Kimda

Политика за поверителност

Последна актуализация: 27 октомври 2026 г.

Задължителна е чешката версия на тази политика. Преводите на други езици служат само за информация; при несъответствие важи чешката версия.

Този документ описва какви данни обработват приложението Kimda („приложението“, „ние“) и уебсайтът kimda.app, защо и на какво правно основание, на кого ги предаваме, колко дълго ги съхраняваме и какви права имате вие и вашите деца. Приложението е предназначено за използване от цялото семейство, включително децата – затова подхождаме към защитата на данните особено внимателно.

1. Кой е администратор на данните

Администратор на данните е Mgr. Ivo Slávka, който управлява приложението Kimda като физическо лице – предприемач, вписано в търговския регистър, воден от ÚMČ Praha 8, IČO 30070929, със седалище Bergerova 1115/2, 182 00 Praha 8 – Kobylisy, Чешка република. Имейл за контакт по въпроси за поверителността и за упражняване на вашите права: privacy@kimda.app.

2. Какви данни обработваме и защо

• Данни за акаунта: име, фамилия, телефонен номер, роля (родител/дете), избран език и тема на изгледа, незадължителна профилна снимка, версията на тази политика и времето, когато сте се съгласили с нея, за родителя – времето на потвърждаване на пълнолетието, а за детето – времето, версията на политиката и родителя, който е дал съгласие за детето (точка 5). Вашето име и профилна снимка са видими за другите членове на вашето семейство в приложението (родителят вижда всички членове, детето вижда своите родители и братя/сестри).
• Телефонния номер използваме за потвърждаване на самоличността (SMS код) и вход и неговия необратим отпечатък също за защита на пробния период на Premium (точка 6), след промяна на номера за удостоверяване на заявка за връщане на превзет акаунт (записите за сигурност по-долу) и след възстановяване на базата данни от резервно копие за задържане на входа на номер, който акаунтът по-рано е напуснал (журналът за промени на телефона по-долу) – приложението на номера иначе не пише на никого и не го споделя с трети страни освен с доставчика на SMS потвърждението (Twilio, вж. точка 4).
• Данни за семейството: име на семейството, кой принадлежи към него, какви роли и настройки има всеки (проценти за разпределяне на джобните пари, валута, език и часова зона на семейството) и история на промените във финансовите правила (кой и кога е променил напр. лихвата, процентите за разпределяне, валутата или часовата зона и от каква стойност на каква).
• Заявки за присъединяване: име, фамилия, роля и телефонен номер на човека, който иска да се присъедини към семейството, и час на заявката – за да вижда родителят кого одобрява.
• Заявки за съгласие на родители: тип на заявката (премахване на родител или изтриване на цялото семейство), кой я е подал, за кого се отнася и кой я е одобрил, отхвърлил или отменил (вътрешни идентификатори), времеви данни (подаване, срок, напомняне, обработка) и резултат (одобрено, отхвърлено, отменено, извършено след изтичане на срока или обезсилено); не съхраняваме имена, телефонни номера или свободен текст. Заявките се виждат от родителите в семейството в приложението.
• Данни за задачите: име на задачата, точки, кога е изпълнена/одобрена/отхвърлена, и снимки, ако задачата изисква снимка, включително технически отпечатък на снимката (вж. точка 3).
• Планове, рутини и напомняния: на кого е възложена задачата, планиран ден и час, статус на изпълнение, закъснение, ред на редуване и дали е изпратено напомняне.
• Награды и цели: семейният каталог с награди, заявки за награда, цели за спестяване и суми, които детето е прехвърлило към целта. Прегледът за родители извежда от тези данни обобщени показатели за изпълнение, навременност и равномерност на разпределението; не създава публична класация на децата.
• Финансови данни в приложението: точки, виртуални джобни пари и тяхното разпределение, заявки за изплащане, заеми и лихви в рамките на семейството – това е вътрешна отчетност на приложението, а не истински банкови или платежни данни. Приложението няма достъп до никаква банкова сметка или платежна карта. Месечното обобщение на детето (брой одобрени задачи, точки, а с Premium и сумата за текущия месец; не и салдата в касичките) също е видимо за другите деца в същото семейство, освен ако родител не го изключи в настройките на семейството.
• Записи на директни изплащания и ръчни погасявания: когато родител в приложението изплати на дете част от неговия остатък директно (без заявка от детето) или запише ръчно погасяване на негов заем, сървърът записва за всяка такава операция отделен запис, който по-нататък не се променя. Той съдържа вътрешни идентификатори на семейството, детето и родителя, извършил операцията, вид на операцията (директно изплащане, ръчно погасяване), сума, при изплащане касичката, от която е изплатено, и разбивка на сумата (при изплащане на част от собствени вноски и част от начислена лихва, при погасяване на главница и лихва), време на операцията и случаен идентификатор на заявката. Записът служи за това да може да се докаже какво и кога родителят е записал в приложението и евентуален спор в семейството да може да се прецени според записа, а не само според крайния остатък. Това е вътрешна отчетност на приложението – самото приложение не превежда никакви пари. Записите са част от експорта на данни (точка 7) и се съхраняват съгласно точка 6.
• Абонамент: статус на абонамента на семейството (пробен период, Premium, неговата валидност и подновяване) и евентуален безплатен достъп чрез промокод; самите промокодове сървърът съхранява само като отпечатък HMAC и записва управлението на кодовете (кой, кога, какво действие). Платежни данни не виждаме – плащането се обработва от Apple или Google. Документът за съгласие с незабавното започване на Premium, който съхраняваме като доказателство за това съгласие, е описан в точка 6.
• Вход и сигурност: сесии за вход на отделните устройства (кога е създадена, кога е била последно използвана и до кога е валидна). Родителят вижда в Моят профил преглед на своите влезли устройства (само времето на вход и последно използване, без IP адрес и име на устройството) и може да излезе от тях поотделно. Токените за опресняване сървърът съхранява само като отпечатъци SHA-256, включително отпечатъците на вече заменени токени, за да разпознае злоупотреба с откраднат токен. При заявка за SMS код той съхранява кодирания отпечатък (HMAC-SHA-256) на телефонния номер и отпечатъка SHA-256 на еднократното предизвикателство заедно с броя опити, при промяна на номера и при потвърждаване на изтриване на семейството и нейната цел и вътрешния идентификатор на акаунта. Лимитите за броя заявки, включително дневния лимит за изпратени SMS, се изчисляват според кодирания отпечатък (HMAC-SHA-256) на IP адреса или неговата мрежа (IPv4 /24, IPv6 /56), телефонния номер, двойката телефонен номер и мрежа или акаунта, или според държавата или кода на телефонния номер. Ключът за тези отпечатъци сървърът извлича от таен ключ, съхранен извън базата данни, така че отпечатъкът не може да бъде преобразуван обратно в телефонен номер или IP адрес без него. Записите за сигурност за важни събития (напр. вход, заявка за присъединяване, одобряване, отхвърляне или премахване на член, нов код за покана, изход на устройство, промяна на телефонен номер, потвърждаване на политиката, съгласие на родител за дете или подозрение за злоупотреба с токен) съдържат типа на събитието, времето и вътрешни идентификатори; при премахване на член допълнително неговата роля (родител/дете), при потвърждаване на политиката и съгласие на родител версията на политиката, а при изтриване на акаунт на дете, което е имало дълг, остатък или необработени заявки, също валутата, отписаните суми и броя на необработените заявки. Записът за сигурност за промяна на телефонния номер допълнително съдържа необратим отпечатък на първоначалния номер (HMAC с таен ключ), за да може поддръжката да провери, че заявката за връщане на превзет акаунт е подадена от действителния собственик на първоначалния номер. Имена, телефонни номера или IP адреси в тях няма. Промените на телефонния номер и премахването или възстановяването на член на семейството освен това се записват в отделен журнал, описан в точката „Журнал за промени на телефона и статуса на член“ по-долу.
