Adatvédelmi tájékoztató

1.Ki az adatkezelő

Röviden: az adataidért a Groworth lettországi üzemeltetője felel, akinek bármilyen adatokkal kapcsolatos kérdésben írhatsz e-mailt.

Az általános adatvédelmi rendelet (EU 2016/679, a továbbiakban: „GDPR” vagy „Rendelet”) szerinti adatkezelő:

SIA Appmeway, reg. No. 40103588483, Mēness iela 16-8, Riga, LV-1013, Latvia

A továbbiakban: „mi” vagy „Groworth”. A szolgáltatás a groworth.xyz címen érhető el. Ha bármilyen kérdésed van ezzel a tájékoztatóval vagy az adataid kezelésével kapcsolatban, írj a support@groworth.xyz címre – indokolatlan késedelem nélkül, de legkésőbb egy hónapon belül válaszolunk.

2.Milyen adatokat kezelünk

Röviden: az e-mail-címedet, a jelszavad hash-ét és azokat a pénzügyi adatokat, amelyeket te magad adsz meg. Semmit sem gyűjtünk titokban – az adatbázisunkban minden vagy tőled származik, vagy technikailag szükséges ahhoz, hogy a fiókod működjön.

2.1. Fiókadatok

• E-mail-cím – a fiók azonosítója, a bejelentkezéshez és a jelszó visszaállításához szükséges.
• Jelszó-hash (bcrypt) – a jelszavadat soha, egyetlen pillanatra sem tároljuk nyílt szövegként. Nem ismerjük, és nem is tudjuk kideríteni; ha elfelejted, újat adunk ki, ahelyett hogy a régire emlékeztetnénk.
• A kétlépcsős azonosítás (2FA) titkos kulcsa – ha bekapcsolod; titkosítva tároljuk.

2.2. Nem kötelező demográfiai adatok

A kezdeti beállítás (onboarding) során megadhatod a nemedet és a korcsoportodat. Mindkét kérdés önkéntes – kihagyhatod őket, vagy választhatod a „nem kívánom megadni” lehetőséget, és az alkalmazás pontosan ugyanúgy fog működni. Ezeket az adatokat kizárólag anonim, összesített statisztikákban használjuk (például „hány felhasználó tartozik a 25–34 éves korcsoportba”), egyénileg soha.

2.3. Az általad megadott pénzügyi adatok

Az alkalmazásban minden a saját munkád vagy a közvetlen döntésed – semmihez sem jutunk hozzá a te cselekvésed nélkül:

• tranzakciók (összegek, dátumok, leírások, megjegyzések);
• kategóriák és költségvetési limitek;
• a pénzügyi célod és annak összege;
• számlák és egyenlegeik;
• eszközök és értékük (ingatlan, megtakarítások stb.);
• kötelezettségek (hitelek, azok tartozásállománya és törlesztései);
• portfóliópozíciók (értékpapírok, kriptoeszközök, azok mennyisége és beszerzési költsége);
• nyilvános kriptotárca-címek, ha megadsz ilyet;
• CSV formátumban importált bankszámlakivonat-adatok – ezek a böngésződben kerülnek feldolgozásra, és a szerverre csak azok a sorok jutnak el, amelyek importálását jóváhagyod;
• a bankkapcsolatból származó tranzakciók – csak ha te magad kapcsolsz össze egy bankot, és a hozzáférést a saját netbankodban hagyod jóvá (a működéséről lásd a 6.1.1. pontot).

2.4. Technikai és munkamenet-adatok

• Munkamenet-nyilvántartás – minden eszközre, amelyről bejelentkezel: az eszköz típusa és az utolsó aktivitás időpontja. Ezek révén a beállításokban láthatod az aktív munkameneteidet, és bármelyiket egyenként visszavonhatod.
• Beállítások – a választott téma, nyelv és hasonló preferenciák.
• Kéréskorlátozási számlálók – rövid élettartamú kérésszámlálók, amelyek a bejelentkezési űrlapokat védik a jelszótalálgatásos támadások ellen.

2.5. Ami NINCS nálunk

• Nincsenek meg a netbankos belépési adataid, és soha nem is fogjuk elkérni őket.
• Nincsenek meg a bankkártyaszámaid – a kártyaadatok kizárólag a fizetési szolgáltatóhoz kerülnek (lásd a 6. szakaszt), a mi szerverünkre soha.
• Nem építünk hirdetési profilokat, és nem gyűjtjük a böngészési előzményeket.

