POLITYKA PRYWATNOŚCI (RODO) – SERWIS Budgetly
wersja: 1.0
data obowiązywania: 2026-03-09
Niniejsza Polityka Prywatności opisuje zasady przetwarzania danych osobowych w serwisie Budgetly (dalej: „Serwis”) – aplikacji do prowadzenia budżetu domowego, w której mogą być przetwarzane dane o wydatkach i przychodach, a także dane rozliczeniowe związane z płatnościami za plany płatne.
1. KTO JEST ADMINISTRATOREM DANYCH
1.1. Administratorem danych osobowych jest podmiot prowadzący Serwis Budgetly (dalej: „Administrator”).
1.2. Dane identyfikacyjne i kontaktowe Administratora (firma, adres, e-mail) zostaną podane w Serwisie w sekcji kontakt/stopce. Do czasu ich publikacji kontakt w sprawach prywatności odbywa się poprzez kanał kontaktowy wskazany w Serwisie.
1.3. Jeżeli zostanie wyznaczony Inspektor Ochrony Danych (IOD), jego dane kontaktowe zostaną podane w Serwisie.
2. JAKIE DANE PRZETWARZAMY (KATEGORIE DANYCH)
2.1. Dane konta i identyfikacyjne:
a) identyfikator konta, adres e-mail, hasło w postaci zaszyfrowanego skrótu (hash),
b) ustawienia konta (np. waluta domyślna, strefa czasowa, początek miesiąca budżetowego),
c) dane niezbędne do kontaktu i obsługi zgłoszeń (np. treść wiadomości).
2.2. Dane budżetowe i finansowe wprowadzane przez Użytkownika (Treści Użytkownika):
a) transakcje (np. kwoty, daty, kategorie, opis/merchant, metoda płatności, tagi, cele),
b) budżety miesięczne i plany per-kategoria,
c) pliki importu/eksportu (np. CSV) oraz metadane importu (np. mapowanie kolumn, informacja o duplikatach).
2.3. Dane techniczne i eksploatacyjne:
a) logi systemowe i zdarzenia bezpieczeństwa (np. adres IP, identyfikatory sesji, znaczniki czasu, dane o przeglądarce/urządzeniu),
b) dane o błędach i wydajności (jeżeli stosowane są narzędzia monitoringu).
2.4. Dane płatnicze i rozliczeniowe (jeżeli dostępne są plany płatne):
a) informacje o subskrypcji, statusie płatności, identyfikatorach transakcji,
b) Administrator co do zasady nie przetwarza pełnych danych karty płatniczej – są one obsługiwane przez operatora płatności (np. Stripe); Administrator może otrzymywać ograniczone dane, np. typ karty, ostatnie cyfry, identyfikator metody płatności, dane fakturowe (jeżeli dotyczy).
2.5. Administrator nie wymaga podawania szczególnych kategorii danych (np. danych o zdrowiu, poglądach). Jeżeli Użytkownik dobrowolnie umieści takie dane w opisach transakcji lub notatkach, będą one przetwarzane wyłącznie jako część Treści Użytkownika.
3. CELE I PODSTAWY PRAWNE PRZETWARZANIA (RODO)
3.1. Utworzenie i prowadzenie Konta oraz świadczenie Usług Serwisu (w tym przechowywanie danych budżetowych, przeliczenia walut, raporty, eksport danych):
- podstawa: art. 6 ust. 1 lit. b RODO (wykonanie umowy / świadczenie usług drogą elektroniczną).
3.2. Obsługa zgłoszeń, zapytań i reklamacji:
- podstawa: art. 6 ust. 1 lit. b RODO (wykonanie umowy) oraz art. 6 ust. 1 lit. f RODO (uzasadniony interes Administratora – komunikacja i obsługa).
3.3. Płatności, rozliczenia, księgowość oraz dochodzenie/obrona roszczeń (jeżeli dotyczy):
- podstawa: art. 6 ust. 1 lit. b RODO (realizacja płatnej usługi), art. 6 ust. 1 lit. c RODO (obowiązek prawny – np. podatkowy/rachunkowy), art. 6 ust. 1 lit. f RODO (uzasadniony interes – dochodzenie/obrona roszczeń).
