Zásady ochrany osobných údajov
Ako Cashfulness zhromažďuje, používa a chráni vaše osobné údaje v súlade so všeobecným nariadením EÚ o ochrane údajov (GDPR) a talianskym zákonom o ochrane osobných údajov.
Tieto Zásady ochrany osobných údajov opisujú, ako spoločnosť Vittorio Giusti srl (ďalej len „Cashfulness“, „my“, „prevádzkovateľ“) zhromažďuje, používa a chráni osobné údaje používateľov služby Cashfulness (webová stránka cashfulness.com a mobilná/desktopová aplikácia), v súlade s nariadením (EÚ) 2016/679 („GDPR“) a talianskym legislatívnym nariadením č. 196/2003 v znení neskorších predpisov („taliansky zákon o ochrane osobných údajov“).
Našu filozofiu ochrany súkromia vo forme rozprávania (prečo sme urobili určité rozhodnutia) nájdete na stránke /privacy-radicale. Tento dokument je naproti tomu formálnym oznámením.
1. Prevádzkovateľ
- Obchodné meno
- Vittorio Giusti srl
- Sídlo
- Via del Campisano 520, 55054 Massarosa (LU), Taliansko
- IČ DPH / daňové číslo
- 12122090967
- Certifikovaný e-mail (PEC)
- vittoriogiusti.com@pec.it
- E-mail pre uplatnenie práv podľa GDPR
- privacy@cashfulness.com
- Štatutárny zástupca
- Vittorio Giusti, jediný spoločník a jediný konateľ
Vittorio Giusti srl je vlastníkom ochrannej známky „Cashfulness“ (registrácia EUIPO č. 019297195).
Zodpovedná osoba (DPO): nebola vymenovaná, keďže Vittorio Giusti srl nespĺňa podmienky povinného vymenovania podľa čl. 37 GDPR (nejde o orgán verejnej moci a jej hlavná činnosť nespočíva vo veľkoobjemovom spracúvaní citlivých údajov).
2. Rýchle definície
- Používateľ
- fyzická osoba, ktorá sa zaregistruje do služby Cashfulness.
- Služba
- webová stránka
cashfulness.coma aplikácia Cashfulness pre mobilné zariadenia (iOS, Android) a stolné počítače (Windows, macOS). - Osobné údaje
- akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby (čl. 4.1 GDPR).
- Spracúvanie
- akákoľvek operácia vykonávaná s osobnými údajmi (zhromažďovanie, zaznamenávanie, uchovávanie, spracúvanie, vymazanie atď.).
- Prezývka
- pseudonym, ktorý si používateľ pri registrácii slobodne zvolí; neidentifikuje reálnu osobu.
3. Kategórie spracúvaných údajov
3.1. Identifikačné údaje (minimálny rozsah)
- E-mail (môže byť aj pseudonymný, napr.
aurora.at.night@protonmail.com) - Prezývka (pseudonym, môže byť fiktívna — napr. „Kapitán“, „Plachta“ atď.)
- Heslo (uchovávané zašifrované, nikdy v čitateľnej podobe)
Nevyžadujeme ani nespracúvame: meno, priezvisko, rodné číslo/daňové číslo, dátum narodenia, adresu, telefónne číslo, pohlavie, doklad totožnosti.
3.2. Bezpečnostné údaje (tabuľka `login_history`)
Pri každom novom prihlásení zaznamenávame:
- IP adresu relácie
- User agent prehliadača/aplikácie
- Informácie o zariadení (operačný systém, model zariadenia, ak je k dispozícii)
- Dátum a čas relácie
Tieto údaje sa používajú výlučne na zabezpečenie účtu (odhaľovanie podozrivých prístupov, ochrana pred zneužitím). Sú vždy zhromažďované a nevzťahuje sa na ne odhlásenie z Programu na zlepšovanie služby (pozri §3.5).
3.3. Účtovné údaje
- Pracovné priestory („účtovné priestory“) vytvorené používateľom, spolu s ich účtovou osnovou
- Transakcie zaznamenané používateľom formou podvojného účtovníctva
- Zostatky a odvodené výpočty (čisté imanie, výkaz ziskov a strát atď.)
