Zásady ochrany osobných údajov

1.Kto je prevádzkovateľ

Stručne: za tvoje údaje zodpovedá prevádzkovateľ Groworth v Lotyšsku a s akoukoľvek otázkou týkajúcou sa údajov mu môžeš napísať e-mail.

Prevádzkovateľom v zmysle všeobecného nariadenia o ochrane údajov (EÚ 2016/679, ďalej len „GDPR“ alebo „nariadenie“) je:

SIA Appmeway, reg. No. 40103588483, Mēness iela 16-8, Riga, LV-1013, Latvia

Ďalej len „my“ alebo „Groworth“. Služba je dostupná na adrese groworth.xyz. Ak máš akúkoľvek otázku k týmto zásadám alebo k spracúvaniu svojich údajov, napíš na support@groworth.xyz – odpovieme bez zbytočného odkladu, najneskôr do jedného mesiaca.

2.Aké údaje spracúvame

Stručne: tvoj e-mail, hash hesla a finančné údaje, ktoré zadáš ty sám. Nič nezbierame potajomky – všetko v našej databáze si buď zadal ty, alebo je to technicky nevyhnutné na fungovanie tvojho účtu.

2.1. Údaje o účte

• E-mailová adresa – identifikátor účtu, potrebný na prihlásenie a na obnovenie hesla.
• Hash hesla (bcrypt) – tvoje heslo sa nikdy, v žiadnom okamihu, neukladá ako čitateľný text. Nepoznáme ho a nedokážeme ho zistiť; ak ho zabudneš, vydáme ti nové namiesto toho, aby sme ti pripomenuli staré.
• Tajný kľúč dvojfaktorového overenia (2FA) – ak ho zapneš; ukladá sa šifrovaný.

2.2. Nepovinné demografické údaje

Počas úvodného nastavenia (onboardingu) môžeš uviesť svoje pohlavie a vekovú skupinu. Obe otázky sú dobrovoľné – môžeš ich preskočiť alebo zvoliť „nechcem uviesť“ a aplikácia bude fungovať úplne rovnako. Tieto údaje používame iba v anonymných, súhrnných štatistikách (napríklad „koľko používateľov je vo vekovej skupine 25 – 34 rokov“), nikdy jednotlivo.

2.3. Finančné údaje, ktoré zadávaš sám

Všetko v aplikácii je tvoja vlastná práca alebo tvoja priama voľba – bez tvojho konania nezískame nič:

• transakcie (sumy, dátumy, popisy, poznámky);
• kategórie a rozpočtové limity;
• tvoj finančný cieľ a jeho suma;
• účty a ich zostatky;
• aktíva a ich hodnoty (nehnuteľnosti, úspory atď.);
• záväzky (úvery, ich zostatky a splátky);
• pozície v portfóliu (cenné papiere, kryptoaktíva, ich množstvá a obstarávacie náklady);
• verejné adresy kryptopeňaženiek, ak nejaké pridáš;
• údaje z bankových výpisov importované vo formáte CSV – spracúvajú sa v tvojom prehliadači a na server sa dostanú iba riadky, ktorých import potvrdíš;
• transakcie z bankového pripojenia – iba ak banku pripojíš sám a prístup schváliš vo vlastnom internetovom bankovníctve (ako to funguje – pozri 6.1.1).

2.4. Technické údaje a údaje o reláciách

• Záznamy o reláciách – pre každé zariadenie, z ktorého sa prihlasuješ: typ zariadenia a čas poslednej aktivity. Vďaka nim vidíš svoje aktívne relácie v nastaveniach a môžeš ktorúkoľvek z nich jednotlivo zrušiť.
• Nastavenia – tebou zvolená téma, jazyk a podobné predvoľby.
• Počítadlá obmedzenia počtu požiadaviek – krátkodobé počítadlá požiadaviek, ktoré chránia prihlasovacie formuláre pred útokmi hádaním hesiel.

2.5. Čo NEMÁME

• Nemáme tvoje prihlasovacie údaje do internetového bankovníctva a nikdy ťa o ne nepožiadame.
• Nemáme čísla tvojich platobných kariet – údaje o karte idú iba spracovateľovi platieb (pozri časť 6), nikdy na náš server.
• Nevytvárame reklamné profily a nezbierame históriu prehliadania.

