (np. pytasz o Zadania albo prosisz o zmianę Zadania), także tytuły, terminy, kwoty, powtarzanie i stan Zadań. Wydatek zapisany przy odhaczeniu Zadania ma nazwę równą tytułowi Zadania i trafia do Google jak każdy wydatek. Notatek Zadań nie wysyłamy nigdy. Nie wysyłamy Twojego e-maila ani imienia.
Google przetwarza te dane jako nasz podmiot przetwarzający (art. 28 RODO), na podstawie umowy powierzenia Google Cloud (Cloud Data Processing Addendum), wyłącznie na nasze polecenie i tylko po to, aby świadczyć nam usługę i ją zabezpieczać. Google nie używa ich do trenowania modeli AI ani do innych własnych celów. Zapytań i odpowiedzi Google nie przechowuje dłużej, niż to potrzebne do udzielenia odpowiedzi. Wyjątki:
1. wykrywanie nadużyć - jeśli automatyczne filtry bezpieczeństwa Google wykryją możliwe naruszenie zasad korzystania z usługi, Google może zapisać treść zapytania wyłącznie po to, żeby sprawdzić, czy doszło do naruszenia. Taki zapis może przejrzeć pracownik Google. Google przechowuje go najdłużej 90 dni, w UE;
2. pamięć podręczna - aby szybciej odpowiadać, Google domyślnie może przechować fragmenty zapytań naszego projektu w pamięci podręcznej, w UE, najdłużej 24 godziny. To mechanizm usługi Google; sami nie zapisujemy w niej treści. Nikt poza naszym projektem nie ma do niej dostępu.
Transfer poza EOG i odbiorców opisują pkt 11 i 12.
Historię rozmów zapisujemy w bazie danych CoinTrack (baza finansowa, Neon, Frankfurt): Twoje wiadomości, odpowiedzi Asystenta, dane budżetu, które Asystent odczytał, żeby odpowiedzieć, i karty propozycji wpisów z ich stanem (np. zatwierdzona). Osobno zapisujemy ślad zmian z czatu: co Asystent zaproponował, dane przed zmianą i po niej, stan propozycji oraz kiedy zmianę zatwierdziłeś albo cofnąłeś. Ślad służy do cofnięcia zmiany i wyjaśnienia Twojego zgłoszenia; szyfrujemy go tak jak treść rozmowy (pkt 16.4). Historia i ślad są przypisane do Twojego pseudonimu. Rozmowę i jej ślad usuwamy, gdy klikniesz „Nowa rozmowa”, a najpóźniej przy usunięciu Konta (pkt 10). Usunięcie Rodziny usuwa ślad zmian jej danych. Wiadomości z danymi Rodziny, z której wyszedłeś, z której Cię usunięto albo którą usunięto, zostają w Twojej rozmowie do „Nowej rozmowy” albo usunięcia Konta. Kopie zapasowe opisuje pkt 10. Podstawą jest umowa (art. 6 ust. 1 lit. b RODO). Jesteśmy administratorem tych danych.
Zdjęć paragonów nie zapisujemy. Po odczycie usuwamy zdjęcie z pamięci naszego serwera. W historii rozmowy zostaje reszta rozmowy, opisana w ust. 4 (np. odpowiedź, że paragon czeka w kolejce „Do zatwierdzenia”) - bez zdjęcia i bez znacznika, że je załączono. Dlatego zdjęć nie ma też w kopii danych „Pobierz moje dane” (pkt 17).
Zgoda na Skanowanie paragonów. Paragon może ujawniać dane o Twoim zdrowiu (np. zakupy w aptece) lub inne dane szczególnie chronione (art. 9 RODO), także o bliskich. Dlatego przed pierwszym skanem prosimy o Twoją wyraźną zgodę (art. 9 ust. 2 lit. a RODO; Regulamin § 13 ust. 8). Wyrażasz ją raz, dla swojego Konta. Cofniesz ją w każdej chwili w Ustawieniach → Prywatność. Cofnięcie nie wpływa na zgodność z prawem wcześniejszych odczytów. Wpisy, które już zatwierdziłeś, i propozycje czekające w kolejce „Do zatwierdzenia” zostają - o każdej z nich nadal decydujesz Ty. Bez zgody nie zeskanujesz kolejnego paragonu. Zgodę i jej cofnięcie zapisujemy w rejestrze zgód (pkt 4).
Dziennik zużycia AI. Przy każdym użyciu AI (wiadomość, skan, podpowiedzi kategorii przy imporcie) zapisujemy dla Rodziny: rodzaj funkcji, model, liczbę tokenów, koszt, liczbę pozycji i to, czy się udało - bez treści. Potrzebujemy go do liczenia limitów (Regulamin § 9), kontroli kosztów i wykrywania nadużyć. Przechowujemy go 13 miesięcy, a wcześniej usuwamy razem z Rodziną.
Asystent AI może proponować wpisy (np. wydatek z paragonu). Do budżetu trafiają tylko wpisy, które zatwierdzisz, tak jak przy ręcznym wpisie. Od tej chwili są to Dane budżetowe opisane w pkt 3.

6. Logowanie przez Google lub linkiem e-mail

Możesz logować się przez Google albo linkiem e-mail (magic link, bez hasła). Logowania hasłem nie oferujemy. Oba sposoby prowadzą do tego samego Konta, jeśli używasz tego samego adresu e-mail.
Przy logowaniu przez Google otrzymujemy od Google Twój adres e-mail, informację o jego weryfikacji, imię i adres zdjęcia profilowego. Adres zdjęcia zostaje zapisany w danych konta, ale aplikacja go nie wyświetla - zamiast zdjęcia pokazuje Twoje inicjały. Google dowiaduje się, że korzystasz z CoinTrack i logujesz się do niego. Google przetwarza te dane jako odrębny administrator, na podstawie swojej polityki prywatności (https://policies.google.com/privacy). Jeśli tego nie chcesz, loguj się linkiem e-mail - wtedy Google nie bierze udziału w logowaniu.
Logowanie obsługuje Neon Auth (usługa uwierzytelniania Neon), w bazie danych konta w regionie Frankfurt. Linki logowania wysyła Neon Auth przez Resend z adresu no-reply@cointrack.pl.
Dane logowania i dane konta są w osobnej bazie danych niż Dane budżetowe, z osobnymi poświadczeniami dostępu.

