Kimda

Tietosuojakäytäntö

Päivitetty viimeksi 27.10.2026

Tämä on konekäännös. Oikeudellisesti sitova on tšekinkielinen versio.

Tämän tietosuojaselosteen tšekinkielinen versio on sitova. Käännökset muille kielille ovat vain tiedoksi; ristiriitatilanteissa sovelletaan tšekinkielistä versiota.

Tässä asiakirjassa kerrotaan, mitä tietoja Kimda-sovellus (”sovellus”, ”me”) ja kimda.app-verkkosivusto käsittelevät, miksi ja millä oikeusperusteella, kenelle luovutamme niitä, kuinka kauan säilytämme niitä ja mitä oikeuksia sinulla ja lapsillasi on. Sovellus on tarkoitettu koko perheen käyttöön, myös lasten – siksi suhtaudumme tietojen suojaamiseen erityisen huolellisesti.

1. Rekisterinpitäjä

Rekisterinpitäjä on Mgr. Ivo Slávka, joka ylläpitää Kimda-sovellusta Prahan 8. kaupunginosaviraston ylläpitämään elinkeinorekisteriin rekisteröitynä elinkeinonharjoittajana, IČO (yritystunnus) 30070929, kotipaikka Bergerova 1115/2, 182 00 Praha 8 – Kobylisy, Tšekki. Yhteyssähköpostiosoite tietosuojaa koskeviin kysymyksiin ja oikeuksiesi käyttämiseen: privacy@kimda.app.

