Kimda

Kebijakan Privasi

Terakhir diperbarui: 27 Oktober 2026

Ini adalah terjemahan mesin. Yang mengikat secara hukum adalah versi bahasa Ceko.

Versi bahasa Ceko dari kebijakan ini bersifat mengikat. Terjemahan ke dalam bahasa lain disediakan hanya untuk tujuan informasi; jika terjadi pertentangan, versi bahasa Ceko yang berlaku.

Dokumen ini menjelaskan data apa saja yang diproses oleh aplikasi Kimda ("aplikasi", "kami") dan situs web kimda.app, untuk apa dan atas dasar hukum apa, kepada siapa kami membagikannya, berapa lama kami menyimpannya, serta hak apa saja yang dimiliki Anda dan anak-anak Anda. Aplikasi ini ditujukan untuk digunakan oleh seluruh keluarga, termasuk anak-anak — karena itu kami memperlakukan perlindungan data dengan sangat cermat.

1. Siapa pengendali data

Pengendali data adalah Mgr. Ivo Slávka, pengelola aplikasi Kimda sebagai wirausahawan perorangan yang terdaftar dalam daftar izin usaha yang diselenggarakan oleh ÚMČ Praha 8, IČO 30070929, beralamat di Bergerova 1115/2, 182 00 Praha 8 – Kobylisy, Republik Ceko. Email kontak untuk pertanyaan tentang privasi dan untuk melaksanakan hak-hak Anda: privacy@kimda.app.