• Известия за сигурност: когато родител влезе с SMS код, останалите родители в семейството получават общо известие без име и телефонен номер; при всеки вход с SMS код (на родител и дете) общо известие за нов вход ще получат и досегашните влезли устройства на същия акаунт. При промяна на телефонния номер (новият номер се потвърждава с SMS код) сървърът излиза от профила на останалите влезли устройства на акаунта и досегашните устройства на акаунта, както и родителите в семейството, получават общо известие; първоначалният номер не се съхранява повече – остава само неговият необратим отпечатък в записа за сигурност за промяната (30 дни, вж. раздел 6), необратимите отпечатъци на първоначалния и новия номер в журнала за промени на телефона (60 дни, вж. по-долу и раздел 6), а при родител, който е бил член на семейството по време на неговия пробен период, също и отпечатък съгласно раздел 6. Когато по искане на титуляря на акаунта поддръжката възстанови номера, тя първо проверява неговата самоличност: чрез SMS код, изпратен на първоначалния номер, чийто отпечатък трябва да съвпада с отпечатъка в записа за промяна на номера. Когато такава проверка не е възможна (записът за промяната вече не съществува или титулярят няма първоначалния номер), тя я проверява чрез потвърждение от друг родител в семейството (удостоверено чрез SMS код, изпратен на номера на този родител) и чрез отговори на въпроси, които поддръжката ще зададе; в такъв случай тя първо изпраща известие до устройствата на акаунта и до родителите в семейството, а номерът се връща най-рано след 72 часа, ако никой не възрази; ще виждате това известие след влизане и директно в приложението през целия срок. Без такава проверка тя няма да възстанови номера и няма да отмени никаква заявка – може само да излезе от всички устройства на акаунта. Ако поддръжката вече е връщала същия акаунт през последните 30 дни, тя счита следващата заявка за спор и няма да възстанови номера без допълнителна проверка. След възстановяването сървърът излиза от акаунта на всички устройства, родителите в семейството получават общо известие и намесата се записва (кой я е извършил, кога, за кой акаунт се отнася и връзка към вашата заявка – без телефонен номер). Общо известие получават родителите също при изтриване на акаунт на дете, при премахване на друг родител (както и премахнатият родител) и при подозрение за злоупотреба с токена за вход; в този случай сървърът излиза от акаунта на всички устройства и отменя неговите регистрации за известия. Известията за сигурност (напр. за нов вход или устройство, промяна на телефонен номер, промяна във финансовите правила, премахване на член, изтриване на акаунт на дете или подозрение за злоупотреба с токен) сървърът първо запазва на опашка (вид на известието, получател - push токен на устройството или вътрешен идентификатор на семейството или акаунта и език - и общ технически тип на събитието) и едва след това ги доставя оттам; известията при връщане на превзет акаунт от поддръжката (по-горе) се изпращат директно. Ако доставянето на известието до родителите или устройствата на акаунт на член от семейството не успее дори след многократни опити, сървърът запазва само вътрешния идентификатор на семейството, вида на известието и времето (без push токена и без име), за да може родителят при следващото влизане в приложението да види какво е било известието и да може да го потвърди; ако получателят няма никакво устройство, на което може да се изпрати известието, такъв запис не се създава. Сроковете за съхранение са определени в точка 6.
• Журнал за промени на телефона и статуса на член: наред със записите за сигурност по-горе, за всяка промяна на телефонния номер на акаунта (независимо дали я извършите сами в Профила, или по ваша заявка я извърши поддръжката) и за всяко премахване или възстановяване на член на семейството сървърът води отделен запис в журнала. Записът съдържа случаен идентификатор на записа, вътрешни идентификатори на акаунта и семейството, вид на събитието (промяна на номер, възстановяване на номер от поддръжката, премахване на член, възстановяване на член), време на събитието и – само при промяна на номера – необратими отпечатъци на първоначалния и новия номер (HMAC-SHA-256 с таен ключ, който се съхранява извън базата данни). При премахване и възстановяване на член няма никакви отпечатъци. Телефонни номера, имена или IP адреси в журнала няма. Отпечатъкът не може без тайния ключ да се преобразува обратно в телефонен номер, но тъй като е обвързан с вътрешния идентификатор на акаунта, представлява псевдонимизирана данна, а не анонимна данна. Журналът служи само за защита от последствията от възстановяване на базата данни от резервно копие: за да не се върне към акаунта номер, който акаунтът междувременно е напуснал (и който някой друг може да е превзел), и за да се приложи отново премахването на член на семейството, което резервното копие не съдържа. Затова при вход с SMS код и при потвърждаване на телефонния номер сървърът сравнява отпечатъка на въведения номер с последния запис в журнала; ако не съвпада, задържа входа и препраща към поддръжката. Записът се запазва в базата данни и обикновено до няколко минути също в копие в отделно непублично хранилище Cloudflare R2 (точка 4), за да оцелее при загуба на базата данни между резервните копия. Сроковете за съхранение са посочени в точка 6.
• Технически данни: push токен и случаен идентификатор на устройството, който приложението създава за доставяне на известия (това не е хардуерен идентификатор), времето на последната регистрация на устройството, входът, към който принадлежи регистрацията, и отпечатък SHA-256 на случайната тайна на инсталацията, с която устройството доказва, че push токенът му принадлежи. След освобождаване на регистрацията (изход, премахване на член, блокиране за сигурност или автоматично почистване) сървърът помни два времево ограничени записа, за да не може известията на устройството да бъдат превзети от чужд акаунт: (a) запис за освободения push токен – отпечатъци SHA-256 на push токена и тайната на инсталацията, вътрешен идентификатор на семейството и време на освобождаване (така освободеният токен не може да бъде превзет от акаунт от друго семейство); и (б) запис за освободеното устройство – вътрешен идентификатор на акаунта, случаен идентификатор на устройството, същите отпечатъци и време на освобождаване (така освободеното устройство не може без доказване, че става въпрос за същата инсталация, отново да бъде заето от друга сесия за вход на същия акаунт, например открадната). Сървърът освен това съхранява за 30 дни запис за регистрацията на устройството (вътрешен идентификатор на акаунта и устройството, отпечатък на push токена, вид на събитието и време), по който следи лимита за регистрации на нови устройства за 24 часа. Сроковете за съхранение са определени в точка 6; запис за освободено устройство не се води при изтриване на акаунта. Също така оперативни логове на сървъра (напр. състояния на грешки) без телефонни номера и съдържание на заявките. В телефона приложението в защитено хранилище съхранява токените за вход и допълнително си запомня избрания език и тема; избраният език се съобщава и на сървъра, за да идват известията на вашия език. Какво приложението изпраща директно на услугите Expo и Sentry, е описано в точка 4.

