Kimda

Adatvédelmi irányelvek

Utolsó frissítés: 2026. október 27.

Ez egy gépi fordítás. Jogilag kötelező érvényű a cseh nyelvű változat.

Jelen irányelvek cseh nyelvű változata kötelező érvényű. A más nyelvekre készült fordítások tájékoztató jellegűek; ellentmondás esetén a cseh változat az irányadó.

Ez a dokumentum leírja, milyen adatokat kezel a Kimda app („app”, „mi”) és a kimda.app weboldal, miért és milyen jogalapon, kinek továbbítjuk azokat, mennyi ideig őrizzük meg őket, és milyen jogai vannak Önnek és gyermekeinek. Az appot az egész család használja, a gyerekeket is beleértve – ezért az adatok védelmét különös gondossággal kezeljük.

1. Ki az adatkezelő

Az adatkezelő Mgr. Ivo Slávka, aki a Kimda appot az ÚMČ Praha 8 által vezetett egyéni vállalkozói nyilvántartásba bejegyzett egyéni vállalkozóként üzemelteti, IČO 30070929, székhelye: Bergerova 1115/2, 182 00 Praha 8 – Kobylisy, Csehország. Adatvédelmi kérdések esetén és jogainak gyakorlásához elérhető e-mail-cím: privacy@kimda.app.

