Privaatsuspoliitika

1.Kes on vastutav töötleja

Lühidalt: sinu andmete eest vastutab Groworthi haldaja Lätis, ja igas andmetega seotud küsimuses võid talle e-kirja saata.

Vastutav töötleja isikuandmete kaitse üldmääruse (EL 2016/679, edaspidi „IKÜM“ või „määrus“) tähenduses on:

SIA Appmeway, registrikood 40103588483, Mēness iela 16-8, Riia, LV-1013, Läti

Edaspidi „meie“ või „Groworth“. Teenus on kättesaadav aadressil groworth.xyz. Kui sul on küsimusi selle poliitika või oma andmete töötlemise kohta, kirjuta aadressile support@groworth.xyz — vastame põhjendamatu viivituseta ja hiljemalt ühe kuu jooksul.

2.Milliseid andmeid me töötleme

Lühidalt: sinu e-posti aadressi, parooli räsi ja finantsandmeid, mille sina ise sisestad. Me ei kogu midagi salaja — kõik, mis meie andmebaasis on, on kas sinu sisestatud või tehniliselt vajalik, et sinu konto töötaks.

2.1. Konto andmed

• E-posti aadress — konto identifikaator, mida on vaja sisselogimiseks ja parooli taastamiseks.
• Parooli räsi (bcrypt) — sinu parooli ei säilitata kunagi, mitte ühelgi hetkel, lihttekstina. Me ei tea seda ega saa seda teada; kui sa selle unustad, anname sulle uue, mitte ei tuleta vana meelde.
• Kaheastmelise autentimise (2FA) saladus — kui oled selle sisse lülitanud; säilitatakse krüpteeritult.

2.2. Vabatahtlikud demograafilised andmed

Esmasel seadistamisel (onboarding) võid märkida oma soo ja vanuserühma. Mõlemad küsimused on vabatahtlikud — võid need vahele jätta või valida „ei soovi öelda“, ja rakendus töötab täpselt samamoodi. Kasutame neid andmeid ainult anonüümses koondstatistikas (näiteks „kui palju kasutajaid on vanuserühmas 25–34“), mitte kunagi individuaalselt.

2.3. Finantsandmed, mille sisestad ise

Kõik rakenduses on sinu enda töö või sinu otsene valik — ilma sinu tegevuseta me midagi ei saa:

• tehingud (summad, kuupäevad, kirjeldused, märkused);
• kategooriad ja eelarvelimiidid;
• sinu finantseesmärk ja selle summa;
• kontod ja nende saldod;
• varad ja nende väärtused (kinnisvara, säästud jne);
• kohustused (laenud, nende jäägid ja maksed);
• portfelli positsioonid (väärtpaberid, krüptovarad, nende kogused ja soetusmaksumus);
• avalikud krüptorahakoti aadressid, kui need lisad;
• CSV-vormingus imporditud pangaväljavõtte andmed — neid töödeldakse sinu brauseris ja serverisse jõuavad ainult need read, mille impordiks kinnitad;
• pangaühenduse tehingud — ainult siis, kui ühendad panga ise ja kinnitad juurdepääsu oma internetipangas (kuidas see toimib — vt 6.1.1).

2.4. Tehnilised ja seansiandmed

• Seansikirjed — iga seadme kohta, millest sisse logid: seadme tüüp ja viimase tegevuse aeg. Need võimaldavad sul seadetes näha aktiivseid seansse ja tühistada neist igaüks eraldi.
• Seaded — sinu valitud teema, keel ja muud sarnased eelistused.
• Päringute sageduse piirangu loendurid — lühiajalised päringuloendurid, mis kaitsevad sisselogimisvorme paroolide arvamise rünnete eest.

2.5. Mida meil EI OLE

• Meil ei ole sinu internetipanga sisselogimisandmeid ja me ei küsi neid kunagi.
• Meil ei ole sinu maksekaartide numbreid — kaardiandmed jõuavad ainult makseteenuse töötlejani (vt jaotis 6), mitte kunagi meie serverisse.
• Me ei koosta reklaamiprofiile ega kogu sirvimisajalugu.