2. Mitä tietoja käsittelemme ja miksi

Tilitiedot: etunimi, sukunimi, puhelinnumero, rooli (vanhempi/lapsi), valittu kieli ja ulkoasuteema, valinnainen profiilikuva, näiden käytäntöjen versio ja aika, jolloin hyväksyit ne, vanhemman osalta aika, jolloin hän vahvisti täysi-ikäisyytensä, ja lapsen osalta aika, käytäntöjen versio ja vanhempi, joka antoi suostumuksen lapsen puolesta (kohta 5). Nimesi ja profiilikuvasi näkyvät muille perheesi jäsenille sovelluksessa (vanhempi näkee kaikki jäsenet, lapsi näkee vanhempansa ja sisaruksensa).
Puhelinnumeroa käytämme henkilöllisyyden vahvistamiseen (tekstiviestikoodi) ja kirjautumiseen ja sen peruuttamatonta sormenjälkeä myös Premium-kokeilujakson suojaamiseen (kohta 6), numeron vaihtamisen jälkeen haltuunotetun tilin palautuspyynnön vahvistamiseen (turvallisuuslokit alla) ja tietokannan varmuuskopiosta palauttamisen jälkeen kirjautumisen pidättämiseen numerolla, joka on aiemmin poistunut tililtä (puhelinnumeron muutosloki alla) – sovellus ei muuten lähetä siihen viestejä eikä jaa sitä kolmansille osapuolille tekstiviestivahvistuksen palveluntarjoajaa (Twilio, ks. kohta 4) lukuun ottamatta.
Perhetiedot: perheen nimi, ketkä perheeseen kuuluvat, heidän roolinsa ja asetuksensa (taskurahan jakoprosentit, valuutta, perheen kieli ja aikavyöhyke) sekä taloussääntöjen muutoshistoria (kuka muutti esim. korkoa, jakoprosentteja, valuuttaa tai aikavyöhykettä, milloin ja mistä arvosta mihin).
Liittymispyynnöt: perheeseen liittyä haluavan henkilön etunimi, sukunimi, rooli ja puhelinnumero sekä pyynnön aika - jotta vanhempi näkee, kenet hän hyväksyy.
Vanhempien suostumuspyynnöt: pyynnön tyyppi (vanhemman poistaminen tai koko perheen poistaminen), kuka sen teki, ketä se koskee ja kuka sen hyväksyi, hylkäsi tai peruutti (sisäiset tunnisteet), aikaleimat (tekeminen, määräaika, muistutus, käsittely) ja tulos (hyväksytty, hylätty, peruutettu, suoritettu määräajan umpeuduttua tai mitätöity); nimiä, puhelinnumeroita tai vapaamuotoista tekstiä emme tallenna. Pyynnöt näkyvät perheen vanhemmille sovelluksessa.
Tehtävätiedot: tehtävän nimi, pisteet, milloin tehtävä on tehty/hyväksytty/hylätty, sekä kuvat, jos tehtävä edellyttää kuvaa, mukaan lukien kuvan tekninen sormenjälki (katso kohta 3).
Suunnitelmat, rutiinit ja muistutukset: kenelle tehtävä on annettu, suunniteltu päivä ja kellonaika, suoritustila, myöhästyminen, vuorottelujärjestys ja se, onko muistutus lähetetty.
Palkinnot ja tavoitteet: perheen palkintoluettelo, palkintopyynnöt, säästötavoitteet ja summat, jotka lapsi on siirtänyt tavoitteeseen. Vanhempien yleiskatsaus johtaa näistä tiedoista koosteen tehtävien suorittamisesta, ajallaan tekemisestä ja jaon tasapuolisuudesta; se ei luo lapsista julkista paremmuusjärjestystä.
Sovelluksen taloustiedot: pisteet, virtuaalinen taskuraha ja sen jako, maksupyynnöt, lainat ja korot perheen sisällä – kyse on sovelluksen sisäisestä kirjanpidosta, ei todellisista pankki- tai maksutiedoista. Sovelluksella ei ole pääsyä mihinkään pankkitiliin tai maksukorttiin. Lapsen kuukausittainen yhteenveto (hyväksyttyjen tehtävien määrä, pisteet ja Premiumilla myös kuluvan kuukauden summa; ei lipassaldoja) näkyy myös muille saman perheen lapsille, ellei vanhempi poista tätä käytöstä perheen asetuksissa.
Suorien maksujen ja manuaalisten takaisinmaksujen tietueet: kun vanhempi maksaa sovelluksessa lapselle osan tämän saldosta suoraan (ilman lapsen pyyntöä) tai kirjaa manuaalisesti tämän lainan takaisinmaksun, palvelin tallentaa jokaisesta tällaisesta toiminnosta erillisen tietueen, jota ei enää muuteta. Se sisältää perheen, lapsen ja toiminnon suorittaneen vanhemman sisäiset tunnisteet, toiminnon tyypin (suora maksu, manuaalinen takaisinmaksu), summan, maksun osalta lippaan, josta maksu suoritettiin, ja summan erittelyn (maksun osalta omista talletuksista koostuvaan osaan ja kertyneestä korosta koostuvaan osaan, takaisinmaksun osalta pääomaan ja korkoon), toiminnon ajan ja pyynnön satunnaisen tunnisteen. Tietueen tarkoituksena on mahdollistaa sen todistaminen, mitä ja milloin vanhempi on sovellukseen kirjannut, ja jotta mahdollinen riita perheessä voitaisiin arvioida tietueen eikä vain lopullisen saldon perusteella. Kyse on sovelluksen sisäisestä kirjanpidosta – sovellus ei itse siirrä rahaa. Tietueet ovat osa tietojen vientiä (kohta 7) ja niitä säilytetään kohdan 6 mukaisesti.
Tilaukset: perheen tilauksen tila (kokeilujakso, Premium, sen voimassaolo ja uusiminen) ja mahdollinen ilmainen pääsy tarjouskoodilla; itse tarjouskoodit palvelin tallentaa vain HMAC-sormenjälkenä ja kirjaa koodien hallinnan (kuka, milloin, mikä toiminto). Emme näe maksutietoja – maksun käsittelee Apple tai Google. Todistusta suostumuksesta Premiumin välittömään aloittamiseen, jota säilytämme todisteena tästä suostumuksesta, kuvaa kohta 6.
Kirjautuminen ja turvallisuus: yksittäisten laitteiden kirjautumisistunnot (milloin luotu, milloin viimeksi käytetty ja mihin asti voimassa). Vanhempi näkee Profiilini-osiossa yleiskatsauksen sisäänkirjautuneista laitteistaan (vain kirjautumisen ja viimeisimmän käytön aika, ilman IP-osoitetta ja laitteen nimeä) ja voi kirjata ne ulos yksitellen. Palvelin tallentaa päivitystunnisteet vain SHA-256-sormenjälkinä, mukaan lukien jo korvattujen tunnisteiden sormenjäljet, jotta se tunnistaa varastetun tunnisteen väärinkäytön. Tekstiviestikoodia pyydettäessä se tallentaa puhelinnumeron avaimennetun sormenjäljen (HMAC-SHA-256) ja kertakäyttöisen haasteen SHA-256-sormenjäljen sekä yritysten määrän, numeron vaihtamisen ja perheen poistamisen vahvistamisen yhteydessä myös sen tarkoituksen ja tilin sisäisen tunnisteen. Pyyntöjen määrän rajoitukset, mukaan lukien lähetettyjen tekstiviestien päivittäinen raja, lasketaan IP-osoitteen tai sen verkon (IPv4 /24, IPv6 /56), puhelinnumeron, puhelinnumeron ja verkon yhdistelmän tai tilin avaimennetun sormenjäljen (HMAC-SHA-256) tai mahdollisesti maan tai puhelinnumeron suuntanumeron perusteella. Palvelin johtaa näiden sormenjälkien avaimen tietokannan ulkopuolella säilytettävästä salaisesta avaimesta, joten sormenjälkeä ei voida palauttaa puhelinnumeroksi tai IP-osoitteeksi ilman sitä. Turvallisuuslokit tärkeistä tapahtumista (esim. kirjautuminen, liittymispyyntö, jäsenen hyväksyminen, hylkääminen tai poistaminen, uusi kutsukoodi, laitteen uloskirjautuminen, puhelinnumeron vaihtaminen, käytännön vahvistaminen, vanhemman suostumus lapsen puolesta tai epäilty tunnisteen väärinkäyttö) sisältävät tapahtuman tyypin, ajan ja sisäiset tunnisteet; jäsenen poistamisen yhteydessä lisäksi hänen roolinsa (vanhempi/lapsi), käytännön vahvistamisen ja vanhemman suostumuksen yhteydessä käytännön version ja poistettaessa sellaisen lapsen tili, jolla oli velkaa, saldoa tai käsittelemättömiä pyyntöjä, myös valuutan, alaskirjatut summat ja käsittelemättömien pyyntöjen määrän. Turvallisuusloki puhelinnumeron vaihtamisesta sisältää lisäksi alkuperäisen numeron peruuttamattoman sormenjäljen (HMAC salaisella avaimella), jotta tuki voi vahvistaa, että haltuunotetun tilin palautuspyynnön tekee alkuperäisen numeron todellinen omistaja. Nimiä, puhelinnumeroita tai IP-osoitteita niissä ei ole. Puhelinnumeron muutokset sekä perheenjäsenen poistaminen tai palauttaminen kirjataan lisäksi erilliseen muutoslokiin, jota kuvaa luetelmakohta ”Puhelinnumeron ja jäsenen tilan muutosloki” alla.
Turvallisuusilmoitukset: kun vanhempi kirjautuu sisään tekstiviestikoodilla, perheen muut vanhemmat saavat yleisen ilmoituksen ilman nimeä ja puhelinnumeroa; jokaisen tekstiviestikoodilla tapahtuvan kirjautumisen yhteydessä (vanhemman ja lapsen) yleisen ilmoituksen uudesta kirjautumisesta saavat myös saman tilin aiemmin kirjautuneet laitteet. Puhelinnumeron vaihtamisen yhteydessä (uusi numero vahvistetaan tekstiviestikoodilla) palvelin kirjaa tilin muut sisäänkirjautuneet laitteet ulos ja yleisen ilmoituksen saavat tilin aiemmat laitteet sekä perheen vanhemmat; alkuperäistä numeroa ei enää säilytetä – siitä säilyy vain sen peruuttamaton sormenjälki vaihtamista koskevassa turvallisuuslokissa (30 päivää, ks. osio 6), alkuperäisen ja uuden numeron peruuttamattomat sormenjäljet puhelinnumeron muutoslokissa (60 päivää, ks. alla ja osio 6) ja sellaisen vanhemman osalta, joka oli perheen jäsen sen kokeilujakson aikana, myös sormenjälki osion 6 mukaisesti. Kun tuki palauttaa numeron tilin omistajan pyynnöstä, se vahvistaa ensin hänen henkilöllisyytensä: tekstiviestikoodilla, joka lähetetään alkuperäiseen numeroon, jonka sormenjäljen on vastattava numeron vaihtamista koskevassa lokissa olevaa sormenjälkeä. Jos tällainen vahvistaminen ei ole mahdollista (vaihtamista koskevaa lokia ei enää ole tai omistajalla ei ole alkuperäistä numeroa), se vahvistaa sen perheen toisen vanhemman vahvistuksella (joka todennetaan tämän vanhemman numeroon lähetetyllä tekstiviestikoodilla) ja vastauksilla tuen esittämiin kysymyksiin; tässä tapauksessa se lähettää ensin ilmoituksen tilin laitteille ja perheen vanhemmille ja palauttaa numeron aikaisintaan 72 tunnin kuluttua, jos kukaan ei vastusta sitä; näet tämän ilmoituksen sisäänkirjautumisen jälkeen myös suoraan sovelluksessa koko määräajan. Ilman tällaista vahvistusta se ei palauta numeroa eikä peruuta mitään pyyntöä – se voi vain kirjata tilin kaikki laitteet ulos. Jos tuki on palauttanut saman tilin jo kerran viimeisten 30 päivän aikana, se pitää seuraavaa pyyntöä riitana eikä palauta numeroa ilman lisäselvityksiä. Palauttamisen jälkeen palvelin kirjaa tilin ulos kaikilta laitteilta, perheen vanhemmat saavat yleisen ilmoituksen ja toimenpide kirjataan lokiin (kuka sen teki, milloin, mitä tiliä se koskee ja linkki pyyntöösi – ilman puhelinnumeroa). Vanhemmat saavat yleisen ilmoituksen myös lapsen tilin poistamisen yhteydessä, toisen vanhemman poistamisen yhteydessä (myös poistettu vanhempi) ja epäiltäessä kirjautumistunnisteen väärinkäyttöä; tässä tapauksessa palvelin kirjaa tilin ulos kaikilta laitteilta ja peruuttaa sen rekisteröinnit ilmoituksia varten. Turvallisuusilmoitukset (esim. uudesta kirjautumisesta tai laitteesta, puhelinnumeron vaihtamisesta, taloussääntöjen muutoksesta, jäsenen poistamisesta, lapsen tilin poistamisesta tai epäillystä tunnisteen väärinkäytöstä) palvelin tallentaa ensin jonoon (ilmoituksen tyyppi, vastaanottaja – laitteen push-tunniste tai perheen tai tilin sisäinen tunniste ja kieli – sekä yleinen tekninen tapahtuman tyyppi) ja toimittaa ne vasta sieltä; ilmoituksen haltuunotetun tilin palauttamisesta tuen toimesta (yllä) se lähettää suoraan. Jos ilmoituksen toimittaminen perheenjäsenen tilin vanhemmille tai laitteille ei onnistu toistuvienkaan yritysten jälkeen, palvelin tallentaa vain perheen sisäisen tunnisteen, ilmoituksen tyypin ja ajan (ilman push-tunnistetta ja ilman nimeä), jotta vanhempi näkee seuraavan kerran sovellukseen kirjautuessaan, mistä ilmoituksesta oli kyse, ja voi vahvistaa sen; jos vastaanottajalla ei ole laitetta, johon ilmoituksen voisi lähettää, tällaista tietuetta ei luoda. Säilytysajat on määritetty kohdassa 6.
Puhelinnumeron ja jäsenen tilan muutosloki: yllä olevien turvallisuuslokien lisäksi palvelin pitää jokaisesta tilin puhelinnumeron muutoksesta (teitpä sen itse Profiilissa tai tekeepä tuki sen pyynnöstäsi) ja jokaisesta perheenjäsenen poistamisesta tai palauttamisesta erillistä tietuetta muutoslokissa. Tietue sisältää tietueen satunnaisen tunnisteen, tilin ja perheen sisäiset tunnisteet, tapahtuman tyypin (numeron vaihtaminen, numeron palauttaminen tuen toimesta, jäsenen poistaminen, jäsenen palauttaminen), tapahtuman ajan ja – vain numeron vaihtamisen yhteydessä – alkuperäisen ja uuden numeron peruuttamattomat sormenjäljet (HMAC-SHA-256 salaisella avaimella, jota säilytetään tietokannan ulkopuolella). Jäsenen poistamisen ja palauttamisen yhteydessä sormenjälkiä ei ole. Puhelinnumeroita, nimiä tai IP-osoitteita muutoslokissa ei ole. Sormenjälkeä ei voi ilman salaista avainta muuntaa takaisin puhelinnumeroksi, mutta koska se on sidottu tilin sisäiseen tunnisteeseen, kyseessä on pseudonymisoitu tieto, ei anonymisoitu tieto. Muutosloki palvelee vain suojautumista tietokannan varmuuskopiosta palauttamisen seurauksilta: jotta tilille ei palautuisi numero, joka on sillä välin poistunut tililtä (ja jonka joku muu on voinut ottaa käyttöönsä), ja jotta perheenjäsenen poistaminen, jota varmuuskopio ei sisällä, tulisi uudelleen voimaan. Palvelin vertaa siksi tekstiviestikoodilla kirjautumisen ja puhelinnumeron vahvistamisen yhteydessä syötetyn numeron sormenjälkeä muutoslokin viimeisimpään tietueeseen; jos se ei täsmää, palvelin pidättää kirjautumisen ja ohjaa tukeen. Tietue tallennetaan tietokantaan ja yleensä muutamassa minuutissa myös kopiona erilliseen ei-julkiseen Cloudflare R2 -tallennustilaan (kohta 4), jotta se säilyy varmuuskopioiden välisessä tietokannan menetyksessä. Säilytysajat määritellään kohdassa 6.
Tekniset tiedot: push-tunniste ja satunnainen laitetunniste, jonka sovellus luo ilmoitusten toimittamista varten (ei laitteistotunniste), laitteen viimeisimmän rekisteröinnin aika, kirjautuminen, johon rekisteröinti kuuluu, ja asennuksen satunnaisen salaisuuden SHA-256-sormenjälki, jolla laite todistaa, että push-tunniste kuuluu sille. Rekisteröinnin vapauttamisen jälkeen (uloskirjautuminen, jäsenen poistaminen, turvallisuusesto tai automaattinen siivous) palvelin muistaa kaksi määräaikaista tietuetta, jotta vieras tili ei voi ottaa laitteen ilmoituksia haltuunsa: (a) tietue vapautetusta push-tunnisteesta – push-tunnisteen ja asennuksen salaisuuden SHA-256-sormenjäljet, perheen sisäinen tunniste ja vapauttamisaika (toisen perheen tili ei näin voi ottaa vapautettua tunnistetta haltuunsa); ja (b) tietue vapautetusta laitteesta – tilin sisäinen tunniste, satunnainen laitetunniste, samat sormenjäljet ja vapauttamisaika (saman tilin toinen, esimerkiksi varastettu kirjautumisistunto ei näin voi ottaa vapautettua laitetta uudelleen käyttöönsä osoittamatta, että kyseessä on sama asennus). Palvelin säilyttää lisäksi 30 päivää tietuetta laitteen rekisteröinnistä (tilin ja laitteen sisäinen tunniste, push-tunnisteen sormenjälki, tapahtuman tyyppi ja aika), jonka perusteella se valvoo uusien laitteiden rekisteröintien 24 tunnin rajaa. Säilytysajat määritellään kohdassa 6; tietuetta vapautetusta laitteesta ei pidetä tilin poistamisen yhteydessä. Lisäksi palvelimen toimintalokit (esim. virhetilat) ilman puhelinnumeroita ja pyyntöjen sisältöä. Puhelimessa sovellus säilyttää kirjautumistunnisteet suojatussa tallennustilassa ja muistaa lisäksi valitun kielen ja teeman; valittu kieli ilmoitetaan myös palvelimelle, jotta ilmoitukset tulevat omalla kielelläsi. Mitä sovellus lähettää suoraan Expo- ja Sentry-palveluille, on kuvattu kohdassa 4.