2. Milyen adatokat kezelünk és miért

Fiókadatok: keresztnév, vezetéknév, telefonszám, szerepkör (szülő/gyerek), választott nyelv és megjelenési téma, opcionális profilfotó, ezen irányelvek verziója és az időpont, amikor elfogadta azokat, a szülő esetében az időpont, amikor megerősítette nagykorúságát, a gyermek esetében pedig az időpont, az irányelvek verziója és a szülő, aki a gyermek nevében hozzájárulását adta (5. pont). A neve és profilképe látható a család többi tagja számára az alkalmazásban (a szülő minden tagot lát, a gyermek a szüleit és testvéreit).
A telefonszámot a személyazonosság ellenőrzésére (SMS-kód) és a bejelentkezéshez használjuk, és annak visszafordíthatatlan lenyomatát a Premium próbaidőszak védelmére is (6. pont), a szám megváltoztatása után egy átvett fiók visszaadására irányuló kérelem ellenőrzésére (biztonsági naplók alább) és az adatbázis biztonsági mentésből történő helyreállítása után a bejelentkezés visszatartására olyan számra, amelyet a fiók korábban elhagyott (telefonszám-változások naplója alább) – az app egyébként nem küld a számra üzenetet, és nem osztja meg harmadik felekkel, kivéve az SMS-ellenőrzés szolgáltatóját (Twilio, lásd a 4. pontot).
Családi adatok: a család neve, kik tartoznak hozzá, kinek milyen szerepköre és beállításai vannak (a zsebpénz felosztásának százalékai, pénznem, a család nyelve és időzónája), valamint a pénzügyi szabályok változásainak története (ki és mikor változtatta meg pl. a kamatot, a felosztási százalékokat, a pénznemet vagy az időzónát, és milyen értékről milyenre).
Csatlakozási kérelmek: a családhoz csatlakozni kívánó személy keresztneve, vezetékneve, szerepköre és telefonszáma, valamint a kérelem ideje - hogy a szülő lássa, kit hagy jóvá.
Szülői hozzájárulási kérelmek: a kérelem típusa (szülő eltávolítása vagy a teljes család törlése), ki nyújtotta be, kire vonatkozik és ki hagyta jóvá, utasította el vagy vonta vissza (belső azonosítók), időpontok (benyújtás, határidő, emlékeztető, elintézés) és eredmény (jóváhagyva, elutasítva, visszavonva, a határidő lejárta után végrehajtva vagy érvénytelenítve); neveket, telefonszámokat vagy szabad szöveget nem tárolunk. A kérelmeket a család szülői látják az appban.
Feladatadatok: a feladat neve, pontok, mikor teljesítették/hagyták jóvá/utasították el, valamint fotók, ha a feladathoz fotó szükséges, beleértve a fotó technikai lenyomatát is (lásd a 3. pontot).
Tervek, rutinok és emlékeztetők: kinek van kiosztva a feladat, a tervezett nap és időpont, a teljesítés állapota, a késés, a rotáció sorrendje, és hogy elküldték-e az emlékeztetőt.
Jutalmak és célok: a családi jutalomkatalógus, jutalomkérések, megtakarítási célok és az összegek, amelyeket a gyerek a célra átcsoportosított. A szülői áttekintés ezekből az adatokból összesített teljesítést, határidőre teljesítést és a kiosztás egyenletességét számítja ki; nem készít nyilvános rangsort a gyerekekről.
Az app pénzügyi adatai: pontok, virtuális zsebpénz és annak felosztása, kifizetési kérelmek, családon belüli kölcsönök és kamatok – ezek az app belső nyilvántartásai, nem valódi banki vagy fizetési adatok. Az app nem fér hozzá semmilyen bankszámlához vagy bankkártyához. A gyermek havi összefoglalója (jóváhagyott feladatok száma, pontok, és a Premiummal az aktuális hónap összege is; a dobozok egyenlege nem) a család többi gyermeke számára is látható, kivéve, ha egy szülő ezt kikapcsolja a családi beállításokban.
Közvetlen kifizetések és kézi törlesztések rekordjai: amikor a szülő az appban a gyermek egyenlegének egy részét közvetlenül (a gyermek kérése nélkül) kifizeti, vagy kézzel rögzíti a kölcsönének törlesztését, a szerver minden ilyen műveletről külön, a továbbiakban nem módosuló rekordot ment el. Ez tartalmazza a család, a gyermek és a műveletet végző szülő belső azonosítóit, a művelet típusát (közvetlen kifizetés, kézi törlesztés), az összeget, kifizetés esetén a dobozt, amelyből a kifizetés történt, valamint az összeg bontását (kifizetésnél a saját befizetésekből származó részre és a jóváírt kamatból származó részre, törlesztésnél a tőkére és a kamatra), a művelet idejét és a kérés véletlenszerű azonosítóját. A rekord arra szolgál, hogy igazolható legyen, mit és mikor rögzített a szülő az appban, és hogy az esetleges családi viták a rekord alapján legyenek megítélhetők, nem pedig kizárólag a végső egyenleg alapján. Ez az app belső nyilvántartása – maga az app nem utal semmilyen pénzt. A rekordok az adatexport részét képezik (7. pont), és megőrzésük a 6. pont szerint történik.
Előfizetés: a család előfizetésének állapota (próbaidőszak, Premium, annak érvényessége és megújítása) és az esetleges promóciós kódból származó ingyenes hozzáférés; magukat a promóciós kódokat a szerver csak HMAC lenyomatként tárolja, és a kódok kezelését naplózza (ki, mikor, milyen művelet). A fizetési adatokat nem látjuk – a fizetést az Apple vagy a Google dolgozza fel. A Premium azonnali megkezdéséhez adott hozzájárulás bizonyítékát, amelyet ezen hozzájárulás bizonyítékaként őrzünk meg, a 6. pont ismerteti.
Bejelentkezés és biztonság: az egyes eszközök bejelentkezési munkamenetei (mikor jött létre, mikor használták utoljára és meddig érvényes). A szülő a Profilban áttekintést lát a bejelentkezett eszközeiről (csak a bejelentkezés és az utolsó használat idejét, IP-cím és eszköznév nélkül), és egyenként kijelentkeztetheti őket. A frissítési tokeneket a szerver csak SHA-256 lenyomatként tárolja, beleértve a már lecserélt tokenek lenyomatait is, hogy felismerje az ellopott tokenekkel való visszaélést. SMS-kód kérésekor elmenti a telefonszám kulcsolt lenyomatát (HMAC-SHA-256) és az egyszeri kihívás SHA-256 lenyomatát a próbálkozások számával együtt, számmódosítás és a család törlésének megerősítése esetén annak célját és a fiók belső azonosítóját is. A kérések számának korlátait, beleértve az elküldött SMS-ek napi korlátját, az IP-cím vagy annak hálózata (IPv4 /24, IPv6 /56), a telefonszám, a telefonszám és a hálózat párosa vagy a fiók kulcsolt lenyomata (HMAC-SHA-256) alapján, illetve az ország vagy a telefonszám előhívója alapján számítja ki. Ezeknek a lenyomatoknak a kulcsát a szerver egy adatbázison kívül tárolt titkos kulcsból származtatja, így a lenyomat e nélkül nem alakítható vissza telefonszámmá vagy IP-címmé. A fontos eseményekről (pl. bejelentkezés, csatlakozási kérelem, tag jóváhagyása, elutasítása vagy eltávolítása, új meghívókód, eszköz kijelentkezése, a telefonszám megváltoztatása, az irányelvek megerősítése, szülői hozzájárulás a gyermek nevében vagy tokenekkel való visszaélés gyanúja) szóló biztonsági naplók az esemény típusát, idejét és belső azonosítókat tartalmaznak; tag eltávolításakor ezenfelül a szerepkörét (szülő/gyerek), az irányelvek megerősítésekor és a szülői hozzájáruláskor az irányelvek verzióját, és olyan gyerek fiókjának törlésekor, akinek tartozása, egyenlege vagy elintézetlen kérelmei voltak, a pénznemet, a leírt összegeket és az elintézetlen kérelmek számát is. A telefonszám megváltoztatásáról szóló biztonsági napló ezenfelül tartalmazza az eredeti szám visszafordíthatatlan lenyomatát (HMAC titkos kulccsal), hogy az ügyfélszolgálat ellenőrizhesse, hogy az átvett fiók visszaadására irányuló kérelmet az eredeti szám tényleges tulajdonosa nyújtja-e be. Nevek, telefonszámok és IP-címek nincsenek bennük. A telefonszám megváltoztatása, valamint a családtag eltávolítása vagy visszaállítása ezenfelül egy külön naplóba kerül rögzítésre, amelyet a lenti „Telefonszám- és tagállapot-változások naplója” pont ismertet.
Biztonsági értesítések: amikor egy szülő SMS-kóddal jelentkezik be, a család többi szülője általános értesítést kap név és telefonszám nélkül; minden SMS-kóddal történő bejelentkezéskor (szülő és gyermek esetében is) az új bejelentkezésről szóló általános értesítést az ugyanazon fiókhoz korábban bejelentkezett eszközök is megkapják. A telefonszám megváltoztatásakor (az új számot SMS-kóddal ellenőrizzük) a szerver kijelentkezteti a fiók többi bejelentkezett eszközét, és a fiók addigi eszközei, valamint a családban lévő szülők általános értesítést kapnak; az eredeti számot a továbbiakban nem tároljuk – csak a visszafordíthatatlan lenyomata marad meg a változásról szóló biztonsági naplóban (30 nap, lásd a 6. szakaszt), az eredeti és az új szám visszafordíthatatlan lenyomatai a telefonszám-változások naplójában (60 nap, lásd alább és a 6. szakaszt), és olyan szülő esetében, aki a család tagja volt annak próbaidőszaka alatt, a 6. szakasz szerinti lenyomat is. Amikor a számot a fióktulajdonos kérésére az ügyfélszolgálat állítja helyre, először ellenőrzi a személyazonosságát: az eredeti számra (amelynek lenyomata meg kell hogy egyezzen a számmódosításról szóló naplóban lévő lenyomattal) küldött SMS-kóddal. Ha ilyen ellenőrzés nem lehetséges (a változásról szóló napló már nem létezik, vagy a tulajdonosnak nincs meg az eredeti száma), a család egy másik szülőjének megerősítésével (amelyet az ezen szülő telefonszámára küldött SMS-kóddal ellenőrzünk), és az ügyfélszolgálat által feltett kérdésekre adott válaszokkal ellenőrzi azt; ilyen esetben először értesítést küld a fiók eszközeire és a család szüleinek, és a számot legkorábban 72 óra múlva adja vissza, ha senki sem emel kifogást ellene; ezt az értesítést bejelentkezés után közvetlenül az alkalmazásban is látni fogja a teljes időszak alatt. Ilyen ellenőrzés nélkül nem állítja helyre a számot és nem töröl semmilyen kérelmet – csak a fiók összes eszközét jelentkeztetheti ki. Ha az ügyfélszolgálat az elmúlt 30 napban már egyszer visszaadta ugyanezt a fiókot, a következő kérelmet vitának tekinti, és további vizsgálat nélkül nem állítja helyre a számot. A helyreállítás után a szerver minden eszközön kijelentkezteti a fiókot, a család szülői általános értesítést kapnak, és a beavatkozást rögzítjük (ki végezte, mikor, melyik fiókot érinti és az Ön kérésére mutató hivatkozást – telefonszám nélkül). A szülők általános értesítést kapnak egy gyerek fiókjának törlésekor, egy másik szülő eltávolításakor (az eltávolított szülő is), valamint bejelentkezési tokennel való visszaélés gyanúja esetén is; ebben az esetben a szerver minden eszközön kijelentkezteti a fiókot, és törli az értesítésekre vonatkozó regisztrációit. A biztonsági értesítéseket (pl. új bejelentkezésről vagy eszközről, a telefonszám megváltoztatásáról, a pénzügyi szabályok megváltoztatásáról, tag eltávolításáról, a gyermek fiókjának törléséről vagy a tokennel való visszaélés gyanújáról) a szerver először egy várólistára menti (az értesítés típusa, címzett - az eszköz push tokenje vagy a család vagy fiók belső azonosítója és a nyelv - és az esemény általános technikai típusa), és csak onnan kézbesíti őket; az átvett fiók ügyfélszolgálat általi visszaadásakor (fent) az értesítést közvetlenül küldi el. Ha az értesítés kézbesítése a szülőknek vagy a családtag fiókjának eszközeire ismételt próbálkozások után sem sikerül, a szerver csak a család belső azonosítóját, az értesítés típusát és idejét menti el (push token és név nélkül), hogy a szülő az alkalmazásba való következő bejelentkezés után lássa, milyen értesítésről volt szó, és megerősíthesse azt; ha a címzettnek nincs olyan eszköze, amelyre az értesítés elküldhető, ilyen rekord nem jön létre. A megőrzési határidőket a 6. pont határozza meg.
Telefonszám- és tagállapot-változások naplója: a fenti biztonsági naplókon kívül a szerver a fiók telefonszámának minden megváltoztatásáról (akár Ön végzi el a Profilban, akár kérésére az ügyfélszolgálat végzi el) és a családtagok minden eltávolításáról vagy visszaállításáról külön bejegyzést vezet a naplóban. A rekord tartalmazza a rekord véletlenszerű azonosítóját, a fiók és a család belső azonosítóit, az esemény típusát (számmódosítás, szám helyreállítása ügyfélszolgálat által, tag eltávolítása, tag visszaállítása), az esemény idejét, és – kizárólag a szám megváltoztatása esetén – az eredeti és az új szám visszafordíthatatlan lenyomatát (HMAC-SHA-256 egy olyan titkos kulccsal, amelyet az adatbázison kívül tárolunk). A tag eltávolításakor és visszaállításakor nincsenek lenyomatok. Telefonszámok, nevek és IP-címek nincsenek a naplóban. A lenyomat a titkos kulcs nélkül nem alakítható vissza telefonszámmá, de mivel a fiók belső azonosítójához kapcsolódik, álnevesített adatnak minősül, nem pedig anonim adatnak. A napló kizárólag az adatbázis biztonsági mentésből történő helyreállítása következményeivel szembeni védelmet szolgálja: hogy a fiókhoz ne térhessen vissza olyan szám, amelyet a fiók időközben elhagyott (és amelyet más vehetett át), és hogy újra érvényesüljön a családtag eltávolítása, amelyet a biztonsági mentés nem tartalmaz. A szerver ezért az SMS-kóddal történő bejelentkezéskor és a telefonszám ellenőrzésekor összehasonlítja a megadott szám lenyomatát a napló utolsó rekordjával; ha nem egyezik, a bejelentkezést visszatartja, és az ügyfélszolgálathoz irányít. A rekord az adatbázisba kerül mentésre, és általában néhány percen belül egy másolatban egy különálló, nem nyilvános Cloudflare R2 tárhelyre is (4. pont), hogy túlélje az adatbázis mentések közötti elvesztését. A megőrzési időket a 6. pont határozza meg.
Technikai adatok: push token és egy véletlenszerű eszközazonosító, amelyet az app az értesítések kézbesítéséhez hoz létre (nem hardveres azonosító), az eszköz utolsó regisztrációjának idejét, a bejelentkezést, amelyhez a regisztráció tartozik, és egy véletlenszerű telepítési titok SHA-256 lenyomatát, amellyel az eszköz bizonyítja, hogy a push token hozzá tartozik. A regisztráció felszabadítása (kijelentkezés, tag eltávolítása, biztonsági blokkolás vagy automatikus takarítás) után a szerver két időben korlátozott rekordot jegyez meg, hogy az eszköz értesítéseit ne vehesse át egy idegen fiók: (a) rekord a felszabadított push tokenről – a push token és a telepítési titok SHA-256 lenyomatai, a család belső azonosítója és a felszabadítás ideje (a felszabadított tokent így nem veheti át egy másik család fiókja); és (b) rekord a felszabadított eszközről – a fiók belső azonosítója, az eszköz véletlenszerű azonosítója, ugyanezek a lenyomatok és a felszabadítás ideje (a felszabadított eszközt így anélkül, hogy bizonyítaná, hogy ugyanarról a telepítésről van szó, nem foglalhatja el újra ugyanazon fiók egy másik, például ellopott bejelentkezési munkamenete). A szerver továbbá 30 napig megőrzi az eszközregisztrációról szóló rekordot (a fiók és az eszköz belső azonosítója, a push token lenyomata, az esemény típusa és ideje), amely alapján figyeli az új eszközök regisztrációjának 24 órás korlátját. A megőrzési időket a 6. pont határozza meg; a felszabadított eszközről szóló rekord a fiók törlésekor nem kerül vezetésre. Továbbá a szerver működési naplói (pl. hibaállapotok) telefonszámok és a kérések tartalma nélkül. A telefonon az app biztonságos tárhelyen őrzi a bejelentkezési tokeneket, és megjegyzi a választott nyelvet és témát; a választott nyelvet a szerverrel is közli, hogy az értesítések az Ön nyelvén érkezzenek. Azt, hogy az app mit küld közvetlenül az Expo és a Sentry szolgáltatásoknak, a 4. pont ismerteti.