3.Az adatkezelés céljai és jogalapjai

Röviden: az adatokat kizárólag azért kezeljük, hogy az alkalmazás működjön, biztonságos legyen és megfeleljen a jogszabályoknak. Marketingcélra csak a külön hozzájárulásoddal.

Az adataidat soha nem kezeljük azért, hogy eladjuk, bérbe adjuk vagy hirdetőknek továbbítsuk. Ilyen célunk nincs, és nem is lesz.

4.Hogyan védjük az adataidat – teljes átláthatósággal

Röviden: a személyes mezők titkosítva vannak, a jelszavadat soha nem tároljuk nyílt szövegként, és az adatbázis az internetről nem érhető el. Technikailag hozzáférhetünk az adatokhoz – és ezt nyíltan kimondjuk, ahelyett hogy az ellenkezőjét állítanánk.

4.1. Titkosítás

• A személyes mezőket – a tranzakciók megnevezését, a megjegyzéseket, a tárcacímeket és a hasonló szabad szöveges tartalmakat – mezőszintű titkosítással tároljuk az adatbázisban (Fernet, egy AES-128-alapú, integritás-ellenőrzéssel ellátott szimmetrikus séma).
• A bankkapcsolat azonosítóit – a számla IBAN-ját és a hozzáférési munkamenet azonosítóit – ugyanezzel a mezőszintű sémával, titkosítva tároljuk.
• Az összegeket és a dátumokat nyílt formában tároljuk – szándékosan: nélkülük egyetlen számítás sem működne, sem a költségvetési összesítők, sem az adósság-előrejelzések. Egy összeg önmagában, kontextus nélkül („−23,40”) nem árulja el, mire fordították.
• A titkosítási kulcsot a szerveren az adatbázis biztonsági mentéseitől elkülönítve őrizzük – egy biztonsági mentés önmagában, a kulcs nélkül nem fedi fel a személyes mezőket.
• A böngésződ és a szerver közötti minden adatforgalom kizárólag titkosított HTTPS-kapcsolaton keresztül zajlik.

4.2. Amit szándékosan NEM állítunk

Sok szolgáltatás azt állítja: „nem férünk hozzá az adataidhoz”. Mi ezt nem mondjuk, mert nem lenne igaz. A titkosítási kulcs a szerveren van – különben nem működne a jelszó e-mailes visszaállítása, és egy elfelejtett jelszóval együtt az adataid is visszavonhatatlanul elvesznének. Ez azt jelenti, hogy az adatkezelő technikailag hozzáfér az adatokhoz. A vállalásunk a következő: az adatok tartalmához kizárólag az adatkezelő személyesen fér hozzá, és csak ügyféltámogatási célból, a felhasználó saját kérésére – soha nem kíváncsiságból, elemzési vagy marketingcélból. Ígéretünk tehát: titkosítva, soha nem adjuk el, egy kattintással törölhető – se több, se kevesebb.

4.3. Jelszavak és hozzáférés

• A jelszavakat kizárólag bcrypt-hash formájában tároljuk.
• Elérhető a kétlépcsős azonosítás (TOTP) – javasoljuk, hogy kapcsold be.
• A munkamenetek eszközhöz kötöttek; a beállításokban mindegyiket egyenként visszavonhatod.
• A bejelentkezési űrlapokat kéréskorlátozás védi, amely megállítja a jelszótalálgatásos támadásokat.
• A rendszer a bejelentkezésre és a jelszó-visszaállításra adott válaszaiban nem fedi fel, hogy létezik-e fiók egy adott e-mail-címmel.

4.4. Infrastruktúra

• Az adatbázis az internetről nem érhető el – kizárólag maga az alkalmazás fér hozzá, ugyanarról a szerverről.
• Az alkalmazás korlátozott környezetben, rendszergazdai jogosultságok nélkül fut.
• A rendszerben végzett minden adminisztrátori művelet bekerül egy naplóba.
• Az adminisztrációs felület technikailag el van választva a felhasználók pénzügyi adataitól – csak összesített számokat lát, tartalmat soha.

5.Hol vannak fizikailag az adataid

Röviden: egy németországi szerveren, az Európai Unióban. Az adatok nem kerülnek az EU-n/EGT-n kívülre.