2. Data apa saja yang kami proses dan mengapa

Data akun: nama depan, nama belakang, nomor telepon, peran (orang tua/anak), bahasa dan tema tampilan yang dipilih, foto profil opsional, versi kebijakan ini dan waktu saat Anda menyetujuinya, untuk orang tua waktu saat mengonfirmasi usia dewasa, dan untuk anak waktu, versi kebijakan, dan orang tua yang memberikan persetujuan atas nama anak (poin 5). Nama dan foto profil Anda dapat dilihat oleh anggota keluarga Anda yang lain di aplikasi (orang tua melihat semua anggota, anak melihat orang tua dan saudara kandungnya).
Nomor telepon kami gunakan untuk verifikasi identitas (kode SMS) dan masuk serta sidik jarinya yang tidak dapat dibalik juga untuk perlindungan masa uji coba Premium (poin 6), setelah perubahan nomor untuk memverifikasi permintaan pengembalian akun yang diambil alih (catatan keamanan di bawah), dan setelah pemulihan basis data dari cadangan untuk menahan masuk pada nomor yang sebelumnya telah keluar dari akun (jurnal perubahan telepon di bawah) - aplikasi tidak mengirim pesan apa pun ke nomor tersebut dan tidak membagikannya kepada pihak ketiga selain penyedia verifikasi SMS (Twilio, lihat poin 4).
Data keluarga: nama keluarga, siapa saja anggotanya, peran dan pengaturan masing-masing (persentase pembagian uang saku, mata uang, bahasa, dan zona waktu keluarga), serta riwayat perubahan aturan keuangan (siapa dan kapan mengubah mis. bunga, persentase pembagian, mata uang, atau zona waktu, dan dari nilai berapa menjadi berapa).
Permintaan bergabung: nama depan, nama belakang, peran, dan nomor telepon orang yang ingin bergabung dengan keluarga, serta waktu permintaan - agar orang tua melihat siapa yang disetujuinya.
Permintaan persetujuan orang tua: jenis permintaan (penghapusan orang tua atau penghapusan seluruh keluarga), siapa yang mengajukan, siapa yang terpengaruh, dan siapa yang menyetujui, menolak, atau membatalkannya (pengenal internal), waktu (pengajuan, batas waktu, pengingat, penyelesaian), dan hasil (disetujui, ditolak, dibatalkan, dilakukan setelah batas waktu berakhir, atau dibatalkan karena tidak berlaku lagi); kami tidak menyimpan nama, nomor telepon, maupun teks bebas. Permintaan ini dapat dilihat oleh orang tua dalam keluarga di aplikasi.
Data tugas: nama tugas, poin, kapan tugas diselesaikan/disetujui/ditolak, serta foto jika tugas mewajibkan foto, termasuk sidik jari teknis foto (lihat poin 3).
Rencana, rutinitas, dan pengingat: kepada siapa tugas diberikan, hari dan waktu yang direncanakan, status penyelesaian, keterlambatan, urutan giliran, dan apakah pengingat sudah dikirim.
Hadiah dan tujuan: katalog hadiah keluarga, permintaan hadiah, tujuan tabungan, dan jumlah yang dipindahkan anak ke tujuan tersebut. Dari data ini ringkasan orang tua menghitung tingkat penyelesaian, ketepatan waktu, dan pemerataan pembagian tugas secara agregat; ringkasan ini tidak membuat papan peringkat anak yang terbuka untuk umum.
Data keuangan aplikasi: poin, uang saku virtual dan pembagiannya, permintaan pembayaran, pinjaman, dan bunga dalam keluarga - ini adalah catatan internal aplikasi, bukan data bank atau pembayaran yang sebenarnya. Aplikasi tidak memiliki akses ke rekening bank atau kartu pembayaran apa pun. Ringkasan bulanan anak (jumlah tugas yang disetujui, poin, dan dengan Premium juga jumlah untuk bulan ini; bukan saldo kotak) juga dapat dilihat oleh anak-anak lain di keluarga yang sama, kecuali orang tua mematikannya di pengaturan keluarga.
Catatan pembayaran langsung dan pelunasan manual: ketika orang tua di aplikasi membayar sebagian dari saldo anak secara langsung (tanpa permintaan dari anak) atau mencatat pelunasan pinjamannya secara manual, server menyimpan catatan terpisah untuk setiap operasi semacam itu, yang tidak dapat diubah lagi. Catatan ini berisi pengenal internal keluarga, anak, dan orang tua yang melakukan operasi, jenis operasi (pembayaran langsung, pelunasan manual), jumlah, untuk pembayaran adalah kotak tempat pembayaran dilakukan, dan rincian jumlah (untuk pembayaran dibagi menjadi bagian dari setoran sendiri dan bagian dari bunga yang dikreditkan, untuk pelunasan dibagi menjadi pokok dan bunga), waktu operasi, dan pengenal acak permintaan. Catatan ini berfungsi untuk membuktikan apa dan kapan yang dicatat orang tua di aplikasi, dan agar kemungkinan sengketa dalam keluarga dapat dinilai berdasarkan catatan, bukan hanya berdasarkan saldo akhir. Ini adalah pencatatan internal aplikasi - aplikasi itu sendiri tidak mentransfer uang apa pun. Catatan ini merupakan bagian dari ekspor data (poin 7) dan disimpan sesuai dengan poin 6.
Langganan: status langganan keluarga (masa percobaan, Premium, masa berlaku, dan perpanjangannya) dan kemungkinan akses gratis dari kode promo; kode promo itu sendiri hanya disimpan oleh server sebagai sidik jari HMAC dan pengelolaan kode dicatat (siapa, kapan, tindakan apa). Kami tidak melihat data pembayaran - pembayaran diproses oleh Apple atau Google. Bukti persetujuan untuk segera memulai Premium, yang kami simpan sebagai bukti persetujuan ini, dijelaskan pada poin 6.
Masuk dan keamanan: sesi masuk masing-masing perangkat (kapan dibuat, kapan terakhir digunakan, dan masa berlakunya). Orang tua dapat melihat ringkasan perangkatnya yang masuk di Profil (hanya waktu masuk dan penggunaan terakhir, tanpa alamat IP dan nama perangkat) dan dapat mengeluarkannya satu per satu. Server hanya menyimpan token penyegaran sebagai sidik jari SHA-256, termasuk sidik jari token yang sudah diganti, untuk mengenali penyalahgunaan token yang dicuri. Saat meminta kode SMS, server menyimpan sidik jari dengan kunci (HMAC-SHA-256) dari nomor telepon dan sidik jari SHA-256 tantangan satu kali beserta jumlah percobaan, untuk perubahan nomor dan pada konfirmasi penghapusan keluarga juga tujuannya dan pengenal internal akun. Batas jumlah permintaan, termasuk batas SMS harian yang dikirim, dihitung berdasarkan sidik jari dengan kunci (HMAC-SHA-256) dari alamat IP atau jaringannya (IPv4 /24, IPv6 /56), nomor telepon, pasangan nomor telepon dan jaringan, atau akun, atau berdasarkan negara atau kode area nomor telepon. Kunci untuk sidik jari ini diturunkan oleh server dari kunci rahasia yang disimpan di luar basis data, sehingga sidik jari tidak dapat diubah kembali menjadi nomor telepon atau alamat IP tanpanya. Catatan keamanan tentang peristiwa penting (misalnya masuk, permintaan bergabung, persetujuan, penolakan atau penghapusan anggota, kode undangan baru, keluar dari perangkat, perubahan nomor telepon, konfirmasi kebijakan, persetujuan orang tua untuk anak, atau dugaan penyalahgunaan token) berisi jenis peristiwa, waktu, dan pengenal internal; untuk penghapusan anggota juga perannya (orang tua/anak), pada konfirmasi kebijakan dan persetujuan orang tua juga versi kebijakan, dan pada penghapusan akun anak yang memiliki utang, saldo, atau permintaan yang belum diproses, juga mata uang, jumlah yang dihapus, dan jumlah permintaan yang belum diproses. Catatan perubahan nomor telepon juga berisi sidik jari yang tidak dapat dibalik dari nomor sebelumnya (HMAC dengan kunci rahasia), sehingga dukungan dapat memverifikasi bahwa permintaan pengembalian akun yang diambil alih diajukan oleh pemilik asli nomor sebelumnya. Nama, nomor telepon, maupun alamat IP tidak ada di dalamnya. Selain itu, perubahan nomor telepon serta penghapusan atau pemulihan anggota keluarga dicatat dalam jurnal terpisah, yang dijelaskan dalam butir “Jurnal perubahan telepon dan status anggota” di bawah.
Peringatan keamanan: ketika orang tua masuk dengan kode SMS, orang tua lain dalam keluarga akan menerima peringatan umum tanpa nama dan nomor telepon; pada setiap proses masuk dengan kode SMS (orang tua dan anak), perangkat yang sebelumnya masuk ke akun yang sama juga akan menerima peringatan umum tentang proses masuk yang baru. Saat nomor telepon diubah (nomor baru diverifikasi dengan kode SMS), server akan mengeluarkan perangkat lain yang masuk ke akun tersebut dan perangkat akun yang ada saat ini serta para orang tua dalam keluarga akan menerima peringatan umum; nomor lama tidak lagi disimpan – hanya sidik jarinya yang tidak dapat dibalik yang tetap disimpan dalam catatan keamanan perubahan (30 hari, lihat Bagian 6), sidik jari yang tidak dapat dibalik dari nomor awal dan nomor baru dalam jurnal perubahan telepon (60 hari, lihat di bawah dan Bagian 6), dan untuk orang tua yang merupakan anggota keluarga selama masa uji cobanya, juga sidik jarinya sesuai dengan Bagian 6. Ketika nomor dipulihkan oleh dukungan atas permintaan pemilik akun, dukungan akan memverifikasi identitasnya terlebih dahulu: dengan kode SMS yang dikirimkan ke nomor sebelumnya, yang sidik jarinya harus cocok dengan sidik jari dalam catatan perubahan nomor. Ketika verifikasi semacam itu tidak memungkinkan (catatan perubahan tidak lagi ada atau pemilik tidak memiliki nomor sebelumnya), dukungan akan memverifikasi identitasnya dengan konfirmasi dari orang tua lain dalam keluarga (diverifikasi dengan kode SMS yang dikirimkan ke nomor orang tua tersebut) dan dengan jawaban atas pertanyaan yang diajukan oleh dukungan; dalam hal ini, dukungan pertama-tama akan mengirimkan peringatan ke perangkat akun dan kepada orang tua dalam keluarga, dan akan memulihkan nomor tersebut paling cepat dalam 72 jam jika tidak ada yang keberatan; Anda akan melihat peringatan ini setelah masuk dan langsung di dalam aplikasi selama periode tersebut. Tanpa verifikasi semacam itu, dukungan tidak akan memulihkan nomor tersebut dan tidak akan membatalkan permintaan apa pun – hanya dapat mengeluarkan akun di semua perangkat. Jika dukungan telah mengembalikan akun yang sama satu kali dalam 30 hari terakhir, dukungan akan menganggap permintaan berikutnya sebagai sengketa dan tidak akan memulihkan nomor tersebut tanpa pemeriksaan lebih lanjut. Setelah pemulihan, server akan mengeluarkan akun di semua perangkat, orang tua dalam keluarga akan menerima peringatan umum, dan tindakan tersebut dicatat (siapa yang melakukannya, kapan, akun mana yang terpengaruh, dan tautan ke permintaan Anda – tanpa nomor telepon). Peringatan umum juga akan diterima oleh orang tua saat penghapusan akun anak, saat penghapusan orang tua lain (termasuk orang tua yang dihapus), dan saat ada dugaan penyalahgunaan token masuk; dalam hal ini, server akan mengeluarkan akun di semua perangkat dan membatalkan pendaftarannya untuk notifikasi. Peringatan keamanan (misalnya tentang proses masuk atau perangkat baru, perubahan nomor telepon, perubahan aturan keuangan, penghapusan anggota, penghapusan akun anak, atau dugaan penyalahgunaan token) pertama-tama disimpan oleh server dalam antrean (jenis peringatan, penerima - token push perangkat atau pengenal internal keluarga atau akun dan bahasa - dan jenis peristiwa teknis umum) dan baru dikirimkan dari sana; peringatan saat pengembalian akun yang diambil alih oleh dukungan (di atas) dikirimkan secara langsung. Jika peringatan untuk orang tua atau perangkat akun anggota keluarga tidak berhasil dikirimkan bahkan setelah upaya berulang, server hanya menyimpan pengenal internal keluarga, jenis peringatan, dan waktu (tanpa token push dan tanpa nama), agar orang tua dapat melihat peringatan apa itu setelah masuk berikutnya di aplikasi, dan dapat mengonfirmasinya; jika penerima tidak memiliki perangkat yang dapat dikirimi peringatan, catatan semacam itu tidak akan dibuat. Batas waktu penyimpanan ditetapkan pada Bagian 6.
Jurnal perubahan telepon dan status anggota: di samping catatan keamanan di atas, server menyimpan catatan terpisah dalam jurnal untuk setiap perubahan nomor telepon akun (baik Anda lakukan sendiri di Profil maupun dilakukan oleh dukungan atas permintaan Anda) dan untuk setiap penghapusan atau pemulihan anggota keluarga. Catatan tersebut berisi pengenal acak catatan, pengenal internal akun dan keluarga, jenis peristiwa (perubahan nomor, pemulihan nomor oleh dukungan, penghapusan anggota, pemulihan anggota), waktu peristiwa, dan - hanya pada perubahan nomor - sidik jari yang tidak dapat dibalik dari nomor awal maupun nomor baru (HMAC-SHA-256 dengan kunci rahasia yang disimpan di luar basis data). Pada penghapusan dan pemulihan anggota, tidak ada sidik jari. Nomor telepon, nama, maupun alamat IP tidak ada di dalam jurnal. Sidik jari tidak dapat diubah kembali menjadi nomor telepon tanpa kunci rahasia, namun karena terikat dengan pengenal internal akun, data ini merupakan data pseudonim, bukan data anonim. Jurnal hanya berfungsi untuk melindungi dari dampak pemulihan basis data dari cadangan: agar nomor yang sementara itu telah keluar dari akun (dan mungkin telah diambil alih orang lain) tidak kembali ke akun, dan agar penghapusan anggota keluarga yang tidak terdapat dalam cadangan diterapkan kembali. Oleh karena itu, saat masuk dengan kode SMS dan saat verifikasi nomor telepon, server membandingkan sidik jari nomor yang dimasukkan dengan catatan terakhir dalam jurnal; jika tidak cocok, server akan menahan proses masuk dan mengarahkan ke dukungan. Catatan disimpan di basis data dan biasanya dalam beberapa menit juga disimpan dalam salinan di penyimpanan nonpublik terpisah Cloudflare R2 (poin 4) agar tetap bertahan jika basis data hilang di antara waktu pencadangan. Periode penyimpanan ditetapkan dalam poin 6.
Data teknis: token push dan pengenal perangkat acak yang dibuat aplikasi untuk mengirimkan notifikasi (bukan pengenal perangkat keras), waktu pendaftaran perangkat terakhir, proses masuk yang terkait dengan pendaftaran, dan sidik jari SHA-256 dari rahasia instalasi acak, yang digunakan perangkat untuk membuktikan bahwa token push adalah miliknya. Setelah pendaftaran dilepaskan (keluar, penghapusan anggota, pemblokiran keamanan, atau pembersihan otomatis), server mengingat dua catatan dengan batas waktu agar notifikasi perangkat tidak dapat diambil alih oleh akun lain: (a) catatan tentang token push yang dilepaskan - sidik jari SHA-256 dari token push dan rahasia instalasi, pengenal internal keluarga, dan waktu pelepasan (sehingga token yang dilepaskan tidak dapat diambil alih oleh akun dari keluarga lain); dan (b) catatan tentang perangkat yang dilepaskan - pengenal internal akun, pengenal acak perangkat, sidik jari yang sama, dan waktu pelepasan (sehingga perangkat yang dilepaskan tidak dapat diambil kembali oleh sesi masuk lain dari akun yang sama, misalnya yang dicuri, tanpa membuktikan bahwa itu adalah instalasi yang sama). Selain itu, server menyimpan catatan pendaftaran perangkat selama 30 hari (pengenal internal akun dan perangkat, sidik jari token push, jenis peristiwa, dan waktu), yang digunakan untuk memantau batas pendaftaran perangkat baru per 24 jam. Periode penyimpanan ditetapkan dalam poin 6; catatan tentang perangkat yang dilepaskan tidak disimpan saat akun dihapus. Selanjutnya log operasional server (misalnya status kesalahan) tanpa nomor telepon dan isi permintaan. Di telepon, aplikasi menyimpan token masuk di penyimpanan aman dan mengingat bahasa serta tema yang dipilih; aplikasi juga memberitahukan bahasa yang dipilih ke server agar notifikasi datang dalam bahasa Anda. Apa yang dikirim aplikasi langsung ke layanan Expo dan Sentry dijelaskan di poin 4.