3.4. Zapewnienie bezpieczeństwa Serwisu, zapobieganie nadużyciom, utrzymanie i diagnostyka:
- podstawa: art. 6 ust. 1 lit. f RODO (uzasadniony interes Administratora – bezpieczeństwo i niezawodność).
3.5. Analizy i statystyki dotyczące korzystania z Serwisu (jeżeli stosowane):
- podstawa: art. 6 ust. 1 lit. f RODO (uzasadniony interes Administratora – rozwój produktu) lub art. 6 ust. 1 lit. a RODO (zgoda) – w zależności od zastosowanych narzędzi i ustawień cookies.
3.6. Funkcje AI (jeżeli zostaną udostępnione), np. sugestie kategoryzacji, wnioski miesięczne, asysta importu:
- podstawa: art. 6 ust. 1 lit. b RODO (wykonanie umowy – realizacja funkcji Serwisu) oraz/lub art. 6 ust. 1 lit. f RODO (uzasadniony interes – podnoszenie jakości funkcji), w zależności od sposobu wdrożenia; w razie potrzeby Administrator może pozyskać zgodę (art. 6 ust. 1 lit. a RODO) dla określonych funkcji AI.
4. ODBIORCY DANYCH (KOMU MOŻEMY UDOSTĘPNIAĆ DANE)
4.1. Dane mogą być ujawniane podmiotom przetwarzającym dane na zlecenie Administratora (procesorom), w szczególności:
a) dostawcy hostingu/infrastruktury (serwery, bazy danych, kopie zapasowe),
b) dostawcy poczty i komunikacji (np. wysyłka powiadomień),
c) operatorzy płatności (np. Stripe) – w zakresie obsługi płatności i subskrypcji,
d) dostawcy narzędzi analitycznych i monitoringu błędów (jeżeli stosowane),
e) dostawcy usług AI (OpenAI/ChatGPT) – wyłącznie w zakresie niezbędnym do działania funkcji AI.
4.2. Dane mogą być ujawniane także:
a) uprawnionym organom publicznym – jeśli obowiązek wynika z przepisów prawa,
b) podmiotom świadczącym obsługę prawną lub księgową – jeżeli to niezbędne.
4.3. Administrator zawiera z procesorami umowy powierzenia przetwarzania danych lub stosuje inne wymagane prawem instrumenty.
5. TRANSFERY POZA EOG (POZA UE)
5.1. Ze względu na korzystanie z usług podmiotów międzynarodowych, dane mogą być przekazywane do państw trzecich (poza Europejski Obszar Gospodarczy), w szczególności w związku z:
a) operatorem płatności (np. Stripe),
b) dostawcą usług AI (OpenAI/ChatGPT),
c) innymi dostawcami infrastruktury/narzędzi – jeżeli zostaną użyci.
5.2. W przypadku transferów poza EOG Administrator stosuje odpowiednie zabezpieczenia wymagane przez RODO, w szczególności:
a) decyzje stwierdzające odpowiedni stopień ochrony (jeżeli mają zastosowanie) lub
b) standardowe klauzule umowne (SCC) oraz dodatkowe środki bezpieczeństwa – zależnie od oceny ryzyka.
5.3. Informacje o konkretnych dostawcach i lokalizacjach przetwarzania mogą być doprecyzowane w Serwisie, jeśli będzie to wymagane.
6. OKRES PRZECHOWYWANIA DANYCH
6.1. Dane Konta oraz Treści Użytkownika są przechowywane przez czas korzystania z Konta, a następnie:
a) do czasu usunięcia Konta przez Użytkownika lub
b) do czasu usunięcia Konta przez Administratora zgodnie z Regulaminem – z zachowaniem wymogów prawa.
6.2. Dane związane z płatnościami i rozliczeniami (jeżeli dotyczy) mogą być przechowywane przez okres wynikający z przepisów prawa (np. podatkowych/rachunkowych).
6.3. Dane niezbędne do ustalenia, dochodzenia lub obrony roszczeń mogą być przechowywane do czasu przedawnienia roszczeń.
6.4. Logi techniczne i bezpieczeństwa są przechowywane przez okres niezbędny do zapewnienia bezpieczeństwa i diagnostyki, a następnie usuwane lub anonimizowane.