A Groworth minden adatát a Hetzner Online GmbH németországi szerverén tároljuk – vagyis az Európai Unióban, ahol a GDPR közvetlenül alkalmazandó. Az EU-n/EGT-n kívüli országokba semmilyen adatot nem továbbítunk. Ha ez valaha megváltozna, előbb frissítenénk ezt a tájékoztatót, és bejelentenénk a változást (lásd a 13. szakaszt).

6.Kivel osztunk meg adatokat

Röviden: senkivel, kivéve a technikai adatfeldolgozóinkat – az uniós tárhelyet, az e-mail-kézbesítést és – csak ha te magad kapcsolsz össze egy bankot – a bankiadat-kapcsolatot. Az árforrások csak instrumentumjelöléseket látnak. Az adataidat soha nem adjuk el – soha, senkinek, semmilyen formában.

6.1. Jelenlegi adatfeldolgozók

6.1.1. A bankiadat-kapcsolat – hogyan működik

A bank összekapcsolása választás, nem alapbeállítás – nélküle a Groworth kézi bevitellel és CSV-importtal teljes értékűen működik. Ha összekapcsolsz egy bankot:

• A hozzájárulást magában a bankban adod meg. Átirányítunk a bankod azonosítási felületére (Smart-ID vagy a bank alkalmazása). A Groworth soha nem látja a netbankos jelszavadat – az azonosítás a bank oldalán történik, mi pedig csak olvasási hozzáférést kapunk a tranzakciólistához.
• Amit megkapunk: a számla tranzakciói (dátum, összeg, pénznem, a kedvezményezett neve, a fizetés közleménye) és a számla azonosítója (IBAN). Az IBAN-t és a munkamenet-azonosítókat titkosítva tároljuk az adatbázisunkban (lásd a 4.1. pontot). Fizetést nem tudunk indítani – a hozzáférés csak olvasási (AISP); fizetéskezdeményezést nem kértünk, és az nem is lehetséges.
• Jogalap: szerződés teljesítése (GDPR 6. cikk (1) bekezdés b) pont) – a tranzakcióid beolvasása olyan funkció, amelyet te magad kérsz. A közvetítő egy engedéllyel rendelkező számlainformációs szolgáltató (AISP) Finnországban, az EU-ban.
• A hozzájárulás magától lejár, legkésőbb 180 nap után (ez a PSD2 korlátja) – ezt követően a bankot újra jóvá kell hagyni. Bármikor visszavonhatod: Beállítások → Bankok → „Leválasztás”, vagy közvetlenül a netbankodban. Leválasztáskor a már beolvasott tranzakciók a fiókodban maradnak – ezek a te adataid, és bármely más bejegyzéshez hasonlóan törölhetők.
• Az importált sorok nem válnak maguktól hiteles adattá. Minden banki tranzakció jóváhagyatlanul érkezik, és a te megerősítésedre vár – a kategóriát te magad választod ki.

6.2. Árforrások – személyes adatok nélkül

Ahhoz, hogy a portfóliódban az aktuális árak jelenjenek meg, a szerver rendszeresen lekérdez nyilvános árforrásokat: CoinGecko (kriptoeszközök), DexScreener (decentralizált tőzsdék tokenjei – szerződéscím alapján), Yahoo Finance (értékpapírok) és az Európai Központi Bank (devizaárfolyamok). Ezek a források kizárólag instrumentumjelöléseket vagy tokenszerződés-címeket kapnak (például „BTC”, „VWCE” vagy egy tokencím) – soha nem a nevedet, az e-mail-címedet, a mennyiségeket vagy bármi mást, ami azonosítana téged. A szerver minden árat egyszer kér le, és minden felhasználóval megosztja, így a lekérdezésekből lehetetlen kikövetkeztetni, melyik felhasználónak milyen eszköze van.

6.2.a. Nyilvános kriptotárca-címek

Ha a Portfólióban megadod egy kriptotárca nyilvános címét, azt a többi személyes mezőhöz hasonlóan titkosítva tároljuk, és rendszeresen lekérdezzük az egyenlegét nyilvános blokklánc-csomópontoktól (Solana RPC, Ethereum RPC, Blockstream Bitcoin API). Ezek a csomópontok kizárólag magát a címet kapják meg – amely a blokkláncon amúgy is nyilvános. Privát kulcsokat vagy seed-mondatokat soha nem kérünk, és ezek soha nem kerülnek be ebbe az alkalmazásba. A címet bármikor törölheted, és a lekért egyenlegek is eltűnnek vele együtt.