7. Rodzina

Dane budżetowe Rodziny widzą i mogą zmieniać wszyscy jej Członkowie zgodnie ze swoimi rolami. Członkowie widzą też Twoje imię i e-mail (zamiast zdjęcia profilowego aplikacja pokazuje inicjały). Każdy Członek Rodziny może pobrać do pliku przychody i wydatki tej Rodziny, w tym wpisy dodane przez innych Członków (opisy, kwoty, kategorie). Plik nie zawiera imion ani adresów e-mail. Po pobraniu plik jest na urządzeniu tej osoby i za to, co z nim zrobi, odpowiada ona sama.
Zaproszenia. Do Rodziny zaprasza jej Właściciel, podając adres e-mail osoby zapraszanej. Nie mówimy zapraszającemu, czy ten adres ma Konto. Jeśli adres może dołączyć, wysyłamy na niego przez Resend (pkt 11) wiadomość serwisową z zaproszeniem i jednorazowym linkiem, ważnym 7 dni od ostatniego wysłania. Osoba, która ma Konto, widzi zaproszenie także w aplikacji. Właściciel może wysłać zaproszenie ponownie (nie częściej niż co 15 minut; nowy link zastępuje poprzedni) albo je anulować. Obowiązuje dzienny limit zaproszeń (Regulamin § 9 ust. 10). W wiadomości podajemy imię zapraszającego zapisane w jego Koncie. Jeśli imienia nie ma, piszemy ogólnie, bez adresu e-mail zapraszającego. Nie podajemy nazwy Rodziny ani Danych budżetowych. Wiadomość nie jest reklamą i nie zawiera treści promocyjnych. Jeśli nie uda się jej wysłać, zaproszenia nie zapisujemy.

Adresu osoby zapraszanej nie zapisujemy w bazie finansowej. Gdy adres nie ma jeszcze Konta, w bazie danych konta przechowujemy ten adres zaszyfrowany i jego skrót kryptograficzny, a token z linku - tylko jako skrót. Zapraszający widzi zaproszenie na liście wysłanych z zamaskowanym adresem (np. a***@example.com). Osoba zaproszona dołącza dopiero wtedy, gdy zaloguje się na zaproszony adres (albo założy Konto i zaakceptuje Regulamin) i potwierdzi zaproszenie. Wtedy usuwamy zapis adresu przy zaproszeniu, a adres zostaje jako dane jej konta. Po odrzuceniu, anulowaniu albo wygaśnięciu zaproszenia zapis adresu przechowujemy jeszcze 30 dni (pkt 4), a potem go usuwamy. Usunięcie Konta zapraszającego albo Rodziny unieważnia jej zaproszenia i usuwa zapis adresu. Do czasu przyjęcia zaproszenia podstawą jest prawnie uzasadniony interes zapraszającego i nasz (art. 6 ust. 1 lit. f - opis w pkt 4), a po przyjęciu umowa (lit. b).

Jeśli dostałeś zaproszenie, a nie chcesz go, nie musisz nic robić - wygaśnie samo. Masz prawo sprzeciwu (art. 21 RODO): kliknij w wiadomości „Nie chcę zaproszeń”, odpowiedz na nią albo napisz na contact@cointrack.pl. Wtedy anulujemy zaproszenie i usuniemy Twój adres. Kliknięcie „Nie chcę zaproszeń” od razu blokuje też kolejne zaproszenia na ten adres; gdy napiszesz do nas, zablokujemy je na Twoje życzenie. Żeby blokada działała, zachowamy wtedy tylko skrót adresu (bez samego adresu), do czasu, gdy ją odwołasz (pisząc na contact@cointrack.pl).
Właściciel Rodziny, w której są inni Członkowie, może ją przekazać innemu Członkowi (Ustawienia → karta profilu rodzinnego → „Przekaż”). Nowy właściciel dostaje o tym e-mail. Jeśli właściciel usunie Konto bez przekazania, Rodzina zostaje bez właściciela na 14 dni. Jej Członkowie dostają e-mail z terminem i widzą komunikat w aplikacji, mogą pobrać swoje dane (pkt 17), a każdy z nich może przejąć Rodzinę („Przejmij”). Po przejęciu Rodzina zostaje, a pozostali Członkowie dostają o tym e-mail. Jeśli nikt jej nie przejmie, po 14 dniach usuwamy Rodzinę razem z jej Danymi budżetowymi. Do tego czasu Dane budżetowe Rodziny, także wprowadzone przez dotychczasowego właściciela, pozostają dostępne dla jej Członków. Podstawą jest umowa z każdym Członkiem (art. 6 ust. 1 lit. b).
Nazwa Rodziny jest widoczna dla wszystkich Członków. Prosimy, nie używaj w niej nazwiska.
Zadania należą do Rodziny. Wszyscy jej Członkowie widzą Zadania i ich odhaczenia i mogą je dodawać, zmieniać i odhaczać. Przy odhaczeniu zapisujemy pseudonim osoby, która odhaczyła termin - nigdy e-mail ani imię. Aplikacja go nie pokazuje, a w kopii danych (pkt 17) oznaczamy tylko, które odhaczenia są Twoje. Gdy usuniesz Konto, odhaczenie zostaje w Rodzinie bez informacji, kto je zrobił. „Zakończ zadanie” zatrzymuje przyszłe terminy, a historia odhaczeń, z tytułem, zostaje w „Zrobione”. „Usuń zadanie z historią” trwale usuwa Zadanie, jego notatkę i historię odhaczeń dla całej Rodziny; wydatki zapisane po odhaczeniu zostają w budżecie. Pojedyncze odhaczenie usuniesz w „Zrobione” („Usuń wpis”); jego wydatek też zostaje w budżecie. Zadania z historią odhaczeń przechowujemy do usunięcia Zadania z historią, Rodziny albo Konta jej jedynego Członka (pkt 4). Z kopii zapasowych dane znikają najpóźniej po 31 dniach (pkt 10).