Mengapa kami memproses data dan atas dasar hukum apa:

Akun keluarga dan fungsi aplikasi (pendaftaran, keluarga, tugas dan foto, rencana, pengingat, hadiah, tujuan, uang saku termasuk catatan pembayaran langsung dan pelunasan manual, notifikasi, dan langganan): pelaksanaan kontrak, yaitu ketentuan penggunaan (Pasal 6(1)(b) GDPR). Kami juga memproses catatan pembayaran langsung dan pelunasan manual serta riwayat perubahan aturan keuangan berdasarkan kepentingan sah kami dalam membuktikan operasi keuangan dan aturan di aplikasi dan menyelesaikan sengketa dalam keluarga (Pasal 6(1)(f) GDPR). Bukti persetujuan untuk segera memulai Premium dan salinannya di luar basis data juga kami proses berdasarkan kepentingan sah kami untuk membuktikan persetujuan ini dan untuk membela tuntutan hukum (Pasal 6(1)(f) GDPR). Untuk data anak-anak, lihat poin 5.
Masuk yang diverifikasi dengan kode SMS: pelaksanaan kontrak (Pasal 6(1)(b) GDPR) - tanpa nomor telepon yang terverifikasi, Anda tidak dapat masuk ke aplikasi.
Keamanan dan perlindungan dari penyalahgunaan (sesi dan sidik jari token, tantangan kode SMS, batas jumlah permintaan dan batas SMS harian, catatan keamanan, jurnal perubahan telepon dan status anggota, memori token push dan perangkat yang dilepaskan, catatan pendaftaran perangkat dan batas pendaftaran perangkat baru per 24 jam, antrean notifikasi keamanan dan catatan notifikasi yang tidak terkirim, log operasional, sidik jari nomor telepon untuk mencegah penggunaan berulang masa uji coba, permintaan persetujuan orang tua yang melindungi keluarga dari penghapusan orang tua secara sepihak atau penghapusan, dan verifikasi identitas saat dukungan mengembalikan akun yang diambil alih, termasuk catatan tindakan tersebut): kepentingan sah kami dalam mengoperasikan layanan yang aman, melindungi akun orang tua dan anak-anak, serta bertahan dari penyalahgunaan verifikasi SMS (Pasal 6(1)(f) GDPR).
Perbaikan bug dan pembaruan aplikasi (laporan kesalahan melalui Sentry, pembaruan melalui Expo): kepentingan sah kami dalam aplikasi yang stabil dan aman (Pasal 6(1)(f) GDPR).
Pemrosesan permintaan Anda menurut poin 7 dan bukti tentang bagaimana dan kapan kami memprosesnya (misalnya status penghapusan yang dilakukan, jurnal penghapusan yang dilakukan dan tugas penghapusan eksternal): kepatuhan terhadap kewajiban hukum (Pasal 6(1)(c) GDPR).
Pengukuran iklan di situs web kimda.app (Meta Pixel): persetujuan Anda (Pasal 6(1)(a) GDPR), lihat poin 9.

Anda dapat menolak pemrosesan berdasarkan kepentingan sah (poin 7). Nomor telepon diperlukan untuk pendaftaran dan masuk; tanpa itu aplikasi tidak dapat digunakan. Foto profil bersifat sukarela dan foto tugas yang diselesaikan hanya diperlukan untuk tugas yang diwajibkan oleh orang tua. Kami tidak menggunakan pengambilan keputusan otomatis atau pembuatan profil dengan efek hukum atau efek signifikan serupa (Pasal 22 GDPR); batas keamanan otomatis, yang misalnya memblokir sementara percobaan kode SMS berikutnya, hanya berfungsi untuk melindungi akun dan layanan.

3. Foto tugas

Foto yang diunggah anak (atau orang tua atas namanya) untuk suatu tugas hanya dapat dilihat oleh anggota keluarga yang sama (orang tua dan anak di aplikasi). Foto tidak bersifat publik, aplikasi tidak membagikannya dengan aplikasi lain atau media sosial mana pun. Foto untuk tugas hanya dapat diambil dengan kamera di aplikasi. Aplikasi dan kemudian server akan menghapus metadata (misalnya lokasi GPS atau data kamera) dari foto sebelum menyimpannya. Foto disimpan di penyimpanan objek nonpublik (lihat poin 4) dan server hanya akan memberikannya kepada anggota keluarga yang sama yang telah masuk. Orang tua dapat meminta penghapusannya kapan saja.

