Kimda

Политика приватности

Последње ажурирање: 27. октобра 2026.

Обавезујућа је верзија ове политике на чешком језику. Преводи на друге језике служе само у информативне сврхе; у случају неслагања, меродавна је верзија на чешком језику.

Овај документ описује које податке апликација Kimda („апликација“, „ми“) и веб-сајт kimda.app обрађују, зашто и на ком правном основу, коме их прослеђујемо, колико дуго их чувамо и која права имате ви и ваша деца. Апликација је намењена за коришћење целој породици, укључујући децу – зато заштити података приступамо посебно пажљиво.

1. Ко је руковалац подацима

Руковалац подацима је Mgr. Ivo Slávka, који управља апликацијом Kimda као предузетник уписан у занатски регистар који води ÚMČ Praha 8, IČO 30070929, са седиштем на адреси Bergerova 1115/2, 182 00 Praha 8 – Kobylisy, Чешка Република. Контакт имејл за питања о приватности и за остваривање ваших права: privacy@kimda.app.

2. Које податке обрађујемо и зашто

• Подаци о налогу: име, презиме, број телефона, улога (родитељ/дете), изабрани језик и тема изгледа, опциона профилна фотографија, верзија ове политике и време када сте је прихватили, код родитеља време када је потврдио своје пунолетство, а код детета време, верзија политике и родитељ који је за дете дао сагласност (тачка 5). Ваше име и профилна слика су видљиви осталим члановима ваше породице у апликацији (родитељ види све чланове, дете види своје родитеље и браћу/сестре).
• Број телефона користимо за потврду идентитета (SMS код) и пријаву и његов неповратни отисак такође за заштиту пробног периода Premium (тачка 6), након промене броја за проверу захтева за враћање преузетог налога (безбедносни записи у наставку) и након обнове базе података из резервне копије за задржавање пријаве на број који је налог раније напустио (журнал промена телефона у наставку) – апликација на број иначе никоме не пише нити га дели са трећим странама, осим са пружаоцем услуге SMS потврде (Twilio, видети тачку 4).
• Подаци о породици: назив породице, ко јој припада, какве улоге и подешавања ко има (проценти поделе џепарца, валута, језик и временска зона породице) и историја промена финансијских правила (ко је и када променио нпр. камату, проценте поделе, валуту или временску зону и са које вредности на коју).
• Захтеви за придруживање: име, презиме, улога и број телефона особе која жели да се придружи породици, и време захтева - како би родитељ видео кога одобрава.
• Захтеви за сагласност родитеља: тип захтева (уклањање родитеља или брисање целе породице), ко га је поднео, на кога се односи и ко га је одобрио, одбио или отказао (интерни идентификатори), времена (подношење, рок, подсетник, решавање) и исход (одобрено, одбијено, отказано, извршено након истека рока или поништено); имена, бројеве телефона нити слободан текст не чувамо. Захтеве виде родитељи породице у апликацији.
• Подаци о задацима: назив задатка, бодови, када је задатак обављен/одобрен/одбијен, и фотографије, ако задатак захтева фотографију, укључујући технички отисак фотографије (види тачку 3).
• Планови, рутине и подсетници: коме је задатак додељен, планирани дан и време, статус извршења, кашњење, редослед ротације и да ли је подсетник послат.
• Награде и циљеви: породични каталог награда, захтеви за награду, циљеви штедње и износи које је дете пренело у циљ. Преглед за родитеље из ових података изводи збирну извршеност, благовременост и равномерност расподеле; не прави јавну ранг-листу деце.
• Финансијски подаци апликације: бодови, виртуелни џепарац и његова подела, захтеви за исплату, позајмице и камате у оквиру породице – реч је о интерној евиденцији апликације, а не о стварним банковним или платним подацима. Апликација нема приступ ниједном банковном рачуну ни платној картици. Месечни резиме детета (број одобрених задатака, бодови, а уз Premium и износ за текући месец; не и стања касица) такође је видљив осталој деци у истој породици, осим ако родитељ то не искључи у подешавањима породице.
