Polityka prywatności

Administratorem danych jest Sławomir Zieliński, osoba prywatna. Ladio nie jest firmą ani usługą sprzedawaną komukolwiek — powstało do prowadzenia jednego gospodarstwa domowego i korzysta z niego kilka osób z tego domu.

We wszystkich sprawach dotyczących danych — pytania, poprawki, usunięcie konta — pisz na czesc@ladio.pl. To ten sam adres, pod który trafiają zgłoszenia dotyczące ochrony danych.

Tylko to, co sam wpiszesz albo wczytasz. Nic nie zbiera się w tle.

• Konto: adres e-mail, opcjonalnie imię i nazwisko. Hasło przechowuje dostawca logowania w postaci skrótu — Ladio nigdy nie widzi go jawnie. Przy logowaniu przez Google dostajemy adres e-mail i nazwę konta, nic ponadto.
• Dom: nazwa domu oraz lista osób z dostępem wraz z ich rolą.
• Zadania i projekty: treść, terminy, notatki, kto co zrobił.
• Rachunki: nazwa, kwota, dzień płatności, notatki, historia zapłat.
• Liczniki i media: numer fabryczny licznika, stany, daty odczytów oraz stawki z faktury za media.
• Finanse: operacje z wyciągu — data księgowania, kwota, waluta, nazwa drugiej strony, tytuł przelewu i kategoria nadana przez bank. Do tego konta i ich salda, budżety, kategorie, reguły oraz pożyczki i kredyty wraz z harmonogramem rat.

Ladio przetwarza dane wyłącznie po to, żeby robić to, o co je prosisz: pilnować terminów, liczyć rachunki i podsumowywać pieniądze. Nie ma tu drugiego zastosowania — analityki, marketingu ani odsprzedaży komukolwiek.

• Konto i prowadzenie domu — bo bez tego nie ma jak dać Ci dostępu do własnych danych (art. 6 ust. 1 lit. b RODO).
• Odczyt faktur i zdjęć, import z Kalendarza, połączenie z bankiem — Twoja zgoda, wyrażana osobno przy każdej z tych funkcji i odwoływalna w każdej chwili (art. 6 ust. 1 lit. a RODO).
• Pilnowanie, kto ma dostęp do domu — prawnie uzasadniony interes, czyli po prostu to, żeby dane jednego domu nie wyciekły do drugiego (art. 6 ust. 1 lit. f RODO).

Ladio powstało do prowadzenia jednego gospodarstwa domowego, a takie użycie może w ogóle nie podlegać RODO (art. 2 ust. 2 lit. c). Nie opieramy się na tym wyjątku — opisujemy tu wszystko tak, jakby przepisy stosowały się w pełni, bo tak jest uczciwiej wobec każdego, kto to czyta.

To nie jest lista rzeczy, o których zapomnieliśmy — to decyzje podjęte przy pisaniu każdej z tych funkcji.

• Pełnych numerów rachunków. Z numeru rachunku zostaje jednokierunkowy skrót (SHA-256 z sekretem Twojego domu) i cztery ostatnie znaki — tyle, ile bank pokazuje przy karcie. Po skrócie poznajemy, że to znowu ten sam rachunek; samego numeru nie da się z niego odtworzyć ani wykonać nim przelewu.
• Gdzie liczy się ten skrót. Przy wczytywaniu pliku CSV — w Twojej przeglądarce: plik nigdzie nie jest wysyłany, a na serwer idzie sam skrót. Przy połączeniu z bankiem tego wyboru nie ma, bo numery przychodzą z banku prosto na serwer; skrót liczy się więc na serwerze, natychmiast, a pełny numer nie jest nigdzie zapisywany. Wynik w bazie jest w obu przypadkach ten sam.
• Adresów z wyciągu. Nie opuszczają Twojego komputera.
• Wgranych plików. PDF faktury i zdjęcie licznika trafiają na serwer tylko na czas odczytu i nie są zapisywane. W bazie zostaje wynik — stawki, wskazania, daty — a nie dokument.
• Danych logowania do banku. Ladio nie ma nawet gdzie ich wpisać — logujesz się na stronie swojego banku. Więcej w punkcie 7.

Poniżej wszystkie usługi zewnętrzne, którym Ladio cokolwiek przekazuje. Kolumna „Kiedy” mówi, czy dana usługa widzi dane zawsze, czy dopiero wtedy, gdy sam z niej skorzystasz — bez tego nie wysyłamy do niej niczego.

Dwie rzeczy warto rozwinąć, bo sama nazwa firmy niczego nie tłumaczy.