Untuk setiap foto yang diunggah, server menghitung sidik jari teknis (checksum dan sidik jari gambar 64-bit yang disederhanakan). Ini hanya berfungsi agar aplikasi mengenali jika foto yang sama atau hampir sama digunakan lagi untuk suatu tugas, dan agar foto tersebut milik tugas yang baru saja difoto oleh anak di aplikasi. Dari sidik jari tersebut, foto tidak dapat ditampilkan atau disusun kembali, dan akan dihapus bersama dengan foto. Catatan tantangan waktu untuk foto (siapa yang memintanya di aplikasi, untuk tugas apa dan kapan) dihapus oleh server setelah 7 hari. Orang tua melihat peringatan pada foto ketika foto tidak memiliki pemeriksaan waktu aplikasi yang valid atau sangat mirip dengan foto sebelumnya, sebagai bantuan saat menyetujui; pemeriksaan ini tidak menjamin bahwa foto tidak dapat dipalsukan.

4. Kepada siapa kami membagikan data dan transfer di luar UE

Kami hanya membagikan data kepada penyedia yang memastikan pengoperasian aplikasi untuk kami (pemroses), dan hanya sejauh yang mereka butuhkan untuk itu. Pemroses hanya boleh menggunakan data untuk menyediakan layanan mereka bagi kami dan sesuai dengan instruksi kami. Apple dan Google bertindak sebagai pengendali independen saat melakukan pembelian di toko.

Penyedia hosting (Railway) - mengoperasikan server aplikasi dan basis data tempat data aplikasi disimpan.
Cloudflare - penyimpanan objek privat R2 menyimpan foto profil dan foto tugas yang sudah selesai yang ditransfer secara terenkripsi, cadangan basis data (dienkripsi sebelum dikirim sedemikian rupa sehingga hanya dapat didekripsi dengan kunci privat yang kami simpan di luar cloud), log penghapusan yang dilakukan (hanya pengenal internal, jenis penghapusan, dan waktu), jurnal perubahan telepon dan status anggota (poin 2: pengenal internal, jenis dan waktu peristiwa, dan untuk perubahan nomor adalah sidik jari nomor yang tidak dapat dibalik), dan salinan bukti persetujuan untuk segera memulai Premium (poin 6: pengenal internal keluarga dan pengguna, waktu persetujuan, paket yang dipilih, awal periode yang dibayar, pengenal transaksi toko, dan versi teks yang ditampilkan) dalam bucket nonpublik; akses ke foto-foto tersebut terus dikendalikan oleh backend Kimda yang telah masuk. Cloudflare juga mengoperasikan situs web kimda.app (poin 9).
Twilio (verifikasi telepon dengan kode SMS) - menerima nomor telepon dan kode yang Anda masukkan hanya untuk keperluan pengiriman dan verifikasi kode SMS.
Expo (650 Industries) - pertama, mengirimkan notifikasi: menerima token push perangkat, pengenal instalasi untuk notifikasi, token asli Apple atau Google, teks atau emoji notifikasi yang bersifat umum, dan jenis peristiwa teknis yang bersifat umum. ID basis data, nama, nama tugas, maupun jumlah uang tidak kami kirim dalam pesan push. Expo meneruskan pesan tersebut ke layanan push Apple (Apple Push Notification service) atau Google (Firebase Cloud Messaging). Kedua, mengirimkan pembaruan aplikasi (EAS Update): aplikasi bertanya kepada server Expo setiap kali dijalankan apakah ada perbaikan yang tersedia. Expo kemudian menerima alamat IP perangkat, platform, versi aplikasi, pengenal pembaruan yang diinstal, mungkin teks kesalahan terakhir yang menutup aplikasi, dan pengenal instalasi acak EAS-Client-ID yang disimpan aplikasi secara permanen di telepon dan tidak berubah bahkan setelah keluar. Kami tidak mengaitkannya dengan akun Anda dan aplikasi tidak mengirimkannya ke server kami.
Apple dan Google - sebagai pengendali independen, memproses pembelian dan pengelolaan langganan di App Store dan Google Play; sebagai layanan push (Apple Push Notification service, Firebase Cloud Messaging), mengirimkan notifikasi ke perangkat.
RevenueCat (pemrosesan langganan melalui App Store / Google Play hanya untuk akun orang tua) - memproses pengenal keluarga, riwayat pembelian, tanda terima Apple atau token pembelian Google, waktu penggunaan terakhir, dan data teknis perangkat (misalnya jenis perangkat dan sistem operasi). RevenueCat tidak menerima nama atau nomor telepon orang tua maupun anak dari Kimda. Di aplikasi tidak diaktifkan integrasi iklan/atribusi RevenueCat maupun pengumpulan manual pengenal iklan.
Sentry (laporan kesalahan teknis aplikasi dan server, untuk memperbaiki bug) - menerima jenis kesalahan, lokasi dalam kode, versi aplikasi, dan sistem operasi. Baik aplikasi maupun server diatur agar tidak mengirimkan nama, telepon, token masuk, isi permintaan, maupun alamat IP kepadanya. Organisasi Kimda di Sentry dihosting di wilayah data UE (Jerman).
Penyedia email (Spaceship, layanan Spacemail) - mengirimkan dan menyimpan email yang Anda kirimkan kepada kami di privacy@kimda.app atau support@kimda.app.

Railway, Cloudflare, Twilio, Expo, RevenueCat, Sentry, Spaceship, Apple, Google, dan Meta (poin 9) adalah perusahaan yang berbasis atau memiliki fasilitas di AS, dan oleh karena itu dapat memproses data di luar Wilayah Ekonomi Eropa. Untuk transfer ke luar Wilayah Ekonomi Eropa, kami menggunakan mekanisme berdasarkan Bab V GDPR yang berlaku untuk penerima dan pemrosesan tertentu - biasanya berupa sertifikasi penerima di bawah EU-USA Data Privacy Framework (keputusan Komisi Eropa tentang perlindungan yang memadai, Pasal 45 GDPR) atau klausul kontrak standar yang disetujui oleh Komisi Eropa (Pasal 46(2)(c) GDPR). Kami akan memberikan informasi tentang mekanisme untuk penerima tertentu dan tentang di mana salinan jaminan terkait dapat diperoleh berdasarkan permintaan di privacy@kimda.app.

Kami tidak menjual data dari aplikasi, tidak membagikannya kepada pengiklan, dan tidak menggunakannya untuk iklan bertarget. Pengukuran iklan di situs web kimda.app dengan persetujuan pengunjung dijelaskan di poin 9.

5. Persetujuan orang tua dan peran anak

Hanya orang dewasa yang boleh membuat (peran "orang tua" dan keluarga baru) di aplikasi. Akun dengan peran "anak" selalu dibuat setelah bergabung menggunakan kode undangan yang hanya diketahui orang tua - dengan demikian anak hanya dapat bergabung dengan sepengetahuan dan persetujuan orang tua yang membagikan kode tersebut. Selain itu, setiap anak dan orang tua lain yang bergabung harus disetujui secara tegas oleh orang tua di aplikasi; sebelum disetujui, anggota baru hanya dapat melihat nama keluarga. Kode undangan keluarga berlaku selama 48 jam, permintaan yang tidak disetujui akan dihapus otomatis setelah 72 jam, dan yang ditolak atau dibatalkan akan dihapus seketika. Dengan mendaftar sebagai "orang tua", Anda menyatakan bahwa Anda sudah dewasa menurut hukum dan berhak secara hukum untuk menyetujui pemrosesan data anak-anak Anda di aplikasi.