Защо обработваме данните и на какво правно основание:

• Семеен акаунт и функции на приложението (регистрация, семейство, задачи и снимки, планове, напомняния, награди, цели, джобни пари включително записи на директни изплащания и ръчни погасявания, известия и абонамент): изпълнение на договор, т.е. условията за ползване (чл. 6(1)(б) GDPR). Записите на директни изплащания и ръчни погасявания и историята на промените на финансовите правила обработваме допълнително въз основа на нашия легитимен интерес за доказуемост на финансовите операции и правила в приложението и разрешаване на спорове в семейството (чл. 6(1)(е) GDPR). Документът за съгласие с незабавното започване на Premium и неговото копие извън базата данни обработваме допълнително въз основа на нашия легитимен интерес за доказване на това съгласие и за защита на правни претенции (чл. 6(1)(е) GDPR). За данните на децата вж. точка 5.
• Вход, потвърден чрез SMS код: изпълнение на договор (чл. 6(1)(б) GDPR) – без потвърден телефонен номер не може да се влезе в приложението.
• Сигурност и защита от злоупотреби (сесии и отпечатъци на токени, предизвикателства за SMS код, лимити на броя заявки и дневен лимит за SMS, записи за сигурност, журнал за промени на телефона и статуса на член, памет за освободени push токени и устройства, запис за регистрация на устройството и лимит за регистрации на нови устройства за 24 часа, опашка за известия за сигурност и отчет на недоставени известия, оперативни логове, отпечатък на телефонния номер срещу повторно използване на пробния период, заявки за съгласие на родители, които защитават семейството от едностранно премахване на родител или изтриване, и удостоверяване на самоличността, когато поддръжката връща превзет акаунт, включително записване на такива намеси): нашият легитимен интерес за безопасна работа на услугата, защита на акаунтите на родителите и децата и защита срещу злоупотреби с SMS потвърждението (чл. 6(1)(е) GDPR).
• Отстраняване на грешки и актуализиране на приложението (доклади за грешки чрез Sentry, актуализации чрез Expo): нашият легитимен интерес за стабилно и сигурно приложение (чл. 6(1)(е) GDPR).
• Обработка на вашите заявки съгласно точка 7 и доказателство за това как и кога сме ги обработили (напр. статус на извършеното изтриване, дневник на извършените изтривания и задача за външно изтриване): изпълнение на законово задължение (чл. 6(1)(в) GDPR).
• Измерване на рекламата на уебсайта kimda.app (Meta Pixel): вашето съгласие (чл. 6(1)(а) GDPR), вж. точка 9.

Срещу обработването въз основа на легитимен интерес можете да възразите (точка 7). Телефонният номер е необходим за регистрация и вход; без него приложението не може да се използва. Профилната снимка е доброволна, а снимката на изпълнена задача е необходима само за задачи, за които родителят я изисква. Автоматизирано вземане на решения или профилиране с правни или подобни значителни последици (чл. 22 GDPR) не използваме; автоматичните лимити за сигурност, които например временно блокират по-нататъшни опити за SMS код, служат само за защита на акаунтите и услугата.

3. Снимки към задачите

Снимките, които детето (или родителят вместо него) качва към задача, се виждат само от членовете на същото семейство (родители и деца в приложението). Те не са публични, приложението не ги споделя с никое друго приложение или социална мрежа. Снимка към задача може да се направи само с камерата в приложението. Приложението, а след него и сървърът, преди запазването премахват от снимката метаданните (например GPS местоположение или данни за камерата). Снимките се съхраняват в непублично обектно хранилище (вж. точка 4) и сървърът ги предоставя само на влязъл член на същото семейство. Родителят може по всяко време да поиска изтриването им.