Miért kezeljük az adatokat és milyen jogalapon:

Családi fiók és az app funkciói (regisztráció, család, feladatok és fotók, tervek, emlékeztetők, jutalmak, célok, zsebpénz, beleértve a közvetlen kifizetések és kézi törlesztések rekordjait, értesítések és előfizetés): a szerződés, azaz a felhasználási feltételek teljesítése (GDPR 6. cikk (1) bekezdés b) pontja). A közvetlen kifizetések és kézi törlesztések rekordjait és a pénzügyi szabályok változásainak előzményeit ezenfelül azon jogos érdekünk alapján kezeljük, hogy az appban végzett pénzügyi műveletek és szabályok igazolhatók legyenek, és a családi viták rendezhetők legyenek (GDPR 6. cikk (1) bekezdés f) pontja). A Premium azonnali megkezdéséhez adott hozzájárulás bizonyítékát és annak adatbázison kívüli másolatát ezenfelül azon jogos érdekünk alapján kezeljük, hogy ezt a hozzájárulást bizonyítsuk és jogi igényeket érvényesítsünk (GDPR 6. cikk (1) bekezdés f) pontja). A gyermekek adataihoz lásd az 5. pontot.
SMS-kóddal ellenőrzött bejelentkezés: a szerződés teljesítése (GDPR 6. cikk (1) bekezdés b) pontja) – ellenőrzött telefonszám nélkül nem lehet bejelentkezni az appba.
Biztonság és visszaélés elleni védelem (munkamenetek és tokenlenyomatok, SMS-kód kihívások, a kérések számának korlátai és a napi SMS-korlát, biztonsági naplók, a telefonszám- és tagállapot-változások naplója, a felszabadított push tokenek és eszközök memóriája, az eszközregisztráció rekordja és az új eszközök regisztrációjának 24 órás korlátja, a biztonsági figyelmeztetések sora és a kézbesítetlen figyelmeztetések nyilvántartása, működési naplók, a próbaidőszak ismételt igénybevétele elleni telefonszám-lenyomat, a szülői hozzájárulási kérelmek, amelyek védik a családot a szülő egyoldalú eltávolításával vagy a törléssel szemben, és a személyazonosság ellenőrzése, amikor az ügyfélszolgálat visszaadja az átvett fiókot, beleértve az ilyen beavatkozások nyilvántartását): jogos érdekünk a szolgáltatás biztonságos működtetése, a szülők és gyermekek fiókjainak védelme, valamint az SMS-ellenőrzéssel való visszaélés elleni védekezés (GDPR 6. cikk (1) bekezdés f) pontja).
Hibajavítás és az app frissítése (hibajelentések a Sentry-n keresztül, frissítések az Expo-n keresztül): jogos érdekünk a stabil és biztonságos app (GDPR 6. cikk (1) bekezdés f) pontja).
Az Ön 7. pont szerinti kérelmeinek intézése és annak igazolása, hogy hogyan és mikor intéztük el azokat (pl. a végrehajtott törlés állapota, a végrehajtott törlések naplója és a külső törlési feladat): jogi kötelezettség teljesítése (GDPR 6. cikk (1) bekezdés c) pontja).
Hirdetésmérés a kimda.app weboldalon (Meta Pixel): az Ön hozzájárulása (GDPR 6. cikk (1) bekezdés a) pontja), lásd a 9. pontot.

A jogos érdeken alapuló adatkezelés ellen tiltakozhat (7. pont). A telefonszám elengedhetetlen a regisztrációhoz és a bejelentkezéshez; enélkül az app nem használható. A profilfotó megadása önkéntes, a teljesített feladatról készült fotó pedig csak azoknál a feladatoknál szükséges, amelyeknél a szülő ezt megköveteli. Nem alkalmazunk automatizált döntéshozatalt vagy profilalkotást, amely joghatással vagy hasonlóan jelentős hatással járna (GDPR 22. cikk); az automatikus biztonsági korlátok, amelyek például ideiglenesen blokkolják a további SMS-kód próbálkozásokat, csak a fiókok és a szolgáltatás védelmét szolgálják.

3. Fotók a feladatoknál

A gyerek (vagy helyette a szülő) által a feladathoz feltöltött fotókat csak ugyanannak a családnak a tagjai látják (az appban lévő szülők és gyerekek). Nem nyilvánosak, az app nem osztja meg őket semmilyen más alkalmazással vagy közösségi hálózattal. A feladathoz tartozó fotót csak az appban lévő kamerával lehet elkészíteni. Az app, majd utána a szerver is, a mentés előtt eltávolítja a fotóból a metaadatokat (például a GPS-helyzetet vagy a kamera adatait). A fotók egy nem nyilvános objektumtárolóban (lásd a 4. pontot) tárolódnak, és a szerver csak ugyanannak a családnak a bejelentkezett tagja számára adja ki őket. A szülő bármikor kérheti a törlésüket.