3.Účely a právny základ

Stručne: údaje spracúvame iba na to, aby aplikácia fungovala, bola bezpečná a v súlade so zákonom. Na marketing – iba s tvojím osobitným súhlasom.

Tvoje údaje nikdy nespracúvame preto, aby sme ich predali, prenajali alebo odovzdali inzerentom. Taký účel nemáme a ani mať nebudeme.

4.Ako sú tvoje údaje chránené – transparentne

Stručne: osobné polia sú šifrované, tvoje heslo sa nikdy neukladá v čitateľnej podobe a databáza nie je dostupná z internetu. K údajom sa technicky dostať vieme – a hovoríme to otvorene namiesto toho, aby sme predstierali, že nie.

4.1. Šifrovanie

• Osobné polia – názvy transakcií, poznámky, adresy peňaženiek a podobný voľný text – sa v databáze ukladajú zašifrované šifrovaním na úrovni polí (Fernet, symetrická schéma založená na AES-128 s kontrolou integrity).
• Identifikátory bankového pripojenia – IBAN účtu a identifikátory prístupových relácií – sa ukladajú zašifrované rovnakou schémou na úrovni polí.
• Sumy a dátumy sa ukladajú nezašifrované – zámerne: bez nich by nefungoval žiaden výpočet, ani súčty rozpočtu, ani projekcie splácania dlhov. Suma bez kontextu („−23,40“) sama osebe neprezrádza, za čo bola.
• Šifrovací kľúč je na serveri uložený oddelene od záloh databázy – samotná záloha bez kľúča osobné polia neodhalí.
• Všetky údaje, ktoré si vymieňa tvoj prehliadač so serverom, putujú iba cez šifrované pripojenie HTTPS.

4.2. Čo zámerne NETVRDÍME

Mnohé služby tvrdia: „k tvojim údajom sa nevieme dostať“. My to netvrdíme, pretože by to nebola pravda. Šifrovací kľúč je na serveri – inak by nefungovalo obnovenie hesla e-mailom a tvoje údaje by sa spolu so zabudnutým heslom nenávratne stratili. To znamená: technický prístup k údajom prevádzkovateľ má. Náš záväzok znie takto: k obsahu údajov pristupuje iba prevádzkovateľ osobne a iba na účely podpory, na vlastnú žiadosť používateľa – nikdy zo zvedavosti, na analytické ani marketingové účely. Pravdivý sľub znie: šifrované, nikdy nepredané, vymazateľné jedným kliknutím – nie viac, ale ani menej.

4.3. Heslá a prístup

• Heslá sa ukladajú iba ako hashe bcrypt.
• K dispozícii je dvojfaktorové overenie (TOTP) – odporúčame ho zapnúť.
• Relácie sú viazané na zariadenie; každú z nich môžeš jednotlivo zrušiť v nastaveniach.
• Prihlasovacie formuláre chránia limity počtu požiadaviek, ktoré zastavujú útoky hádaním hesiel.
• Systém vo svojich odpovediach pri prihlásení a obnovení hesla neprezrádza, či účet s daným e-mailom existuje.

4.4. Infraštruktúra

• Databáza nie je dostupná z internetu – pristupovať k nej môže iba samotná aplikácia z toho istého servera.
• Aplikácia beží v obmedzenom prostredí bez administrátorských oprávnení.
• Každý úkon administrátora v systéme sa zapisuje do auditného záznamu.
• Administrátorský panel je technicky oddelený od finančných údajov používateľov – vidí iba súhrnné čísla, nikdy obsah.

5.Kde sa tvoje údaje fyzicky nachádzajú

Stručne: na serveri v Nemecku, v Európskej únii. Údaje sa neprenášajú mimo EÚ/EHP.

Všetky údaje Groworth sú uložené na serveri spoločnosti Hetzner Online GmbH v Nemecku – teda v Európskej únii, kde sa GDPR uplatňuje priamo. Žiadne údaje sa neprenášajú do krajín mimo EÚ/EHP. Ak by sa to niekedy zmenilo, najprv by sme aktualizovali tieto zásady a oznámili to (pozri časť 13).