За всяка качена снимка сървърът изчислява технически отпечатък (контролна сума и опростен отпечатък на изображението от 64 бита). Той служи само за да може приложението да разпознае, когато същата или почти същата снимка се използва отново за задача, и за да гарантира, че снимката принадлежи към задачата, за която детето току-що я е заснело в приложението. От отпечатъка снимката не може да бъде показана или възстановена и се изтрива заедно със снимката. Записът за времевото предизвикателство към снимката (кой я е поискал в приложението, за коя задача и кога) сървърът изтрива след 7 дни. При снимката родителят вижда предупреждение, когато снимката няма валидна времева проверка от приложението или е много подобна на предишна снимка, като помощ при одобряването; проверката не гарантира, че снимката не може да бъде фалшифицирана.

4. На кого предаваме данни и предаване извън ЕС

Предаваме данни само на доставчици, които осигуряват за нас работата на приложението (обработващи), и само в обхвата, който им е необходим за това. Обработващите могат да използват данните само за предоставяне на своята услуга за нас и съгласно нашите инструкции. Apple и Google при покупки в магазините действат като самостоятелни администратори.

• Доставчик на хостинг (Railway) – осигурява работата на сървъра на приложението и базата данни, в която се съхраняват данните на приложението.
• Cloudflare – частното обектно хранилище R2 съхранява пренесените в криптиран вид профилни снимки и снимки на изпълнените задачи, резервни копия на базата данни (криптирани още преди изпращането така, че могат да бъдат декриптирани само с частен ключ, който съхраняваме извън облака), дневник на извършените изтривания (само вътрешни идентификатори, вид на изтриването и време), журнал за промени на телефона и статуса на член (точка 2: вътрешни идентификатори, вид и време на събитието и при промяна на номер необратими отпечатъци на номерата) и копие от доказателството за съгласие за незабавно започване на Premium (точка 6: вътрешни идентификатори на семейството и потребителя, време на съгласието, избран план, начало на платения период, идентификатор на трансакцията в магазина и версия на показания текст) в непублични buckets; достъпът до снимките продължава да се контролира от удостоверения бекенд на Kimda. Cloudflare също така осигурява работата на уебсайта kimda.app (точка 9).
• Twilio (потвърждаване на телефона чрез SMS код) – получава телефонния номер и кода, който въвеждате, само с цел доставяне и проверка на SMS кода.
• Expo (650 Industries) – първо, доставя известия: получава push токен на устройството, идентификатор на инсталацията за известия, нативен токен на Apple или Google, общ текст или емоджи на известието и общ технически тип на събитието. Идентификатори от базата данни, имена, имена на задачи или суми не изпращаме в push съобщението. Expo препраща съобщението към push услугата на Apple (Apple Push Notification service) или Google (Firebase Cloud Messaging). Второ, доставя актуализации на приложението (EAS Update): приложението при всяко стартиране пита сървърите на Expo дали има налична поправка. Expo при това получава IP адреса на устройството, платформата, версията на приложението, идентификатора на инсталираната актуализация, евентуално текста на последната грешка, която е прекратила приложението, и случаен идентификатор на инсталацията EAS-Client-ID, който приложението запазва за постоянно в телефона и който не се променя дори след изход. Не го свързваме с вашия акаунт и приложението не го изпраща на нашия сървър.
• Apple и Google – като самостоятелни администратори обработват покупката и управлението на абонамента в App Store и Google Play; като push услуги (Apple Push Notification service, Firebase Cloud Messaging) доставят известия до устройствата.
• RevenueCat (обработка на абонамента чрез App Store / Google Play само за родителски акаунти) – обработва идентификатора на семейството, историята на покупките, разписката от Apple или токена за покупка от Google, времето на последно използване и технически данни за устройството (напр. тип устройство и операционна система). От Kimda не получава името или телефонния номер на родителя или детето. В приложението не са включени рекламни/атрибуционни интеграции на RevenueCat, нито ръчно събиране на рекламни идентификатори.
• Sentry (технически доклади за грешки в приложението и сървъра, за отстраняване на грешки) – получава типа на грешката, мястото в кода, версията на приложението и операционната система. Приложението и сървърът са настроени така, че да не му изпращат име, телефон, токен за вход, съдържание на заявките или IP адрес. Организацията Kimda в Sentry се намира в европейската зона за данни (Германия).
• Доставчик на имейл (Spaceship, услуга Spacemail) – доставя и съхранява имейлите, които ни изпращате на privacy@kimda.app или support@kimda.app.

Railway, Cloudflare, Twilio, Expo, RevenueCat, Sentry, Spaceship, Apple, Google и Meta (точка 9) са компании със седалище или инфраструктура в САЩ и затова могат да обработват данни и извън Европейското икономическо пространство. При предаване извън Европейското икономическо пространство използваме механизъм съгласно глава V от GDPR, който се отнася до конкретния получател и обработката – обикновено сертифициране на получателя в рамките на EU-USA Data Privacy Framework (решение на Европейската комисия за адекватно ниво на защита, чл. 45 GDPR) или стандартни договорни клаузи, одобрени от Европейската комисия (чл. 46(2)(в) GDPR). Информация за механизма при конкретен получател и за това къде може да се получи копие от съответните гаранции ще ви предоставим при поискване на privacy@kimda.app.

Не продаваме данни от приложението, не ги споделяме с рекламодатели и не ги използваме за насочена реклама. Измерването на рекламата на уебсайта kimda.app със съгласието на посетителя е описано в точка 9.

5. Съгласие на родителя и роли на децата

Приложението може да бъде създадено (с ролята „родител“ и ново семейство) само от възрастно лице. Акаунт с роля „дете“ винаги се създава едва след присъединяване чрез код за покана, който знае само родителят – така детето може да се включи само със знанието и съгласието на родителя, който споделя кода. Всяко присъединяване на дете и на друг родител освен това трябва да бъде изрично одобрено от родител в приложението; до одобряването новият член вижда от семейството само неговото име. Кодът за покана на семейството е валиден 48 часа, неодобрената заявка се изтрива автоматично след 72 часа, а отхвърлената или отменената – веднага. С регистрацията в ролята „родител“ потвърждавате, че сте пълнолетни и имате законното право да давате съгласие за обработването на данните на вашите деца в приложението.