8. Import z pliku

W Planach Plus i Premium możesz zaimportować operacje z pliku CSV pobranego z bankowości internetowej (Regulamin § 11). Plik odczytuje Twoja przeglądarka. Sam plik nie trafia na nasz serwer i go nie przechowujemy. Import nie łączy się z Twoim bankiem. Nie przechowujemy loginów ani haseł do bankowości.
Na nasz serwer wysyłamy tylko to, co potrzebne na kolejnych etapach importu:
1. rozpoznanie układu pliku - nazwy kolumn z nagłówka pliku (bez numerów rachunków). Ustawienie kolumn, które potwierdzisz, zapamiętujemy dla Rodziny (szyfrowane, pkt 16.4), żeby przy kolejnym imporcie nie pytać Cię ponownie;
2. sprawdzenie duplikatów - datę księgowania, kwotę i numer referencyjny każdej operacji (a gdy operacja nie ma numeru referencyjnego - numer kolejny, który nadaje jej aplikacja wśród operacji z tego samego dnia i z tą samą kwotą). Nasz serwer liczy z nich odcisk operacji (skrót) i porównuje go z odciskami operacji zaimportowanych wcześniej. Dla operacji, których nie wybierzesz do importu, nic nie zapisujemy;
3. operacje, które wybierzesz do importu - datę, kwotę, sprzedawcę lub kontrahenta i opis. Trafiają do kolejki „Do zatwierdzenia” razem z odciskiem operacji; samego numeru referencyjnego nie zapisujemy.
Dopasowanie do Twoich wpisów. Nasz serwer, bez AI, porównuje operacje z wpisami, które już masz w budżecie, żeby ten sam wydatek nie trafił do budżetu dwa razy. Za podobne uznajemy: przy wpisie cyklicznym - kwotę różną najwyżej o 10% i datę różną najwyżej o 5 dni; przy wpisie jednorazowym - kwotę różną najwyżej o 1 zł i datę różną najwyżej o 2 dni. Gdy operacja jest obciążeniem w obcej walucie przeliczonym na złote, zamiast obu tych progów kwotowych stosujemy jeden: kwotę w złotych różną najwyżej o 3%. Paragon czekający w kolejce „Do zatwierdzenia” porównujemy z operacją z pliku według dnia wykonania płatności kartą, jeśli plik go podaje, a nie według dnia księgowania (datą operacji w budżecie pozostaje dzień księgowania). Połączenie proponujemy; decydujesz Ty.
Dopasowanie do Zadań. Jeśli przy Zadaniu zaznaczysz „Rozpoznawaj w imporcie z banku”, porównujemy zaimportowane transakcje - z pliku albo z Funkcji Bank (pkt 9) - z terminami tego Zadania: kwotę i datę transakcji z kwotą i terminem Zadania, a sprzedawcę i opis transakcji z tytułem Zadania i zapamiętanym kontrahentem. Porównanie wykonuje nasz serwer, bez AI i bez przekazywania danych innym podmiotom. Termin odhacza się dopiero, gdy zatwierdzisz transakcję w kolejce „Do zatwierdzenia”, a gdy dopasowanie jest niepewne, pytamy Cię („Odhacz zadanie” / „To nie to”). Po odhaczeniu z importu zapamiętujemy przy Zadaniu kontrahenta z transakcji (szyfrowanego, pkt 16.4), a po „To nie to” - że ta para do siebie nie pasuje, żeby nie proponować jej ponownie. Te dane usuwamy razem z Rodziną.
Podpowiedzi kategorii z AI. Jeśli nie wyłączysz opcji „Podpowiadaj kategorie z AI” (domyślnie jest włączona), kategorię dla operacji, której nie znamy z Twoich wcześniejszych wyborów, podpowiada model AI (pkt 5). Do Google wysyłamy tylko: oczyszczoną nazwę sprzedawcy i opis operacji (bez numerów rachunków), rodzaj operacji (np. płatność kartą, przelew), kierunek (wpływ albo wydatek) oraz nazwy kategorii Twojej Rodziny, także własnych. Nie wysyłamy kwot, dat, numerów referencyjnych, przelewów do i od osób prywatnych (np. BLIK na telefon) ani operacji, których opis zawiera słowa wskazujące na dane szczególnie chronione (np. o zdrowiu lub wyznaniu). Podpowiedź oznaczamy „propozycja AI” i możesz ją zmienić przed zatwierdzeniem. Podstawą jest umowa (art. 6 ust. 1 lit. b) - to część usługi importu, którą możesz wyłączyć na ekranie importu. Kategorię, którą zatwierdzisz, zapamiętujemy dla danego sprzedawcy (szyfrowanego, pkt 16.4), żeby następnym razem podpowiedzieć ją bez AI.
Do budżetu trafia tylko to, co zatwierdzisz. Zatwierdzone operacje stają się Danymi budżetowymi (pkt 3). Operacji, które pominiesz albo odrzucisz, nie dodajemy do budżetu, ale zostają w kolejce importu jako pominięte albo odrzucone: z datą, kwotą, sprzedawcą lub kontrahentem, opisem i odciskiem operacji. Dzięki temu ta sama operacja nie wraca do kolejki, gdy zaimportujesz plik, który ją zawiera. Sprzedawcę i opis szyfrujemy w aplikacji (pkt 16.4), a całą bazę szyfruje jej dostawca (pkt 16.1). Przechowujemy je do usunięcia Rodziny - Rodzinę, w której jesteś jedynym Członkiem, usuwamy razem z Twoim Kontem (pkt 10) - a z kopii zapasowych znikają najpóźniej po 31 dniach. Podstawą jest umowa (art. 6 ust. 1 lit. b RODO). Jeśli chcesz, żebyśmy usunęli je wcześniej, napisz na contact@cointrack.pl (art. 17 RODO).
Jak długo: zatwierdzone operacje przechowujemy jak inne Dane budżetowe: dopóki ich nie usuniesz, najdłużej do usunięcia Konta (kopie zapasowe wygasają w ciągu 31 dni). Operacje pominięte i odrzucone - do usunięcia Rodziny (ust. 6).