6.5. Kopie zapasowe mogą być przechowywane przez ograniczony czas zgodnie z polityką backupu Administratora; dane mogą zostać usunięte z backupów w cyklu nadpisywania.
7. PRAWA OSOBY, KTÓREJ DANE DOTYCZĄ
7.1. Użytkownikowi przysługują prawa:
a) dostępu do danych (art. 15 RODO),
b) sprostowania danych (art. 16 RODO),
c) usunięcia danych („prawo do bycia zapomnianym”, art. 17 RODO),
d) ograniczenia przetwarzania (art. 18 RODO),
e) przenoszenia danych (art. 20 RODO) – w zakresie przewidzianym przepisami,
f) sprzeciwu wobec przetwarzania (art. 21 RODO) – gdy podstawą jest uzasadniony interes,
g) cofnięcia zgody w dowolnym momencie – jeżeli przetwarzanie odbywa się na podstawie zgody (art. 7 RODO), bez wpływu na zgodność przetwarzania przed cofnięciem.
7.2. Realizacja praw może wymagać weryfikacji tożsamości w sposób adekwatny do ryzyka.
7.3. Użytkownik ma prawo wniesienia skargi do organu nadzorczego: Prezesa Urzędu Ochrony Danych Osobowych (UODO).
8. PROFILOWANIE, ANALIZY WYDATKÓW I ZAUTOMATYZOWANE DECYZJE
8.1. Serwis może analizować dane budżetowe w celu prezentacji podsumowań, trendów, kategorii, alertów oraz rekomendacji (np. wykrywanie powtarzalnych transakcji, sugestie budżetów).
8.2. Jeżeli Serwis stosuje „profilowanie” w rozumieniu RODO (np. automatyczne wnioskowanie o nawykach wydatkowych), odbywa się ono w celu poprawy użyteczności Serwisu i dostarczania wglądów budżetowych.
8.3. Serwis nie podejmuje wobec Użytkownika decyzji w sposób wyłącznie zautomatyzowany, które wywoływałyby skutki prawne lub w podobny sposób istotnie na niego wpływały (art. 22 RODO), chyba że zostanie to wyraźnie wskazane w Serwisie i spełnione zostaną wymagania prawne.
8.4. Funkcje AI, jeżeli będą dostępne, mają charakter wspomagający. Ostateczne decyzje dotyczące danych budżetowych należą do Użytkownika.
9. BEZPIECZEŃSTWO DANYCH
9.1. Administrator stosuje środki techniczne i organizacyjne adekwatne do ryzyka, w tym m.in. kontrolę dostępu, szyfrowanie transmisji (TLS), kopie zapasowe oraz monitoring bezpieczeństwa.
9.2. Użytkownik powinien stosować silne hasła i chronić dostęp do Konta, a także nie udostępniać danych logowania osobom trzecim.
10. COOKIES I PODOBNE TECHNOLOGIE
10.1. Serwis może wykorzystywać pliki cookies lub podobne technologie:
a) niezbędne – do prawidłowego działania Serwisu (np. utrzymanie sesji),
b) funkcjonalne – do zapamiętywania preferencji,
c) analityczne/marketingowe – jeżeli zostaną włączone (zgodnie z ustawieniami i przepisami).
10.2. Zakres i szczegóły dotyczące cookies (w tym ewentualni dostawcy i cele) mogą zostać opisane w banerze cookies lub w ustawieniach prywatności w Serwisie.
11. ZMIANY POLITYKI PRYWATNOŚCI
11.1. Polityka może być aktualizowana w szczególności w przypadku zmian funkcjonalności Serwisu, wdrożenia nowych dostawców (np. płatności, analityka, AI) lub zmian prawa.
11.2. Informacja o zmianach zostanie udostępniona w Serwisie lub drogą elektroniczną (jeżeli Serwis przewiduje taką formę komunikacji).
12. POSTANOWIENIA KOŃCOWE
12.1. W sprawach nieuregulowanych zastosowanie mają właściwe przepisy prawa, w szczególności RODO oraz przepisy krajowe.
12.2. Polityka obowiązuje od daty wskazanej w nagłówku.