Polityka prywatności

1. Jakie dane przetwarzamy

• Dane konta: adres e-mail, identyfikator użytkownika, bezpieczny skrót hasła przechowywany przez dostawcę logowania oraz historia potwierdzeń.
• Dane finansowe: transakcje, kwoty, sklepy, kategorie, budżety, notatki i ustawienia.
• Dokumenty: zdjęcia paragonów, pliki PDF i screenshoty zakupów przesłane przez użytkownika.
• Dane techniczne: adres IP, rodzaj urządzenia, czas zdarzenia, identyfikatory operacji, kody błędów i dzienniki bezpieczeństwa. Do dzienników aplikacji nie zapisujemy kwot, produktów, treści paragonów, notatek ani nazw przesłanych plików.
• Dane kontaktowe: treść wiadomości wysłanych do obsługi.
• Dane analityczne: tylko po dobrowolnej zgodzie zapisujemy losowy identyfikator odwiedzającego i sesji, oglądaną ścieżkę, czas zdarzenia, źródło wejścia, parametry kampanii oraz rodzaj wykonanej akcji. Nie zapisujemy w analityce adresu IP, kwot, sklepów, produktów, notatek, treści ani zdjęć paragonów.
• Dane reklamowe: tylko po dobrowolnej zgodzie i aktywacji odpowiednich narzędzi marketingowych.

2. Po co używamy danych

• utworzenie konta i realizacja usługi — wykonanie umowy;
• odczyt paragonu lub pliku — wykonanie usługi na żądanie użytkownika;
• bezpieczeństwo, zapobieganie nadużyciom i dochodzenie roszczeń — prawnie uzasadniony interes;
• obsługa pytań i reklamacji — wykonanie umowy oraz obowiązki prawne;
• analityka i pomiar reklam — zgoda, którą można wycofać w każdej chwili.

Nie podejmujemy decyzji, które wywołują skutki prawne, wyłącznie na podstawie automatycznego profilowania.

3. Kto pomaga nam przetwarzać dane

Korzystamy z wyspecjalizowanych dostawców tylko w zakresie potrzebnym do działania Opesso:

• Supabase — konta, baza danych i prywatny magazyn plików;
• Vercel — hosting strony i aplikacji;
• Resend — wiadomości uwierzytelniające i kontakt;
• OpenAI — analiza treści dokumentów na żądanie użytkownika;
• Google i Meta — dopiero po aktywacji integracji i uzyskaniu zgody na analitykę lub marketing.

Dane mogą być przetwarzane poza Europejskim Obszarem Gospodarczym. W takim przypadku stosujemy mechanizmy przewidziane przez RODO, w szczególności decyzje stwierdzające odpowiedni stopień ochrony lub standardowe klauzule umowne.

4. Jak oddzielamy dane użytkowników

Każdy rekord finansowy ma przypisanego właściciela. Reguły Row Level Security (RLS) w bazie odrzucają próbę odczytu lub zmiany rekordu, jeżeli identyfikator zalogowanej osoby nie zgadza się z właścicielem danych. Dodatkowe reguły blokują połączenie transakcji, kategorii, załącznika lub ochrony zakupu należących do różnych kont.

Pliki paragonów trafiają do prywatnego magazynu. Nie mają publicznego adresu. Ścieżka pliku zaczyna się od identyfikatora właściciela, a aplikacja wydaje plik dopiero po ponownym sprawdzeniu sesji i własności załącznika.

RLS i prywatny magazyn chronią użytkowników przed dostępem innych użytkowników oraz przypadkowym błędem aplikacji. Nie są szyfrowaniem „zero knowledge”. Upoważniony administrator infrastruktury nadal ma techniczną możliwość dostępu przez panele dostawców lub klucze serwisowe. Ograniczamy liczbę takich osób, nie umieszczamy kluczy serwisowych w przeglądarce i używamy ich tylko w chronionych trasach serwera.