Kami memproses data anak hanya sejauh yang diperlukan untuk berfungsinya akun keluarga yang dibuat dan dikelola oleh orang tua, yaitu untuk melaksanakan kontrak dengan orang tua (Pasal 6(1)(b) GDPR). Orang tua sebagai perwakilan hukum memutuskan partisipasi anak: membagikan kode undangan, secara tegas menyetujui bergabungnya anak, dan dapat menghapus anak dari keluarga kapan saja atau meminta penghapusan akunnya. Anak hanya mengetahui kebijakan saat pendaftaran; persetujuan untuk pemrosesan datanya diberikan oleh orang tua ketika menyetujui bergabungnya anak di aplikasi, dan server mencatat waktu, orang tua, dan versi kebijakan. Untuk anak-anak yang disetujui dengan versi aplikasi yang lebih lama, aplikasi akan meminta persetujuan yang hilang dari orang tua secara retrospektif. Jika pemrosesan memerlukan persetujuan dan anak belum berusia 15 tahun (batas usia di Republik Ceko menurut Pasal 8 GDPR dan Bagian 7 Undang-Undang No. 110/2019 Coll., tentang pemrosesan data pribadi), orang tua memberikan persetujuan atas nama anak. Hak-hak anak menurut poin 7 dapat dilaksanakan oleh orang tua atas namanya.

6. Berapa lama kami menyimpan data

Kami menyimpan data akun dan data keluarga sampai pengguna meminta penghapusan akun atau seluruh keluarga. Ketidakaktifan aplikasi saja tidak memicu penghapusan otomatis. Karena itu pengguna tidak perlu membuka aplikasi secara berkala agar tidak kehilangan riwayat keluarga, dan dapat memulai penghapusan kapan saja langsung di aplikasi atau memintanya melalui privacy@kimda.app. Kami menyimpan riwayat perubahan aturan keuangan (poin 2) selama masa eksistensi keluarga, tanpa batasan waktu maupun batasan jumlah keseluruhan (keluarga dapat menyimpan perubahan aturan keuangan paling banyak 30 kali per jam), karena riwayat tersebut berfungsi sebagai bukti yang tidak dapat diubah tentang siapa yang mengubah aturan dan kapan, misalnya dalam sengketa antara orang tua; riwayat tersebut tidak dapat diedit atau dihapus di aplikasi. Setelah penghapusan seluruh keluarga (poin 7), server akan menghapusnya pada pembersihan berikutnya; penghapusan akun anggota individu tidak mengubahnya dan hanya menyimpan pengenal internal tanpa nama bersamanya.

Untuk catatan lainnya, berlaku tenggat waktu berikut:

Tantangan kode SMS (sidik jari nomor telepon dan tantangan): berlaku selama 10 menit; setelah verifikasi berhasil, server akan segera menghapusnya, jika tidak paling lambat satu jam setelah kedaluwarsa.
Batas jumlah permintaan dan batas SMS harian (sidik jari): server akan menghapusnya 24 jam setelah akhir periode pemantauan; batas SMS harian selalu berakhir pada tengah malam UTC.
Sesi masuk: token masuk berlaku selama 15 menit; sesi akan berakhir setelah 30 hari tidak aktif, paling lambat setelah 90 hari, atau lebih awal dengan keluar. Server akan menghapus sesi yang telah berakhir termasuk sidik jari token 30 hari setelah berakhir.
Undangan dan permintaan bergabung: kode undangan keluarga berlaku selama 48 jam dan undangan untuk orang tua lain selama 24 jam; permintaan bergabung yang tidak disetujui akan dihapus otomatis setelah 72 jam, yang ditolak atau dibatalkan akan dihapus seketika. Catatan undangan untuk orang tua lain (kode, siapa yang membuatnya, dan siapa yang menggunakannya) akan dihapus oleh server 30 hari setelah kedaluwarsa, digunakan, atau dibatalkan.
Catatan keamanan di basis data (poin 2): server menghapusnya sendiri setelah 30 hari. Jurnal perubahan telepon dan status anggota mengikuti batas waktunya sendiri yang tercantum di bawah.
Jurnal perubahan telepon dan status anggota (poin 2): server menghapus catatan di basis data paling cepat 60 hari setelah pembuatannya, dan hanya setelah menyalinnya ke penyimpanan terpisah (salinan biasanya dibuat dalam beberapa menit). Catatan yang gagal disalin tidak akan dihapus oleh server sampai penyalinan berhasil, dan oleh karena itu akan tetap berada di basis data lebih dari 60 hari. Salinan di penyimpanan nonpublik terpisah Cloudflare R2 dihapus oleh penyimpanan itu sendiri setelah 60 hari sejak penyimpanannya. Saat akun atau seluruh keluarga dihapus (poin 7), server menghapus catatan jurnal dari akun atau keluarga yang dihapus dari basis data; salinannya di penyimpanan akan berakhir paling lambat 60 hari setelah disimpan.
Foto: foto yang tidak terhubung, yang tidak berhasil ditautkan ke profil atau tugas, akan dihapus oleh server setelah 24 jam; catatan tantangan waktu untuk foto akan dihapus setelah 7 hari (poin 3) dan catatan teknis tentang foto yang dihapus (hanya pengenal internal) 30 hari setelah foto dihapus.
Token push dan pengenal perangkat: sampai perangkat keluar, anggota dihapus dari keluarga, atau akun dihapus, atau sampai Apple atau Google menandainya sebagai tidak valid. Selain itu, server akan menghapusnya sendiri jika aplikasi tidak memperbarui pendaftaran perangkat selama 90 hari (aplikasi memperbaruinya setiap kali masuk dan dijalankan), atau jika pengguna tidak memiliki sesi masuk yang valid selama lebih dari 30 hari. Setelah perangkat keluar (termasuk dari jarak jauh di Profil) atau proses masuknya berakhir, tidak ada yang dikirimkan ke perangkat. Pengecualian adalah pendaftaran dari sebelum penerapan versi ini, yang belum diperbarui oleh aplikasi sejak saat itu: mengeluarkan satu perangkat dari jarak jauh tidak akan memutuskannya, opsi Keluar dari semua perangkat akan melakukannya; jika tidak, server akan menghapusnya sesuai dengan tenggat waktu di atas. Catatan tentang token push yang dilepaskan (sidik jari, keluarga, dan waktu) akan dihapus oleh server setelah 30 hari, atau lebih cepat jika perangkat mendaftar lagi. Catatan tentang perangkat yang dilepaskan (pengenal internal akun, pengenal acak perangkat, sidik jari, dan waktu) akan dihapus oleh server setelah 91 hari - yaitu hanya setelah masa berlaku terpanjang yang mungkin dari sesi masuk (90 hari) berakhir - atau lebih cepat jika perangkat dari akun yang sama mendaftar lagi. Catatan tentang perangkat yang dilepaskan tidak disimpan saat akun dihapus; jika catatan tersebut sudah dibuat saat penghapusan dimulai, server akan menghapusnya saat penghapusan selesai. Dengan demikian, batas waktu untuk catatan tentang token push yang dilepaskan tetap tidak berubah. Sidik jari teknis dari token push pada pengingat yang dikirim hanya berfungsi untuk memverifikasi pengiriman; server akan menghapusnya setelah mengevaluasi pengiriman, paling lambat 30 hari setelah dikirim. Catatan tentang pendaftaran perangkat (pengenal internal akun dan perangkat, sidik jari token push, jenis peristiwa, dan waktu; poin 2) dihapus oleh server setelah 30 hari sejak dibuat, bahkan jika Anda menghapus akun sementara itu.
Antrean peringatan keamanan dan peringatan yang tidak terkirim (poin 2): data penerima peringatan (token push perangkat atau pengenal internal keluarga atau akun dan bahasa) dihapus oleh server dari catatan antrean yang disimpan segera setelah pengiriman atau setelah menyerah untuk mengirim, tetapi selambat-lambatnya 7 hari setelah peringatan dibuat; hanya pengenal internal keluarga (dalam kasus pengecualian kesalahan basis data, untuk sementara juga pengenal akun) yang dapat tetap ada di dalamnya sampai penulisan catatan tentang peringatan yang tidak terkirim (di bawah). Catatan yang tersisa (jenis peringatan, jenis peristiwa teknis umum, waktu, dan pesan kesalahan teknis) dihapus 30 hari setelah diproses. Catatan tentang peringatan yang tidak terkirim untuk orang tua (pengenal internal keluarga, jenis peringatan, dan waktu, tanpa token push dan tanpa nama) disimpan sampai orang tua mengonfirmasinya di aplikasi; catatan yang dikonfirmasi dihapus setelah usianya lebih dari 90 hari. Catatan keluarga yang tidak lagi ada dihapus pada pembersihan berikutnya.
Respons operasi keuangan yang disimpan: agar permintaan yang diulang setelah gangguan jaringan tidak mencatat pembayaran, pinjaman, atau operasi keuangan lainnya dua kali, server mengingat responsnya selama 30 hari. Catatan tentang operasi itu sendiri (jenis operasi, pengenal acaknya, pengenal internal keluarga, pelaku, dan anggota yang bersangkutan, sidik jari SHA-256 dari permintaan, dan waktu) adalah bagian dari riwayat keuangan dan disimpan sampai akun atau keluarga dihapus.
Catatan pembayaran langsung dan pelunasan manual (poin 2): berbeda dengan respons tersimpan di atas yang dihapus setelah 30 hari, catatan ini disimpan sampai anak yang bersangkutan atau seluruh keluarga dihapus (poin 7).
Catatan tersimpan dari permintaan terjadwal yang diulang: agar permintaan berulang setelah gangguan jaringan tidak membuat jadwal tugas dua kali, server menyimpan catatan pembuatannya selama 60 hari (pengenal internal keluarga dan orang tua, jenis operasi, pengenal acak permintaan, sidik jari SHA-256 dari parameter jadwal yang dimasukkan, tautan ke jadwal yang dibuat, dan waktu). Server juga menghapus catatan saat menghapus akun orang tua yang membuat jadwal tersebut, dan saat menghapus seluruh keluarga (poin 7).
Permintaan penghapusan akun: permintaan penghapusan yang tidak dikonfirmasi akan menjadi tidak valid setelah 45 hari dan dihapus paling lambat setelah 400 hari berikutnya; catatan penghapusan yang dilakukan (hanya pengenal internal dan status, tanpa nama dan kontak) kami simpan sebagai bukti bahwa kami telah memproses permintaan Anda, yaitu 3 tahun sejak diproses. Dalam cakupan yang sama (pengenal acak internal akun atau keluarga, jenis penghapusan, dan waktu), kami menyimpan log penghapusan yang dilakukan, sehingga jika basis data dipulihkan dari cadangan, semua penghapusan berikutnya akan diterapkan kembali. Catatan log dalam basis data akan dihapus oleh server paling cepat 180 hari setelah dibuat, dan hanya setelah disalin ke penyimpanan terpisah (salinan biasanya dibuat dalam beberapa menit); catatan yang gagal disalin tidak akan dihapus oleh server sampai penyalinan berhasil. Salinan di penyimpanan nonpublik terpisah akan dihapus oleh penyimpanan itu sendiri setelah 60 hari sejak disimpan. Ekspor log terenkripsi yang merupakan bagian dari cadangan basis data akan hilang bersama dengan cadangan tersebut (paling lambat setelah 30 hari).
Permintaan persetujuan orang tua: permintaan terbuka berlaku 14 hari; hanya diperpanjang jika orang tua baru ditambahkan ke keluarga sementara itu (pada permintaan penghapusan keluarga, orang tua baru mendapatkan 14 harinya sendiri, tetapi paling lama hingga akhir potensi masa tenggang setelah penghapusan orang tua lain), atau setelah pemulihan basis data dari cadangan (kecuali permintaan penghapusan keluarga, yang hanya berlaku hingga akhir masa tenggang). Permintaan penghapusan keluarga, yang akan berakhir selama batas waktu 14 hari setelah penghapusan orang tua lain, tetap berlaku hingga akhir batas waktu tersebut dan kemudian akan menjadi tidak valid. Selama batas waktu 14 hari setelah penghapusan orang tua lain, keluarga tidak dapat dihapus; permintaan penghapusan keluarga yang diajukan selama batas waktu ini akan menjadi tidak valid setelah batas waktu berakhir. Setelah batas waktu berakhir, satu-satunya orang tua yang tersisa dapat menghapus keluarga secara langsung di Profil. Permintaan yang telah selesai akan dihapus server setelah 90 hari.
Sidik jari nomor telepon setelah penghapusan akun atau perubahan nomor: agar masa uji coba Premium tidak dapat diperoleh berulang kali dengan menghapus akun dan mendaftar kembali, saat penghapusan akun orang tua yang merupakan anggota keluarga selama masa uji cobanya dan saat perubahan nomor orang tua tersebut (termasuk ketika nomor diubah oleh dukungan atas permintaannya), server hanya menyimpan sidik jari nomor telepon sebelumnya (HMAC dengan kunci rahasia) dan waktu – bukan nomor itu sendiri. Pendaftaran baru dengan nomor yang sama tidak akan mendapatkan masa uji coba. Server akan menghapus sidik jari tersebut setelah 12 bulan.
Email yang Anda kirimkan kepada kami: selama waktu yang diperlukan untuk memproses pertanyaan atau permintaan Anda dan untuk membuktikan bagaimana kami memprosesnya.
Catatan tindakan dukungan dan pengelolaan: catatan tindakan di basis data (jenis tindakan, siapa yang melakukannya, kapan, keluarga mana yang terpengaruh, dan nomor permintaan – tanpa nama dan nomor telepon; dengan cara ini kami mencatat pemulihan nomor dan pengeluaran perangkat oleh dukungan, ekspor data keluarga atas permintaan, serta pengelolaan kode promo dan akses gratis) akan dihapus sendiri oleh server setelah 3 tahun. Log permintaan dukungan (nomor permintaan, tanggal, pengenal internal akun, metode verifikasi identitas, dan hasil – tanpa nomor telepon) kami simpan secara terenkripsi di luar basis data dan juga kami tahan selama 3 tahun sebagai bukti bagaimana kami memproses permintaan tersebut.

Log operasional dan log keamanan produksi hosting hanya boleh disimpan paling lama 30 hari. Laporan kesalahan teknis aplikasi dan server disimpan oleh Sentry paling lama 90 hari, agar kami dapat melacak dan memperbaiki kesalahan yang baru muncul setelah perilisan versi baru aplikasi; cadangan operasional Sentry yang mungkin ada akan berakhir paling lambat 90 hari setelah dibuat. Cadangan basis data dibuat setiap hari, dienkripsi sebelum dikirim dari lingkungan produksi, dan dihapus 30 hari setelah dibuat, sehingga data yang sebelumnya dihapus akan tetap berada di dalamnya paling lama 30 hari; cadangan tersebut tidak digunakan untuk pemulihan biasa atas akun yang telah dihapus. Jika kami harus memulihkan basis data dari cadangan, kami akan menerapkan kembali penghapusan yang dilakukan setelah cadangan dibuat berdasarkan log penghapusan. Pengaturan hosting, basis data, dan penyimpanan harus menegakkan tenggat-tenggat ini secara teknis, dan pengelola memeriksanya secara berkala.

Jika penghapusan catatan pada penyedia langganan eksternal tidak dapat diselesaikan seketika, Kimda menganonimkan data pribadi lokal tanpa penundaan lebih lanjut setelah media dihapus. Agar permintaan ke pihak eksternal dapat diulang dengan aman, yang disimpan hanyalah pengenal keluarga acak internal dan status teknis penghapusan, bukan nama atau nomor telepon. Catatan tentang tugas penghapusan eksternal ini (pengenal internal keluarga, identifikasi penyedia, jumlah upaya, waktu dan kode kesalahan terakhir, tanpa nama dan nomor telepon) dihapus oleh server 90 hari setelah penyelesaiannya; tugas yang belum selesai disimpan sampai selesai.