6.S kým údaje zdieľame

Stručne: s nikým okrem našich technických sprostredkovateľov – hostingu v EÚ, doručovania e-mailov a, iba ak banku pripojíš sám, pripojenia bankových údajov. Zdroje cien vidia iba symboly nástrojov. Tvoje údaje sa nikdy nepredávajú – nikdy, nikomu a v žiadnej forme.

6.1. Súčasní sprostredkovatelia

6.1.1. Pripojenie bankových údajov – ako funguje

Pripojenie banky je voľba, nie predvolené nastavenie – Groworth bez neho plne funguje s ručným zadávaním a importom CSV. Ak banku pripojíš:

• Súhlas udeľuješ priamo v banke. Presmerujeme ťa na autorizáciu tvojej banky (Smart-ID alebo aplikácia banky). Groworth heslo do tvojho internetového bankovníctva nikdy nevidí – autorizácia prebieha na strane banky a my dostaneme iba prístup na čítanie k zoznamu transakcií.
• Čo dostávame: transakcie na účte (dátum, suma, mena, meno príjemcu, popis platby) a identifikátor účtu (IBAN). IBAN a identifikátory relácií sa ukladajú v našej databáze zašifrované (pozri 4.1). Platby uskutočniť nevieme – prístup je iba na čítanie (AISP); iniciovanie platieb sme nežiadali a nie je možné.
• Právny základ: plnenie zmluvy (čl. 6 ods. 1 písm. b) GDPR) – načítanie tvojich transakcií je funkcia, o ktorú žiadaš sám. Prostredníkom je licencovaný poskytovateľ služieb informovania o účte (AISP) vo Fínsku, EÚ.
• Súhlas zaniká sám najneskôr po 180 dňoch (limit PSD2) – potom treba banku schváliť znova. Kedykoľvek ho môžeš odvolať: Nastavenia → Banky → „Odpojiť“, alebo priamo vo svojom internetovom bankovníctve. Po odpojení zostanú už načítané transakcie v tvojom účte – sú to tvoje údaje a dajú sa vymazať ako ktorýkoľvek iný záznam.
• Importované riadky sa samy od seba nestávajú pravdou. Každá banková transakcia prichádza nepotvrdená a čaká na tvoje potvrdenie – kategóriu si vyberáš sám.

6.2. Zdroje cenových údajov – bez osobných údajov

Aby sme v tvojom portfóliu zobrazili aktuálne ceny, server pravidelne vyhľadáva vo verejných zdrojoch cien: CoinGecko (kryptoaktíva), DexScreener (tokeny decentralizovaných búrz – podľa adresy kontraktu), Yahoo Finance (cenné papiere) a Európska centrálna banka (výmenné kurzy). Týmto zdrojom sa posielajú iba symboly nástrojov alebo adresy kontraktov tokenov (napríklad „BTC“, „VWCE“ alebo adresa tokenu) – nikdy tvoje meno, e-mail, množstvá ani nič iné, čo ťa identifikuje. Server získa každú cenu raz a zdieľa ju pre všetkých používateľov, takže z dopytov sa nedá zistiť, ktorý používateľ drží ktoré aktívum.

6.2.a. Verejné adresy kryptopeňaženiek

Ak v Portfóliu pridáš verejnú adresu kryptopeňaženky, uložíme ju zašifrovanú ako ostatné osobné polia a jej zostatok pravidelne zisťujeme z verejných uzlov blockchainu (Solana RPC, Ethereum RPC, Blockstream Bitcoin API). Tieto uzly dostávajú iba samotnú adresu – tá je na blockchaine aj tak verejná. Nikdy nežiadame súkromné kľúče ani seed frázy a do tejto aplikácie sa nikdy nedostanú. Adresu môžeš kedykoľvek vymazať a jej získané zostatky zmiznú spolu s ňou.