- Kategórie a rozpočty vytvorené používateľom
Tieto údaje sa nachádzajú na našej vzdialenej databáze (Supabase, európske servery), priradené k prezývke a e-mailu používateľa. Z konštrukcie neobsahujú osobné identifikačné údaje reálnej osoby, pokiaľ ich používateľ dobrovoľne nezadá (napr. názvy účtov obsahujúce jeho priezvisko — čo neodporúčame, pozri /privacy-radicale).
3.4. Nahrané dokumenty (šifrovanie end-to-end)
- Súbory nahrané používateľom (bankové výpisy, faktúry, zmluvy, poistné zmluvy atď.)
Tieto súbory sú šifrované end-to-end na zariadení používateľa ešte pred odoslaním na náš server, s kľúčom odvodeným z osobného hesla + 24 slov na obnovenie (BIP39 seed). Kľúč nikdy neopustí zariadenie používateľa. Na serveri vidíme len bloky digitálneho šumu: nemôžeme čítať obsah dokumentov — ani my, ani prevádzkovatelia infraštruktúry, ani žiadny orgán, ktorý by ich formálne žiadal.
3.5. Pseudonymné logy používania, analyzované v agregovanej forme (Program na zlepšovanie služby, odhlásenie)
Na zlepšenie aplikácie meriame:
- Relácie (otvorenia aplikácie, trvanie)
- Používanie funkcií (ktoré sekcie sa používajú a ako často)
- Chyby a výkon (pády, doby odozvy)
- Operačný systém zariadenia (na účely uprednostňovania a pokrytia beta-testerov)
Tieto údaje sú pseudonymizované už pri zbere a analyzované výlučne v agregovanej forme (čl. 4.5 GDPR): nepoužívame ich na profilovanie jednotlivca a nezobrazujú sa nám priradené k vášmu menu. Zostávajú na našich európskych serveroch Supabase: žiadne služby tretích strán (Google Analytics, Mixpanel, Amplitude, Sentry, Firebase Analytics atď.).
Technická väzba na účet zostáva potrebná, ale iba na dva účely: (a) na rešpektovanie odhlásenia jednotlivého používateľa (aby sme prestali zhromažďovať údaje vášho účtu, musíme vedieť, ktoré údaje sú vaše) a (b) na meranie pokrytia operačných systémov (uprednostňovanie beta-testerov a podpora platforiem). Mimo týchto účelov sa údaje spracúvajú a analyzujú v agregovanej forme.
Používateľ môže zber kedykoľvek deaktivovať v nastaveniach aplikácie, v sekcii „Program na zlepšovanie služby“ (odhlásenie).
3.6. Údaje z prihlásenia na odber noviniek (iba ak sa používateľ prihlási)
- E-mail + voliteľné meno/prezývka
Spracúvané výlučne v prípade, že sa používateľ aktívne prihlási. Pozri §5 pre službu tretej strany, ktorá tieto údaje hostuje (ActiveCampaign).
3.7. Platobné údaje
Nespracúva ich priamo Cashfulness. Platby za predplatné prebiehajú cez:
- Apple App Store (pri predplatnom zakúpenom na iOS)
- Google Play (pri predplatnom zakúpenom na Androide)
- Stripe (pri predplatnom zakúpenom cez webovú stránku)
Apple App Store a Google Play vystupujú ako merchant of record: spracúvajú meno, adresu, kreditnú kartu, IBAN používateľa a zodpovedajú za vystavenie faktúr alebo daňových dokladov koncovým používateľom podľa svojich vlastných zásad a predpisov jednotlivých krajín. Pri týchto dvoch kanáloch Cashfulness dostáva len čistý výnos a nepriehľadný identifikátor predplatného (napr. sub_abc123): nikdy nevidíme meno zákazníka, adresu, daňové číslo, kreditnú kartu, IBAN.
Stripe je iný prípad: pri predplatnom zakúpenom cez webovú stránku je predávajúcim Vittorio Giusti srl, ktorá používa Stripe len ako svojho platobného spracovateľa. V tomto prípade Vittorio Giusti srl prostredníctvom dashboardu Stripe prijíma a spracúva: meno, e-mailovú adresu, fakturačnú adresu (ak sa vyžaduje), značku karty a posledné 4 číslice, výsledok platby a identifikátor zákazníka Stripe. Nikdy nedostávame úplné číslo kreditnej karty ani bezpečnostné údaje (CVV), ktoré spracúva výlučne Stripe. Na prepojenie platby s účtom posiela Cashfulness spoločnosti Stripe e-mailovú adresu a identifikátor používateľa; po prijatí platby ukladáme prepojenie medzi používateľom a identifikátorom zákazníka Stripe.