Данните на детето обработваме само в обхвата, необходим за функционирането на семейния акаунт, който родителят е създал и управлява, т.е. за изпълнение на договора с родителя (чл. 6(1)(б) GDPR). Родителят като законен представител взема решение за участието на детето: споделя кода за покана, изрично одобрява присъединяването на детето и може по всяко време да премахне детето от семейството или да поиска изтриване на неговия акаунт. Детето при регистрация само се запознава с политиката; съгласие за обработването на неговите данни дава родителят, когато в приложението одобрява присъединяването на детето, а сървърът записва времето, родителя и версията на политиката. За деца, одобрени с по-стара версия на приложението, приложението допълнително ще поиска липсващото съгласие от родителя. Ако обработването изискваше съгласие и детето все още не е навършило 15 години (възрастовата граница в Чехия съгласно чл. 8 GDPR и § 7 от Закон № 110/2019 Сб. за обработка на лични данни), съгласието за детето се дава от родителя. Правата на детето съгласно точка 7 могат да бъдат упражнени от родителя вместо него.

6. Колко дълго съхраняваме данните

Данните на акаунта и на семейството съхраняваме, докато потребителят не поиска изтриване на акаунта или на цялото семейство. Самата неактивност на приложението не задейства автоматично изтриване. Затова потребителят не е необходимо да отваря приложението редовно, за да не изгуби семейната история, и може да започне изтриването по всяко време направо в приложението или да го поиска на privacy@kimda.app. Историята на промените във финансовите правила (точка 2) съхраняваме през цялото време на съществуване на семейството, без ограничение във времето или общия брой (семейството може да запазва промени във финансовите правила най-много 30 пъти на час), тъй като служи като неизменно доказателство за това кой и кога е променил правилата, например при спор между родителите; в приложението тя не може да бъде редактирана или изтривана. След изтриване на цялото семейство (точка 7) сървърът я изтрива при най-близкото почистване; изтриването на акаунта на отделен член не я променя и към нея остава само вътрешният идентификатор без име.

За отделните други записи важат следните срокове:

• Предизвикателства за SMS код (отпечатъци на телефонния номер и предизвикателството): валидни 10 минути; след успешно потвърждаване сървърът ги изтрива веднага, иначе най-късно един час след изтичането им.
• Лимити на броя заявки и дневен лимит за SMS (отпечатъци): сървърът ги изтрива 24 часа след края на наблюдавания период; дневният лимит за SMS винаги приключва в полунощ UTC.
• Сесии за вход: токенът за вход е валиден 15 минути; сесията приключва след 30 дни неактивност, най-късно след 90 дни, или по-рано при изход. Приключената сесия, включително отпечатъците на токените, сървърът изтрива 30 дни след нейното приключване.
• Покани и заявки за присъединяване: кодът за покана на семейството е валиден 48 часа, а поканата за друг родител 24 часа; неодобрената заявка за присъединяване се изтрива автоматично след 72 часа, отхвърлената или отменената – веднага. Записът за покана за друг родител (код, кой я е създал и кой я е използвал) сървърът изтрива 30 дни след нейното изтичане, използване или отмяна.
• Записи за сигурност в базата данни (точка 2): сървърът ги изтрива сам след 30 дни. Журналът за промени на телефона и статуса на член се урежда от собствен срок, посочен по-долу.
• Журнал за промени на телефона и статуса на член (точка 2): записа в базата данни сървърът изтрива най-рано 60 дни след създаването му, и то едва след като го е копирал в отделно хранилище (копието възниква обикновено до няколко минути). Запис, който не е успял да бъде копиран, сървърът не изтрива, докато копирането не успее, и затова остава в базата данни и повече от 60 дни. Копието в отделното непублично хранилище Cloudflare R2 се изтрива от самото хранилище след 60 дни от запазването му. При изтриване на акаунт или цялото семейство (точка 7) сървърът изтрива записите от журнала за изтрития акаунт или семейство от базата данни; тяхното копие в хранилището се заличава най-късно 60 дни след запазването.
• Снимки: неприкачените снимки, които не са могли да бъдат свързани с профил или задача, сървърът премахва след 24 часа; записът за времевото предизвикателство към снимката се изтрива след 7 дни (точка 3), а техническият запис за изтрита снимка (само вътрешни идентификатори) 30 дни след изтриването на снимката.
• Push токен и идентификатор на устройството: до изход на устройството, премахване на член от семейството или изтриване на акаунта, или докато Apple или Google не го отбележат като невалиден. Сървърът освен това сам ги изтрива, когато приложението не е подновило регистрацията на устройството 90 дни (подновява я при всеки вход и стартиране), или когато потребителят няма валидна сесия за вход повече от 30 дни. След изход на устройството (включително дистанционно в Профила) или приключване на неговия вход на устройството не се доставя нищо. Изключение правят регистрациите отпреди внедряването на тази версия, които приложението не е подновило оттогава: дистанционният изход на едно устройство няма да ги изключи, опцията Изход от всички устройства ще го направи; в противен случай сървърът ги изтрива според сроковете по-горе. Записът за освободения push токен (отпечатъци, семейство и време) сървърът изтрива след 30 дни, или по-рано, ако устройството се регистрира отново. Записът за освободеното устройство (вътрешен идентификатор на акаунта, случаен идентификатор на устройството, отпечатъци и време) сървърът изтрива след 91 дни – тоест едва след изтичане на най-дългата възможна валидност на сесия за вход (90 дни) – или по-рано, ако устройство на същия акаунт се регистрира отново. Запис за освободено устройство не се води при изтриване на акаунта; ако вече е възникнал при започване на изтриването, сървърът го изтрива при неговото завършване. Срокът за записа за освободения push токен остава непроменен с това. Техническият отпечатък на push токена при изпратено напомняне служи само за проверка на доставянето; сървърът го изтрива след оценяване на доставянето, най-късно 30 дни след изпращането. Записът за регистрация на устройството (вътрешен идентификатор на акаунта и устройството, отпечатък на push токена, вид на събитието и време; точка 2) сървърът изтрива след 30 дни от неговото създаване, дори ако междувременно изтриете акаунта.
• Опашка за известия за сигурност и недоставени известия (точка 2): данните за получателя на известието (push токен на устройството или вътрешен идентификатор на семейството или акаунта и език) сървърът премахва от запазения запис в опашката веднага след доставянето или след отказ от доставяне, но най-късно 7 дни след създаване на известието; само вътрешният идентификатор на семейството (при изключителна грешка на базата данни временно и на акаунта) може да остане в него до записването на записа за недоставено известие (по-долу). Оставащият запис (вид на известието, общ технически тип на събитието, време и техническо съобщение за грешка) се изтрива 30 дни след обработката. Записът за недоставено известие за родителите (вътрешен идентификатор на семейството, вид на известието и време, без push токен и без име) се съхранява, докато родителят не го потвърди в приложението; потвърденият запис се изтрива, щом стане по-стар от 90 дни. Запис на семейство, което вече не съществува, се изтрива при най-близкото почистване.
• Запазени отговори на финансови операции: за да не запише повторна заявка след прекъсване на мрежата изплащане, заем или друга финансова операция два пъти, сървърът помни отговора за нея 30 дни. Самият запис за операцията (вид на операцията, нейният случаен идентификатор, вътрешни идентификатори на семейството, актьора и засегнатия член, отпечатък SHA-256 на заявката и време) е част от финансовата история и се съхранява до изтриване на акаунта или семейството.
• Записи на директни изплащания и ръчни погасявания (точка 2): за разлика от запазения отговор по-горе, който се изтрива след 30 дни, тези записи се съхраняват до изтриването на детето, за което се отнасят, или на цялото семейство (точка 7).
• Запазени записи на повтарящи се заявки на планировчика: за да не създаде повтаряща се заявка план за задачи два пъти след прекъсване на мрежата, сървърът съхранява 60 дни запис за неговото създаване (вътрешни идентификатори на семейството и родителя, вид на операцията, случаен идентификатор на заявката, отпечатък SHA-256 на зададените параметри на плана, връзка към създадения план и време). Сървърът изтрива записа също и при изтриване на акаунта на родителя, който е създал плана, и при изтриване на цялото семейство (точка 7).
• Заявка за изтриване на акаунт: непотвърдената заявка за изтриване става невалидна след 45 дни и се изтрива най-късно след още 400 дни; записът за извършеното изтриване (само вътрешни идентификатори и статус, без имена и контакти) съхраняваме като доказателство, че сме обработили вашата заявка, и то 3 години от обработката. В същия обхват (вътрешен случаен идентификатор на акаунта или семейството, вид на изтриването и време) водим дневник на извършените изтривания, за да може след евентуално възстановяване на базата данни от резервно копие всички последващи изтривания да се приложат отново. Записа в дневника в базата данни сървърът изтрива най-рано 180 дни след неговото създаване и едва след като го е копирал в самостоятелно хранилище (копието обикновено се създава до няколко минути); запис, който не е могъл да бъде копиран, сървърът не изтрива, докато копирането не бъде успешно. Копието в самостоятелното непублично хранилище се изтрива от самото хранилище след 60 дни от неговото запазване. Криптираният експорт на дневника, който е част от резервното копие на базата данни, се заличава заедно с резервното копие (най-късно след 30 дни).
• Заявки за съгласие на родители: отворена заявка е валидна 14 дни; удължава се само ако междувременно към семейството се присъедини родител (при заявка за изтриване на семейство новият родител получава свои собствени 14 дни, но най-много до края на евентуалния защитен срок след премахване на друг родител), или след възстановяване на базата данни от резервно копие (с изключение на заявката за изтриване на семейство, която е валидна само до края на защитния срок). Заявка за изтриване на семейството, която би изтекла по време на 14-дневния срок след премахване на друг родител, продължава до края на този срок и след това се анулира. По време на 14-дневния срок след премахване на друг родител семейството не може да бъде изтрито; заявката за изтриване на семейството, подадена в този срок, се анулира след неговото изтичане. След изтичането на срока единственият останал родител може да изтрие семейството директно в Профила. Обработената заявка сървърът изтрива след 90 дни.
• Отпечатък на телефонния номер след изтриване на акаунт или промяна на номера: за да не може пробният период на Premium да се получава повторно чрез изтриване на акаунта и нова регистрация, при изтриване на акаунт на родител, който е бил член на семейството по време на неговия пробен период, и при промяна на номера на такъв родител (дори ако номерът бъде променен от поддръжката по негово искане) сървърът запазва само отпечатък на досегашния телефонен номер (HMAC с таен ключ) и часа – самият номер не. Нова регистрация със същия номер тогава няма да получи пробен период. Сървърът изтрива отпечатъка след 12 месеца.
• Имейли, които ни изпращате: за времето, необходимо за обработка на вашия въпрос или заявка и за доказване на това как сме я обработили.
• Дневник на намесите на поддръжката и управлението: записът за намесата в базата данни (вид на намесата, кой я е извършил, кога, за кое семейство се отнася и номер на заявката – без имена и телефонни номера; така записваме възстановяването на номер и излизането от устройства от страна на поддръжката, експорта на данни на семейството по заявка и управлението на промокодове и безплатен достъп) сървърът изтрива сам след 3 години. Дневникът на заявките към поддръжката (номер на заявката, дата, вътрешен идентификатор на акаунта, начин на удостоверяване на самоличността и резултат – без телефонен номер) водим криптирано извън базата данни и го съхраняваме също 3 години като доказателство за това как сме обработили заявката.

Продукционните оперативни логове и логовете за сигурност на хостинга могат да се съхраняват най-много 30 дни. Техническите съобщения за грешки на приложението и сървъра се съхраняват от Sentry най-много 90 дни, за да можем да проследим и отстраним грешки, които се проявят едва след пускането на нова версия на приложението; евентуалните оперативни резервни копия на Sentry се заличават най-късно 90 дни след създаването им. Резервни копия на базата данни се правят ежедневно, криптират се още преди изпращането от продукционната среда и се изтриват 30 дни след създаването им, така че по-рано изтритите данни остават в тях най-много 30 дни; те не се използват за обичайно възстановяване на изтрит акаунт. Ако се наложи да възстановим базата данни от резервно копие, изтриванията, извършени след създаването на резервното копие, ще приложим отново според дневника на изтриванията. Настройките на хостинга, базата данни и хранилището трябва технически да налагат тези срокове, а операторът ги проверява редовно.