9. Funkcja Bank

Funkcja Bank jest w przygotowaniu i obecnie nie przetwarzamy w niej danych. Ten punkt stosujemy od dnia jej udostępnienia.

Usługę dostępu do informacji o rachunku świadczy licencjonowany dostawca (Dostawca AIS), którego nazwę i dane rejestrowe podamy w aplikacji przed podłączeniem rachunku, na podstawie odrębnej umowy z Tobą. Dostawca ten jest odrębnym administratorem danych pobieranych z banku i informuje Cię o tym w swojej klauzuli informacyjnej, którą zobaczysz przed podłączeniem rachunku.
Od dostawcy, na Twoje zlecenie, otrzymujemy: listę rachunków (nazwa, waluta, saldo), transakcje (kwota, data, opis, identyfikator), status i termin ważności zgody. Nie otrzymujemy Twoich danych logowania do banku.
Przed zapisem usuwamy z opisów dane osobowe innych osób (imiona, nazwiska, numery rachunków, telefony, adresy). Zapisujemy kwotę, datę, krótki opis, kategorię i pseudonimowy identyfikator transakcji.
Dane z Funkcji Bank przechowujemy, dopóki nie odłączysz rachunku z opcją „Odłącz i usuń dane” lub nie usuniesz Konta. Dziennik zdarzeń bezpieczeństwa Funkcji Bank przechowujemy 12 miesięcy.
Kategoryzacja transakcji jest automatyczna (profilowanie, pkt 13).

10. Usunięcie Konta i okresy po usunięciu

Konto usuniesz w Ustawieniach → „Usuń konto”.
W chwili usunięcia Konta od razu usuwamy: dane konta razem ze sposobami logowania i sesjami, powiązanie Konta z danymi finansowymi, historię rozmów z Asystentem AI oraz Rodziny, w których jesteś jedynym Członkiem, wraz z ich Danymi budżetowymi. Z Rodzin, do których należą inne osoby, wychodzisz, a ich Dane budżetowe zostają. Jeśli byłeś właścicielem takiej Rodziny, zostaje ona do 14 dni do przejęcia przez innego Członka; jeśli nikt jej nie przejmie, usuwamy ją po tym terminie (pkt 7.3). Jeśli usuwasz Konto, a za Plan Twojej Rodziny zapłaciłeś Ty, Plan działa dalej, jeśli Rodzina zostaje (ma innych Członków albo ktoś ją przejmie). Jeśli Rodzina zostanie usunięta, umowa o Plan wygasa, a za przedłużenie, które się nie zaczęło, zwracamy pieniądze (Regulamin § 19 ust. 4). Dane tej umowy i płatności (bez Twojego e-maila i imienia) przechowujemy w okresach z pkt 4, w tym do realizacji zwrotu. Jeśli w chwili usunięcia Konta trwa jeszcze 14 dni na odstąpienie od umowy albo termin gwarancji zwrotu albo od ich końca nie minęło 30 dni, dane tej umowy (bez Twojego e-maila i imienia) przechowujemy do 30 dni po końcu tego terminu - żeby przyjąć oświadczenie wysłane e-mailem lub pocztą przed jego upływem, które dotrze do nas później, i zwrócić pieniądze. Nie zapisujemy kart ani innych metod płatności, więc po usunięciu Konta nie ma czego obciążać. Usuwamy też Twój profil w PostHog (jeśli wyraziłeś zgodę na analitykę). Dane trybu offline usuwamy z urządzenia, na którym usuwasz Konto; z innych urządzeń - przy najbliższym otwarciu na nich CoinTrack, a wcześniej usuniesz je, wyłączając tam tryb offline albo usuwając dane witryny (pkt 15).
Kopie zapasowe. Kopie zapasowe bazy są przechowywane przez dostawcę do 31 dni, po czym są automatycznie usuwane. Dane usunięte z konta znikają z kopii najpóźniej po tym czasie. Kopie są zaszyfrowane przez dostawcę i używamy ich wyłącznie do odtworzenia systemu po awarii. Jeśli odtworzymy system z kopii, ponownie usuniemy Twoje dane. Kopie są przechowywane w Unii Europejskiej, a jeśli poza nią, to na podstawie EU–US Data Privacy Framework albo standardowych klauzul umownych (pkt 12).
Treść zapytania do Asystenta AI Google przechowuje tylko wtedy, gdy jego automatyczne filtry wykryją możliwe nadużycie - najdłużej 90 dni, wyłącznie do sprawdzenia naruszenia. Pamięć podręczną usługi Google usuwa najpóźniej po 24 godzinach (pkt 5).
Zachowujemy tylko dane, których wymaga prawo (np. faktury i dane płatności u nas i u biura rachunkowego - 5 lat, pkt 4) lub które są potrzebne do obrony przed roszczeniami (np. potwierdzenia zakupu, zwrotu, zgód) - do przedawnienia roszczeń (rejestr oświadczeń - pkt 4); okresy dla rejestru zgód podaje pkt 4. Skrót e-maila do kontroli Okresu próbnego (bez samego adresu) przechowujemy 24 miesiące od jego zapisu, także po usunięciu Konta (pkt 4). Dane Twoich płatności PayPro S.A. (Przelewy24) przechowuje jako odrębny administrator przez okres wynikający z jego obowiązków prawnych (pkt 11), także po usunięciu Konta. Dane programu poleceń (bez adresów e-mail) przechowujemy po usunięciu Konta do końca okresu z pkt 4.