Platobné údaje pre kanál Stripe spracúva Vittorio Giusti srl na účely plnenia zmluvy (čl. 6.1.b GDPR) a na účely dodržiavania zákonných daňových a účtovných povinností (čl. 6.1.c GDPR); pozri §4 a §7.
4. Účely spracúvania
Osobné údaje sa spracúvajú na tieto účely:
| # | Účel | Zapojené kategórie údajov | Právny základ |
|---|---|---|---|
| 1 | Poskytovanie služby (registrácia, autentifikácia, synchronizácia účtovných údajov medzi zariadeniami) | 3.1, 3.3, 3.4 | Plnenie zmluvy (čl. 6.1.b GDPR) |
| 2 | Bezpečnosť účtu (odhaľovanie podozrivých prístupov, ochrana pred zneužitím) | 3.2 | Oprávnený záujem (čl. 6.1.f GDPR) |
| 3 | Zlepšovanie produktu (logy pseudonymizované pri zbere, analyzované v agregovanej forme; väzba na účet slúži len na odhlásenie a pokrytie operačných systémov) | 3.5 | Oprávnený záujem (čl. 6.1.f GDPR), možno odvolať odhlásením |
| 4 | Komunikácia súvisiaca so službou (overenie e-mailu, obnovenie hesla, bezpečnostné upozornenia) | 3.1 | Plnenie zmluvy (čl. 6.1.b GDPR) |
| 5 | Vzdelávacie novinky a prevádzkové tipy (iba pri prihlásení na odber) | 3.6 | Výslovný súhlas (čl. 6.1.a GDPR), možno odvolať |
| 6 | Dodržiavanie zákonných povinností (žiadosti príslušných orgánov alebo dozorných úradov) | 3.1, 3.2, 3.3 | Zákonná povinnosť (čl. 6.1.c GDPR) |
| 7 | Daňové a účtovné dodržiavanie predpisov pri predplatnom predávanom cez Stripe (vystavovanie a uchovávanie faktúr/dokladov, účtovné zápisy) | 3.7 (platobné údaje kanála Stripe) | Zákonná povinnosť (čl. 6.1.c GDPR) |
5. Služby tretích strán (externí sprostredkovatelia)
Na poskytovanie služby sa spoliehame na poskytovateľov tretích strán, vybraných na základe spoľahlivosti a súladu s GDPR. Všetci s nami podpísali zmluvu o spracúvaní údajov (DPA) podľa čl. 28 GDPR.
| Služba | Funkcia | Sídlo | Skutočné servery | Záruky pri prenose mimo EÚ |
|---|---|---|---|---|
| Supabase (Supabase Inc.) | Databáza + autentifikácia používateľov | USA | Európa (eu-west) | DPA + SCC + Data Privacy Framework |
| Vercel (Vercel Inc.) | Hosting cashfulness.com | USA | Európa (Frankfurt) | DPA + SCC + Data Privacy Framework |
| Resend (Resend Inc.) | Transakčné e-maily (overenie, obnovenie hesla, upozornenia) | USA | Európa (región EÚ) | DPA + SCC + Data Privacy Framework |
| SiteGround (SiteGround Hosting Ltd) | Osobné poštové schránky (info@, support@, beta@, privacy@) + DNS | EÚ (Bulharsko) | Európa | DPA (spracúvanie v rámci EÚ) |
| ActiveCampaign | Newsletter + formulár na registráciu do beta programu | USA | USA | DPA + SCC + Data Privacy Framework |
| Apple App Store (Apple Inc.) | Platby za predplatné na iOS | USA | USA + Európa | Data Privacy Framework + podmienky Apple |
| Google Play (Google LLC) | Platby za predplatné na Androide | USA | USA + Európa | Data Privacy Framework + podmienky Google |
| Stripe (Stripe Inc.) | Platby za predplatné cez web | USA | USA + Európa | DPA + SCC + Data Privacy Framework |
| Umami Cloud | Analytika stránky rešpektujúca súkromie (bez cookies, bez profilovania) | USA | Európa (región EÚ) | DPA + SCC + Data Privacy Framework |
Nepoužívame: Google Analytics, Mixpanel, Amplitude, Sentry, Firebase, Meta Pixel, TikTok Pixel, LinkedIn Insight Tag, ani žiadny iný systém behaviorálneho sledovania alebo komerčného profilovania.