6.3. Fizetésfeldolgozás – Stripe

• Stripe (Stripe Payments Europe, Ltd., Írország) – a fizetési szolgáltató, amely a fizetési adatok tekintetében önálló adatkezelő. A kártyaszámod soha nem jut el a szerverünkre – csak a Stripe látja, a saját fizetési környezetében. A Stripe-tól kizárólag az ügyfél- és előfizetés-azonosítókat, a fizetés összegét és állapotát kapjuk meg.

6.4. Ha jogszabály írja elő

Hatóságoknak kizárólag akkor adhatunk ki adatokat, ha az alkalmazandó jog előírja, és a megkeresésnek jogalapja van. Ha jogszabály nem tiltja, tájékoztatunk az ilyen megkeresésről.

6.5. Amit nem teszünk

• Nem adunk el és nem adunk bérbe adatokat – sem egyedi, sem összesített adatokat.
• Nem küldünk adatokat hirdetési hálózatoknak vagy adatkereskedőknek.
• Nem jelenítünk meg hirdetéseket, és nem építünk be hirdetési nyomkövetőket.

7.Sütik és követés

Röviden: követő sütik nincsenek – sem sajátok, sem harmadik félé. Az egyetlen süti a nyelvválasztásod, amely feltétlenül szükséges, ezért nincs sütisáv. A munkameneted a böngésződ helyi tárhelyén él, a látogatási statisztika pedig anonim, IP-címek nélkül.

7.1. Sütik

A Groworth egyetlen sütit használ – a lang sütit –, és azt is csak akkor, ha a kezdőlapon te magad választasz nyelvet (LV/EN). Két betűt tárol („lv” vagy „en”), 12 hónapig él, és egyetlen célt szolgál: hogy az oldal legközelebb a te nyelveden nyíljon meg. Ez funkcionális süti, nem követő süti, és a jogszabályok nem írnak elő hozzájárulást hozzá – ezért nincs az oldalainkon sütisáv. Hirdetési, analitikai vagy harmadik féltől származó sütik nincsenek.

7.2. A böngésző helyi tárhelye (localStorage)

Bejelentkezés után a munkamenet-kulcsod a böngésző helyi tárhelyén (localStorage) marad az eszközödön. Ez technikailag szükséges ahhoz, hogy bejelentkezve maradj – nélküle az alkalmazás nem tud működni. A kulcsot sehova nem küldjük, kivéve a saját szerverünket, és eltűnik, amikor kijelentkezel vagy törlöd a böngészőadataidat.

7.3. Látogatási statisztika

A kezdőlap látogatásait kétféleképpen számoljuk, és mindkettő anonim. Az egyik egy anonim napi összesítő – egyetlen szám az adatbázisunkban. A másik az Umami, egy nyílt forráskódú látogatási statisztika, amely a saját szerverünkön fut, nem használ sütiket, és nem tárol IP-címet: azt látja, hányan nyitották meg az egyes oldalakat és melyik országból, de azt nem, hogy te ki vagy, és két látogatásodat sem tudja összekapcsolni. A regisztráció során ugyanígy, anonim módon feljegyzi, melyik lépésig jutott el valaki (például „kérdőív, 3. lépés”), e-mail-cím, név és összegek nélkül; a regisztráció után az alkalmazáson belül semmit nem mér. Semmi nem hagyja el a szerverünket. Az oldalainkon nincs Google Analytics, sem más harmadik féltől származó analitika.

7.4. Védelem a botok ellen

Az űrlapok botok elleni védelmére egy matematikai feladványt használunk, amelyet a böngésződ magától megold („proof of work”, munkabizonyítás) – harmadik féltől származó szolgáltatások, követés és képes rejtvények megoldása nélkül. Ebből semmilyen rólad szóló adat nem jut el hozzánk.

8.Feliratkozás e-mail-címmel a nyitóoldalon

Röviden: ha a nyitóoldalon megadod az e-mail-címedet, egyetlen dolgot küldünk: Groworth-értesítéseket. Semmi mást. Marketing e-maileket csak akkor, ha ehhez külön hozzájárulsz.