3.Eesmärgid ja õiguslik alus

Lühidalt: töötleme andmeid ainult selleks, et rakendus töötaks, oleks turvaline ja vastaks seadustele. Turunduseks — ainult sinu eraldi nõusolekul.

Me ei töötle sinu andmeid kunagi selleks, et neid müüa, välja rentida või reklaamijatele edastada. Meil ei ole sellist eesmärki ega tule kunagi.

4.Kuidas sinu andmeid kaitstakse — ausalt

Lühidalt: isiklikud väljad on krüpteeritud, sinu parooli ei säilitata kunagi lihttekstina ja andmebaasile ei pääse internetist ligi. Meil on tehniliselt juurdepääs andmetele — ja me ütleme seda ausalt, selle asemel et teeselda, nagu poleks.

4.1. Krüpteerimine

• Isiklikud väljad — tehingute nimetused, märkused, rahakottide aadressid ja muu sarnane vabatekstiline sisu — säilitatakse andmebaasis väljataseme krüpteeringuga (Fernet, AES-128-l põhinev terviklikkuse kontrolliga sümmeetriline skeem).
• Pangaühenduse identifikaatorid — konto IBAN ja juurdepääsuseansside identifikaatorid — säilitatakse krüpteeritult sama väljataseme skeemiga.
• Summad ja kuupäevad säilitatakse krüpteerimata — teadlikult: ilma nendeta ei töötaks ükski arvutus, ei eelarve kokkuvõtted ega võlgade prognoosid. Summa ilma kontekstita („−23,40“) ei ütle iseenesest, mille eest see oli.
• Krüpteerimisvõtit hoitakse serveris andmebaasi varukoopiatest eraldi — varukoopia üksi, ilma võtmeta, isiklikke välju ei paljasta.
• Kõik andmed liiguvad sinu brauseri ja serveri vahel ainult krüpteeritud HTTPS-ühenduse kaudu.

4.2. Mida me teadlikult EI väida

Paljud teenused väidavad: „meil ei ole juurdepääsu teie andmetele“. Meie seda ei ütle, sest see ei oleks tõsi. Krüpteerimisvõti asub serveris — muidu ei töötaks parooli taastamine e-posti teel ja unustatud parooliga kaoksid sinu andmed pöördumatult. See tähendab: vastutaval töötlejal on andmetele tehniline juurdepääs olemas. Meie kohustus on järgmine: andmete sisule pääseb ligi ainult vastutav töötleja isiklikult ja ainult kasutajatoe eesmärgil, kasutaja enda palvel — mitte kunagi uudishimust, analüütika või turunduse jaoks. Aus lubadus on: krüpteeritud, kunagi müümata, kustutatav ühe klikiga — mitte rohkem, aga ka mitte vähem.

4.3. Paroolid ja juurdepääs

• Paroole säilitatakse ainult bcrypt-räsidena.
• Saadaval on kaheastmeline autentimine (TOTP) — soovitame selle sisse lülitada.
• Seansid on seotud seadmega; igaühe neist saad seadetes eraldi tühistada.
• Sisselogimisvorme kaitsevad päringute sageduse piirangud, mis peatavad paroolide arvamise ründed.
• Sisselogimise ja parooli taastamise vastustes ei avalda süsteem, kas antud e-posti aadressiga konto on olemas.

4.4. Taristu

• Andmebaasile ei pääse internetist ligi — sellele pääseb juurde ainult rakendus ise, samast serverist.
• Rakendus töötab piiratud keskkonnas ilma administraatoriõigusteta.
• Iga administraatori toiming süsteemis kantakse auditilogisse.
• Halduspaneel on kasutajate finantsandmetest tehniliselt eraldatud — see näeb ainult koondarve, mitte kunagi sisu.

5.Kus sinu andmed füüsiliselt asuvad

Lühidalt: serveris Saksamaal, Euroopa Liidus. Andmeid ei viida EL-ist / EMP-st välja.

Kõiki Groworthi andmeid säilitatakse Hetzner Online GmbH serveris Saksamaal — see tähendab Euroopa Liidus, kus IKÜM kehtib vahetult. Andmeid ei edastata EL-i / EMP-välistesse riikidesse. Kui see kunagi muutuks, ajakohastaksime kõigepealt seda poliitikat ja teataksime sellest (vt jaotis 13).