Miksi käsittelemme tietoja ja millä oikeusperusteella:

Perhetili ja sovelluksen toiminnot (rekisteröityminen, perhe, tehtävät ja kuvat, suunnitelmat, muistutukset, palkinnot, tavoitteet, taskuraha mukaan lukien suorien maksujen ja manuaalisten takaisinmaksujen tietueet, ilmoitukset ja tilaukset): sopimuksen eli käyttöehtojen täytäntöönpano (GDPR:n 6 artiklan 1 kohdan b alakohta). Suorien maksujen ja manuaalisten takaisinmaksujen tietueita ja taloussääntöjen muutoshistoriaa käsittelemme lisäksi oikeutetun etumme perusteella sovelluksen taloustoimintojen ja -sääntöjen todennettavuuden varmistamiseksi ja perheen riitojen ratkaisemiseksi (GDPR:n 6 artiklan 1 kohdan f alakohta). Premiumin välittömän aloittamisen suostumusasiakirjaa ja sen kopiota tietokannan ulkopuolella käsittelemme lisäksi oikeutetun etumme perusteella tämän suostumuksen todistamiseksi ja oikeudellisten vaateiden puolustamiseksi (GDPR:n 6 artiklan 1 kohdan f alakohta). Lasten tietojen osalta katso kohta 5.
Kirjautuminen tekstiviestikoodilla vahvistettuna: sopimuksen täytäntöönpano (GDPR:n 6 artiklan 1 kohdan b alakohta) – sovellukseen ei voi kirjautua ilman vahvistettua puhelinnumeroa.
Turvallisuus ja väärinkäytöksiltä suojautuminen (istunnot ja tunnisteiden sormenjäljet, tekstiviestikoodipyynnöt, pyyntöjen määrän rajoitukset ja tekstiviestien päivittäinen raja, turvallisuuslokit, puhelinnumeron ja jäsenen tilan muutosloki, vapautettujen push-tunnisteiden ja laitteiden muisti, laitteiden rekisteröintitietue ja uusien laitteiden rekisteröintien 24 tunnin raja, turvallisuusilmoitusten jono ja toimittamattomien ilmoitusten kirjanpito, toimintalokit, puhelinnumeron sormenjälki kokeilujakson toistuvan käyttämisen estämiseksi, vanhempien suostumuspyynnöt, jotka suojaavat perhettä vanhemman yksipuoliselta poistamiselta tai perheen poistamiselta, ja henkilöllisyyden vahvistaminen tuen palauttaessa haltuunotetun tilin, mukaan lukien tällaisten toimenpiteiden kirjaaminen): oikeutettu etumme palvelun turvalliseen toimintaan, vanhempien ja lasten tilien suojaamiseen sekä tekstiviestivahvistuksen väärinkäytön torjumiseen (GDPR:n 6 artiklan 1 kohdan f alakohta).
Virheiden korjaaminen ja sovelluksen päivittäminen (virheilmoitukset Sentryn kautta, päivitykset Expon kautta): oikeutettu etumme vakaaseen ja turvalliseen sovellukseen (GDPR:n 6 artiklan 1 kohdan f alakohta).
Kohdan 7 mukaisten pyyntöjesi käsittely ja todiste siitä, miten ja milloin olemme ne käsitelleet (esim. suoritetun poiston tila, suoritettujen poistojen loki ja ulkoinen poistotehtävä): lakisääteisen velvoitteen noudattaminen (GDPR:n 6 artiklan 1 kohdan c alakohta).
Mainonnan mittaus kimda.app-verkkosivustolla (Meta Pixel): suostumuksesi (GDPR:n 6 artiklan 1 kohdan a alakohta), katso kohta 9.

Voit vastustaa oikeutettuun etuun perustuvaa käsittelyä (kohta 7). Puhelinnumero on välttämätön rekisteröitymistä ja kirjautumista varten; ilman sitä sovellusta ei voi käyttää. Profiilikuva on vapaaehtoinen, ja kuva tehdystä tehtävästä tarvitaan vain niissä tehtävissä, joissa vanhempi sitä vaatii. Emme käytä automaattista päätöksentekoa tai profilointia, jolla on oikeudellisia tai vastaavia merkittäviä vaikutuksia (GDPR:n 22 artikla); automaattiset turvarajoitukset, jotka esimerkiksi estävät tilapäisesti uudet tekstiviestikoodiyritykset, palvelevat vain tilien ja palvelun suojaamista.

3. Tehtävien kuvat

Kuvat, jotka lapsi (tai vanhempi hänen puolestaan) lataa tehtävään, näkevät vain saman perheen jäsenet (sovelluksessa olevat vanhemmat ja lapset). Ne eivät ole julkisia, eikä sovellus jaa niitä millekään muulle sovellukselle tai sosiaaliselle medialle. Tehtävän kuvan voi ottaa vain sovelluksen kameralla. Sovellus ja sen jälkeen uudelleen palvelin poistavat kuvasta metatiedot (esimerkiksi GPS-sijainnin tai kameran tiedot) ennen tallentamista. Kuvat tallennetaan ei-julkiseen objektitallennustilaan (katso kohta 4), ja palvelin luovuttaa ne vain saman perheen sisäänkirjautuneelle jäsenelle. Vanhempi voi milloin tahansa pyytää niiden poistamista.