Minden feltöltött fotóhoz a szerver kiszámít egy technikai lenyomatot (ellenőrző összeget és egy egyszerűsített 64 bites képlenyomatot). Ez csak arra szolgál, hogy az app felismerje, ha ugyanazt vagy egy majdnem ugyanolyan fotót újra felhasználnak egy feladathoz, és hogy a fotó ahhoz a feladathoz tartozzon, amelyhez a gyerek az appban éppen lefotózta. A lenyomatból a fotót nem lehet megjeleníteni vagy visszaállítani, és a fotóval együtt törlődik. A fotóhoz tartozó időbeli kihívás rekordját (ki kérte az appban, melyik feladathoz és mikor) a szerver 7 nap után törli. A szülő a fotónál egy figyelmeztetést lát, ha a fotó nem rendelkezik az app érvényes időbeli ellenőrzésével, vagy nagyon hasonlít egy korábbi fotóhoz, segítségként a jóváhagyásnál; az ellenőrzés nem garantálja, hogy a fotót nem lehet meghamisítani.

4. Kinek továbbítjuk az adatokat és továbbítás az EU-n kívülre

Az adatokat csak azoknak a szolgáltatóknak továbbítjuk, akik az app működtetését biztosítják számunkra (adatfeldolgozók), és csak a szükséges mértékben. Az adatfeldolgozók az adatokat csak a szolgáltatásuk számunkra történő nyújtására és a mi utasításaink alapján használhatják fel. Az Apple és a Google az áruházakban történő vásárlások során önálló adatkezelőként jár el.

Tárhelyszolgáltató (Railway) - üzemelteti az app szerverét és az adatbázist, amelyben az app adatai tárolódnak.
Cloudflare - a privát R2 objektumtároló nem nyilvános bucketekben tárolja a titkosított kapcsolaton továbbított profilfotókat és az elvégzett feladatokról készült fotókat, az adatbázis biztonsági mentéseit (amelyeket még a küldés előtt úgy titkosítunk, hogy csak egy felhőn kívül tárolt privát kulccsal lehet őket visszafejteni), a végrehajtott törlések naplóját (csak belső azonosítók, a törlés típusa és ideje), a telefonszám- és tagállapot-változások naplóját (2. pont: belső azonosítók, az esemény típusa és ideje, számmódosítás esetén pedig a számok visszafordíthatatlan lenyomatai) és a Premium azonnali megkezdéséhez adott hozzájárulás bizonyítékának másolatát (6. pont: a család és a felhasználó belső azonosítói, a hozzájárulás időpontja, a kiválasztott csomag, a fizetett időszak kezdete, az áruházi tranzakció azonosítója és a megjelenített szöveg verziója); a fotókhoz való hozzáférést továbbra is a bejelentkezést igénylő Kimda háttérrendszer szabályozza. A Cloudflare üzemelteti a kimda.app weboldalt is (9. pont).
Twilio (telefonszám-ellenőrzés SMS-kóddal) - a telefonszámot és az Ön által megadott kódot kizárólag az SMS-kód kézbesítése és ellenőrzése céljából kapja meg.
Expo (650 Industries) - egyrészt értesítéseket kézbesít: megkapja az eszköz push tokenjét, az értesítésekhez tartozó telepítési azonosítót, a natív Apple vagy Google tokent, az értesítés általános szövegét vagy emojiját és az esemény általános technikai típusát. Adatbázis-azonosítókat, neveket, feladatneveket és összegeket nem küldünk a push-üzenetben. Az Expo az üzenetet az Apple (Apple Push Notification service) vagy a Google (Firebase Cloud Messaging) push-szolgáltatásának továbbítja. Másrészt az app frissítéseit kézbesíti (EAS Update): az app minden indításkor megkérdezi az Expo szervereit, hogy van-e elérhető javítás. Az Expo ekkor megkapja az eszköz IP-címét, a platformot, az app verzióját, a telepített frissítés azonosítóját, esetleg az appot leállító utolsó hiba szövegét, valamint egy véletlenszerű EAS-Client-ID telepítési azonosítót, amelyet az app véglegesen elment a telefonon, és amely a kijelentkezés után sem változik. Ezt nem kapcsoljuk össze az Ön fiókjával, és az app nem küldi el a mi szerverünknek.
Apple és Google - önálló adatkezelőként feldolgozzák az előfizetések vásárlását és kezelését az App Store-ban és a Google Playen; push-szolgáltatásként (Apple Push Notification service, Firebase Cloud Messaging) értesítéseket kézbesítenek az eszközökre.
RevenueCat (az App Store / Google Playen keresztüli előfizetések kezelése, kizárólag a szülői fiókoknál) - kezeli a család azonosítóját, a vásárlási előzményeket, az Apple-nyugtát vagy a Google vásárlási tokenjét, az utolsó használat időpontját és az eszköz technikai adatait (pl. az eszköz típusát és az operációs rendszert). A Kimdától nem kapja meg a szülő vagy a gyerek nevét, sem a telefonszámát. Az appban nincsenek bekapcsolva a RevenueCat reklám- és attribúciós integrációi, és reklámazonosítók kézi gyűjtése sem történik.
Sentry (az app és a szerver technikai hibanaplói a hibák javításához) - megkapja a hiba típusát, a kód helyét, az app és az operációs rendszer verzióját. Az app és a szerver is úgy van beállítva, hogy ne küldjön neki nevet, telefont, bejelentkezési tokent, a kérések tartalmát, sem IP-címet. A Kimda szervezet a Sentry-ben az EU adatterületén (Németország) van nyilvántartva.
E-mail szolgáltató (Spaceship, Spacemail szolgáltatás) - kézbesíti és tárolja azokat az e-maileket, amelyeket a privacy@kimda.app vagy a support@kimda.app címre küld nekünk.

A Railway, a Cloudflare, a Twilio, az Expo, a RevenueCat, a Sentry, a Spaceship, az Apple, a Google és a Meta (9. pont) az Egyesült Államokban székhellyel vagy háttérrel rendelkező vállalatok, ezért az adatokat az Európai Gazdasági Térségen kívül is feldolgozhatják. Az Európai Gazdasági Térségen kívüli adattovábbítás esetén a GDPR V. fejezete szerinti olyan mechanizmust alkalmazunk, amely az adott címzettre és adatkezelésre vonatkozik - ez általában a címzett EU-USA Data Privacy Framework (az Európai Bizottság megfelelőségi határozata, GDPR 45. cikk) szerinti tanúsítása, vagy az Európai Bizottság által jóváhagyott általános szerződési feltételek (GDPR 46. cikk (2) bekezdés c) pontja). Az adott címzettnél alkalmazott mechanizmusról és arról szóló információt, hogy hol szerezhető be a vonatkozó garanciák másolata, kérésre a privacy@kimda.app címen biztosítjuk.

Az appból származó adatokat nem adjuk el, nem osztjuk meg hirdetőkkel, és nem használjuk célzott reklámozásra. A kimda.app weboldalon a látogató hozzájárulásával végzett hirdetésmérést a 9. pont ismerteti.

5. Szülői hozzájárulás és a gyerekek szerepköre

Az appban fiókot (a „szülő” szerepkört és új családot) létrehozni csak nagykorú személy jogosult. A „gyerek” szerepkörű fiók mindig csak a meghívókóddal való csatlakozás után jön létre, amelyet csak a szülő ismer – a gyerek tehát csak a kódot megosztó szülő tudtával és hozzájárulásával csatlakozhat. Ezenkívül a gyerek és egy másik szülő minden csatlakozását a szülőnek kifejezetten jóvá kell hagynia az appban; a jóváhagyásig az új tag csak a család nevét látja. A család meghívókódja 48 óráig érvényes, a jóvá nem hagyott kérelem 72 óra elteltével automatikusan törlődik, az elutasított vagy visszavont pedig azonnal. A „szülő” szerepkörrel való regisztrációval megerősíti, hogy nagykorú, és jogszabály szerint jogosult hozzájárulni gyermekei adatainak az appban történő kezeléséhez.