6. Prenosy údajov mimo EÚ
Niektorí naši poskytovatelia sú spoločnosti so sídlom v Spojených štátoch amerických (pozri §5). Takéto prenosy prebiehajú s týmito zárukami:
- Štandardné zmluvné doložky (SCC) podpísané podľa vykonávacieho rozhodnutia (EÚ) 2021/914.
- Rámec EÚ – USA pre ochranu osobných údajov (Data Privacy Framework) (vykonávacie rozhodnutie (EÚ) 2023/1795), pre poskytovateľov, ktorí sa doňho zapojili.
- Doplnkové technické opatrenia (šifrovanie počas prenosu a uloženia, izolácia údajov v európskych regiónoch, ak je dostupná).
Používateľ môže požiadať o kópiu uplatňovaných záruk napísaním na privacy@cashfulness.com.
7. Doby uchovávania
| Kategória údajov | Doba uchovávania |
|---|---|
| Účet používateľa + účtovné údaje + dokumenty E2EE | Počas celej doby existencie účtu; skutočné vymazanie do 30 dní od žiadosti (30 dní umožňuje reverzibilné dočasné vymazanie pre prípad omylu) |
Bezpečnostné logy (login_history, IP, user agent) | 6 mesiacov od dátumu relácie |
| Anonymné agregované logy používania (Program na zlepšovanie služby) | priebežne 6 mesiacov; pri odhlásení okamžite prestaneme zbierať nové údaje |
| Šifrované automatické zálohy (iba plán Ultra) | priebežne 30 dní, potom prepísané |
| Newsletter (ak je aktívne predplatné) | Do výslovného zrušenia zo strany používateľa (odkaz na odhlásenie v každom e-maile) |
| Fakturačné údaje — kanály Apple / Google | Neuplatňuje sa: pri predplatnom zakúpenom cez App Store alebo Google Play Cashfulness nevystavuje faktúry ani daňové doklady koncovým používateľom (pozri §3.7); tieto vystavuje Apple alebo Google, ktoré vystupujú ako merchant of record |
| Fakturačné údaje a účtovné záznamy — kanál Stripe | 10 rokov od dátumu dokumentu, podľa požiadaviek čl. 2220 talianskeho Občianskeho zákonníka (Codice Civile) na účtovné záznamy a daňovú dokumentáciu, keďže pri predplatnom zakúpenom cez webovú stránku je predávajúcim Vittorio Giusti srl (pozri §3.7 a §4) |
8. Práva dotknutej osoby
Podľa čl. 15 – 22 GDPR má používateľ právo na:
- Prístup k osobným údajom, ktoré sa ho týkajú (čl. 15)
- Opravu nepresných alebo neúplných údajov (čl. 16)
- Vymazanie údajov („právo na zabudnutie“, čl. 17)
- Obmedzenie spracúvania (čl. 18)
- Prenosnosť údajov v štruktúrovanom, strojovo čitateľnom formáte (čl. 20)
- Namietanie proti spracúvaniu založenému na oprávnenom záujme (čl. 21)
- Odvolanie súhlasu kedykoľvek, pri spracúvaní založenom na súhlase (čl. 7.3)
- Podanie sťažnosti talianskemu Úradu na ochranu osobných údajov (Garante per la Protezione dei Dati Personali): Piazza Venezia 11, 00187 Rím — tel. +39 06 696771 — PEC protocollo@pec.gpdp.it — web www.garanteprivacy.it
8.1. Ako uplatniť tieto práva
Na uplatnenie ktoréhokoľvek z vyššie uvedených práv môže používateľ:
- Napísať na
privacy@cashfulness.coms uvedením práva, ktoré chce uplatniť, e-mailu spojeného s účtom Cashfulness a — pri vymazaní — potvrdenia, že si je vedomý nezvratnosti pri dokumentoch E2EE. - Pri práve na vymazanie (úplné vymazanie účtu): funkcia je dostupná priamo v aplikácii, v sekcii „Nastavenia → Vymazať účet“. Skutočné vymazanie prebehne do 30 dní.
- Na deaktiváciu Programu na zlepšovanie služby (odhlásenie): v sekcii „Nastavenia → Program na zlepšovanie služby“ v aplikácii. Účinné okamžite.