11. Komu przekazujemy dane (odbiorcy)

Korzystamy z dostawców, którzy przetwarzają dane w naszym imieniu (podmioty przetwarzające, art. 28 RODO), oraz z podmiotów, które są odrębnymi administratorami.

Podmiot	Rola	Do czego	Gdzie przetwarza	Podstawa transferu poza EOG
Vercel Inc. (USA)	przetwarzający	hosting aplikacji i strony, funkcje serwerowe (przez nie przechodzą wszystkie dane aplikacji), logi, pomiar wydajności strony (Speed Insights, bez powiązania z osobą)	funkcje serwerowe w regionie fra1 (Frankfurt); dostęp i sieć brzegowa także w USA	EU–US Data Privacy Framework (DPF), a zapasowo standardowe klauzule umowne (SCC) z umowy powierzenia Vercela
Neon (Databricks, Inc., USA)	przetwarzający	bazy danych (osobno: konto/logowanie i dane finansowe, w tym historia rozmów z Asystentem AI), usługa logowania Neon Auth, kopie zapasowe; archiwum poczty wysłanej na contact@cointrack.pl i naszych odpowiedzi (pkt 3 „Korespondencja”), w okresach z pkt 4	AWS, region Frankfurt (Niemcy); dostęp serwisowy możliwy z USA; własne kopie Neona w UE albo z transferem na podstawie DPF lub SCC	DPF (Databricks, Inc. wraz z Neon, LLC), a zapasowo SCC z umowy powierzenia Databricks
Resend (Plus Five Five, Inc., USA)	przetwarzający	wysyłka e-maili z linkiem logowania (serwer poczty Neon Auth), e-maili o Rodzinie (przekazanie, usunięcie Konta właściciela z terminem usunięcia Rodziny, przejęcie; bez nazwy Rodziny), e-maili z zaproszeniem do Rodziny, także do osób, które nie mają Konta (adres osoby zapraszanej, imię zapraszającego, jeśli jest zapisane w jego Koncie, termin ważności i link z tokenem; bez nazwy Rodziny i Danych budżetowych) oraz, od uruchomienia płatności, e-maili transakcyjnych Planu płatnego: potwierdzenie zawarcia umowy, potwierdzenia płatności, informacje o problemach z płatnością, przypomnienia o końcu Okresu Planu, potwierdzenia odstąpienia od umowy lub prośby o zwrot i informacje o Rabatach z programu poleceń; Resend otrzymuje Twój adres e-mail, imię i dane umowy z treści wiadomości (Plan, okres, kwoty, daty, numery zamówienia i płatności, metoda płatności - nigdy numer karty ani rachunku), a przy odstąpieniu od umowy lub prośbie o zwrot także imię i nazwisko i uwagę z formularza oraz dodatkowy adres e-mail, jeśli podasz go na kopię potwierdzenia; Resend odbiera też wiadomości wysyłane na contact@cointrack.pl (adres i nazwa nadawcy, treść, załączniki, nagłówki) - także oświadczenia o odstąpieniu od umowy i odpowiedzi z numerem rachunku do zwrotu przelewem - i wysyła potwierdzenie oświadczenia złożonego e-mailem lub pocztą na adres, z którego je wysłałeś(-aś) albo który podałeś(-aś) w liście	wysyłka i odbiór poczty w regionie UE (Irlandia); treść wiadomości (także poczty z contact@) i logi przechowywane w USA, u Resend do 30 dni	SCC z umowy powierzenia Resend; Resend uczestniczy też w DPF (status aktywny, z recertyfikacją w toku)
PayPro S.A., operator Przelewy24, ul. Pastelowa 8, 60-198 Poznań, KRS 0000347935, NIP 7792369887 - krajowa instytucja płatnicza (KNF, nr IP24/2014)	odrębny administrator - przetwarza dane w celu wykonania płatności i własnych obowiązków prawnych (m.in. przeciwdziałanie praniu pieniędzy i finansowaniu terroryzmu, zapobieganie oszustwom, rozpatrywanie reklamacji płatniczych)	Gdy kupujesz Plan płatny (BLIK, szybki przelew albo karta): przekazujemy PayPro Twój adres e-mail, kwotę, walutę, opis i identyfikator zamówienia, kraj i język płatności. Dane karty, dane rachunku i adres IP PayPro otrzymuje bezpośrednio od Ciebie lub Twojego banku - my ich nie widzimy. Nie prosimy PayPro o zapisanie karty. Nasza podstawa przekazania: umowa (art. 6 ust. 1 lit. b RODO). Podstawy PayPro: według jego obowiązku informacyjnego - m.in. obowiązek prawny (lit. c) i prawnie uzasadniony interes (lit. f). PayPro przechowuje dane płatności przez czas świadczenia usługi płatniczej i 13 miesięcy od obciążenia rachunku (albo od dnia, w którym płatność miała być wykonana), a potem przez okres wymagany przepisami (dokumenty usług płatniczych co najmniej 5 lat, dane AML 5 lat). PayPro może też przetwarzać inne dane, np. do weryfikacji tożsamości. Szczegóły: obowiązek informacyjny RODO dla płatników Przelewy24; inspektor ochrony danych PayPro: iod@przelewy24.pl	Polska (EOG)	nie dotyczy - PayPro deklaruje, że nie zamierza przekazywać danych poza EOG
PostHog Inc. (USA) - tylko po zgodzie	przetwarzający	analityka produktu i strony	PostHog EU Cloud (Frankfurt); dostęp serwisowy możliwy z USA	DPF i SCC
Google Ireland Limited (Irlandia) / Google LLC (USA)	odrębny administrator (logowanie Google)	logowanie przez Google, tylko jeśli je wybierzesz: Google przekazuje nam Twój e-mail, imię i adres zdjęcia profilowego i dowiaduje się, że korzystasz z CoinTrack (pkt 6)	UE i USA	DPF (Google LLC)
Google (Google Cloud) - platforma AI Google Cloud (Vertex AI)	przetwarzający	odpowiedzi Asystenta AI, Skanowanie paragonów i podpowiedzi kategorii przy imporcie, wywoływane z naszego serwera: treść rozmowy, zdjęcia paragonów do odczytu (nie zapisujemy ich), Dane budżetowe potrzebne do odpowiedzi (w tym tytuły i terminy Zadań, bez ich notatek), a przy imporcie - oczyszczone nazwy sprzedawców i opisy operacji (pkt 8), bez e-maila i imienia; Google nie używa ich do trenowania modeli AI ani do własnych celów; treść zapytania zapisuje tylko, gdy filtry wykryją możliwe nadużycie - do 90 dni (pkt 5)	model AI przetwarza dane w UE (lokalizacja „eu”), tam też są zapisy z wykrywania nadużyć; dostęp serwisowy i przegląd nadużyć możliwy także spoza EOG	standardowe klauzule umowne (SCC) z umowy powierzenia Google Cloud, a jeśli dotyczy - także EU–US Data Privacy Framework (DPF)
Google Cloud KMS (Google Cloud)	przetwarzający	zarządzanie kluczami szyfrowania (do KMS trafiają tylko klucze, nie Twoje dane)	Niemcy (Frankfurt)	standardowe klauzule umowne (SCC) z umowy powierzenia Google Cloud, a jeśli dotyczy - także DPF
Biuro Rachunkowe Paulina Budzicka (Wawelska 1, Przyprostynia, 64-360 Zbąszyń, NIP 7881999696)	przetwarzający	księgowość, faktury	Polska	nie dotyczy
Członkowie Twojej Rodziny	-	wspólny budżet	-	-
Polecający (gdy założyłeś Konto z linku polecającego)	-	status polecenia (oczekuje na upływ 14 dni - z datą przyznania Rabatu - albo zaliczone), bez Twojego e-maila, Planu i kwot	-	-
Organy publiczne	odrębni administratorzy	tylko gdy wymaga tego prawo	-	-

