Polityka prywatności Zecca

Data wejścia w życie: 6 października 2026

Jakie dane przetwarza Zecca

Zecca domyślnie przechowuje dane Twojego portfela na urządzeniu.

• Synchronizacja iCloud (opcjonalna): jeśli ją włączysz, dane są przechowywane w Twoim prywatnym kontenerze Apple iCloud.
• Prywatna synchronizacja Zecca (opcjonalna): jeśli ją włączysz, rekordy portfela są szyfrowane na urządzeniu przed wysłaniem do Supabase.

Konto synchronizacji Zecca przechowuje:

• adres e-mail konta,
• dane logowania prowadzone przez usługę uwierzytelniania Supabase: czas założenia konta i ostatniego logowania oraz — przy logowaniu przez Apple lub Google — dane tożsamości przekazane przez dostawcę,
• datę ukończenia wprowadzenia do aplikacji,
• neutralną etykietę urządzenia,
• identyfikator urządzenia wygenerowany przez aplikację,
• zaszyfrowane rekordy portfela,
• zaszyfrowaną kopię zapasową klucza synchronizacji.

Treść rekordów jest zaszyfrowana, ale do działania synchronizacji serwer przechowuje jawnie: typ i identyfikator każdego rekordu (np. transakcja, konto, wycena), czas jego utworzenia, zmiany i usunięcia, identyfikator urządzenia, które go zapisało, platformę urządzenia i czas jego ostatniej aktywności oraz parametry wyprowadzania klucza (KDF). Na tej podstawie można ustalić np. liczbę rekordów każdego typu i daty ich zmian, ale nie ich treść.

Supabase i Vercel (hosting wersji web) zapisują w technicznych dziennikach żądań m.in. adres IP i identyfikator przeglądarki lub aplikacji (User-Agent). W dziennikach Vercel znajdują się też adresy zapytań wersji web o dane rynkowe, które zawierają symbole instrumentów. Dzienniki te są przechowywane krótko — zgodnie z domyślną retencją bezpłatnych planów tych dostawców, nie dłużej niż kilka dni.

Zaszyfrowaną kopię klucza synchronizacji odblokowuje na nowym urządzeniu klucz wyprowadzany lokalnie: przy koncie z hasłem — z hasła Twojego konta, a przy logowaniu przez Apple lub Google (konto bez hasła) — z osobnej frazy synchronizacji (passphrase), którą ustawiasz w aplikacji. Zecca nie przechowuje hasła ani frazy na serwerze i nie używa ich po stronie serwera do odszyfrowywania danych. Fraza nie opuszcza Twojego urządzenia. Przy logowaniu hasłem do usługi uwierzytelniania trafia sekret logowania wyprowadzony z hasła funkcją jednokierunkową (PBKDF2), inny niż klucz, którym szyfrowana jest kopia klucza synchronizacji. Samo hasło nie jest wysyłane do serwera — także przy nieudanym logowaniu, zakładaniu konta, zmianie i resecie hasła.

Jeśli kopia klucza jest chroniona starszą, osobną frazą synchronizacji, a logujesz się hasłem konta, wystarczy raz podać tę frazę — kopia klucza zostaje wtedy ponownie zaszyfrowana hasłem konta i fraza przestaje być potrzebna. W aplikacjach na iOS i macOS dzieje się to przy logowaniu hasłem bez pytania o frazę, jeśli urządzenie ma już lokalnie klucz, którym da się odczytać dane zapisane na serwerze. Bez hasła konta (albo frazy synchronizacji) zaszyfrowanych danych nie da się odczytać — jeśli utracisz hasło lub frazę, nie odzyskamy danych.

Logowanie przez Apple lub Google

Jeśli logujesz się przez Apple lub Google, otrzymujemy od tego dostawcy adres e-mail (w przypadku Apple może to być adres przekierowujący „Ukryj mój e-mail”) i techniczny identyfikator konta, a jeśli dostawca je przekaże — także imię i nazwisko oraz adres zdjęcia profilowego (zapisuje je usługa uwierzytelniania Supabase). Nie otrzymujemy Twojego hasła do Apple ani Google, ani dostępu do innych danych z tych kont.

Notowania i dane rynkowe

Aby wyświetlać aktualne ceny, kursy walut, inflację i parametry obligacji, Zecca pobiera dane od publicznych dostawców: Yahoo Finance, CoinGecko, NBP, GUS, Bankier.pl, BiznesRadar, obligacjeskarbowe.pl oraz Finwire. Zapytanie zawiera wyłącznie symbol instrumentu, kod waluty lub serię obligacji, wyszukiwaną frazę oraz datę lub zakres dat — nigdy liczbę jednostek, kwoty, nazwy portfeli ani dane konta. W aplikacjach na iOS i macOS zapytania są wysyłane bezpośrednio z Twojego urządzenia, więc dostawca widzi Twój adres IP. W wersji web zapytania przechodzą przez serwer Zecca, a dostawca widzi adres serwera.