A gyermek adatait csak a szülő által létrehozott és kezelt családi fiók működéséhez szükséges mértékben kezeljük, azaz a szülővel kötött szerződés teljesítése érdekében (GDPR 6. cikk (1) bekezdés b) pontja). A szülő mint törvényes képviselő dönt a gyermek bevonásáról: megosztja a meghívókódot, kifejezetten jóváhagyja a gyermek csatlakozását, és bármikor eltávolíthatja a gyermeket a családból, vagy kérheti a fiókjának törlését. A gyermek a regisztráció során csak tudomásul veszi az irányelveket; az adatai kezeléséhez a szülő ad hozzájárulást, amikor az appban jóváhagyja a gyermek csatlakozását, a szerver pedig rögzíti az időpontot, a szülőt és az irányelvek verzióját. Az app régebbi verziójával jóváhagyott gyermekek esetében az app utólag kéri a szülőtől a hiányzó hozzájárulást. Ha az adatkezeléshez hozzájárulás szükséges, és a gyermek még nem töltötte be a 15. életévét (a csehországi korhatár a GDPR 8. cikke és a személyes adatok kezeléséről szóló 110/2019. sz. törvény 7. §-a szerint), a hozzájárulást a gyermek helyett a szülő adja meg. A gyermek 7. pont szerinti jogait a szülő gyakorolhatja helyette.

6. Mennyi ideig őrizzük meg az adatokat

A fiók és a család adatait addig őrizzük meg, amíg a felhasználó nem kéri a fiók vagy a teljes család törlését. Az app puszta használaton kívül hagyása nem indít automatikus törlést. A felhasználónak tehát nem kell rendszeresen megnyitnia az appot ahhoz, hogy ne veszítse el a családi előzményeket, és a törlést bármikor elindíthatja közvetlenül az appban, vagy kérheti a privacy@kimda.app címen. A pénzügyi szabályok változásainak történetét (2. pont) a család fennállásának teljes ideje alatt megőrizzük, időbeli és összesített számbeli korlátozás nélkül (a család óránként legfeljebb 30-szor mentheti el a pénzügyi szabályok változásait), mivel megváltoztathatatlan bizonyítékként szolgál arra vonatkozóan, hogy ki és mikor változtatta meg a szabályokat, például a szülők közötti vita esetén; az alkalmazásban nem lehet módosítani vagy törölni. A teljes család törlése után (7. pont) a szerver a következő takarításkor törli; egy adott tag fiókjának törlése nem változtatja meg azt, és csak a belső azonosító marad meg név nélkül.

Az egyes további nyilvántartásokra az alábbi határidők vonatkoznak:

SMS-kód kihívások (a telefonszám és a kihívás lenyomatai): 10 percig érvényesek; sikeres ellenőrzés után a szerver azonnal törli őket, egyébként legkésőbb a lejáratuk után egy órával.
A kérések számának korlátai és a napi SMS-korlát (lenyomatok): a szerver a megfigyelt időszak lejárta után 24 órával törli őket; a napi SMS-korlát mindig UTC éjfélkor ér véget.
Bejelentkezési munkamenetek: a bejelentkezési token 15 percig érvényes; a munkamenet 30 nap inaktivitás után, legkésőbb 90 nap után, vagy korábban kijelentkezéssel ér véget. A befejezett munkamenetet, beleértve a tokenlenyomatokat is, a szerver a befejezése után 30 nappal törli.
Meghívók és csatlakozási kérelmek: a család meghívókódja 48 óráig, egy másik szülő meghívója pedig 24 óráig érvényes; a jóvá nem hagyott csatlakozási kérelem 72 óra elteltével automatikusan törlődik, az elutasított vagy visszavont pedig azonnal. Egy másik szülő meghívójának rekordját (a kód, ki hozta létre és ki használta fel) a szerver a lejárata, felhasználása vagy visszavonása után 30 nappal törli.
Biztonsági naplók az adatbázisban (2. pont): a szerver 30 nap után maga törli őket. A telefonszám- és tagállapot-változások naplójára a lenti saját határidő vonatkozik.
Telefonszám- és tagállapot-változások naplója (2. pont): az adatbázisban lévő rekordot a szerver legkorábban annak keletkezését követő 60 nap elteltével törli, és csak azt követően, hogy átmásolta azt a külön tárhelyre (a másolat általában néhány percen belül elkészül). Azt a rekordot, amelyet nem sikerült átmásolni, a szerver mindaddig nem törli, amíg a másolás sikeres nem lesz, így az 60 napnál tovább is az adatbázisban maradhat. A különálló, nem nyilvános Cloudflare R2 tárhelyen lévő másolatot maga a tárhely törli a tárolásától számított 60 nap elteltével. A fiók vagy a teljes család törlésekor (7. pont) a szerver törli a törölt fiók vagy család naplórekordjait az adatbázisból; a tárhelyen lévő másolatuk legkésőbb a tárolástól számított 60 napon belül megszűnik.
Fotók: a nem csatolt fotókat, amelyeket nem sikerült profilhoz vagy feladathoz rendelni, a szerver 24 óra elteltével eltávolítja; a fotóhoz tartozó időbeli kihívás rekordját 7 nap után törli (3. pont), a törölt fotó technikai rekordját (csak belső azonosítók) pedig a fotó törlése után 30 nappal.
Push token és eszközazonosító: az eszköz kijelentkezéséig, a tag családból való eltávolításáig vagy a fiók törléséig, illetve amíg az Apple vagy a Google érvénytelennek nem minősíti. A szerver ezenfelül maga is törli őket, ha az app 90 napig nem újította meg az eszköz regisztrációját (minden bejelentkezéskor és indításkor megújítja), vagy ha a felhasználónak több mint 30 napja nincs érvényes bejelentkezési munkamenete. Az eszköz kijelentkezése (akár távolról is a Profilban) vagy a bejelentkezés befejeződése után semmit sem kézbesítünk az eszközre. Kivételt képeznek a jelen verzió bevezetése előtti regisztrációk, amelyeket az app azóta nem újított meg: egy eszköz távoli kijelentkeztetése nem választja le őket, a Kijelentkezés minden eszközről opció viszont igen; egyébként a szerver a fenti határidők szerint törli őket. A felszabadított push tokenről szóló rekordot (lenyomatok, család és idő) a szerver 30 nap elteltével törli, vagy hamarabb, ha az eszköz újra regisztrál. A felszabadított eszközről szóló rekordot (a fiók belső azonosítója, az eszköz véletlenszerű azonosítója, lenyomatok és idő) a szerver 91 nap elteltével törli – azaz csak a bejelentkezési munkamenet leghosszabb lehetséges érvényességének lejárta után (90 nap) –, vagy hamarabb, ha ugyanazon fiók eszköze újra regisztrál. A felszabadított eszközről szóló rekord a fiók törlésekor nem kerül vezetésre; ha már a törlés megkezdésekor létrejött, a szerver a törlés befejezésekor törli azt. A felszabadított push tokenről szóló rekord határideje ezáltal változatlan marad. Az elküldött emlékeztetőnél lévő push token technikai lenyomata csak a kézbesítés ellenőrzésére szolgál; a szerver a kézbesítés kiértékelése után, legkésőbb a küldés után 30 nappal törli. Az eszköz regisztrációjáról szóló rekordot (a fiók és az eszköz belső azonosítója, a push token lenyomata, az esemény típusa és ideje; 2. pont) a szerver a létrehozásától számított 30 nap elteltével törli, még akkor is, ha időközben törli a fiókot.
A biztonsági értesítések várólistája és a kézbesítetlen értesítések (2. pont): az értesítés címzettjének adatait (az eszköz push tokenje vagy a család vagy a fiók belső azonosítója és a nyelv) a szerver közvetlenül a kézbesítés után vagy a kézbesítésről való lemondás után, de legkésőbb az értesítés létrejöttét követő 7 napon belül eltávolítja a várólista mentett rekordjából; csak a család belső azonosítója (kivételes adatbázishiba esetén ideiglenesen a fióké is) maradhat benne a kézbesítetlen értesítésről szóló rekord bejegyzéséig (alább). A fennmaradó rekordot (az értesítés típusa, az esemény általános technikai típusa, az idő és a technikai hibaüzenet) a feldolgozás után 30 nappal törli. A szülőnek szóló kézbesítetlen értesítésről szóló rekordot (a család belső azonosítója, az értesítés típusa és ideje, push token és név nélkül) addig őrzi meg, amíg a szülő meg nem erősíti azt az alkalmazásban; a megerősített rekordot törli, amint az 90 napnál régebbi. A már nem létező család rekordját a következő takarításkor törli.
Pénzügyi műveletek mentett válaszai: annak érdekében, hogy egy hálózati hiba utáni ismételt kérés ne írjon be kétszer egy kifizetést, kölcsönt vagy más pénzügyi műveletet, a szerver 30 napig megjegyzi a rá adott választ. Maga a műveletről szóló rekord (a művelet típusa, véletlenszerű azonosítója, a család, a végrehajtó és az érintett tag belső azonosítói, a kérés SHA-256 lenyomata és az idő) a pénzügyi előzmények része, és a fiók vagy a család törléséig megőrzésre kerül.
Közvetlen kifizetések és kézi törlesztések rekordjai (2. pont): a fenti mentett válasszal ellentétben, amely 30 nap után törlődik, ezek a rekordok az érintett gyermek vagy a teljes család törléséig megőrzésre kerülnek (7. pont).
Az ütemező ismétlődő kéréseinek mentett rekordjai: annak érdekében, hogy egy hálózati kimaradás utáni ismételt kérés ne hozza létre kétszer a feladattervet, a szerver 60 napig megőrzi a létrehozásáról szóló rekordot (a család és a szülő belső azonosítói, a művelet típusa, a kérés véletlenszerű azonosítója, a megadott tervparaméterek SHA-256 lenyomata, a létrehozott tervre mutató hivatkozás és az idő). A rekordot a szerver annak a szülőnek a fiókjának törlésekor is törli, aki a tervet létrehozta, valamint a teljes család törlésekor is (7. pont).
Fióktörlési kérelem: a meg nem erősített törlési kérelem 45 nap után érvényét veszti, és legkésőbb további 400 nap elteltével törlődik; a végrehajtott törlésről szóló feljegyzést (csak belső azonosítók és állapot, nevek és elérhetőségek nélkül) annak igazolásaként őrizzük meg, hogy elintéztük a kérelmét, éspedig az elintézéstől számított 3 évig. Ugyanebben a terjedelemben (a fiók vagy a család belső véletlenszerű azonosítója, a törlés típusa és ideje) vezetjük a végrehajtott törlések naplóját, hogy az adatbázis biztonsági mentésből történő esetleges visszaállítása után minden későbbi törlés újra érvényesüljön. A napló adatbázisban lévő rekordját a szerver legkorábban a létrehozásától számított 180 nap elteltével törli, és csak azután, hogy átmásolta egy külön tárhelyre (a másolat általában néhány percen belül létrejön); azt a rekordot, amelyet nem sikerült átmásolni, a szerver nem törli, amíg a másolás nem sikerül. A különálló, nem nyilvános tárhelyen lévő másolatot a tárhely maga törli a tárolásától számított 60 nap elteltével. A napló titkosított exportja, amely az adatbázis biztonsági mentésének része, a biztonsági mentéssel együtt szűnik meg (legkésőbb 30 nap elteltével).
Szülői hozzájárulási kérelmek: a nyitott kérelem 14 napig érvényes; csak akkor hosszabbodik meg, ha időközben új szülő kerül a családba (a család törlésére irányuló kérelem esetén az új szülő saját 14 napot kap, de legfeljebb egy másik szülő eltávolítása utáni esetleges türelmi időszak végéig), vagy az adatbázis biztonsági mentésből történő visszaállítása után (kivéve a család törlésére irányuló kérelmet, amely csak a türelmi időszak végéig érvényes). A család törlésére irányuló kérelem, amely egy másik szülő eltávolítását követő 14 napos határidőn belül járna le, e határidő végéig tart, majd érvényét veszti. Egy másik szülő eltávolítása utáni 14 napos határidő alatt a családot nem lehet törölni; az e határidő alatt benyújtott család törlésére irányuló kérelem annak lejárta után érvényét veszti. A határidő lejárta után az egyetlen megmaradt szülő közvetlenül a Profilban törölheti a családot. Az elintézett kérelmet a szerver 90 nap elteltével törli.
Telefonszám-lenyomat a fiók törlése vagy a szám megváltoztatása után: annak érdekében, hogy a Premium próbaidőszakot ne lehessen ismételten megszerezni a fiók törlésével és újbóli regisztrációval, a szerver olyan szülő fiókjának törlésekor, aki a család tagja volt annak próbaidőszaka alatt, és egy ilyen szülő számának megváltoztatásakor (még akkor is, ha a számot a kérésére az ügyfélszolgálat módosítja) csak az eddigi telefonszám lenyomatát (HMAC titkos kulccsal) és az időpontot menti el – magát a számot nem. Az ugyanazzal a számmal történő új regisztráció így nem kap próbaidőszakot. A lenyomatot a szerver 12 hónap elteltével törli.
E-mailek, amelyeket nekünk küld: a kérdésének vagy kérelmének elintézéséhez, valamint annak igazolásához szükséges ideig, hogy hogyan intéztük el azt.
Ügyfélszolgálati és adminisztrációs beavatkozások nyilvántartása: az adatbázisban lévő beavatkozási naplót (a beavatkozás típusa, ki végezte, mikor, melyik családot érinti és a kérelem száma – nevek és telefonszámok nélkül; így rögzítjük a szám helyreállítását és az eszközök ügyfélszolgálat általi kijelentkeztetését, a család adatainak kérésre történő exportálását, valamint a promóciós kódok és az ingyenes hozzáférés kezelését) a szerver 3 év után maga törli. Az ügyfélszolgálati kérelmek naplóját (kérelem száma, dátum, a fiók belső azonosítója, a személyazonosság ellenőrzésének módja és az eredmény – telefonszám nélkül) titkosítva vezetjük az adatbázison kívül, és szintén 3 évig őrizzük meg annak bizonyítékaként, hogyan intéztük el a kérelmet.

A tárhely éles üzemeltetési és biztonsági naplói legfeljebb 30 napig őrizhetők meg. Az app és a szerver technikai hibajelentéseit a Sentry legfeljebb 90 napig őrzi meg, hogy visszakereshessük és kijavíthassuk azokat a hibákat, amelyek csak az app új verziójának kiadása után jelentkeznek; a Sentry esetleges üzemeltetési biztonsági mentései legkésőbb a létrehozásuk után 90 nappal megszűnnek. Az adatbázis biztonsági mentései naponta készülnek, még az üzemi környezetből való elküldés előtt titkosítjuk őket, és az elkészítésük után 30 nappal törlődnek, így a korábban törölt adatok legfeljebb 30 napig maradnak bennük; nincsenek használatban törölt fiók szokásos visszaállítására. Ha az adatbázist biztonsági mentésből kellene visszaállítanunk, a biztonsági mentés elkészítése után végrehajtott törléseket a törlési napló alapján újra alkalmazzuk. A tárhely, az adatbázis és a tároló beállításainak ezeket a határidőket technikailag ki kell kényszeríteniük, és az üzemeltető rendszeresen ellenőrzi őket.

Ha az előfizetéseket kezelő külső szolgáltatónál a rekord törlését nem lehet azonnal befejezni, a Kimda a médiafájlok eltávolítása után további késedelem nélkül anonimizálja a helyben tárolt személyes adatokat. A külső kérés biztonságos megismétléséhez kizárólag a család belső, véletlenszerű azonosítóját és a törlés technikai állapotát őrzi meg, nevet vagy telefonszámot nem. Az e külső törlési feladatról szóló rekordot (a család belső azonosítója, a szolgáltató megjelölése, a próbálkozások száma, az idők és az utolsó hiba kódja, nevek és telefonszámok nélkül) a szerver a befejezésétől számított 90 nap elteltével törli; a befejezetlen feladatot a befejezéséig megőrzi.