Aktualną listę dostawców utrzymujemy w tej polityce i informujemy o zmianach.

12. Przekazywanie danych poza Europejski Obszar Gospodarczy

Część naszych dostawców to firmy z USA. Nawet gdy dane są przechowywane w UE (Frankfurt), dostawca może mieć do nich dostęp z USA, np. przy obsłudze technicznej. Dlatego nie twierdzimy, że wszystkie dane pozostają w UE. Bazy danych są przechowywane we Frankfurcie (UE). Dostawca bazy ma siedzibę w USA i może mieć do nich dostęp serwisowy. Ten dostęp jest zabezpieczony na podstawie EU-US Data Privacy Framework oraz standardowych klauzul umownych (SCC). Podobnie jest z Asystentem AI: model AI przetwarza dane w UE, ale Google może mieć do nich dostęp spoza EOG, np. przy obsłudze technicznej lub sprawdzaniu nadużyć (pkt 5 i 11).
Przekazanie odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony dla firm certyfikowanych w EU–US Data Privacy Framework (art. 45 RODO) lub standardowych klauzul umownych przyjętych przez Komisję (art. 46 ust. 2 lit. c RODO). Podstawę dla każdego dostawcy podajemy w tabeli w pkt 11. Dla Neon i Vercel przeprowadziliśmy ocenę skutków transferu. Dodatkowe zabezpieczenia to dziś: bazy danych w regionie Frankfurt, szyfrowanie podczas przesyłania (TLS) i przechowywania po stronie dostawców oraz osobna baza danych, z osobnymi poświadczeniami, dla danych logowania i danych konta (baza finansowa nie zawiera e-maila, imienia ani adresu zdjęcia), a także szyfrowanie wybranych pól w aplikacji (pkt 16.4). Kopię zabezpieczeń możesz otrzymać, pisząc na contact@cointrack.pl.
Gdy sam podłączasz zewnętrznego asystenta AI (Połączone aplikacje AI), dane trafiają do jego dostawcy na Twoje polecenie. To Ty decydujesz o tym przekazaniu, a dostawca odpowiada za nie zgodnie ze swoją polityką prywatności.