Jokaista ladattua kuvaa kohden palvelin laskee teknisen sormenjäljen (tarkistussumma ja yksinkertaistettu 64-bittinen kuvasormenjälki). Se palvelee vain sitä, että sovellus tunnistaa, kun samaa tai lähes samaa kuvaa käytetään tehtävässä uudelleen, ja varmistaa, että kuva kuuluu tehtävään, jota varten lapsi juuri otti sen sovelluksessa. Kuvaa ei voida näyttää tai koota uudelleen sormenjäljennöksestä, ja se poistetaan yhdessä kuvan kanssa. Palvelin poistaa kuvan aikahaasteen tietueen (kuka pyysi sitä sovelluksessa, mihin tehtävään ja milloin) 7 päivän kuluttua. Vanhempi näkee kuvan yhteydessä varoituksen, kun kuvalla ei ole sovelluksen voimassa olevaa aikatarkistusta tai se on hyvin samankaltainen kuin aiempi kuva, apuna hyväksynnässä; tarkistus ei takaa, ettei kuvaa voisi väärentää.

4. Kenelle luovutamme tietoja ja siirrot EU:n ulkopuolelle

Luovutamme tietoja vain palveluntarjoajille, jotka huolehtivat sovelluksen toiminnasta puolestamme (henkilötietojen käsittelijöille), ja vain siinä laajuudessa kuin he sitä tarvitsevat. Käsittelijät saavat käyttää tietoja vain palvelunsa tarjoamiseen meille ja ohjeidemme mukaisesti. Apple ja Google toimivat itsenäisinä rekisterinpitäjinä kaupoissa tehtävien ostojen yhteydessä.

Palvelinpalvelun tarjoaja (Railway) – ylläpitää sovelluksen palvelinta ja tietokantaa, johon sovelluksen tiedot on tallennettu.
Cloudflare – yksityinen objektitallennustila R2 säilyttää salattuna siirretyt profiilikuvat ja tehtyjen tehtävien kuvat, tietokannan varmuuskopiot (salattuina jo ennen lähetystä siten, että ne voidaan purkaa vain yksityisellä avaimella, jota säilytämme pilven ulkopuolella), lokin suoritetuista poistoista (vain sisäiset tunnisteet, poiston tyyppi ja aika), puhelinnumeron ja jäsenen tilan muutoslokin (kohta 2: sisäiset tunnisteet, tapahtuman tyyppi ja aika sekä numeron vaihtamisen yhteydessä numeroiden peruuttamattomat sormenjäljet) ja kopion todisteesta suostumuksesta Premiumin välittömään aloittamiseen (kohta 6: perheen ja käyttäjän sisäiset tunnisteet, suostumuksen aika, valittu tilaus, maksetun jakson alku, kaupan tapahtumatunniste ja näytetyn tekstin versio) ei-julkisissa säilöissä (bucket); pääsyä kuviin hallitsee edelleen sisäänkirjautumista edellyttävä Kimdan taustajärjestelmä. Cloudflare ylläpitää myös kimda.app-verkkosivustoa (kohta 9).
Twilio (puhelinnumeron vahvistaminen tekstiviestikoodilla) – saa puhelinnumeron ja syöttämäsi koodin ainoastaan tekstiviestikoodin toimittamista ja vahvistamista varten.
Expo (650 Industries) – ensinnäkin toimittaa ilmoitukset: saa laitteen push-tunnisteen, asennustunnisteen ilmoituksia varten, Applen tai Googlen natiivitunnisteen, ilmoituksen yleisen tekstin tai emojin ja tapahtuman yleisen teknisen tyypin. Tietokantatunnisteita, nimiä, tehtävien nimiä tai summia emme lähetä push-viestissä. Expo välittää viestin Applen (Apple Push Notification service) tai Googlen (Firebase Cloud Messaging) push-palvelulle. Toiseksi se toimittaa sovelluksen päivitykset (EAS Update): sovellus kysyy Expon palvelimilta jokaisen käynnistyksen yhteydessä, onko korjausta saatavilla. Tällöin Expo saa laitteen IP-osoitteen, alustan, sovelluksen version, asennetun päivityksen tunnisteen, mahdollisesti sovelluksen sulkeneen viimeisimmän virheen tekstin ja satunnaisen asennustunnisteen EAS-Client-ID, jonka sovellus tallentaa pysyvästi puhelimeen ja joka ei muutu edes uloskirjautumisen jälkeen. Emme yhdistä sitä tiliisi, eikä sovellus lähetä sitä palvelimellemme.
Apple ja Google – itsenäisinä rekisterinpitäjinä käsittelevät tilausten ostoa ja hallintaa App Storessa ja Google Playssa; push-palveluina (Apple Push Notification service, Firebase Cloud Messaging) ne toimittavat ilmoitukset laitteisiin.
RevenueCat (tilausten käsittely App Storen / Google Playn kautta vain vanhempien tileillä) – käsittelee perheen tunnisteen, ostohistorian, Applen kuitin tai Googlen ostotunnisteen, viimeisimmän käyttökerran ajankohdan ja laitteen tekniset tiedot (esim. laitetyypin ja käyttöjärjestelmän). Kimdalta se ei saa vanhemman tai lapsen nimeä eikä puhelinnumeroa. Sovelluksessa ei ole käytössä RevenueCatin mainonta- tai attribuutiointegraatioita eikä mainostunnisteiden manuaalista keräämistä.
Sentry (sovelluksen ja palvelimen tekniset virheilmoitukset virheiden korjaamista varten) – saa virheen tyypin, sijainnin koodissa, sovelluksen ja käyttöjärjestelmän version. Sekä sovellus että palvelin on määritetty niin, etteivät ne lähetä sille nimeä, puhelinta, kirjautumistunnistetta, pyyntöjen sisältöä tai IP-osoitetta. Kimdan organisaatio Sentryssä sijaitsee EU:n data-alueella (Saksa).
Sähköpostipalveluntarjoaja (Spaceship, Spacemail-palvelu) – toimittaa ja säilyttää sähköpostit, jotka lähetät meille osoitteeseen privacy@kimda.app tai support@kimda.app.

Railway, Cloudflare, Twilio, Expo, RevenueCat, Sentry, Spaceship, Apple, Google ja Meta (kohta 9) ovat yrityksiä, joiden kotipaikka tai tausta on Yhdysvalloissa, ja siksi ne voivat käsitellä tietoja myös Euroopan talousalueen ulkopuolella. Euroopan talousalueen ulkopuolelle tehtävissä siirroissa käytämme GDPR:n V luvun mukaista mekanismia, jota sovelletaan kyseiseen vastaanottajaan ja käsittelyyn – yleensä vastaanottajan sertifiointia EU-USA Data Privacy Framework -kehyksessä (Euroopan komission tietosuojan riittävyyttä koskeva päätös, GDPR:n 45 artikla) tai Euroopan komission hyväksymiä vakiolausekkeita (GDPR:n 46 artiklan 2 kohdan c alakohta). Tietoa tietyn vastaanottajan mekanismista ja siitä, mistä kyseisten suojatoimien kopio on saatavilla, toimitamme pyynnöstä osoitteesta privacy@kimda.app.

Emme myy sovelluksen tietoja, emme jaa niitä mainostajille emmekä käytä niitä kohdennettuun mainontaan. Mainonnan mittausta kimda.app-verkkosivustolla kävijän suostumuksella kuvataan kohdassa 9.

5. Vanhemman suostumus ja lasten roolit

Sovelluksen saa ottaa käyttöön (rooli ”vanhempi” ja uusi perhe) vain täysi-ikäinen henkilö. Tili, jonka rooli on ”lapsi”, syntyy aina vasta liittymisen jälkeen kutsukoodilla, jonka tietää vain vanhempi – lapsi voi siis liittyä mukaan vain koodin jakavan vanhemman tieten ja tämän suostumuksella. Lisäksi vanhemman on nimenomaisesti hyväksyttävä sovelluksessa jokainen lapsen tai toisen vanhemman liittyminen; ennen hyväksyntää uusi jäsen näkee perheestä vain sen nimen. Perheen kutsukoodi on voimassa 48 tuntia, hyväksymätön pyyntö poistetaan automaattisesti 72 tunnin kuluttua ja hylätty tai peruutettu pyyntö välittömästi. Rekisteröitymällä rooliin ”vanhempi” vahvistat olevasi täysi-ikäinen ja että sinulla on lakisääteinen oikeus antaa suostumus lastesi tietojen käsittelyyn sovelluksessa.