A nyitóoldalon kizárólag egy e-mail-cím megadásával csatlakozhatsz a levelezőlistához. Ezt a címet egyetlen célra használjuk: hogy Groworth-értesítéseket küldjünk neked. A nyitóoldal azt ígéri: „Semmi mást nem küldünk” – és ez az ígéret jogilag is kötelez: bármilyen más e-mailhez (hírek, ajánlatok) a külön, önkéntesen megadott hozzájárulásodra lenne szükség, amelyet nyíltan kérnénk, és soha nem feltételeznénk hallgatólagosan.

A listáról bármikor leiratkozhatsz, ha írsz a support@groworth.xyz címre, vagy az e-mailben található linket használod – a címet töröljük. A megőrzési időkről lásd a 9. szakaszt.

9.Meddig őrizzük az adatokat

Röviden: amíg a fiókod aktív. Ha törlöd a fiókodat, az adatok azonnal eltűnnek az éles adatbázisból, a titkosított biztonsági mentésekből pedig legkésőbb 30 napon belül.

10.A jogaid és gyakorlásuk módja

Röviden: minden GDPR-jogodhoz van egy konkrét gombunk, nem pedig egy űrlap és várakozás. Exportálás – egy kattintás. Törlés – egy kattintás. Helyesbítés – az alkalmazásban minden szerkeszthető.

A GDPR jogokat biztosít számodra az adataid felett. Mindegyikhez közvetlenül az alkalmazásba építettünk egy megoldást, hogy gyakorlásukhoz soha ne kelljen hivatalos kérelmet írnod:

11.Automatizált döntéshozatal és profilalkotás

Röviden: semmilyen algoritmus nem hoz rád nézve joghatással járó döntést. Az XP, a szintek és az előrejelzések a saját számaidon végzett aritmetika, nem pedig ítélet rólad.

A Groworth nem végez a GDPR 22. cikke szerinti automatizált döntéshozatalt – vagyis olyat, amely rád nézve joghatással járna, vagy téged hasonlóképpen jelentős mértékben érintene. Az alkalmazás számításai (XP, szintek, adósságtörlesztési előrejelzések, költségvetési összesítők) egyszerű aritmetikai műveletek az általad megadott adatokon, és csak téged szolgálnak, tájékoztatásként. Nem készítünk felhasználói profilokat hirdetési célra, hitelképesség-értékelésre vagy bármilyen szelekcióra.

12.Korhatár

Röviden: a Groworth nagykorúaknak – 18 éves kortól – szól.

A szolgáltatás 18. életévüket betöltött személyeknek szól, és a regisztrációval megerősíted, hogy nagykorú vagy. Kiskorúakról szándékosan nem gyűjtünk adatokat. Ha tudomásunkra jut, hogy egy fiókot 18 év alatti személy hozott létre, a fiókot és annak adatait töröljük.

13.A tájékoztató módosítása

Röviden: a lényeges változásokat legalább 14 nappal előre e-mailben bejelentjük. Csendes, észrevétlen változtatások a fontos pontokban – nem lesznek.

Ez a tájékoztató változhat – például ha megváltoznak az adatfeldolgozók vagy az alkalmazás funkciói. A lényeges változásokat – amelyek a kezelt adatok körét, az adatfeldolgozókat vagy a jogaidat érintik – a hatályba lépésük előtt legalább 14 nappal bejelentjük a fiókodhoz tartozó e-mail-címre. Az egyes verziók hatálybalépési dátuma és száma az oldal tetején és alján látható. A szerkesztési javítások (elírások, a tartalmat nem érintő megfogalmazásbeli pontosítások) külön bejelentés nélkül is megtörténhetnek.

14.Kapcsolat és panaszok

Röviden: írj nekünk – legkésőbb egy hónapon belül válaszolunk. Ha a válasz nem elégít ki, mindig ott van a Datu valsts inspekcija (a lett Állami Adatvédelmi Felügyelet).

A tájékoztatóval és az adataid kezelésével kapcsolatos kérdésekben:

• Adatkezelő: SIA Appmeway, reg. No. 40103588483, Mēness iela 16-8, Riga, LV-1013, Latvia
• E-mail: support@groworth.xyz
• Felügyeleti hatóság: Datu valsts inspekcija (a lett Állami Adatvédelmi Felügyelet), dvi.gov.lv