Dane lokalne w przeglądarce

W przeglądarce Zecca zapisuje ustawienia interfejsu, profil wyświetlany w aplikacji (nazwa i zdjęcie, jeśli je ustawisz) wraz z preferencjami powiadomień, identyfikator urządzenia web, lokalną kolejkę synchronizacji oraz — jeśli włączysz blokadę aplikacji — jej ustawienia i skrót kodu PIN. Po odblokowaniu danych klucz odszyfrowywania jest zapamiętywany w IndexedDB tej przeglądarki, aby nie trzeba było go odblokowywać przy każdej wizycie. Klucz jest usuwany przy wylogowaniu.

Po zalogowaniu hasłem, założeniu konta lub ustawieniu nowego hasła hasło trafia na krótko do sessionStorage bieżącej karty, aby odblokować dane bez ponownego wpisywania. Jest ważne najwyżej 2 minuty; usuwamy je zaraz po użyciu i przy wylogowaniu, a przeglądarka — po zamknięciu karty.

Odszyfrowane dane portfela są przetwarzane w pamięci aktywnej karty. Pliki importu są parsowane lokalnie w przeglądarce, a eksporty są generowane lokalnie.

Telemetria produktowa

Za Twoją zgodą Zecca zbiera pseudonimową telemetrię produktową przez TelemetryDeck GmbH (Augsburg, Niemcy): użycie ekranów, importy (nazwa brokera i liczba wierszy podana w przedziale, np. 6–20), typ dodanej transakcji (np. kupno, wpłata) lub formę zatrudnienia przy dodanym zarobku (etat lub działalność), akcje synchronizacji, wersję i numer kompilacji aplikacji, platformę oraz wybrany tryb synchronizacji. W aplikacjach na iOS i macOS TelemetryDeck otrzymuje też zahaszowany, stały identyfikator urządzenia oraz parametry urządzenia i systemu, m.in. model urządzenia, wersję systemu, architekturę procesora, rozdzielczość i orientację ekranu, język, region, strefę czasową, ustawienia dostępności, sposób instalacji aplikacji (np. App Store, TestFlight) oraz statystyki sesji (liczba i długość sesji, liczba dni użycia, data pierwszego uruchomienia).

Telemetria nie zawiera kwot, tickerów, adresów e-mail, identyfikatorów portfeli ani identyfikatora konta synchronizacji. W wersji web TelemetryDeck otrzymuje zamiast identyfikatora urządzenia losowy identyfikator istniejący tylko w pamięci bieżącej karty; nie zapisujemy go w cookies, localStorage, sessionStorage ani IndexedDB. W aplikacjach na iOS i macOS pytamy o zgodę przy pierwszym uruchomieniu, a w przeglądarce — w okienku „Pomóż ulepszać Zecca”; bez Twojej zgody nic nie jest wysyłane.

Za Twoją zgodą wersja web korzysta także z Vercel Analytics i Vercel Speed Insights do pomiaru odwiedzin, wydajności i stabilności strony (m.in. adres podstrony, typ przeglądarki i urządzenia, kraj); bez zgody ich skrypty nie są wczytywane. Adres podstrony wysyłamy bez parametrów i identyfikatorów (np. /portfolios/:id). Te dane pomagają wykrywać problemy z wersją web, ale nie zawierają treści portfela, transakcji, tickerów ani importowanych plików.

Cookies i sesja

Zecca używa cookies sesji Supabase wyłącznie do logowania, odświeżania sesji i ochrony dostępu do prywatnych części aplikacji. Są one niezbędne do usługi, o którą prosisz. W wersji demo ustawiamy dodatkowo sesyjne cookie zecca-demo, które oznacza, że przeglądasz dane przykładowe; znika po zakończeniu demo lub zamknięciu przeglądarki. Nie używamy cookies reklamowych, remarketingowych ani cookies TelemetryDeck.

Nie używamy banera cookies — o zgodę na statystyki użycia pytamy w osobnym okienku, a Twoją decyzję zapisujemy w localStorage przeglądarki (zecca-web-analytics-consent-v1). Pozostałe lokalne magazyny przeglądarki służą wyłącznie działaniu funkcji wybranych przez użytkownika: ustawieniom interfejsu, kolejce zaszyfrowanej synchronizacji, blokadzie aplikacji, krótkiemu przekazaniu hasła po zalogowaniu i lokalnie zapamiętanemu kluczowi odszyfrowywania. Nie służą reklamie ani śledzeniu między witrynami.

Podstawy prawne

• Konto i synchronizacja — wykonanie usługi, o którą prosisz (art. 6 ust. 1 lit. b RODO).
• Statystyki użycia: telemetria produktowa (TelemetryDeck) oraz pomiar odwiedzin i wydajności strony (Vercel Analytics, Speed Insights) — Twoja zgoda (art. 6 ust. 1 lit. a RODO). Możesz ją wycofać w każdej chwili, bez wpływu na zgodność z prawem przetwarzania sprzed jej wycofania: w aplikacjach na iOS i macOS w ustawieniach, a w wersji web przyciskiem „Zmień decyzję o statystykach użycia” na tej stronie, odnośnikiem w stopce lub w Ustawieniach (decyzja dotyczy tej przeglądarki).