Käsittelemme lapsen tietoja vain siinä laajuudessa kuin on tarpeen vanhemman luoman ja hallinnoiman perhetilin toiminnan kannalta, eli vanhemman kanssa tehdyn sopimuksen täytäntöönpanemiseksi (GDPR:n 6 artiklan 1 kohdan b alakohta). Vanhempi laillisena edustajana päättää lapsen osallistumisesta: jakaa kutsukoodin, nimenomaisesti hyväksyy lapsen liittymisen ja voi milloin tahansa poistaa lapsen perheestä tai pyytää hänen tilinsä poistamista. Lapsi vain ottaa käytännöt tiedoksi rekisteröitymisen yhteydessä; suostumuksen hänen tietojensa käsittelyyn antaa vanhempi hyväksyessään lapsen liittymisen sovelluksessa, ja palvelin tallentaa ajan, vanhemman ja käytäntöjen version. Sovelluksen vanhemmalla versiolla hyväksyttyjen lasten osalta sovellus pyytää puuttuvan suostumuksen vanhemmalta jälkikäteen. Jos käsittely edellyttäisi suostumusta ja lapsi ei ole vielä täyttänyt 15 vuotta (Tšekin tasavallan ikäraja GDPR:n 8 artiklan ja henkilötietojen käsittelystä annetun lain nro 110/2019 Sb. 7 §:n mukaisesti), vanhempi antaa suostumuksen lapsen puolesta. Vanhempi voi käyttää kohdan 7 mukaisia lapsen oikeuksia hänen puolestaan.

6. Kuinka kauan säilytämme tietoja

Tilin ja perheen tietoja säilytämme siihen asti, kunnes käyttäjä pyytää tilin tai koko perheen poistamista. Pelkkä sovelluksen käyttämättömyys ei käynnistä automaattista poistoa. Käyttäjän ei siis tarvitse avata sovellusta säännöllisesti säilyttääkseen perheen historian, ja hän voi milloin tahansa käynnistää poiston suoraan sovelluksessa tai pyytää sitä osoitteesta privacy@kimda.app. Taloussääntöjen muutoshistoriaa (kohta 2) säilytetään koko perheen olemassaolon ajan, ilman aikarajoitusta tai kokonaismäärän rajoitusta (perhe voi tallentaa taloussääntöjen muutoksia enintään 30 kertaa tunnissa), koska se toimii muuttumattomana todisteena siitä, kuka muutti sääntöjä ja milloin, esimerkiksi vanhempien välisessä riitatilanteessa; sitä ei voi muokata tai poistaa sovelluksessa. Koko perheen poistamisen jälkeen (kohta 7) palvelin poistaa sen seuraavan siivouksen yhteydessä; yksittäisen jäsenen tilin poistaminen ei muuta sitä, ja siihen jää vain sisäinen tunniste ilman nimeä.

Yksittäisiin muihin tietueisiin sovelletaan seuraavia määräaikoja:

Tekstiviestikoodipyynnöt (puhelinnumeron ja haasteen sormenjäljet): voimassa 10 minuuttia; onnistuneen vahvistuksen jälkeen palvelin poistaa ne heti, muuten viimeistään tunnin kuluttua niiden vanhenemisesta.
Pyyntöjen määrän rajoitukset ja tekstiviestien päivittäinen raja (sormenjäljet): palvelin poistaa ne 24 tuntia seuratun jakson päättymisen jälkeen; tekstiviestien päivittäinen raja päättyy aina keskiyöllä UTC-aikaa.
Kirjautumisistunnot: kirjautumistunniste on voimassa 15 minuuttia; istunto päättyy 30 päivän käyttämättömyyden jälkeen, viimeistään 90 päivän kuluttua, tai aiemmin uloskirjautumisen yhteydessä. Palvelin poistaa päättyneen istunnon, mukaan lukien tunnisteiden sormenjäljet, 30 päivää sen päättymisen jälkeen.
Kutsut ja liittymispyynnöt: perheen kutsukoodi on voimassa 48 tuntia ja kutsu toiselle vanhemmalle 24 tuntia; hyväksymätön liittymispyyntö poistetaan automaattisesti 72 tunnin kuluttua, hylätty tai peruutettu välittömästi. Tietue toisen vanhemman kutsusta (koodi, kuka sen loi ja kuka sitä käytti) poistetaan palvelimelta 30 päivän kuluttua sen vanhenemisesta, käytöstä tai peruutuksesta.
Turvallisuuslokit tietokannassa (kohta 2): palvelin poistaa ne itse 30 päivän kuluttua. Puhelinnumeron ja jäsenen tilan muutoslokiin sovelletaan omaa alla mainittua määräaikaa.
Puhelinnumeron ja jäsenen tilan muutosloki (kohta 2): palvelin poistaa tietueen tietokannasta aikaisintaan 60 päivää sen luomisen jälkeen ja vasta sen jälkeen, kun se on kopioinut sen erilliseen tallennustilaan (kopio luodaan yleensä muutamassa minuutissa). Tietuetta, jota ei ole onnistuttu kopioimaan, palvelin ei poista ennen kuin kopiointi onnistuu, ja siksi se säilyy tietokannassa myös yli 60 päivää. Erillisessä ei-julkisessa Cloudflare R2 -tallennustilassa olevan kopion tallennustila poistaa itse 60 päivän kuluttua sen tallentamisesta. Tilin tai koko perheen poistamisen yhteydessä (kohta 7) palvelin poistaa poistetun tilin tai perheen muutoslokin tietueet tietokannasta; niiden kopio tallennustilassa häviää viimeistään 60 päivää tallentamisen jälkeen.
Kuvat: liittämättömät kuvat, joita ei onnistuttu yhdistämään profiiliin tai tehtävään, palvelin poistaa 24 tunnin kuluttua; kuvan aikahaasteen tietueen se poistaa 7 päivän kuluttua (kohta 3) ja teknisen tietueen poistetusta kuvasta (vain sisäiset tunnisteet) 30 päivää kuvan poistamisen jälkeen.
Push-tunniste ja laitetunniste: laitteen uloskirjautumiseen, jäsenen perheestä poistamiseen tai tilin poistamiseen asti, tai kunnes Apple tai Google merkitsee sen virheelliseksi. Palvelin poistaa ne lisäksi itse, jos sovellus ei ole uusinut laitteen rekisteröintiä 90 päivään (uusii sen jokaisen kirjautumisen ja käynnistyksen yhteydessä), tai jos käyttäjällä ei ole voimassa olevaa kirjautumisistuntoa yli 30 päivään. Laitteen uloskirjautumisen (myös etänä Profiilissa) tai sen kirjautumisen päättymisen jälkeen laitteelle ei toimiteta mitään. Poikkeuksena ovat rekisteröinnit ajalta ennen tämän version käyttöönottoa, joita sovellus ei ole sen jälkeen uusinut: yhden laitteen uloskirjaaminen etänä ei katkaise niiden yhteyttä, mutta Kirjaudu ulos kaikilta laitteilta -valinta katkaisee; muuten palvelin poistaa ne yllä olevien määräaikojen mukaisesti. Palvelin poistaa tietueen vapautetusta push-tunnisteesta (sormenjäljet, perhe ja aika) 30 päivän kuluttua tai aiemmin, jos laite rekisteröidään uudelleen. Palvelin poistaa tietueen vapautetusta laitteesta (tilin sisäinen tunniste, satunnainen laitetunniste, sormenjäljet ja aika) 91 päivän kuluttua – eli vasta kirjautumisistunnon pisimmän mahdollisen voimassaoloajan (90 päivää) päätyttyä – tai aiemmin, jos saman tilin laite rekisteröidään uudelleen. Tietuetta vapautetusta laitteesta ei pidetä tilin poistamisen yhteydessä; jos se on jo syntynyt poistamisen aloittamisen yhteydessä, palvelin poistaa sen poistamisen valmistuessa. Vapautettua push-tunnistetta koskevan tietueen määräaika pysyy siten muuttumattomana. Lähetetyn muistutuksen push-tunnisteen tekninen sormenjälki palvelee vain toimituksen vahvistamista; palvelin poistaa sen toimituksen arvioinnin jälkeen, viimeistään 30 päivää lähettämisen jälkeen. Laitteen rekisteröintiä koskevan tietueen (tilin ja laitteen sisäinen tunniste, push-tunnisteen sormenjälki, tapahtuman tyyppi ja aika; kohta 2) palvelin poistaa 30 päivän kuluttua sen luomisesta, vaikka poistaisit tilin sillä välin.
Turvallisuusilmoitusten jono ja toimittamattomat ilmoitukset (kohta 2): ilmoituksen vastaanottajan tiedot (laitteen push-tunniste tai perheen tai tilin sisäinen tunniste ja kieli) palvelin poistaa tallennetusta jonotietueesta heti toimituksen tai toimittamisesta luopumisen jälkeen, kuitenkin viimeistään 7 päivää ilmoituksen luomisesta; vain perheen sisäinen tunniste (poikkeuksellisen tietokantavirheen sattuessa tilapäisesti myös tilin) voi jäädä siihen, kunnes toimittamatonta ilmoitusta koskeva tietue kirjataan (alla). Jäljelle jäävän tietueen (ilmoituksen tyyppi, yleinen tekninen tapahtuman tyyppi, aika ja tekninen virheilmoitus) se poistaa 30 päivän kuluttua käsittelystä. Toimittamatonta ilmoitusta vanhemmalle koskevaa tietuetta (perheen sisäinen tunniste, ilmoituksen tyyppi ja aika, ilman push-tunnistetta ja ilman nimeä) se säilyttää, kunnes vanhempi vahvistaa sen sovelluksessa; vahvistetun tietueen se poistaa heti, kun se on yli 90 päivää vanha. Jo lakanneen perheen tietueen se poistaa seuraavan siivouksen yhteydessä.
Tallennetut vastaukset taloustoimintoihin: jotta toistuva pyyntö verkkokatkoksen jälkeen ei kirjaisi maksua, lainaa tai muuta taloustoimintoa kahdesti, palvelin muistaa vastauksen siihen 30 päivää. Itse toimintoa koskeva tietue (toiminnon tyyppi, sen satunnainen tunniste, perheen, toimijan ja asianomaisen jäsenen sisäiset tunnisteet, pyynnön SHA-256-sormenjälki ja aika) on osa taloushistoriaa ja sitä säilytetään tilin tai perheen poistamiseen asti.
Suorien maksujen ja manuaalisten takaisinmaksujen tietueet (kohta 2): toisin kuin yllä mainittu tallennettu vastaus, joka poistetaan 30 päivän kuluttua, näitä tietueita säilytetään asianomaisen lapsen tai koko perheen poistamiseen asti (kohta 7).
Ajastimen toistuvien pyyntöjen tallennetut tietueet: jotta toistuva pyyntö ei loisi tehtäväsuunnitelmaa kahdesti verkkokatkoksen jälkeen, palvelin säilyttää 60 päivän ajan tietueen sen luomisesta (perheen ja vanhemman sisäiset tunnisteet, toimenpiteen tyyppi, pyynnön satunnainen tunniste, annettujen suunnitelmaparametrien SHA-256-sormenjälki, linkki luotuun suunnitelmaan ja aika). Palvelin poistaa tietueen myös poistettaessa sen vanhemman tili, joka loi suunnitelman, ja poistettaessa koko perhe (kohta 7).
Tilin poistopyyntö: vahvistamaton poistopyyntö mitätöityy 45 päivän kuluttua ja poistetaan viimeistään seuraavien 400 päivän kuluessa; säilytämme tietueen suoritetusta poistosta (vain sisäiset tunnisteet ja tila, ilman nimiä ja yhteystietoja) todisteena siitä, että olemme käsitelleet pyyntösi, 3 vuoden ajan sen käsittelystä. Samassa laajuudessa (tilin tai perheen sisäinen satunnainen tunniste, poiston tyyppi ja aika) pidämme lokia suoritetuista poistoista, jotta tietokannan mahdollisen varmuuskopiosta palauttamisen jälkeen kaikki myöhemmät poistot sovellettaisiin uudelleen. Palvelin poistaa lokitietueen tietokannasta aikaisintaan 180 päivän kuluttua sen luomisesta, ja vasta sen jälkeen, kun se on kopioitu erilliseen tallennustilaan (kopio syntyy yleensä muutamassa minuutissa); tietuetta, jota ei onnistuttu kopioimaan, palvelin ei poista, ennen kuin kopiointi onnistuu. Erillisessä ei-julkisessa tallennustilassa olevan kopion tallennustila poistaa itse 60 päivän kuluttua sen tallentamisesta. Lokin salattu vienti, joka on osa tietokannan varmuuskopiota, häviää varmuuskopion mukana (viimeistään 30 päivän kuluttua).
Vanhempien suostumuspyynnöt: avoin pyyntö on voimassa 14 päivää; se pidentyy vain silloin, kun perheeseen lisätään sillä välin vanhempi (perheen poistopyynnön yhteydessä uusi vanhempi saa omat 14 päivää, kuitenkin enintään toisen vanhemman poistamisen jälkeisen mahdollisen varoajan päättymiseen asti) tai tietokannan varmuuskopiosta palauttamisen jälkeen (lukuun ottamatta perheen poistopyyntöä, joka on voimassa vain varoajan päättymiseen asti). Perheen poistopyyntö, joka vanhenisi toisen vanhemman poistamisen jälkeisen 14 päivän määräajan aikana, on voimassa kyseisen määräajan loppuun asti ja raukeaa sen jälkeen. Toisen vanhemman poistamisen jälkeisen 14 päivän määräajan aikana perhettä ei voi poistaa; tänä aikana jätetty perheen poistopyyntö raukeaa sen päätyttyä. Määräajan päätyttyä ainoa jäljellä oleva vanhempi voi poistaa perheen suoraan Profiilissa. Käsitellyn pyynnön palvelin poistaa 90 päivän kuluttua.
Puhelinnumeron sormenjälki tilin poistamisen tai numeron vaihtamisen jälkeen: jotta Premium-kokeilujaksoa ei voisi saada toistuvasti poistamalla tili ja rekisteröitymällä uudelleen, palvelin tallentaa sellaisen vanhemman tilin poistamisen yhteydessä, joka oli perheen jäsen sen kokeilujakson aikana, ja tällaisen vanhemman numeron vaihtamisen yhteydessä (myös silloin, kun tuki vaihtaa numeron hänen pyynnöstään) vain aiemman puhelinnumeron sormenjäljen (HMAC salaisella avaimella) ja ajan – ei itse numeroa. Uusi rekisteröinti samalla numerolla ei silloin saa kokeilujaksoa. Palvelin poistaa sormenjäljen 12 kuukauden kuluttua.
Sähköpostit, jotka lähetät meille: sen ajan, joka on tarpeen kysymyksesi tai pyyntösi käsittelemiseksi ja sen todistamiseksi, miten olemme sen käsitelleet.
Tuen ja hallinnan toimenpiteiden loki: tietokannassa olevan toimenpidelokin (toimenpiteen tyyppi, kuka sen teki, milloin, mitä perhettä se koskee ja pyynnön numero – ilman nimiä ja puhelinnumeroita; näin kirjaamme numeron palauttamisen ja laitteiden uloskirjaamisen tuen toimesta, perheen tietojen viennin pyynnöstä sekä tarjouskoodien ja ilmaisen pääsyn hallinnan) palvelin poistaa itse 3 vuoden kuluttua. Tukipyyntöjen lokia (pyynnön numero, päivämäärä, tilin sisäinen tunniste, henkilöllisyyden vahvistamistapa ja tulos – ilman puhelinnumeroa) pidämme salattuna tietokannan ulkopuolella ja säilytämme sitä myös 3 vuotta todisteena siitä, miten olemme käsitelleet pyynnön.

Palvelinpalvelun tuotannon toiminta- ja turvallisuuslokeja saa säilyttää enintään 30 päivää. Sentry säilyttää sovelluksen ja palvelimen teknisiä virheilmoituksia enintään 90 päivää, jotta voimme jäljittää ja korjata virheet, jotka ilmenevät vasta sovelluksen uuden version julkaisemisen jälkeen; Sentryn mahdolliset operatiiviset varmuuskopiot poistuvat viimeistään 90 päivää niiden luomisen jälkeen. Tietokannan varmuuskopiot otetaan päivittäin, ne salataan jo ennen lähetystä tuotantoympäristöstä ja poistetaan 30 päivää niiden ottamisen jälkeen, joten aiemmin poistetut tiedot säilyvät niissä enintään 30 päivää; niitä ei käytetä poistetun tilin tavanomaiseen palauttamiseen. Jos joutuisimme palauttamaan tietokannan varmuuskopiosta, sovellamme varmuuskopion ottamisen jälkeen tehdyt poistot uudelleen poistolokin mukaisesti. Palvelinpalvelun, tietokannan ja tallennustilan asetusten on teknisesti pakotettava nämä määräajat, ja ylläpitäjä tarkistaa ne säännöllisesti.