6.3. Spracovanie platieb – Stripe

• Stripe (Stripe Payments Europe, Ltd., Írsko) – spracovateľ platieb a samostatný prevádzkovateľ platobných údajov. Číslo tvojej karty sa nikdy nedostane na náš server – vidí ho iba Stripe vo vlastnom platobnom prostredí. Od Stripe dostávame iba identifikátory zákazníka a predplatného, sumu platby a jej stav.

6.4. Keď to vyžaduje zákon

Údaje môžeme poskytnúť orgánom verejnej moci iba vtedy, ak to vyžadujú príslušné právne predpisy a žiadosť má právny základ. Ak to zákon nezakazuje, o takej žiadosti ťa budeme informovať.

6.5. Čo nerobíme

• Údaje nepredávame ani neprenajímame – ani jednotlivé, ani súhrnné.
• Údaje neposielame reklamným sieťam ani obchodníkom s údajmi.
• Nezobrazujeme reklamy a nevkladáme reklamné sledovacie nástroje.

7.Súbory cookie a sledovanie

Stručne: žiadne sledovacie súbory cookie – ani naše, ani tretích strán. Jediný súbor cookie je tvoja voľba jazyka a je nevyhnutne potrebný, preto tu nie je žiadna lišta so súhlasom s cookies. Tvoja relácia je uložená v lokálnom úložisku tvojho prehliadača a štatistiky návštev sú anonymné, bez IP adries.

7.1. Súbory cookie

Groworth používa jeden súbor cookie – lang – a to iba vtedy, ak si na úvodnej stránke sám vyberieš jazyk (LV/EN). Uchováva dve písmená („lv“ alebo „en“), platí 12 mesiacov a slúži jedinému účelu: aby sa stránka nabudúce otvorila v tvojom jazyku. Je to funkčný súbor cookie, nie sledovací, a zákon naň súhlas nevyžaduje – preto naše stránky nemajú lištu so súhlasom s cookies. Neexistujú žiadne reklamné, analytické ani súbory cookie tretích strán.

7.2. Lokálne úložisko prehliadača (localStorage)

Po prihlásení sa tvoj kľúč relácie uchováva v lokálnom úložisku prehliadača (localStorage) na tvojom zariadení. Je to technicky nevyhnutné na to, aby si zostal prihlásený – bez toho aplikácia nemôže fungovať. Kľúč sa neposiela nikam okrem nášho vlastného servera a zmizne, keď sa odhlásiš alebo vymažeš údaje prehliadača.

7.3. Štatistiky návštev

Návštevy úvodnej stránky počítame dvoma spôsobmi a oba sú anonymné. Po prvé, anonymný denný súčet – jedno číslo v našej databáze. Po druhé, Umami, štatistiky návštev s otvoreným zdrojovým kódom, ktoré bežia na našom vlastnom serveri, nepoužívajú súbory cookie a neukladajú žiadnu IP adresu: vidia, koľko ľudí otvorilo ktorú stránku a z ktorej krajiny, ale nie, kto si, a nedokážu prepojiť dve tvoje návštevy. Počas registrácie takisto anonymne zaznamenajú, ku ktorému kroku sa človek dostal (napríklad „dotazník, krok 3“), bez e-mailu, mena a súm; po registrácii v aplikácii nemerajú nič. Nič neopúšťa náš server. Na našich stránkach nie je Google Analytics ani žiadna iná analytika tretích strán.

7.4. Ochrana pred botmi

Na ochranu formulárov pred botmi používame matematickú úlohu, ktorú tvoj prehliadač vyrieši sám („dôkaz vykonanej práce“, proof of work) – bez služieb tretích strán, bez sledovania, bez skladania obrázkových hádaniek. Nedostávame z nej o tebe žiadne údaje.

8.Prihlásenie e-mailu na úvodnej stránke

Stručne: ak na úvodnej stránke zanecháš svoj e-mail, pošleme ti jednu vec – oznámenia Groworth. Nič iné. Marketingové e-maily iba vtedy, ak s nimi osobitne súhlasíš.