Komu powierzamy dane

Dane przetwarzają w naszym imieniu następujący dostawcy:

• Supabase Inc. — konto, zaszyfrowane rekordy portfela i zaszyfrowana kopia klucza; dane przechowywane w Zurychu (Szwajcaria — kraj, wobec którego Komisja Europejska stwierdziła odpowiedni stopień ochrony danych).
• Vercel Inc. — hosting wersji web, pośredniczenie w zapytaniach o dane rynkowe oraz — za Twoją zgodą — statystyki odwiedzin i pomiar wydajności (Vercel Analytics, Vercel Speed Insights); funkcje serwerowe działają w regionie UE (Frankfurt).
• TelemetryDeck GmbH (Niemcy) — telemetria produktowa.
• Dostawca usługi wysyłki poczty e-mail (SMTP) — wysyłka wiadomości związanych z kontem (potwierdzenie rejestracji, link do resetu hasła); otrzymuje Twój adres e-mail i treść tej wiadomości.

Synchronizacja iCloud działa w ramach Twojego własnego konta Apple: jeśli ją wybierzesz, dane trafiają do Twojego prywatnego kontenera iCloud na zasadach, które łączą Cię z Apple. Zecca nie ma do nich dostępu.

Supabase i Vercel to firmy z USA. Jeśli dane trafiają poza Europejski Obszar Gospodarczy, odbywa się to na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską lub decyzji o odpowiednim stopniu ochrony (EU-US Data Privacy Framework).

Śledzenie

Zecca nie używa zebranych danych do śledzenia Cię w innych aplikacjach ani witrynach.

Ile czasu przechowujemy dane

Dane portfela na Twoim urządzeniu (tryb lokalny, iCloud) przechowujemy tak długo, jak korzystasz z aplikacji — usuwasz je samodzielnie, usuwając aplikację lub konkretne rekordy. Konto synchronizacji Zecca i powiązane z nim dane (e-mail, etykieta i identyfikator urządzenia, zaszyfrowane rekordy portfela, zaszyfrowana kopia klucza) przechowujemy do chwili usunięcia konta — usunięcie w aplikacji kasuje je trwale, bez okresu przejściowego. Usunięcie pojedynczego rekordu (np. transakcji) tylko oznacza go na serwerze jako usunięty; jego zaszyfrowana treść pozostaje tam do usunięcia konta, rozpoczęcia synchronizacji od nowa albo — po włączeniu automatycznego czyszczenia — najdłużej 180 dni. Kopie zapasowe infrastruktury (np. Supabase) mogą przechowywać usunięte dane przez ograniczony czas rotacji backupu, zanim zostaną nadpisane. Telemetria produktowa (TelemetryDeck) jest przechowywana zgodnie z domyślną retencją tego dostawcy i nie jest powiązana z Twoim kontem ani tożsamością.

Co się zmienia, gdy wyłączysz synchronizację lub wycofasz zgodę na statystyki

Wyłączenie prywatnej synchronizacji Zecca lub iCloud nie usuwa danych już przesłanych. Z serwera Zecca usuwasz je, kasując konto; z iCloud — usuwając rekordy w aplikacji, dopóki synchronizacja iCloud jest włączona. Po wyłączeniu nowe zmiany zostają wyłącznie lokalnie na urządzeniu, na którym je wprowadzasz, i przestają się pojawiać na pozostałych Twoich urządzeniach. Wycofanie zgody na statystyki użycia (TelemetryDeck, Vercel Analytics, Speed Insights) zatrzymuje wysyłanie nowych zdarzeń natychmiast; nie wpływa to na działanie żadnej funkcji aplikacji.

Czy musisz podać dane

Podanie danych jest dobrowolne. Adres e-mail jest niezbędny tylko do założenia konta synchronizacji Zecca — z aplikacji możesz korzystać bez konta, w trybie lokalnym lub z iCloud. Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu (art. 22 RODO).

Twoje prawa

Masz prawo dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania i przeniesienia (eksport danych jest dostępny w aplikacji), a także prawo sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie i prawo wycofania zgody w dowolnym momencie — bez wpływu na zgodność z prawem przetwarzania sprzed jej wycofania. Konto i powiązane z nim dane synchronizacji usuniesz bezpośrednio w aplikacji (na iOS i macOS: Ustawienia → Konto i synchronizacja → Usuń konto Zecca; w wersji web: Ustawienia → Usuń konto) lub pisząc na adres kontakt@jacekzieba.pl. Masz też prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

Zmiany w tej polityce

Jeśli zmienimy tę politykę w sposób, który wpływa na to, jakie dane zbieramy lub jak ich używamy, zaktualizujemy datę wejścia w życie na górze tej strony i — przy istotnych zmianach — poinformujemy Cię w aplikacji przed ich wejściem w życie.

Kontakt

W sprawach dotyczących prywatności napisz na: kontakt@jacekzieba.pl