5. Dostęp serwisowy i jego historia

W codziennej obsłudze nie udostępniamy pracownikowi kwot, produktów, notatek ani zdjęć. Gdy potrzebna jest pomoc techniczna, użytkownik może w Ustawieniach włączyć na maksymalnie 30 minut dostęp wyłącznie do diagnostyki: planu konta, liczby rekordów i prywatnych plików oraz technicznych kodów ostatniego importu.

Zgodę można cofnąć natychmiast. Po upływie 30 minut wygasa automatycznie. Dostęp wymaga jednocześnie konta operatora z osobnej listy uprawnionych osób oraz aktywnej zgody użytkownika.

Każda dozwolona i odrzucona próba operatora tworzy niezmienny wpis audytowy z czasem, typem działania, wynikiem i anonimowym odciskiem operatora. Historia jest widoczna użytkownikowi w Ustawieniach i w eksporcie danych. Nie zapisujemy w niej danych finansowych.

Mechanizm zgody dotyczy narzędzi obsługi w aplikacji. Nie wyłącza technicznego dostępu właściciela infrastruktury, dostawcy hostingu lub bazy w sytuacji awarii, obowiązku prawnego albo incydentu bezpieczeństwa. Taki dostęp ograniczamy organizacyjnie do niezbędnego minimum.

6. Jak długo przechowujemy dane

• Dane konta i finansowe — przez czas korzystania z usługi.
• Po usunięciu konta — aktywne dane i pliki usuwamy najpóźniej w ciągu 30 dni.
• Kopie bezpieczeństwa — do 90 dni, bez zwykłego dostępu operacyjnego.
• Dzienniki bezpieczeństwa i historia dostępu serwisowego — zwykle do 12 miesięcy.
• Dane analityczne pierwszej strony — do 12 miesięcy; później mogą pozostać wyłącznie zagregowane statystyki bez identyfikatora użytkownika lub urządzenia.
• Korespondencja i reklamacje — do czasu przedawnienia ewentualnych roszczeń.
• Dane o zgodzie — przez okres potrzebny do wykazania, że zgoda została udzielona lub wycofana.

7. Pliki cookie

Niezbędne

Zapamiętują sesję logowania, ustawienia bezpieczeństwa i wybór zgód. Są potrzebne do działania usługi.

Analityczne

Pomagają zrozumieć źródła ruchu, konwersję, popularność funkcji i miejsca, w których użytkownicy napotykają problem. Uruchamiamy je wyłącznie po zgodzie. Wewnętrzny dashboard właściciela pokazuje zagregowane metryki i aktywność kont bez danych finansowych.

Marketingowe

Pozwalają mierzyć skuteczność reklam. Uruchamiamy je wyłącznie po zgodzie. Odmowa nie ogranicza działania Opesso.

Wybór można zmienić w każdej chwili przyciskiem „Ustawienia prywatności”, który pojawi się po uruchomieniu narzędzi analitycznych lub reklamowych.

8. Twoje prawa

Masz prawo poprosić o dostęp do danych, ich poprawienie, usunięcie, ograniczenie przetwarzania, przeniesienie oraz sprzeciwić się przetwarzaniu opartemu na prawnie uzasadnionym interesie. Zgodę można wycofać bez wpływu na wcześniejsze przetwarzanie.

Wniosek wyślij na tomasz@opesso.pl. Dla ochrony konta możemy poprosić o potwierdzenie tożsamości. Masz też prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych.

9. Bezpieczeństwo

Stosujemy szyfrowane połączenia, ścisłe RLS, kontrolę zgodności właściciela rekordów, prywatny magazyn dokumentów, serwerowe klucze dostępu, krótką zgodę na diagnostykę oraz rejestrowanie każdego użycia dostępu serwisowego.

Treść paragonu i dane finansowe nie trafiają do dzienników operacyjnych. Do diagnozowania awarii używamy neutralnych kodów błędów i identyfikatorów operacji.

Żaden system nie daje stuprocentowej gwarancji. Jeżeli podejrzewasz naruszenie, napisz od razu na adres kontaktowy.

10. Zmiany polityki

Polityka może się zmienić wraz z usługą lub prawem. O istotnych zmianach poinformujemy w aplikacji lub e-mailem.

Wersja 1.2 · obowiązuje od 31 sierpnia 2026 r.