Jos tietueen poistamista ulkoiselta tilauspalveluntarjoajalta ei voida saattaa päätökseen välittömästi, Kimda anonymisoi paikalliset henkilötiedot ilman aiheetonta viivytystä heti, kun mediat on poistettu. Ulkoisen pyynnön turvalliseen toistamiseen se jättää jäljelle vain perheen sisäisen satunnaisen tunnisteen ja poistamisen teknisen tilan, ei nimiä eikä puhelinnumeroita. Tätä ulkoista poistotehtävää koskevan tietueen (perheen sisäinen tunniste, palveluntarjoajan tunnus, yritysten määrä, ajat ja viimeisimmän virheen koodi, ilman nimiä ja puhelinnumeroita) palvelin poistaa 90 päivän kuluttua sen valmistumisesta; keskeneräistä tehtävää säilytetään, kunnes se on valmis.

Säilytämme todisteen suostumuksesta Premiumin välittömään aloittamiseen (perheen ja käyttäjän sisäiset tunnisteet, suostumuksen aika, valittu tilaus, maksetun jakson alku, kaupan tapahtumatunniste, oston yrityksen sisäinen tunniste ja näytetyn tekstin versio) ajan, joka on tarpeen tämän suostumuksen todistamiseksi mahdollisessa riitatilanteessa, oletuksena 3 vuotta sen antamisesta. Määräajan päätyttyä todiste poistetaan hallitusti. Todistetta ei poisteta tilin eikä perheen mukana (kohta 7). Tallennamme sen kopion (ilman oston yrityksen sisäistä tunnistetta) myös erilliseen ei-julkiseen Cloudflare R2 -tallennustilaan (kohta 4), jotta todiste selviäisi tietokannan menetyksestä varmuuskopioiden välillä; tallennustila poistaa sen itse 1125 päivän kuluttua sen tallentamisesta.

7. Sinun oikeutesi

Sinulla on oikeus:

pääsyyn kaikkiin tietoihin, joita sovellus säilyttää sinusta ja perheestäsi (GDPR:n 15 artikla),
oikaisuun virheellisten tietojen osalta (GDPR:n 16 artikla) – puhelinnumeron vaihdatte itse Profiilissa vahvistettuanne uuden numeron tekstiviestikoodilla; jos menetätte pääsyn tiliin (esimerkiksi siksi, että joku muu muutti numeron sisäänkirjautuneelta laitteelta), vaihdamme sen pyynnöstänne henkilöllisyyden vahvistamisen jälkeen,
yksittäisen jäsenen tilin poistamiseen (GDPR:n 17 artikla) – sovellus poistaa tai anonymisoi suoraan sovelluksessa (Profiilini → Poista tili) peruuttamattomasti nimen, puhelinnumeron, kuvan ja push-tunnisteen sekä poistaa kaikki kuvat, jotka olet ladannut; lapsen tilin osalta myös hänen tehtäviensä kuvat, jotka vanhempi on ladannut hänen puolestaan. Tällä tilillä ei voi enää kirjautua eikä siihen jää nimeä tai yhteystietoja. Tehtävä- ja maksuhistoriaan jäävät vain ne kirjanpidolliset tiedot, jotka ovat välttämättömiä muun perheen jatkuvuuden kannalta (pisteet, summa, tila ja aika); vapaamuotoinen muistiinpano poistetaan ja tehtävien ja tavoitteiden nimet korvataan neutraalilla arvolla. Tätä historiaa ei poisteta, koska se jää liitetyksi muuhun perheeseen (muuten perheenjäsenten keskinäinen kirjanpito ei täsmäisi), mutta se on sidottu vain tietueeseen ilman nimeä ja yhteystietoja. Lapsen suorien maksujen ja manuaalisten takaisinmaksujen tietueet (kohta 2) poistetaan lapsen mukana. Palvelin poistaa puhelinnumeron ja jäsenen tilan muutoslokin tietueet (kohta 2) tietokannasta; niiden kopio erillisessä tallennustilassa häviää viimeistään 60 päivää tallentamisen jälkeen. Jos lapsella on velkaa, saldoa tai käsittelemättömiä pyyntöjä, sovellus näyttää hänelle ennen poistamista, mitä summia hän menettää, ja poistaminen on vahvistettava nimenomaisesti; vanhemmat saavat tällöin yleisen ilmoituksen. Jäsen, jonka vanhempi on poistanut perheestä, voi tekstiviestikoodilla vahvistamisen jälkeen poistaa tilinsä pysyvästi itse sovelluksessa ja vapauttaa siten puhelinnumeronsa,
koko perheen ketjutettuun poistamiseen – kun vanhempi nimenomaisesti vahvistaa koko perheen poistamisen, anonymisoimme kaikki sen jäsenet, poistamme heidän kuvansa ja lisäksi korvaamme vapaamuotoiset tekstit sekä omien tehtävien, tavoitteiden ja palkintojen nimet neutraaleilla arvoilla; poistamme myös perheen suorien maksujen ja manuaalisten takaisinmaksujen tietueet (kohta 2), perheen taloussääntöjen muutoshistorian (seuraavan siivouksen yhteydessä) sekä sen jäsenten puhelinnumeron ja jäsenen tilan muutoslokin tietueet (muutoslokin kopio erillisessä tallennustilassa häviää viimeistään 60 päivää tallentamisen jälkeen). Toisen vanhemman poistaminen edellyttää asianomaisen vanhemman suostumusta: nimenomainen hylkääminen pysäyttää toimenpiteen, ilman reaktiota se suoritetaan 14 päivän kuluttua. Sellaisen perheen poistaminen, jossa on toinen vanhempi, edellyttää jokaisen muun vanhemman nimenomaista suostumusta; ilman kaikkien suostumusta pyyntö peruutetaan 14 päivän kuluttua eikä perhettä poisteta. Perhe, josta on viimeisten 14 päivän aikana poistettu toinen vanhempi, voidaan poistaa aikaisintaan 14 päivää hänen poistamisensa jälkeen. Poistetun perheen kirjanpitotietueet, mukaan lukien lasten lainojen ja säästöjen saldot ja tilat, poistetaan operatiivisesta tietokannasta viimeistään 30 päivän kuluessa poistamisesta; salatuissa varmuuskopioissa ne voivat säilyä enintään 30 päivää, kunnes varmuuskopio poistetaan. Todistusta suostumuksesta Premiumin välittömään aloittamiseen ei poisteta perheen poistamisen yhteydessä (kohta 6). Kumppanikoodien lunastamista koskevat anonymisoidut tietueet, jotka eivät sisällä henkilötietoja, säilytetään kumppanien seurantaa ja väärinkäytöksiltä suojautumista varten. Kun mediat on poistettu, paikallinen anonymisointi tehdään myös silloin, kun RevenueCat on tilapäisesti tavoittamattomissa; ulkoinen pyyntö toistetaan sen jälkeen turvallisesti pelkällä perheen sisäisellä tunnisteella. RevenueCat suorittaa poistamisen asynkronisesti. Tämä ei peruuta App Storen tai Google Playn kautta hallinnoitua tilausta – vanhemman on peruutettava se erikseen kyseisen kaupan asetuksissa,
käsittelyn rajoittamiseen (GDPR:n 18 artikla), esimerkiksi kun kiistät tietojen paikkansapitävyyden, siksi ajaksi, kunnes olemme varmistaneet sen,
siirrettävyyteen (GDPR:n 20 artikla) – tiedot, jotka olet meille toimittanut ja joita käsittelemme sopimuksen perusteella, toimitamme sinulle jäsennellyssä, yleisesti käytetyssä ja koneellisesti luettavassa muodossa (esim. JSON), tai pyynnöstäsi siirrämme ne toiselle rekisterinpitäjälle, jos se on teknisesti mahdollista,
esittää vastustuksen (GDPR:n 21 artikla) oikeutettuun etuumme perustuvaa käsittelyä vastaan (kohta 2); lopetamme tällöin käsittelyn, ellemme voi osoittaa, että käsittelyyn on olemassa huomattavan tärkeä ja perusteltu syy, joka syrjäyttää sinun etusi, oikeutesi ja vapautesi, tai jos se on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi,
peruuttaa suostumuksen milloin tahansa (GDPR:n 7 artiklan 3 kohta) – peruutat suostumuksen mainonnan mittaamiseen verkkosivustolla verkkosivuston alatunnisteen linkistä "Evästeasetukset" (kohta 9); peruuttaminen ei vaikuta sitä ennen suoritettuun käsittelyyn,
tehdä valituksen valvontaviranomaiselle (GDPR:n 77 artikla) – Tšekin tasavallassa se on Tietosuojavaltuutetun toimisto (Úřad pro ochranu osobních údajů), Pplk. Sochora 27, 170 00 Praha 7, verkkosivusto uoou.gov.cz; voit kääntyä myös sen EU:n jäsenvaltion valvontaviranomaisen puoleen, jossa asut tai työskentelet.