Odpovieme do 30 dní od žiadosti (možno predĺžiť o ďalších 60 dní pri obzvlášť zložitých žiadostiach podľa čl. 12.3 GDPR; používateľ o tom bude informovaný).
9. Bezpečnosť údajov
Na ochranu osobných údajov prijímame primerané technické a organizačné opatrenia:
- Šifrovanie počas prenosu: všetka komunikácia používa HTTPS/TLS 1.3.
- Šifrovanie pri uložení: databázy Supabase používajú štandardné šifrovanie poskytovateľa pri uložení.
- Šifrovanie end-to-end pre dokumenty nahrané používateľom (pozri §3.4).
- Silná autentifikácia: heslá s minimálnymi požiadavkami na zložitosť; biometrická podpora (Touch ID, Face ID), ak je na zariadení dostupná.
- Row Level Security (RLS) na všetkých tabuľkách databázy: každý používateľ má prístup len k svojim vlastným údajom.
- Zaznamenávanie prístupov: sledovanie prihlásení na účely odhaľovania podozrivých prístupov (pozri §3.2).
- Pravidelné aktualizácie softvérových závislostí na odstránenie známych zraniteľností.
Žiadny systém nie je 100 % nezraniteľný. V prípade porušenia ochrany osobných údajov s rizikom pre používateľov budeme informovať taliansky Úrad na ochranu osobných údajov do 72 hodín od zistenia (čl. 33 GDPR) a — ak je riziko vysoké — informujeme priamo dotknutých používateľov (čl. 34 GDPR).
10. Maloletí
Služba Cashfulness je určená osobám vo veku minimálne 18 rokov (hranica spôsobilosti na právne úkony podľa talianskeho práva, čl. 2 talianskeho Občianskeho zákonníka), alebo veku plnoletosti podľa práva krajiny bydliska používateľa, ak je vyšší ako 18 rokov.
Podľa GDPR a čl. 2-quinquies talianskeho zákona o ochrane osobných údajov je minimálny vek pre samostatný súhlas maloletého so spracúvaním osobných údajov nižší (14 rokov v Taliansku, 16 rokov ako predvolená hodnota EÚ). Pre Cashfulness sa skutočne uplatňuje zmluvná veková hranica 18 rokov, keďže vzťah s používateľom má zmluvnú povahu (pozri Zmluvné podmienky §4.1) a vyžaduje si plnú spôsobilosť na právne úkony.
Zámerne nezhromažďujeme údaje osôb mladších ako 18 rokov. Ak sa dozvieme o účte vytvorenom maloletou osobou bez potrebnej spôsobilosti na právne úkony, bezodkladne ho vymažeme.
11. Zmeny týchto Zásad ochrany osobných údajov
Vyhradzujeme si právo tieto Zásady ochrany osobných údajov v priebehu času meniť, z dôvodu regulačných úprav alebo zmien služby. Zmeny sa zverejňujú na tejto stránke s aktualizovaným dátumom v hornej časti.
V prípade podstatných zmien ovplyvňujúcich účely spracúvania alebo právne základy budeme aktívnych používateľov informovať e-mailom aspoň 30 dní pred nadobudnutím účinnosti zmien, čím im dáme príležitosť oboznámiť sa s novými podmienkami a v prípade záujmu vymazať účet pred ich nadobudnutím účinnosti.
12. Kontakty
V prípade akýchkoľvek otázok týkajúcich sa spracúvania osobných údajov:
- E-mail pre otázky ochrany súkromia: privacy@cashfulness.com
- Všeobecný e-mail podpory: info@cashfulness.com
- Certifikovaný e-mail (PEC): vittoriogiusti.com@pec.it
- Poštová adresa: Vittorio Giusti srl, Via del Campisano 520, 55054 Massarosa (LU), Taliansko
13. Rozhodné právo a súdna právomoc
Tieto Zásady ochrany osobných údajov sa riadia talianskym právom a nariadením (EÚ) 2016/679.
Príslušný súd: Lucca, Taliansko, s výnimkou kogentných ustanovení na ochranu spotrebiteľa (čl. 66-bis talianskeho spotrebiteľského zákonníka), podľa ktorých sa spotrebiteľ môže obrátiť na súd v mieste svojho bydliska alebo pobytu.