6.Kellega me andmeid jagame

Lühidalt: mitte kellegagi, välja arvatud meie tehnilised volitatud töötlejad — majutus EL-is, e-kirjade kohaletoimetamine ja, ainult kui ühendad panga ise, pangaandmete ühendus. Hinnaallikad näevad ainult instrumentide sümboleid. Sinu andmeid ei müüda kunagi — mitte kunagi, mitte kellelegi, mitte mingil kujul.

6.1. Praegused volitatud töötlejad

6.1.1. Pangaandmete ühendus — kuidas see toimib

Panga ühendamine on valik, mitte vaikeseade — ilma selleta töötab Groworth täielikult käsitsi sisestamise ja CSV-impordiga. Kui ühendad panga:

• Nõusoleku annad pangas endas. Sind suunatakse sinu panga autoriseerimisse (Smart-ID või panga rakendus). Groworth ei näe kunagi sinu internetipanga parooli — autoriseerimine toimub panga poolel ja meie saame ainult lugemisõigusega juurdepääsu tehingute loetelule.
• Mida me saame: konto tehingud (kuupäev, summa, valuuta, makse saaja nimi, makse selgitus) ja konto identifikaatori (IBAN). IBAN ja seansi identifikaatorid säilitatakse meie andmebaasis krüpteeritult (vt 4.1). Me ei saa makseid teha — juurdepääs on ainult lugemiseks (AISP); makse algatamist ei ole taotletud ja see ei ole võimalik.
• Õiguslik alus: lepingu täitmine (IKÜM artikli 6 lõike 1 punkt b) — tehingute sisselugemine on funktsioon, mida sa ise taotled. Vahendaja on Enable Banking Oy, tegevusloaga kontoteabe teenuse pakkuja (AISP) Soomes, EL-is.
• Nõusolek aegub iseenesest hiljemalt 180 päeva pärast (PSD2 piirang) — siis tuleb pank uuesti kinnitada. Võid selle igal hetkel tagasi võtta: Seaded → Pangad → „Katkesta ühendus“ või otse oma internetipangas. Ühenduse katkestamisel jäävad juba sisse loetud tehingud sinu kontole — need on sinu andmed ja neid saab kustutada nagu iga teist kirjet.
• Imporditud read ei muutu iseenesest tõeks. Iga pangatehing saabub kinnitamata ja ootab sinu kinnitust — kategooria valid ise.

6.2. Hinnaandmete allikad — ilma isikuandmeteta

Et näidata sinu portfellis ajakohaseid hindu, pärib server perioodiliselt avalikest hinnaallikatest: CoinGecko (krüptovarad), DexScreener (detsentraliseeritud börside tokenid — lepingu aadressi järgi), Yahoo Finance (väärtpaberid) ja Euroopa Keskpank (vahetuskursid). Nendele allikatele saadetakse ainult instrumentide sümbolid või tokenite lepingute aadressid (näiteks „BTC“, „VWCE“ või tokeni aadress) — mitte kunagi sinu nime, e-posti aadressi, koguseid ega midagi muud, mis sind tuvastab. Server pärib iga hinna üks kord ja jagab seda kõigi kasutajate vahel, nii et päringutest on võimatu järeldada, milline kasutaja millist vara omab.

6.2.a. Avalikud krüptorahakoti aadressid

Kui lisad Portfelli krüptorahakoti avaliku aadressi, säilitame selle krüpteeritult nagu teisi isiklikke välju ja küsime perioodiliselt avalikelt plokiahela sõlmedelt (Solana RPC, Ethereum RPC, Blockstream Bitcoin API) selle saldot. Need sõlmed saavad ainult aadressi enda — see on plokiahelas niigi avalik. Me ei küsi kunagi privaatvõtmeid ega taastefraase (seed) ja need ei satu kunagi sellesse rakendusse. Võid aadressi igal ajal kustutada ja koos sellega kaovad ka päritud saldod.