Kami menyimpan bukti persetujuan untuk segera memulai Premium (pengenal internal keluarga dan pengguna, waktu persetujuan, paket yang dipilih, awal periode yang dibayar, pengenal transaksi toko, pengenal internal upaya pembelian, dan versi teks yang ditampilkan) selama periode yang diperlukan untuk membuktikan persetujuan ini dalam potensi sengketa, secara standar 3 tahun sejak diberikan. Setelah jangka waktu berakhir, bukti dihapus secara terkontrol. Bukti tidak dihapus bersama dengan akun atau keluarga (poin 7). Kami juga menyimpan salinannya (tanpa pengenal internal upaya pembelian) di penyimpanan nonpublik Cloudflare R2 yang terpisah (poin 4), agar bukti tersebut bertahan jika basis data hilang di antara waktu pencadangan; penyimpanan tersebut menghapusnya sendiri setelah 1125 hari sejak disimpan.

7. Hak-hak Anda

Anda berhak:

atas akses ke semua data tentang Anda dan keluarga Anda yang disimpan oleh aplikasi (Pasal 15 GDPR),
atas koreksi data yang tidak akurat (Pasal 16 GDPR) – Anda dapat mengubah sendiri nomor telepon di Profil setelah memverifikasi nomor baru dengan kode SMS; jika Anda kehilangan akses ke akun (misalnya karena nomor diubah oleh orang lain dari perangkat yang masuk), kami akan mengubahnya atas permintaan Anda setelah verifikasi identitas,
atas penghapusan akun anggota tertentu (Pasal 17 GDPR) - langsung di aplikasi (Profil → Hapus akun), aplikasi secara permanen menghapus atau menganonimkan nama, telepon, foto, dan token push, serta menghapus semua foto yang Anda unggah; untuk akun anak, juga foto untuk tugasnya yang diunggah oleh orang tua atas namanya. Akun ini kemudian tidak dapat lagi digunakan untuk masuk dan tidak ada nama atau kontak yang tersisa. Dalam riwayat tugas dan pembayaran hanya tersisa fakta pembukuan yang diperlukan demi kesinambungan anggota keluarga lainnya (poin, jumlah, status, dan waktu); catatan bebas akan dihapus dan nama tugas serta tujuan akan diganti dengan nilai netral. Riwayat ini tidak dihapus karena tetap terhubung dengan anggota keluarga lainnya (jika tidak, kesinambungan pembukuan di antara mereka tidak akan sesuai), tetapi hanya terkait dengan catatan tanpa nama dan kontak. Catatan pembayaran langsung dan pelunasan manual anak (poin 2) dihapus bersamaan dengan anak tersebut. Catatan jurnal perubahan telepon dan status anggota (poin 2) dihapus oleh server dari basis data; salinannya di penyimpanan terpisah akan berakhir paling lambat 60 hari setelah disimpan. Jika anak memiliki utang, saldo, atau permintaan yang belum diproses, aplikasi akan menunjukkan kepadanya sebelum penghapusan jumlah apa saja yang akan hilang, dan penghapusan harus dikonfirmasi secara tegas; orang tua kemudian akan menerima peringatan umum. Anggota yang dihapus oleh orang tua dari keluarga dapat secara permanen menghapus akunnya sendiri setelah verifikasi dengan kode SMS di aplikasi dan dengan demikian membebaskan nomor teleponnya,
atas penghapusan berjenjang seluruh keluarga - ketika orang tua secara tegas mengonfirmasi penghapusan seluruh keluarga, kami menganonimkan semua anggotanya, menghapus foto mereka, dan selain itu mengganti teks bebas dan nama tugas, tujuan, dan hadiah buatan sendiri dengan nilai netral; kami juga menghapus catatan pembayaran langsung dan pelunasan manual keluarga (poin 2), riwayat perubahan aturan keuangan keluarga (pada saat pembersihan berikutnya) serta catatan jurnal perubahan telepon dan status anggota dari para anggotanya (salinan jurnal di penyimpanan terpisah akan berakhir paling lambat 60 hari setelah disimpan). Menghapus orang tua lain memerlukan persetujuan dari orang tua yang bersangkutan: penolakan tegas akan membatalkan tindakan tersebut, dan jika tidak ada tanggapan tindakan akan dilakukan setelah 14 hari. Menghapus seluruh keluarga yang di dalamnya terdapat orang tua lain memerlukan persetujuan tegas dari setiap orang tua lainnya; jika tidak ada persetujuan dari semuanya, permintaan akan dibatalkan setelah 14 hari dan keluarga tidak akan dihapus. Keluarga yang di dalamnya terdapat orang tua lain yang dihapus dalam 14 hari terakhir dapat dihapus paling cepat 14 hari setelah penghapusannya. Catatan pembukuan tentang keluarga yang dihapus, termasuk saldo dan status pinjaman serta tabungan anak-anak, akan dihapus dari basis data operasional selambat-lambatnya 30 hari setelah penghapusan; dalam cadangan terenkripsi, catatan tersebut dapat tetap ada paling lama 30 hari lagi, sebelum cadangan dihapus. Bukti persetujuan untuk segera memulai Premium tidak dihapus dengan penghapusan keluarga (poin 6). Catatan anonim tentang penerapan kode mitra, yang tidak berisi data pribadi, disimpan untuk pendaftaran mitra dan perlindungan dari penyalahgunaan. Setelah media dihapus, penganoniman lokal tetap dilakukan meskipun RevenueCat untuk sementara tidak tersedia; permintaan ke pihak eksternal kemudian diulang dengan aman hanya dengan pengenal internal keluarga. RevenueCat melakukan penghapusan secara asinkron. Hal ini tidak membatalkan langganan yang dikelola oleh App Store atau Google Play - orang tua harus membatalkannya secara terpisah di pengaturan toko yang bersangkutan,
atas pembatasan pemrosesan (Pasal 18 GDPR), misalnya ketika Anda menyengketakan keakuratan data, selama waktu kami memverifikasinya,
atas portabilitas (Pasal 20 GDPR) - data yang telah Anda berikan kepada kami dan yang kami proses berdasarkan kontrak akan kami berikan kepada Anda dalam format yang terstruktur, umum digunakan, dan dapat dibaca mesin (misalnya JSON), atau atas permintaan Anda, kami akan mentransfernya ke pengendali lain jika memungkinkan secara teknis,
untuk menolak (Pasal 21 GDPR) pemrosesan berdasarkan kepentingan sah kami (poin 2); kami kemudian akan menghentikan pemrosesan, kecuali kami menunjukkan alasan sah yang meyakinkan yang mengesampingkan kepentingan, hak, dan kebebasan Anda, atau kami membutuhkannya untuk menetapkan, melaksanakan, atau membela tuntutan hukum,
untuk menarik persetujuan kapan saja (Pasal 7(3) GDPR) - Anda dapat menarik persetujuan untuk pengukuran iklan di situs web melalui tautan "Pengaturan cookie" di footer situs web (poin 9); penarikan tersebut tidak memengaruhi pemrosesan sebelumnya,
untuk mengajukan keluhan kepada otoritas pengawas (Pasal 77 GDPR) - di Republik Ceko adalah Kantor Perlindungan Data Pribadi (Úřad pro ochranu osobních údajů), Pplk. Sochora 27, 170 00 Praha 7, situs web uoou.gov.cz; Anda juga dapat menghubungi otoritas pengawas di negara anggota UE tempat Anda tinggal atau bekerja.