A Premium azonnali megkezdéséhez adott hozzájárulás bizonyítékát (a család és a felhasználó belső azonosítói, a hozzájárulás időpontja, a kiválasztott csomag, a fizetett időszak kezdete, az áruházi tranzakció azonosítója, a vásárlási kísérlet belső azonosítója és a megjelenített szöveg verziója) az ezen hozzájárulás egy esetleges jogvita során történő bizonyításához szükséges ideig, alapesetben a megadásától számított 3 évig őrizzük meg. A határidő lejártával a bizonyíték ellenőrzött módon törlésre kerül. A bizonyíték nem törlődik sem a fiókkal, sem a családdal együtt (7. pont). Ennek másolatát (a vásárlási kísérlet belső azonosítója nélkül) egy különálló, nem nyilvános Cloudflare R2 tárhelyre (4. pont) is elmentjük, hogy a bizonyíték túlélje az adatbázis elvesztését a biztonsági mentések között; a tárhely maga törli azt a tárolásától számított 1125 nap elteltével.

7. Az Ön jogai

Önnek joga van:

hozzáférést kérni mindazon adatokhoz, amelyeket az app Önről és családjáról tárol (GDPR 15. cikk),
a pontatlan adatok helyesbítését kérni (GDPR 16. cikk) – a telefonszámát Ön maga módosíthatja a Profilban az új szám SMS-kóddal történő ellenőrzése után; ha elveszíti a hozzáférést a fiókjához (például azért, mert a számot valaki más módosította egy bejelentkezett eszközről), kérésére a személyazonosság ellenőrzése után módosítjuk azt,
egy adott tag fiókjának törlését kérni (GDPR 17. cikk) - az app közvetlenül az appban (Profilom → Fiók törlése) visszavonhatatlanul eltávolítja vagy anonimizálja a nevet, a telefont, a fotót és a push tokent, és törli az összes fotót, amelyet feltöltött; a gyermek fiókja esetében a feladataihoz tartozó fotókat is, amelyeket a szülő töltött fel helyette. Ezzel a fiókkal ezután már nem lehet bejelentkezni, és nem marad hozzá név vagy elérhetőség. A feladatok és kifizetések előzményeiből csak azok az elszámolási tények maradnak meg, amelyek a család többi tagjának folytonosságához szükségesek (pontok, összeg, állapot és időpont); a szabad szöveges jegyzet törlődik, a feladatok és célok neveit pedig semleges értékre cseréljük. Ez az előzmény nem törlődik, mert a család többi tagjához kapcsolódva marad (különben nem stimmelne a kölcsönös elszámolásuk), de csak egy név és elérhetőség nélküli rekordhoz kötődik. A gyermek közvetlen kifizetéseinek és kézi törlesztéseinek rekordjai (2. pont) a gyermekkel együtt törlődnek. A telefonszám- és tagállapot-változások naplójának rekordjait (2. pont) a szerver törli az adatbázisból; a külön tárhelyen lévő másolatuk legkésőbb a tárolástól számított 60 napon belül megszűnik. Ha a gyereknek tartozása, egyenlege vagy elintézetlen kérelmei vannak, az app a törlés előtt megmutatja neki, milyen összegeket fog elveszíteni, és a törlést kifejezetten meg kell erősítenie; a szülők ezután általános értesítést kapnak. Az a tag, akit a szülő eltávolított a családból, az appban SMS-kóddal történő ellenőrzés után maga is véglegesen törölheti a fiókját, és ezzel felszabadíthatja a telefonszámát,
a teljes család kaszkádszerű törlését kérni - amikor egy szülő kifejezetten megerősíti a teljes család törlését, anonimizáljuk annak összes tagját, töröljük a fotóikat, továbbá a szabad szövegeket és a saját feladatok, célok és jutalmak elnevezéseit semleges értékekre cseréljük; töröljük a család közvetlen kifizetéseinek és kézi törlesztéseinek rekordjait (2. pont), a család pénzügyi szabályainak változási előzményeit (a legközelebbi takarításkor) és tagjainak a telefonszám- és tagállapot-változások naplójában szereplő rekordjait is (a napló külön tárhelyen lévő másolata legkésőbb a tárolástól számított 60 napon belül megszűnik). Egy másik szülő eltávolítása az érintett szülő hozzájárulását igényli: a kifejezett elutasítás leállítja a műveletet, reakció nélkül 14 nap elteltével hajtódik végre. A teljes család törlése, amelyben másik szülő van, minden további szülő kifejezett hozzájárulását igényli; mindenki hozzájárulása nélkül a kérelem 14 nap elteltével érvényét veszti, és a család nem törlődik. Azt a családot, amelyből az elmúlt 14 napban egy másik szülőt távolítottak el, legkorábban az eltávolítása után 14 nappal lehet törölni. A törölt családra vonatkozó elszámolási nyilvántartások, beleértve a gyermekek egyenlegeit, valamint kölcsöneinek és megtakarításainak állapotát, a törléstől számított legkésőbb 30 napon belül eltávolításra kerülnek az operatív adatbázisból; a titkosított biztonsági mentésekben legfeljebb további 30 napig maradhatnak, mielőtt a biztonsági mentés törlődik. A Premium azonnali megkezdéséhez adott hozzájárulás bizonyítéka a család törlésével nem törlődik (6. pont). Anonimizált rekordok, amelyek nem tartalmaznak személyes adatokat a partnerkódok alkalmazásáról, a partnerek nyilvántartása és a visszaélések elleni védelem érdekében megőrzésre kerülnek. A médiafájlok eltávolítása után a helyi anonimizálás akkor is lefut, ha a RevenueCat átmenetileg nem érhető el; a külső kérés ezt követően biztonságosan megismétlődik kizárólag a család belső azonosítójával. RevenueCat a törlést aszinkron módon hajtja végre. Ez nem mondja le az App Store-ban vagy a Google Playen kezelt előfizetést - azt a szülőnek külön kell lemondania az adott áruház beállításaiban,
az adatkezelés korlátozását kérni (GDPR 18. cikk), például ha vitatja az adatok pontosságát, arra az időre, amíg azt ellenőrizzük,
az adathordozhatósághoz (GDPR 20. cikk) - azokat az adatokat, amelyeket Ön bocsátott rendelkezésünkre, és amelyeket szerződés alapján kezelünk, tagolt, széles körben használt, géppel olvasható formátumban (pl. JSON) átadjuk Önnek, vagy kérésére egy másik adatkezelőnek továbbítjuk, ha ez technikailag megvalósítható,
tiltakozni (GDPR 21. cikk) a jogos érdekünkön alapuló adatkezelés ellen (2. pont); az adatkezelést ekkor megszüntetjük, kivéve, ha bizonyítjuk, hogy olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az Ön érdekeivel, jogaival és szabadságaival szemben, vagy jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez szükséges,
bármikor visszavonni a hozzájárulását (GDPR 7. cikk (3) bekezdés) - a weboldalon történő hirdetésméréshez adott hozzájárulását a weboldal láblécében található "Sütibeállítások" hivatkozással vonhatja vissza (9. pont); a visszavonás nem érinti a visszavonás előtti adatkezelést,
panaszt tenni a felügyeleti hatóságnál (GDPR 77. cikk) - Csehországban ez a Személyes Adatok Védelméért Felelős Hivatal (Úřad pro ochranu osobních údajů), Pplk. Sochora 27, 170 00 Praha 7, web uoou.gov.cz; fordulhat a lakóhelye vagy munkahelye szerinti EU-tagállam felügyeleti hatóságához is.