6.3. Maksete töötlemine — Stripe

• Stripe (Stripe Payments Europe, Ltd., Iirimaa) — makseteenuse töötleja ja makseandmete iseseisev vastutav töötleja. Sinu kaardinumber ei jõua kunagi meie serverisse — seda näeb ainult Stripe oma maksekeskkonnas. Stripe'ilt saame ainult kliendi ja tellimuse identifikaatorid, makse summa ja selle oleku.

6.4. Kui seadus seda nõuab

Võime avaldada andmeid ametiasutustele ainult siis, kui kohaldatav õigus seda nõuab ja taotlusel on õiguslik alus. Kui seadus seda ei keela, teavitame sind sellisest taotlusest.

6.5. Mida me ei tee

• Me ei müü ega rendi andmeid välja — ei individuaalseid ega koondandmeid.
• Me ei saada andmeid reklaamivõrgustikele ega andmemaakleritele.
• Me ei näita reklaame ega paigalda reklaamijälgijaid.

7.Küpsised ja jälgimine

Lühidalt: jälgimisküpsiseid ei ole — ei meie ega kolmandate osapoolte omi. Ainus küpsis on sinu keelevalik ja see on hädavajalik, mistõttu küpsiste teavitusriba ei ole. Sinu seanss asub sinu brauseri kohalikus salvestusruumis ja külastuste statistika on anonüümne, ilma IP-aadressideta.

7.1. Küpsised

Groworth kasutab ühte küpsist — lang — ja ainult siis, kui valid avalehel keele (LV/EN) ise. See salvestab kaks tähte („lv“ või „en“), kehtib 12 kuud ja teenib üht eesmärki: avada leht järgmisel korral sinu keeles. See on funktsionaalne, mitte jälgimisküpsis, ja seadus ei nõua selleks nõusolekut — seetõttu ei ole meie lehtedel küpsiste teavitusriba. Reklaami-, analüütika- või kolmandate osapoolte küpsiseid ei ole.

7.2. Brauseri kohalik salvestusruum (localStorage)

Pärast sisselogimist hoitakse sinu seansivõtit brauseri kohalikus salvestusruumis (localStorage) sinu seadmes. See on tehniliselt vajalik, et sa jääksid sisselogituks — rakendus ei saa ilma selleta töötada. Võtit ei saadeta mujale kui meie enda serverisse ja see kaob, kui logid välja või kustutad oma brauseri andmed.

7.3. Külastuste statistika

Loendame avalehe külastusi kahel viisil ja mõlemad on anonüümsed. Esiteks anonüümne päevane koguarv — üksainus number meie andmebaasis. Teiseks Umami — avatud lähtekoodiga külastusstatistika, mis töötab meie enda serveris, ei kasuta küpsiseid ega salvesta IP-aadressi: see näeb, mitu inimest avas millise lehe ja millisest riigist, aga mitte seda, kes sa oled, ega saa siduda sinu kahte külastust. Registreerumise ajal märgib see samuti anonüümselt, millise sammuni inimene jõudis (näiteks „küsimustik, samm 3“), ilma e-posti aadressi, nime või summadeta; pärast registreerumist ei mõõda see rakenduse sees midagi. Miski ei lahku meie serverist. Meie lehtedel ei ole Google Analyticsit ega mingit muud kolmanda osapoole analüütikat.

7.4. Kaitse robotite eest

Vormide kaitsmiseks robotite eest kasutame matemaatilist ülesannet, mille sinu brauser ise lahendab („tööpanuse tõend“, ingl proof of work) — ilma kolmandate osapoolte teenuste, jälgimise ja piltülesannete lahendamiseta. Sellest ei jõua meieni mingeid andmeid sinu kohta.

8.E-posti teel registreerumine avalehel

Lühidalt: kui jätad avalehel oma e-posti aadressi, saadame sulle ühte asja — Groworthi teadaandeid. Mitte midagi muud. Turunduskirju ainult siis, kui annad nendeks eraldi nõusoleku.