13. Profilowanie i automatyczne decyzje

CoinTrack automatycznie liczy podsumowania budżetu i saldo na koniec miesiąca, podpowiada kategorię (w formularzu wydatku - kategorie najczęściej używane w Twojej Rodzinie w ostatnich 90 dniach; przy Zadaniu - kategorię według słów w jego tytule, ze stałej listy, bez AI; przy imporcie - kategorię zapamiętaną dla sprzedawcy, a jeśli jej nie ma i nie wyłączyłeś tej opcji - z pomocą AI, pkt 8), dopasowuje operacje z importu do Twoich wpisów i Zadań (bez AI, pkt 8), podpowiada, ile wpłacić na cel w danym miesiącu, liczy poduszkę finansową w miesiącach wydatków i pokazuje postęp celów i limitów. Podpowiedzi możesz zmienić; wpis zapisuje się dopiero, gdy go zatwierdzisz. To profilowanie w rozumieniu RODO (art. 4 pkt 4), wykonywane wyłącznie po to, aby świadczyć Ci usługę (art. 6 ust. 1 lit. b).
Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują skutki prawne lub podobnie istotnie na Ciebie wpływają (art. 22 RODO). Nie oceniamy zdolności kredytowej i nie tworzymy scoringu.
Nie profilujemy Cię w celach marketingowych na podstawie Danych budżetowych.

14. Wiadomości serwisowe i marketing

Wiadomości serwisowe (link logowania, potwierdzenie zawarcia umowy, potwierdzenia płatności, informacje o nieudanej płatności, przypomnienia o końcu Okresu Planu i przejściu na Plan Free, potwierdzenie odstąpienia od umowy lub prośby o zwrot, informacje o przyznaniu, odmowie, zwrocie i wygaśnięciu Rabatu z programu poleceń, informacje o przekazaniu Rodziny, o usunięciu Konta jej właściciela z terminem usunięcia Rodziny i o jej przejęciu, zmiana dokumentów, alert bezpieczeństwa) wysyłamy e-mailem w ramach umowy, przez Resend (pkt 11), w języku, w którym korzystasz z aplikacji. Nie zawierają treści reklamowych. Wiadomość, której nie udało się wysłać, ponawiamy przez kilka dni; do ponowienia nie zapisujemy Twojego adresu e-mail ani imienia - odczytujemy je ponownie z danych konta. Ponowiony e-mail z potwierdzeniem odstąpienia od umowy nie zawiera imienia i nazwiska ani uwagi z formularza, bo ich nie zapisujemy, a kopii potwierdzenia na dodatkowy adres nie ponawiamy. Wyjątkiem są wiadomości o Rodzinie: wysyłamy je raz, a ta sama informacja jest widoczna w aplikacji. Wiadomość z zaproszeniem do Rodziny (pkt 7 ust. 2) wysyłamy na podstawie prawnie uzasadnionego interesu (pkt 4), w języku zapraszającego, także do osób bez Konta. Nie zawiera treści reklamowych. Nie ponawiamy jej automatycznie: jeśli nie uda się jej wysłać, zaproszenia nie zapisujemy. Ponownie wysłać może ją tylko Właściciel, a do tego używamy zaszyfrowanego zapisu adresu, bo osoba zaproszona może nie mieć Konta.
Marketing (np. nowości, oferty, porady) wysyłamy e-mailem tylko, jeśli wyrazisz osobną zgodę. Nie wysyłamy powiadomień push. Zgodę cofniesz jednym kliknięciem („Wypisz się” w e-mailu) lub w Ustawieniach → Prywatność. Cofnięcie zgody nie wpływa na zgodność z prawem wcześniejszej wysyłki.

15. Analityka, pliki cookies i tryb offline

Analitykę PostHog (EU Cloud) włączamy wyłącznie po Twojej zgodzie wyrażonej w banerze lub w Ustawieniach → Prywatność. Nie wysyłamy do analityki kwot, opisów transakcji, nazw sklepów, kategorii wydatków, treści paragonów ani treści czatu. Identyfikujemy Cię w analityce tylko pseudonimem, nigdy e-mailem ani imieniem. Szczegóły: Polityka cookies.

Tryb offline. Udostępniamy go nie wcześniej niż w dniu wejścia w życie tej wersji Polityki. Tryb offline włączasz sam, osobno na każdym urządzeniu (Ustawienia → „Tryb offline na tym urządzeniu”); domyślnie jest wyłączony. Dopóki go nie włączysz, nie zapisujemy na urządzeniu danych z ust. 1. Gdy go włączysz:

Co zapisujemy na Twoim urządzeniu: ostatnio pobrane strony Pulpitu i Budżetu bieżącego miesiąca (z Danymi budżetowymi, które na nich widać, i z datą i godziną pobrania) oraz pliki aplikacji potrzebne do ich otwarcia - w pamięci podręcznej przeglądarki (Cache Storage); nowe wydatki i przychody zapisane bez internetu (nazwa, kwota, data, kategoria, losowy klucz wpisu) - w bazie danych przeglądarki (IndexedDB); identyfikator Twojego Konta (pseudonim) i Rodziny, do których należą te dane, oraz informację, że tryb offline jest włączony na tym urządzeniu - w localStorage. Zapisuje je i odczytuje skrypt CoinTrack działający w przeglądarce (service worker), który uruchamiamy dopiero po włączeniu trybu offline. Szczegóły w Polityce cookies.
Po co: żeby bez internetu pokazać Ci ostatnie dane i nie stracić wpisu, który zapisałeś bez połączenia. Po odzyskaniu połączenia wysyłamy wpis razem z jego kluczem, więc nie zapisze się dwa razy. Danych z urządzenia nie wysyłamy nigdzie poza naszym serwerem, a na urządzeniu zostaje tylko to, co i tak wyświetlasz albo wpisujesz.
Jak długo: wpis - do wysłania (po odpowiedzi serwera znika z urządzenia); strony Pulpitu i Budżetu - do następnego pobrania, które je zastępuje, a kopię starszą niż 30 dni usuwamy; wszystko - najdłużej do wyłączenia trybu offline, wylogowania, przełączenia Rodziny albo usunięcia Konta na tym urządzeniu. Gdy na urządzeniu zaloguje się inna osoba albo otworzy inną Rodzinę, najpierw usuwamy dane poprzedniej. Jeśli sesja wygaśnie bez wylogowania albo usuniesz Konto na innym urządzeniu, usuwamy te dane przy najbliższym otwarciu CoinTrack na tym urządzeniu, gdy aplikacja stwierdzi, że nie jesteś zalogowany.
Jak usunąć: wyłącz tryb offline (Ustawienia → „Tryb offline na tym urządzeniu”), wyloguj się albo usuń dane witryny cointrack.pl w ustawieniach przeglądarki. Wpisy, które jeszcze czekały na wysłanie, zostaną wtedy usunięte i nie trafią do budżetu.
Dane na urządzeniu nie są szyfrowane przez CoinTrack (pkt 16.4 dotyczy naszych baz danych). Chroni je przeglądarka, która oddziela dane każdej strony, i blokada ekranu Twojego urządzenia. Nie włączaj trybu offline na urządzeniu, z którego korzystają inne osoby.
Tryb offline włączasz sam, osobno na każdym urządzeniu (Ustawienia → „Tryb offline na tym urządzeniu”). Zapis na urządzeniu i odczyt z niego są konieczne do działania funkcji, którą włączyłeś, więc nie wymagają zgody w banerze cookies (art. 399 ust. 3 pkt 2 Prawa komunikacji elektronicznej). Wyłączenie przełącznika usuwa dane trybu offline z tego urządzenia. Podstawą przetwarzania jest umowa (art. 6 ust. 1 lit. b RODO).