Kérelmét a privacy@kimda.app címre küldje. Annak érdekében, hogy az adatokat ne adjuk át vagy ne töröljük másnak, először ellenőrizzük, hogy a kérelmet a fiók tulajdonosa nyújtja-e be (például a fiókhoz rendelt telefonszámról történő megerősítéssel); a bejelentkezési SMS-ek kódjait soha ne küldje el nekünk. Az egyetlen kivétel a „Kimda obnova účtu” megjelölésű SMS-ből származó kód, amelyet az ügyfélszolgálat csak az átvett fiók visszaadására vonatkozó saját kérelmére, vagy a család egy másik szülője ilyen kérelmének saját megerősítésére válaszolva fog kérni (2. pont); a kódot még ekkor is csak az ügyfélszolgálattal közölje, soha ne a család más tagjával. Ezt a kódot az ügyfélszolgálat kizárólag a support@kimda.app címről küldött e-mailben kéri a kérelme számával, soha nem telefonon, sem a család más tagján keresztül. A hozzáférésre vagy adathordozhatóságra vonatkozó kérelmet a család adatainak JSON formátumú exportálásával intézzük (bejelentkezési tokenek és azok lenyomatai nélkül és a biztonsági naplókban szereplő eredeti telefonszámok lenyomatai nélkül, amelyek csak a fiók visszaadására vonatkozó kérelem ellenőrzésére szolgálnak, valamint a telefonszám- és tagállapot-változások naplója nélkül, amely csak a szám átvétele elleni védelemre szolgál; az export tartalmazza a közvetlen kifizetések és kézi törlesztések rekordjait (2. pont); a fotóknál tartalmazza azok 3. pont szerinti technikai lenyomatát, magukat a fotókat kérésre külön adjuk át); minden exportálást naplózunk (ki készítette, mikor és milyen kérelem alapján). A telefonszám- és tagállapot-változások naplójában szereplő események adatait (típus és idő, lenyomatok nélkül) kérésre közöljük Önnel. Indokolatlan késedelem nélkül, legkésőbb egy hónapon belül válaszolunk; bonyolultabb esetekben a határidőt további két hónappal meghosszabbíthatjuk, amiről időben tájékoztatjuk. A gyermek jogait a szülő mint törvényes képviselő gyakorolhatja helyette.

8. Biztonság

Jelszavakat az app nem használ (a bejelentkezés csak ellenőrzött telefonnal történik). A hozzáférést egy 15 percig érvényes rövid távú bejelentkezési token és egy frissítési token védi, amelyet a szerver csak lenyomatként tárol; egy már lecserélt frissítési token bizonyított ismételt használata esetén a szerver minden eszközön kijelentkezteti a fiókot, törli az értesítésekre vonatkozó regisztrációit, biztonsági naplót ír és értesíti a többi szülőt. Éles üzemben az app és a szerver közötti kommunikáció HTTPS-en keresztül zajlik. Fotók nem nyilvános tárhelyen vannak, és a háttérrendszer a kiadásuk előtt ellenőrzi a fiókot és az ugyanahhoz a családhoz való tartozást. Az adatbázis biztonsági mentéseit még az átvitel előtt titkosítjuk, és csak egy felhőn kívül tárolt privát kulccsal lehet őket visszafejteni; a promóciós kódok az adatbázisban csak HMAC lenyomatként szerepelnek, az adatbázison kívüli kulccsal, és a promóciós kódok kezelését naplózzuk. A telefonszámokat, tokeneket és a kérések tartalmát a szerver nem írja be a működési naplókba.

9. A kimda.app weboldal és a sütik

Ez a pont kizárólag a kimda.app weboldal látogatóira vonatkozik, az app használatára nem. A weboldal a Cloudflare hálózatán fut, amely minden látogatáskor technikailag kezeli az IP-címet és a böngészőre vonatkozó adatokat, hogy az oldalt kiszolgálhassa és megvédhesse a támadásoktól; a weboldal hibáinak diagnosztizálására szolgáló naplókat a Cloudflare legfeljebb 3 napig őrzi meg. A böngésző nyelve alapján (a letöltési linknél az eszköz típusa alapján is) a weboldal átirányítja Önt az oldal megfelelő verziójára. A jogalap a biztonságos és működőképes weboldalhoz fűződő jogos érdekünk (GDPR 6. cikk (1) bekezdés f) pontja). A kiválasztott témát a weboldal csak az Ön böngészőjében (localStorage) tárolja. A sütikkel kapcsolatos döntését a weboldal a localStorage-ban és egy feltétlenül szükséges technikai sütiben, a kimda-consent-proof sütiben (érvényesség 180 nap) tárolja, amely csak a választás típusát és a döntés időpontját tartalmazza, személy vagy fiók azonosítója nélkül. A böngésző technikailag minden, a weboldalhoz intézett kéréssel együtt elküldi; a szerver nem értékeli ki, kizárólag a böngészőben futó szkript használja annak ellenőrzésére, hogy a hozzájárulást nem vonták vissza. Ez a süti nem igényel hozzájárulást, és nem használjuk mérésre vagy hirdetésre.

Csak ha a weboldal sávjában az "Elfogadom" lehetőséget választja, tölti be a weboldal a Meta Platforms Ireland Limited Meta Pixel eszközét. Ez sütit ment a böngészőbe (pl. _fbp, legfeljebb 90 napos érvényességgel), és elküldi a Metának a látogatás adatait: a meglátogatott oldalt, az IP-címet, a böngészőre vonatkozó adatokat és a süti azonosítóját. A Facebookon és az Instagramon futó hirdetéseink hatékonyságának mérésére szolgál. Az adatkezelés jogalapja az Ön hozzájárulása (GDPR 6. cikk (1) bekezdés a) pontja és az elektronikus hírközlésről szóló 127/2005. sz. törvény 89. § (3) bekezdése). Ezeknek az adatoknak a gyűjtéséért és továbbításáért a Metával közösen felelünk; további kezelésüket, ideértve az esetleges, az EU-USA adatvédelmi keretrendszer (Data Privacy Framework) alapján történő egyesült államokbeli továbbítást is, a Meta önálló adatkezelőként végzi a facebook.com/privacy/policy oldalon elérhető irányelvei szerint. Az appból, a fiókból vagy a családból származó adatokat soha nem küldünk a Metának.

Hozzájárulás nélkül a Meta Pixel egyáltalán nem töltődik be. Hozzájárulását bármikor visszavonhatja a weboldal láblécében található "Sütibeállítások" hivatkozással; a weboldal ezután törli a Pixel sütijeit, és a Pixelt többé nem tölti be.

Ha a tesztelőknek szóló oldalon keresztül csatlakozik a tesztelők csoportjához a Google Groups szolgáltatásban, a csoport adminisztrátora látni fogja a Google-fiókja e-mail-címét; ezt csak az app tesztelésére és a Google Playen lévő tesztverzióhoz való hozzáférésre használjuk. Az iPhone-ra készült tesztverziót az Apple terjeszti a TestFlight szolgáltatáson keresztül. A Google és az Apple eközben önálló adatkezelőként kezeli az adatokat a saját irányelveik szerint. A jogalap az Ön tesztelésben való részvételre irányuló kérelme (GDPR 6. cikk (1) bekezdés b) pontja). Az e-mail-cím a csoportban marad, amíg le nem iratkozik róla, vagy amíg a tesztelés be nem fejeződik.

10. Az irányelvek módosítása

Az irányelvek bármely lényeges módosításáról értesítjük Önt az appban és a kimda.app weboldalon. Az app felismeri, hogy az irányelvek melyik verzióját fogadta el: a szülőket megkéri az új verzió megerősítésére (és adott esetben a gyermekek nevében történő hozzájárulásra), a gyermek pedig tudomásul veszi azt. A megerősítés idejét és verzióját rögzítjük.

11. Kapcsolat

Adatvédelemmel kapcsolatos kérdések: privacy@kimda.app