Na úvodnej stránke sa môžeš prihlásiť do e-mailového zoznamu, pričom uvedieš iba e-mailovú adresu. Túto adresu používame na jediný účel: aby sme ti posielali oznámenia Groworth. Úvodná stránka sľubuje „Nič iné neposielame“ – a tento sľub je aj právne záväzný: akékoľvek iné e-maily (novinky, ponuky) by si vyžadovali tvoj osobitný, slobodne daný súhlas, o ktorý by sme ťa požiadali otvorene a nikdy by sme ho potichu nepredpokladali.

Zo zoznamu sa môžeš kedykoľvek odhlásiť tak, že napíšeš na support@groworth.xyz alebo použiješ odkaz v e-maile – adresa sa vymaže. Lehoty uchovávania nájdeš v časti 9.

9.Ako dlho údaje uchovávame

Stručne: dovtedy, kým je tvoj účet aktívny. Keď účet vymažeš, údaje zmiznú z prevádzkovej databázy okamžite a zo šifrovaných záloh najneskôr do 30 dní.

10.Tvoje práva a ako ich uplatniť

Stručne: pre každé právo podľa GDPR máme konkrétne tlačidlo, nie formulár a čakanie. Export – jedno kliknutie. Vymazanie – jedno kliknutie. Oprava – všetko sa dá upraviť priamo v aplikácii.

GDPR ti zaručuje práva k tvojim údajom. Pre každé z nich sme do aplikácie zabudovali priamy mechanizmus, aby si na ich uplatnenie nikdy nemusel písať formálne žiadosti:

11.Automatizované rozhodovanie a profilovanie

Stručne: žiaden algoritmus o tebe nerozhoduje s právnymi účinkami. XP, úrovne a projekcie sú aritmetika s tvojimi vlastnými číslami, nie úsudok o tebe.

Groworth nevykonáva žiadne automatizované rozhodovanie v zmysle článku 22 GDPR – také, ktoré by malo voči tebe právne účinky alebo by ťa podobne významne ovplyvnilo. Výpočty v aplikácii (XP, úrovne, projekcie splácania dlhov, súčty rozpočtu) sú jednoduchá aritmetika s údajmi, ktoré si zadal sám, a slúžia iba tebe ako informácia. Nevytvárame profily používateľov na reklamu, posudzovanie úverovej bonity ani na akýkoľvek výber.

12.Vekové obmedzenie

Stručne: Groworth je určený pre dospelých – vo veku 18 rokov a viac.

Služba je určená osobám vo veku 18 rokov a viac a registráciou potvrdzuješ, že si plnoletý. Zámerne nezbierame žiadne údaje o maloletých. Ak zistíme, že účet vytvorila osoba mladšia ako 18 rokov, účet aj jeho údaje budú vymazané.

13.Zmeny týchto zásad

Stručne: podstatné zmeny oznámime e-mailom najmenej 14 dní vopred. Tiché, nenápadné zmeny v dôležitých bodoch – sa nestanú.

Tieto zásady sa môžu meniť – napríklad pri zmene sprostredkovateľov alebo funkcií aplikácie. Podstatné zmeny – tie, ktoré menia rozsah spracúvaných údajov, sprostredkovateľov alebo tvoje práva – oznámime na e-mail tvojho účtu najmenej 14 dní pred ich účinnosťou. Dátum účinnosti a číslo každej verzie sú uvedené na začiatku a na konci stránky. Redakčné opravy (preklepy, spresnenie formulácií bez zmeny obsahu) sa môžu vykonať bez osobitného oznámenia.

14.Kontakt a sťažnosti

Stručne: napíš nám – odpovieme najneskôr do jedného mesiaca. Ak ťa odpoveď neuspokojí, vždy sa môžeš obrátiť na Datu valsts inspekcija (lotyšský Štátny inšpektorát pre ochranu údajov).

Otázky k týmto zásadám a k spracúvaniu tvojich údajov:

• Prevádzkovateľ: SIA Appmeway, reg. No. 40103588483, Mēness iela 16-8, Riga, LV-1013, Latvia
• E-mail: support@groworth.xyz
• Dozorný orgán: Datu valsts inspekcija (lotyšský Štátny inšpektorát pre ochranu údajov), dvi.gov.lv