16. Bezpieczeństwo

Połączenia są szyfrowane (TLS). Dane w bazach i kopiach zapasowych są szyfrowane przez dostawców infrastruktury.
Dane konta i Dane budżetowe są w osobnych bazach, z osobnymi poświadczeniami. Środowiska testowe korzystają z osobnych baz. Kopia bazy produkcyjnej z 14 października 2026 r., używana w nich do testów, zawiera wyłącznie konta właściciela serwisu, a nie dane klientów. Od uruchomienia sprzedaży Planów płatnych nie kopiujemy danych produkcyjnych do środowisk testowych.
Dostęp do systemów ma wyłącznie Usługodawca, z uwierzytelnianiem wieloskładnikowym.
Aplikacja dodatkowo szyfruje wybrane pola (nazwę Rodziny; nazwy przychodów, wydatków, wpisów cyklicznych, własnych kategorii wydatków i celów; nazwy i opisy majątku i zobowiązań; sprzedawcę i opis pozycji importu; ustawienie kolumn pliku importu; sprzedawców zapamiętanych z kategorią; treść rozmów z Asystentem AI i ślad zmian z czatu (dane przed zmianą i po niej; zdjęć paragonów nie zapisujemy); tytuł i notatkę Zadania oraz zapamiętanego dla niego kontrahenta z importu; adres e-mail osoby zaproszonej do Rodziny, która nie ma jeszcze Konta; pola dodane później - od ich wprowadzenia) kluczami danych, które chroni klucz główny w Google Cloud KMS w regionie Frankfurt (Niemcy); klucz główny nie opuszcza KMS.
W razie naruszenia ochrony danych, które może powodować ryzyko dla Ciebie, zgłosimy je Prezesowi UODO w ciągu 72 godzin, a jeśli ryzyko będzie wysokie - powiadomimy także Ciebie.

17. Twoje prawa

Masz prawo:

dostępu do swoich danych i otrzymania ich kopii (art. 15);
sprostowania danych (art. 16) - większość zmienisz sam w Ustawieniach;
usunięcia danych (art. 17) - m.in. usuwając Konto;
ograniczenia przetwarzania (art. 18);
przenoszenia danych (art. 20) - plik JSON z danymi, które nam dostarczyłeś (dane konta, Rodziny z ich Danymi budżetowymi, w tym Zadaniami i ich odhaczeniami, historia rozmów z Asystentem AI razem z kartami propozycji - bez zdjęć paragonów, bo ich nie przechowujemy), pobierzesz sam w Ustawieniach → Prywatność → „Pobierz moje dane”; pozostałe dane (np. rozliczeniowe oraz ślad zmian z czatu: dane przed zmianą i po niej i historię stanów propozycji, pkt 5 ust. 4) przekażemy na żądanie wysłane na contact@cointrack.pl, najpóźniej w ciągu miesiąca, w powszechnie używanym formacie nadającym się do odczytu maszynowego;
sprzeciwu wobec przetwarzania na podstawie prawnie uzasadnionego interesu (art. 21), a wobec marketingu - w każdej chwili;
cofnięcia zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania przed jej cofnięciem (art. 7 ust. 3);
wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, https://uodo.gov.pl).

Żądania wyślij na contact@cointrack.pl z adresu e-mail Konta, a jeśli nie masz Konta (np. dostałeś tylko zaproszenie do Rodziny) - z adresu, którego dotyczy żądanie. Odpowiemy w ciągu miesiąca (w wyjątkowych przypadkach - do 3 miesięcy, o czym Cię uprzedzimy). Możemy poprosić o potwierdzenie tożsamości.

18. Wiek

CoinTrack jest przeznaczony dla osób, które ukończyły 18 lat - dotyczy to także Członków Rodziny. Nie zbieramy świadomie danych osób młodszych. Jeśli dowiemy się, że Konto założyła osoba niepełnoletnia, usuniemy je.

19. Zmiany polityki

Politykę aktualizujemy, gdy zmieniają się nasze usługi, dostawcy lub przepisy. O istotnych zmianach (np. nowy cel, nowy odbiorca, transfer poza EOG) informujemy e-mailem i w aplikacji przed ich wprowadzeniem.