Ако изтриването на записа при външния доставчик на абонаменти не може да бъде завършено незабавно, Kimda след премахването на медийните файлове без по-нататъшно отлагане анонимизира местните лични данни. За безопасно повтаряне на външната заявка запазва само вътрешния случаен идентификатор на семейството и техническото състояние на изтриването, а не имена или телефонни номера. Записът за тази задача за външно изтриване (вътрешен идентификатор на семейството, обозначение на доставчика, брой опити, времена и код на последната грешка, без имена и телефонни номера) сървърът изтрива 90 дни след нейното завършване; незавършената задача се съхранява, докато не бъде завършена.

Съхраняваме доказателството за съгласие за незабавно започване на Premium (вътрешни идентификатори на семейството и потребителя, време на съгласието, избран план, начало на платения период, идентификатор на трансакцията в магазина, вътрешен идентификатор на опита за покупка и версия на показания текст) за периода, необходим за доказване на това съгласие при евентуален спор, стандартно 3 години от даването му. След изтичане на срока доказателството се изтрива контролирано. Доказателството не се изтрива заедно с акаунта или със семейството (точка 7). Негово копие (без вътрешния идентификатор на опита за покупка) запазваме също в самостоятелно непублично хранилище на Cloudflare R2 (точка 4), за да може доказателството да оцелее при загуба на базата данни между архивиранията; хранилището го изтрива само след 1125 дни от неговото запазване.

7. Вашите права

Имате право:

• на достъп до всички данни, които приложението съхранява за вас и вашето семейство (чл. 15 GDPR),
• на коригиране на неточни данни (чл. 16 GDPR) – телефонния си номер можете да промените сами в Профила след потвърждаване на новия номер с SMS код; ако загубите достъп до акаунта (например защото номерът е променен от някой друг от вписано устройство), ще го променим по ваша заявка след удостоверяване на самоличността,
• на изтриване на акаунта на отделен член (чл. 17 GDPR) – приложението направо в приложението (Моят профил → Изтрий акаунта) необратимо ще премахне или анонимизира името, телефона, снимката и push токена и ще изтрие всички снимки, които сте качили; за акаунта на детето също и снимките към неговите задачи, които родителят е качил вместо него. С този акаунт вече няма да може да се влезе и няма да остане име или контакт към него. В историята на задачите и плащанията остават само счетоводните факти, необходими за последователността на останалата част от семейството (точки, сума, състояние и време); свободната бележка се изтрива, а имената на задачите и целите се заменят с неутрална стойност. Тази история не се изтрива, защото остава свързана с останалата част от семейството (иначе тяхната взаимна счетоводна последователност не би съвпадала), но е обвързана само със запис без име и контакт. Записите на директни изплащания и ръчни погасявания на детето (точка 2) се изтриват заедно с детето. Записите от журнала за промени на телефона и статуса на член (точка 2) сървърът изтрива от базата данни; тяхното копие в отделното хранилище се заличава най-късно 60 дни след запазването. Ако детето има дълг, остатък или необработени заявки, приложението преди изтриването ще му покаже какви суми ще загуби, и изтриването трябва да бъде изрично потвърдено; родителите след това ще получат общо известие. Член, когото родителят е премахнал от семейството, може след потвърждаване с SMS код в приложението сам трайно да изтрие своя акаунт и така да освободи своя телефонен номер,
• на каскадно изтриване на цялото семейство – когато родител изрично потвърди изтриването на цялото семейство, анонимизираме всички негови членове, изтриваме техните снимки и допълнително заменяме свободните текстове и имената на собствените задачи, цели и награди с неутрални стойности; изтриваме също записите на директни изплащания и ръчни погасявания на семейството (точка 2), историята на промените на финансовите правила на семейството (при най-близкото почистване) и записите от журнала за промени на телефона и статуса на член на неговите членове (копието на журнала в отделното хранилище се заличава най-късно 60 дни след запазването). Премахването на друг родител изисква съгласието на засегнатия родител: изричният отказ спира действието, без реакция то се извършва след 14 дни. Изтриването на цялото семейство, в което има друг родител, изисква изричното съгласие на всеки друг родител; без съгласието на всички заявката се отменя след 14 дни и семейството не се изтрива. Семейство, от което през последните 14 дни е бил премахнат друг родител, може да бъде изтрито най-рано 14 дни след неговото премахване. Счетоводните записи за изтритото семейство, включително остатъците и състоянията на заемите и спестяванията на децата, се премахват от оперативната база данни най-късно до 30 дни от изтриването; в криптираните резервни копия те могат да останат най-много още 30 дни, преди резервното копие да бъде изтрито. Документът за съгласие с незабавното започване на Premium не се изтрива с изтриването на семейството (точка 6). Анонимизираните записи за използване на партньорски кодове, които не съдържат лични данни, се съхраняват за отчитане на партньорите и защита срещу злоупотреби. След премахването на медийните файлове ще се извърши местна анонимизация дори тогава, когато е RevenueCat временно недостъпен; външната заявка след това се повтаря безопасно само с вътрешния идентификатор на семейството. RevenueCat извършва изтриването асинхронно. Това не прекратява абонамента, воден от App Store или Google Play – родителят трябва да го откаже отделно в настройките на съответния магазин,
• на ограничаване на обработването (чл. 18 GDPR), например когато оспорвате точността на данните, за времето, докато я проверим,
• на преносимост (чл. 20 GDPR) – данните, които сте ни предоставили и които обработваме въз основа на договор, ще ви предадем в структуриран, широко използван и пригоден за машинно четене формат (напр. JSON), или по ваше искане ще ги предадем на друг администратор, ако това е технически осъществимо,
• да направите възражение (чл. 21 GDPR) срещу обработването въз основа на нашия легитимен интерес (точка 2); тогава ще прекратим обработването, освен ако не докажем убедителни законови основания, които имат предимство над вашите интереси, права и свободи, или ако ни е необходимо за установяването, упражняването или защитата на правни претенции,
• по всяко време да оттеглите съгласието (чл. 7(3) GDPR) – съгласието за измерване на рекламата на уебсайта оттегляте чрез връзката "Настройки за бисквитки" в долния колонтитул на уебсайта (точка 9); оттеглянето не засяга обработването преди него,
• да подадете жалба до надзорен орган (чл. 77 GDPR) – в Чехия това е Службата за защита на личните данни (Úřad pro ochranu osobních údajů), Pplk. Sochora 27, 170 00 Praha 7, уебсайт uoou.gov.cz; можете да се обърнете и към надзорен орган в държавата членка на ЕС, където живеете или работите.