• Odczyt faktury. Z PDF-a wyciągamy tekst na własnym serwerze, bez żadnego wywołania na zewnątrz. Potem zamazujemy w nim dane osobowe — imiona, adresy, numery klienta, adresy e-mail, długie ciągi cyfr — i pokazujemy Ci wynik na ekranie. Dopiero to, co widzisz, idzie do modelu. Sam plik nie wychodzi z serwera nigdy.
• Zdjęcie licznika. Tu do modelu idzie cały obraz, bo tarcza licznika to cyfry i nie ma czego zamazywać. Dane o miejscu zdjęcia siedzą w metadanych EXIF, a te zdejmuje przeglądarka przy przeskalowaniu — zanim plik w ogóle wyjdzie z Twojego komputera.

Anthropic i Vercel mają siedzibę w Stanach Zjednoczonych. Przekazywanie danych opiera się na standardowych klauzulach umownych będących częścią ich warunków przetwarzania. Zgodnie z warunkami API Anthropic dane przesłane przez API nie służą do trenowania modeli.

Nie ma tu ciasteczek analitycznych, reklamowych ani wtyczek społecznościowych. Nie zbieramy statystyk odwiedzin. Zostają trzy rzeczy, bez których aplikacja nie działa:

• ciasteczka sesji logowania — po nich wiadomo, że to Ty, i znikają przy wylogowaniu;
• trzy ciasteczka importu z Kalendarza Google, ważne tylko na ścieżce importu i tylko na czas jednego logowania do Google (godzina);
• wybrany motyw — jasny albo ciemny — zapisany w pamięci przeglądarki.

Ladio umie pobierać saldo i historię rachunku bezpośrednio z banku, zamiast czekać na wyciąg. Ta droga uruchamia się dopiero wtedy, gdy sam podłączysz konkretny rachunek; dopóki tego nie zrobisz, nic z tego punktu się nie dzieje.

• Tylko odczyt. Ladio może zobaczyć saldo i operacje. Nie może zlecić przelewu ani niczego w banku zmienić — nie ma do tego uprawnienia po stronie banku, nie tylko przycisku w aplikacji.
• Zgodę wydajesz w banku. Logujesz się na stronie swojego banku, tak jak zwykle. Ladio nie widzi ani nie zapisuje Twojego loginu, hasła ani kodu z aplikacji banku.
• Techniczną stronę obsługuje Enable Banking — dostawca usługi dostępu do informacji o rachunku, działający na podstawie własnej licencji i własnych umów z bankami.
• Zgoda jest terminowa i odwoływalna. Bank wyznacza okres jej ważności (przepisy pozwalają na najwyżej 180 dni bez ponownego potwierdzenia), a Ty możesz ją cofnąć w każdej chwili — odłączając konto w Ladio albo odbierając zgodę w swoim banku. Po cofnięciu Ladio przestaje pobierać cokolwiek; operacje wczytane wcześniej zostają, dopóki ich nie skasujesz.
• Z banku bierzemy to samo, co z wyciągu: datę, kwotę, nazwę drugiej strony i tytuł. Numery rachunków — Twoich podłączonych i drugiej strony — przychodzą tą drogą na serwer i tam od razu zamieniają się w skrót i cztery ostatnie znaki, jak w punkcie 4. Pełny numer nie trafia do bazy.

Dopóki ich nie skasujesz. Operacje, rachunki, zadania i odczyty kasujesz sam, a w Ustawieniach jest osobny przycisk czyszczący całe finanse.

Konto wraz ze wszystkim, co do niego należy, usuwamy na żądanie — napisz na adres z punktu 1, zrobimy to w ciągu 30 dni. Gdy dom zostaje usunięty, znikają razem z nim wszystkie jego dane; usunięcie jest nieodwracalne, bo nie prowadzimy kopii „na wszelki wypadek” poza kopiami zapasowymi bazy, które i tak wygasają.

Masz prawo dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przeniesienia do innej usługi i sprzeciwu wobec przetwarzania, a zgody, które wyraziłeś — na odczyt faktur, import z Kalendarza, połączenie z bankiem — możesz cofnąć w każdej chwili, bez wpływu na to, co działo się wcześniej.

W praktyce wystarczy napisać na adres z punktu 1; odpowiadamy w ciągu miesiąca. Jeśli uznasz, że przetwarzamy dane niezgodnie z prawem, możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

• Cała łączność idzie po HTTPS.
• Dostęp do danych domu ma wyłącznie osoba do tego domu dopisana. Pilnuje tego sama baza danych, a nie tylko interfejs — obejście ekranu niczego nie daje.
• Klucze do usług zewnętrznych żyją w zmiennych środowiskowych i nie ma ich w kodzie ani w repozytorium.
• Nie podejmujemy zautomatyzowanych decyzji wywołujących wobec Ciebie skutki prawne i nie profilujemy Cię. Model czyta fakturę i tarczę licznika — i na tym kończy się jego rola.

Data u góry mówi, od kiedy obowiązuje ta wersja. Gdy zmieni się coś istotnego — dojdzie nowa usługa zewnętrzna albo zmieni się zakres danych — napiszemy o tym w aplikacji, zanim zmiana wejdzie w życie.

Zasady korzystania z samej aplikacji opisuje regulamin.