Avalehel saad liituda e-posti nimekirjaga, andes ainult oma e-posti aadressi. Kasutame seda aadressi ühel ainsal eesmärgil: et saata sulle Groworthi teadaandeid. Avaleht lubab „Muud me ei saada“ — ja see lubadus on ka õiguslikult siduv: mis tahes muude kirjade (uudised, pakkumised) jaoks oleks vaja sinu eraldi, vabatahtlikult antud nõusolekut, mida me küsiksime avalikult ega eeldaks vaikimisi.

Võid nimekirjast igal hetkel lahkuda, kirjutades aadressile support@groworth.xyz või kasutades kirjas olevat linki — aadress kustutatakse. Säilitamistähtaegade kohta vt jaotis 9.

9.Kui kaua me andmeid säilitame

Lühidalt: seni, kuni sinu konto on aktiivne. Kui kustutad oma konto, kaovad andmed töötavast andmebaasist kohe ja krüpteeritud varukoopiatest hiljemalt 30 päeva jooksul.

10.Sinu õigused ja kuidas neid kasutada

Lühidalt: iga IKÜM-i õiguse jaoks on meil konkreetne nupp, mitte vorm ja ootamine. Eksport — ühe klikiga. Kustutamine — ühe klikiga. Parandamine — kõike saab muuta rakenduses endas.

IKÜM tagab sulle õigused oma andmetele. Igaühe jaoks oleme ehitanud mehhanismi otse rakendusse, et nende kasutamiseks ei peaks kunagi ametlikke taotlusi kirjutama:

11.Automatiseeritud otsused ja profiilianalüüs

Lühidalt: ükski algoritm ei tee sinu kohta otsuseid, millel on õiguslikud tagajärjed. XP, tasemed ja prognoosid on aritmeetika sinu enda arvudega, mitte hinnang sinu kohta.

Groworth ei tee IKÜM-i artikli 22 tähenduses automatiseeritud otsuseid — selliseid, millel oleksid sinu jaoks õiguslikud tagajärjed või mis avaldaksid sulle sarnaselt märkimisväärset mõju. Rakenduse arvutused (XP, tasemed, võlgade tagasimakse prognoosid, eelarve kokkuvõtted) on lihtne aritmeetika andmetega, mille oled ise sisestanud, ja need teenivad ainult sind, teabena. Me ei koosta kasutajaprofiile reklaami, krediidivõimelisuse hindamise ega mingisuguse valiku tegemise jaoks.

12.Vanusepiirang

Lühidalt: Groworth on mõeldud täiskasvanutele — alates 18. eluaastast.

Teenus on mõeldud vähemalt 18-aastastele isikutele ja registreerudes kinnitad, et oled täisealine. Me ei kogu teadlikult andmeid alaealiste kohta. Kui saame teada, et konto on loonud alla 18-aastane isik, konto ja selle andmed kustutatakse.

13.Selle poliitika muudatused

Lühidalt: olulistest muudatustest teatame e-posti teel vähemalt 14 päeva ette. Vaikseid, märkamatuid muudatusi olulistes punktides — ei tule.

See poliitika võib muutuda — näiteks volitatud töötlejate või rakenduse funktsioonide muutumisel. Olulistest muudatustest — sellistest, mis muudavad töödeldavate andmete ulatust, volitatud töötlejaid või sinu õigusi — teatatakse sinu konto e-posti aadressile vähemalt 14 päeva enne nende jõustumist. Iga versiooni jõustumiskuupäev ja number on näidatud lehe üla- ja allosas. Toimetuslikud parandused (trükivead, sõnastuse täpsustused ilma sisu muutmata) võivad toimuda ilma eraldi teadaandeta.

14.Kontakt ja kaebused

Lühidalt: kirjuta meile — vastame hiljemalt ühe kuu jooksul. Kui vastus sind ei rahulda, saad alati pöörduda Läti andmekaitse järelevalveasutuse Datu valsts inspekcija poole.

Küsimustes selle poliitika ja sinu andmete töötlemise kohta:

• Vastutav töötleja: SIA Appmeway, registrikood 40103588483, Mēness iela 16-8, Riia, LV-1013, Läti
• E-post: support@groworth.xyz
• Järelevalveasutus: Datu valsts inspekcija (Läti andmekaitse järelevalveasutus), dvi.gov.lv