Изпратете заявката на privacy@kimda.app. За да не предадем или изтрием данните на някой друг, първо ще проверим дали заявката се подава от собственика на акаунта (например чрез потвърждение от телефонния номер, свързан с акаунта); никога не ни изпращайте SMS кодове за вход. Единственото изключение е кодът от SMS с обозначение „Kimda obnova účtu“, който поддръжката ще поиска от вас само в отговор на вашата собствена заявка за възстановяване на превзет акаунт, или на вашето собствено потвърждение на такава заявка от друг родител във вашето семейство (точка 2); дори тогава го съобщавайте само на поддръжката, никога на друг член на семейството. Поддръжката изисква този код от вас изключително по имейл от адреса support@kimda.app с номера на вашата заявка, никога по телефона или чрез друг член на семейството. Заявка за достъп или преносимост обработваме чрез експорт на данните на семейството във формат JSON (без токени за вход и техните отпечатъци и без отпечатъци на първоначалните телефонни номера от записите за сигурност, които служат само за проверка на заявката за възстановяване на акаунт, и без журнала за промени на телефона и статуса на член, който служи само за защита от превземане на номера; експортът съдържа записи на директни изплащания и ръчни погасявания (точка 2); при снимките съдържа техния технически отпечатък съгласно точка 3, самите снимки при поискване предаваме отделно); всеки експорт записваме (кой го е подготвил, кога и въз основа на каква заявка). Данни за събитията от журнала за промени на телефона и статуса на член (вид и време, без отпечатъци) ще ви съобщим при поискване. Ще отговорим без ненужно забавяне, най-късно до един месец; при по-сложни случаи можем да удължим срока с още два месеца, за което ще ви информираме своевременно. Правата на детето могат да бъдат упражнени от родителя като законен представител вместо него.

8. Сигурност

Приложението не използва пароли (вход само чрез потвърден телефон). Достъпът е защитен от краткосрочен токен за вход с валидност 15 минути и токен за опресняване, който сървърът съхранява само като отпечатък; при доказано повторно използване на вече заменен токен за опресняване сървърът излиза от акаунта на всички устройства, отменя неговите регистрации за известия, записва запис за сигурност и уведомява останалите родители. В продукционна среда комуникацията между приложението и сървъра се осъществява през HTTPS. Снимките са в непублично хранилище и преди да ги предостави, бекендът проверява акаунта и принадлежността към същото семейство. Резервните копия на базата данни са криптирани още преди преноса и могат да бъдат декриптирани само с частен ключ, съхранен извън облака; промокодовете са в базата данни само като отпечатък HMAC с ключ извън базата данни и записваме управлението на промокодовете. Телефонни номера, токени или съдържание на заявките сървърът не записва в оперативните логове.

9. Уебсайтът kimda.app и бисквитки

Тази точка се отнася само за посетителите на уебсайта kimda.app, а не за използването на приложението. Уебсайтът работи в мрежата на Cloudflare, която при всяко посещение технически обработва IP адреса и данни за браузъра, за да може да достави страницата и да я защити от атаки; записите за диагностика на грешки на уебсайта Cloudflare съхранява най-много 3 дни. Според езика на браузъра (за връзката за изтегляне също и според типа устройство) уебсайтът ще ви пренасочи към подходящата версия на страницата. Правното основание е нашият легитимен интерес за безопасен и функционален уебсайт (чл. 6(1)(е) GDPR). Избраната тема уебсайтът запомня само във вашия браузър (localStorage). Решението относно бисквитките уебсайтът записва в localStorage и в строго необходима техническа бисквитка kimda-consent-proof (валидност 180 дни), която съдържа само вида на избора и времето на решението, без идентификатор на лице или акаунт. Браузърът я изпраща технически с всяка заявка към уебсайта; сървърът не я обработва, тя служи единствено на скрипта в браузъра, за да провери, че съгласието не е оттеглено. Тази бисквитка не изисква съгласие и не се използва за измерване или реклама.

Само ако в лентата на уебсайта изберете "Съгласен съм", уебсайтът зарежда Meta Pixel на дружеството Meta Platforms Ireland Limited. Той записва в браузъра бисквитка (напр. _fbp със срок на валидност до 90 дни) и изпраща на Meta данни за посещението: посетената страница, IP адреса, данни за браузъра и идентификатора на бисквитката. Това ни служи за измерване на ефективността на рекламите във Facebook и Instagram. Правното основание е вашето съгласие (чл. 6(1)(а) GDPR и § 89(3) от Закон № 127/2005 Сб. за електронните съобщения). За събирането и предаването на тези данни отговаряме съвместно с Meta; по-нататъшното им обработване, включително евентуалното им предаване в САЩ въз основа на Рамката ЕС-САЩ за защита на личните данни (Data Privacy Framework), се извършва от Meta като самостоятелен администратор съгласно нейната политика на facebook.com/privacy/policy. Данни от приложението, акаунта или семейството никога не изпращаме на Meta.

Без съгласие Meta Pixel изобщо не се зарежда. Можете по всяко време да оттеглите съгласието си чрез връзката "Настройки за бисквитки" в долния колонтитул на уебсайта; след това уебсайтът изтрива бисквитките на Pixel и повече не го зарежда.

Ако чрез страницата за тестери се присъедините към групата на тестерите в Google Groups, администраторът на групата ще види имейла на вашия Google акаунт; ще го използваме само за тестване на приложението и за достъп до неговата тестова версия в Google Play. Тестовата версия за iPhone се разпространява от Apple чрез TestFlight. Google и Apple при това обработват данните като самостоятелни администратори съгласно своите политики. Правното основание е вашата заявка за участие в тестването (чл. 6(1)(б) GDPR). Имейлът ще остане в групата, докато не се отпишете от нея или докато тестването не приключи.

10. Промени в тази политика

За всяка съществена промяна в тази политика ще ви уведомим в приложението и на уебсайта kimda.app. Приложението разпознава коя версия на политиката сте приели: ще поиска от родителите да потвърдят новата версия (и евентуално съгласие за децата), детето ще се запознае с нея. Времето и версията на потвърждението записваме.

11. Контакт

Въпроси относно защитата на личните данни: privacy@kimda.app