Kirim permintaan ke privacy@kimda.app. Agar kami tidak membagikan atau menghapus data orang lain, kami pertama-tama akan memverifikasi bahwa permintaan diajukan oleh pemilik akun (misalnya dengan konfirmasi dari nomor telepon yang terkait dengan akun); jangan pernah mengirimkan kode dari SMS masuk kepada kami. Satu-satunya pengecualian adalah kode dari SMS yang ditandai “Kimda obnova účtu”, yang hanya akan diminta oleh dukungan sebagai tanggapan atas permintaan Anda sendiri untuk pengembalian akun yang diambil alih, atau pada konfirmasi Anda sendiri terhadap permintaan semacam itu dari orang tua lain di keluarga Anda (poin 2); bahkan pada saat itu, beritahukan kode tersebut hanya kepada dukungan, tidak pernah kepada anggota keluarga lainnya. Dukungan meminta kode ini secara eksklusif melalui email dari alamat support@kimda.app dengan nomor permintaan Anda, tidak pernah melalui telepon atau melalui anggota keluarga lainnya. Kami memproses permintaan akses atau portabilitas dengan mengekspor data keluarga dalam format JSON (tanpa token masuk dan sidik jarinya dan tanpa sidik jari nomor telepon sebelumnya dari catatan keamanan, yang hanya berfungsi untuk memverifikasi permintaan pengembalian akun, dan tanpa jurnal perubahan telepon dan status anggota, yang hanya berfungsi untuk perlindungan dari pengambilalihan nomor; ekspor mencakup catatan pembayaran langsung dan pelunasan manual (poin 2); untuk foto berisi sidik jari teknisnya sesuai poin 3, foto itu sendiri akan kami berikan secara terpisah berdasarkan permintaan); kami mencatat setiap ekspor (siapa yang menyiapkannya, kapan, dan berdasarkan permintaan apa). Data mengenai peristiwa dari jurnal perubahan telepon dan status anggota (jenis dan waktu, tanpa sidik jari) akan kami beritahukan kepada Anda berdasarkan permintaan. Kami akan menjawab tanpa penundaan yang tidak semestinya, paling lambat dalam satu bulan; dalam kasus yang lebih kompleks, kami dapat memperpanjang tenggat waktu selama dua bulan lagi, yang akan kami informasikan kepada Anda tepat waktu. Hak-hak anak dapat dilaksanakan oleh orang tua atas namanya sebagai perwakilan hukum.

8. Keamanan

Aplikasi tidak menggunakan kata sandi (masuk hanya melalui telepon yang terverifikasi). Akses dilindungi oleh token masuk jangka pendek yang berlaku selama 15 menit dan token penyegaran yang hanya disimpan oleh server sebagai sidik jari; jika terbukti ada penggunaan berulang dari token penyegaran yang sudah diganti, server akan mengeluarkan akun di semua perangkat, membatalkan pendaftarannya untuk notifikasi, menulis catatan keamanan, dan memperingatkan orang tua lain. Di lingkungan produksi, komunikasi antara aplikasi dan server berlangsung melalui HTTPS. Foto disimpan di penyimpanan nonpublik, dan sebelum memberikannya, backend memverifikasi akun serta keanggotaan dalam keluarga yang sama. Cadangan basis data dienkripsi sebelum ditransfer dan hanya dapat didekripsi dengan kunci privat yang disimpan di luar cloud; kode promo hanya ada di basis data sebagai sidik jari HMAC dengan kunci di luar basis data dan kami mencatat pengelolaan kode promo. Server tidak mencatat nomor telepon, token, maupun isi permintaan ke dalam log operasional.

9. Situs web kimda.app dan cookie

Poin ini hanya berlaku bagi pengunjung situs web kimda.app, bukan bagi penggunaan aplikasi. Situs web berjalan di jaringan Cloudflare, yang pada setiap kunjungan secara teknis memproses alamat IP dan informasi tentang peramban agar dapat menyajikan halaman dan melindunginya dari serangan; Cloudflare menyimpan catatan untuk mendiagnosis kesalahan situs web paling lama 3 hari. Bergantung pada bahasa peramban (untuk tautan unduhan juga bergantung pada jenis perangkat), situs web akan mengarahkan Anda ke versi halaman yang sesuai. Dasar hukumnya adalah kepentingan sah kami dalam situs web yang aman dan berfungsi (Pasal 6(1)(f) GDPR). Tema yang Anda pilih hanya diingat oleh situs web di peramban Anda (localStorage). Keputusan Anda mengenai cookie disimpan di localStorage dan di cookie teknis yang sangat diperlukan kimda-consent-proof (berlaku 180 hari), yang hanya berisi jenis pilihan dan waktu keputusan, tanpa pengenal orang atau akun apa pun. Peramban Anda secara teknis mengirimkannya bersama setiap permintaan ke situs web; server tidak mengevaluasinya, cookie ini hanya digunakan oleh skrip di peramban untuk memverifikasi bahwa persetujuan belum ditarik. Cookie ini tidak memerlukan persetujuan dan tidak digunakan untuk pengukuran maupun iklan.

Hanya jika Anda memilih "Setuju" pada bilah di situs web, situs web akan memuat Meta Pixel milik Meta Platforms Ireland Limited. Meta Pixel menyimpan cookie di peramban (misalnya _fbp dengan masa berlaku hingga 90 hari) dan mengirimkan informasi tentang kunjungan kepada Meta: halaman yang dikunjungi, alamat IP, informasi tentang peramban, dan pengenal cookie. Kami menggunakannya untuk mengukur efektivitas iklan di Facebook dan Instagram. Dasar hukumnya adalah persetujuan Anda (Pasal 6(1)(a) GDPR dan Bagian 89(3) Undang-Undang No. 127/2005 Coll., tentang komunikasi elektronik). Kami bertanggung jawab bersama dengan Meta atas pengumpulan dan penyerahan data tersebut; pemrosesan selanjutnya, termasuk kemungkinan transfer ke AS berdasarkan kerangka perlindungan data UE-AS (Data Privacy Framework), dilakukan oleh Meta sebagai pengendali independen sesuai dengan kebijakannya di facebook.com/privacy/policy. Kami tidak pernah mengirimkan data dari aplikasi, akun, atau keluarga kepada Meta.

Tanpa persetujuan, Meta Pixel sama sekali tidak dimuat. Anda dapat menarik kembali persetujuan kapan saja melalui tautan "Pengaturan cookie" di footer situs web; setelah itu situs web akan menghapus cookie Pixel dan tidak lagi memuat Pixel.

Jika Anda bergabung dengan grup penguji di Google Groups melalui halaman untuk penguji, administrator grup akan melihat email akun Google Anda; kami hanya akan menggunakannya untuk menguji aplikasi dan untuk akses ke versi pengujiannya di Google Play. Versi pengujian untuk iPhone didistribusikan oleh Apple melalui TestFlight. Google dan Apple memproses data sebagai pengendali independen sesuai dengan kebijakan mereka. Dasar hukumnya adalah permintaan Anda untuk berpartisipasi dalam pengujian (Pasal 6(1)(b) GDPR). Email akan tetap berada di grup sampai Anda berhenti berlangganan dari grup atau sampai pengujian selesai.

10. Perubahan kebijakan ini

Kami akan memberi tahu Anda di aplikasi dan di situs web kimda.app tentang setiap perubahan penting pada kebijakan ini. Aplikasi akan mengenali versi kebijakan mana yang telah Anda setujui: aplikasi akan meminta orang tua untuk mengonfirmasi versi baru (dan mungkin persetujuan atas nama anak-anak), anak akan mengetahuinya. Kami akan mencatat waktu dan versi konfirmasi.

11. Kontak

Pertanyaan tentang perlindungan data pribadi: privacy@kimda.app