Lähetä pyyntö osoitteeseen privacy@kimda.app. Jotta emme luovuttaisi tai poistaisi tietoja jonkun muun puolesta, varmistamme ensin, että pyynnön esittää tilin omistaja (esimerkiksi vahvistamalla tiliin liitetystä puhelinnumerosta); älä koskaan lähetä meille kirjautumistekstiviestien koodeja. Ainoa poikkeus on ”Kimda obnova účtu” -tekstiviestin koodi, jota tuki pyytää sinulta vain vastauksena omaan pyyntöösi haltuunotetun tilin palauttamisesta, tai omaan vahvistukseesi tällaisesta perheesi toisen vanhemman pyynnöstä (kohta 2); silloinkin ilmoita se vain tuelle, älä koskaan muulle perheenjäsenelle. Tuki pyytää tätä koodia sinulta yksinomaan sähköpostitse osoitteesta support@kimda.app pyyntösi numeron kanssa, ei koskaan puhelimitse tai toisen perheenjäsenen välityksellä. Pääsyä tai siirrettävyyttä koskeva pyyntö käsitellään viemällä perheen tiedot JSON-muodossa (ilman kirjautumistunnisteita ja niiden sormenjälkiä ja ilman turvallisuuslokeissa olevia alkuperäisten puhelinnumeroiden sormenjälkiä, jotka palvelevat vain tilin palauttamista koskevan pyynnön vahvistamista, ja ilman puhelinnumeron ja jäsenen tilan muutoslokia, joka palvelee vain numeron haltuunotolta suojautumista; vienti sisältää suorien maksujen ja manuaalisten takaisinmaksujen tietueet (kohta 2); kuvien osalta se sisältää niiden teknisen sormenjäljen kohdan 3 mukaisesti, itse kuvat toimitamme pyynnöstä erikseen); kirjaamme jokaisen viennin (kuka sen valmisteli, milloin ja minkä pyynnön perusteella). Puhelinnumeron ja jäsenen tilan muutoslokin tapahtumatiedot (tyyppi ja aika, ilman sormenjälkiä) ilmoitamme sinulle pyynnöstä. Vastaamme ilman aiheetonta viivytystä, viimeistään 1 kuukauden kuluessa; monimutkaisemmissa tapauksissa voimme pidentää määräaikaa 2 kuukaudella, mistä ilmoitamme sinulle ajoissa. Vanhempi voi laillisena edustajana käyttää lapsen oikeuksia hänen puolestaan.

8. Tietoturva

Sovellus ei käytä salasanoja (kirjautuminen vain vahvistetulla puhelinnumerolla). Pääsyä suojaa lyhytaikainen kirjautumistunniste, joka on voimassa 15 minuuttia, ja päivitystunniste, jonka palvelin tallentaa vain sormenjälkenä; jos todistetaan, että jo korvattua päivitystunnistetta on käytetty uudelleen, palvelin kirjaa tilin ulos kaikilta laitteilta, peruuttaa sen rekisteröinnit ilmoituksia varten, kirjaa turvallisuuslokin ja ilmoittaa muille vanhemmille. Tuotantoympäristössä sovelluksen ja palvelimen välinen tiedonsiirto tapahtuu HTTPS-yhteydellä. Kuvat ovat ei-julkisessa tallennustilassa, ja taustajärjestelmä tarkistaa ennen niiden luovuttamista tilin ja sen kuulumisen samaan perheeseen. Tietokannan varmuuskopiot salataan jo ennen siirtoa ja ne voidaan purkaa vain yksityisellä avaimella, joka on tallennettu pilven ulkopuolelle; tarjouskoodit ovat tietokannassa vain HMAC-sormenjälkenä avaimella, joka on tietokannan ulkopuolella, ja kirjaamme tarjouskoodien hallinnan. Palvelin ei kirjaa puhelinnumeroita, tunnisteita tai pyyntöjen sisältöä toimintalokeihin.

9. Verkkosivusto kimda.app ja evästeet

Tämä kohta koskee vain kimda.app-verkkosivuston kävijöitä, ei sovelluksen käyttöä. Verkkosivusto toimii Cloudflaren verkossa, joka käsittelee jokaisen käynnin yhteydessä teknisesti IP-osoitetta ja selaimen tietoja voidakseen toimittaa sivun ja suojata sitä hyökkäyksiltä; Cloudflare säilyttää verkkosivuston virheiden diagnostiikkalokeja enintään 3 päivää. Selaimen kielen perusteella (latauslinkin kohdalla myös laitetyypin perusteella) verkkosivusto ohjaa sinut sivun sopivaan versioon. Oikeusperusteena on oikeutettu etumme turvalliseen ja toimivaan verkkosivustoon (GDPR:n 6 artiklan 1 kohdan f alakohta). Valitun teeman verkkosivusto tallentaa vain selaimeesi (localStorage). Evästeitä koskeva valintasi tallennetaan localStorageen ja välttämättömään tekniseen evästeeseen kimda-consent-proof (voimassa 180 päivää), joka sisältää vain valinnan tyypin ja päätöksen ajankohdan, ilman henkilön tai tilin tunnistetta. Selaimesi lähettää sen teknisesti jokaisen verkkosivustolle tehdyn pyynnön mukana; palvelin ei käsittele sitä, vaan sitä käyttää ainoastaan selaimessasi toimiva skripti varmistaakseen, ettei suostumusta ole peruutettu. Tämä eväste ei edellytä suostumusta, eikä sitä käytetä mittaamiseen tai mainontaan.

Vain jos valitset verkkosivuston palkissa "Hyväksyn", verkkosivusto lataa Meta Platforms Ireland Limitedin Meta Pixelin. Se tallentaa selaimeen evästeen (esim. _fbp, voimassa enintään 90 päivää) ja lähettää Metalle käyntiä koskevia tietoja: vieraillun sivun, IP-osoitteen, selaimen tiedot ja evästeen tunnisteen. Käytämme sitä Facebookissa ja Instagramissa näytettävien mainostemme tehokkuuden mittaamiseen. Oikeusperusteena on suostumuksesi (GDPR:n 6 artiklan 1 kohdan a alakohta ja sähköisestä viestinnästä annetun lain nro 127/2005 Sb. 89 §:n 3 momentti). Vastaamme näiden tietojen keräämisestä ja siirtämisestä yhdessä Metan kanssa; niiden jatkokäsittelystä, mukaan lukien mahdollinen siirto Yhdysvaltoihin EU-USA-tietosuojakehyksen (Data Privacy Framework) perusteella, vastaa Meta itsenäisenä rekisterinpitäjänä käytäntöjensä mukaisesti osoitteessa facebook.com/privacy/policy. Emme koskaan lähetä Metalle sovelluksen, tilin tai perheen tietoja.

Ilman suostumusta Meta Pixeliä ei ladata lainkaan. Voit peruuttaa suostumuksesi milloin tahansa verkkosivuston alatunnisteen linkistä "Evästeasetukset"; verkkosivusto poistaa tällöin Pixelin evästeet eikä lataa Pixeliä enää.

Jos liityt testaajien ryhmään Google Groupsissa testaajille tarkoitetun sivun kautta, ryhmän ylläpitäjä näkee Google-tilisi sähköpostiosoitteen; käytämme sitä vain sovelluksen testaamiseen ja sen testiversion käyttöoikeuden antamiseen Google Playssa. Apple jakelee iPhonen testiversion TestFlightin kautta. Google ja Apple käsittelevät tällöin tietoja itsenäisinä rekisterinpitäjinä omien käytäntöjensä mukaisesti. Oikeusperusteena on pyyntösi osallistua testaukseen (GDPR:n 6 artiklan 1 kohdan b alakohta). Sähköpostiosoite pysyy ryhmässä, kunnes eroat siitä tai kunnes testaus päättyy.

10. Tämän käytännön muutokset

Ilmoitamme kaikista tämän käytännön olennaisista muutoksista sovelluksessa ja kimda.app-verkkosivustolla. Sovellus tunnistaa, minkä käytäntöjen version olet hyväksynyt: se pyytää vanhempia vahvistamaan uuden version (ja tarvittaessa antamaan suostumuksen lasten puolesta), lapsi ottaa sen tiedoksi. Tallennamme vahvistuksen ajan ja version.

11. Yhteystiedot

Tietosuojaa koskevat kysymykset: privacy@kimda.app