• Записи директних исплата и ручних отплата: када родитељ у апликацији исплати детету део његовог салда директно (без захтева детета) или ручно упише отплату његове позајмице, сервер за сваку такву операцију чува засебан запис који се даље не мења. Садржи интерне идентификаторе породице, детета и родитеља који је извршио операцију, врсту операције (директна исплата, ручна отплата), износ, код исплате кутијицу из које се исплаћивало и рашчлањивање износа (код исплате на део из сопствених уплата и на део из приписане камате, код отплате на главницу и на камату), време операције и насумични идентификатор захтева. Запис служи томе да се може доказати шта је и када родитељ у апликацији уписао, и како би се евентуални спор у породици могао проценити на основу записа, а не само на основу крајњег салда. Реч је о интерној евиденцији апликације – апликација сама не преноси никакав новац. Записи су део извоза података (тачка 7) и чувају се према тачки 6.
• Претплата: статус претплате породице (пробни период, Premium, њено важење и обнова) и евентуални бесплатан приступ преко промо кода; саме промо кодове сервер чува само као HMAC отисак и управљање кодовима бележи (ко, када, која акција). Платне податке не видимо - плаћање обрађује Apple или Google. Доказ о сагласности са тренутним почетком Premium-а, који чувамо као доказ ове сагласности, описује тачка 6.
• Пријава и безбедност: сесије пријављивања појединих уређаја (када су настале, када су последњи пут коришћене и до када важе). Родитељ у делу Мој профил види преглед својих пријављених уређаја (само време пријаве и последњег коришћења, без IP адресе и назива уређаја) и може их појединачно одјавити. Токене за обнову сервер чува само као SHA-256 отиске, укључујући отиске већ замењених токена, како би препознао злоупотребу украденог токена. При захтеву за SMS код чува кључани отисак (HMAC-SHA-256) броја телефона и SHA-256 отисак једнократног изазова заједно са бројем покушаја, код промене броја и код потврде брисања породице и њену сврху и интерни идентификатор налога. Ограничења броја захтева, укључујући дневни лимит послатих SMS-ова, рачуна према кључаном отиску (HMAC-SHA-256) IP адресе или њене мреже (IPv4 /24, IPv6 /56), броја телефона, пара броја телефона и мреже или налога, односно према земљи или позивном броју телефона. Кључ за ове отиске сервер изводи из тајног кључа сачуваног ван базе података, тако да се отисак без њега не може вратити у број телефона или IP адресу. Безбедносни записи о важним догађајима (нпр. пријава, захтев за придруживање, одобрење, одбијање или уклањање члана, нови позивни код, одјава уређаја, промена броја телефона, потврда политике, сагласност родитеља за дете или сумња на злоупотребу токена) садрже тип догађаја, време и интерне идентификаторе; код уклањања члана додатно његову улогу (родитељ/дете), код потврде политике и сагласности родитеља верзију политике, а при брисању налога детета које је имало дуг, салдо или нерешене захтеве, такође валуту, отписане износе и број нерешених захтева. Запис о промени броја телефона додатно садржи неповратни отисак првобитног броја (HMAC са тајним кључем), како би подршка могла да провери да захтев за враћање преузетог налога подноси стварни власник првобитног броја. Имена, бројеви телефона ни IP адресе нису у њима. Промене броја телефона и уклањање или обнављање члана породице се осим тога уписују у засебан журнал који описује ставка „Журнал промена телефона и статуса члана“ у наставку.
• Безбедносна обавештења: када се родитељ пријави SMS кодом, остали родитељи у породици добијају опште обавештење без имена и броја телефона; при свакој пријави SMS кодом (родитеља и детета) опште обавештење о новој пријави добиће и досадашњи пријављени уређаји истог налога. Приликом промене броја телефона (нови број се верификује SMS кодом) сервер одјављује остале пријављене уређаје налога и досадашњи уређаји налога као и родитељи у породици добијају опште обавештење; првобитни број се више не чува – остаје само његов неповратни отисак у безбедносном запису о промени (30 дана, видети одељак 6), неповратни отисци првобитног и новог броја у журналу промена телефона (60 дана, видети у наставку и одељак 6) и код родитеља који је био члан породице током њеног пробног периода, такође отисак према одељку 6. Када број на захтев власника налога обнови подршка, она прво проверава његов идентитет: SMS кодом послатим на првобитни број, чији отисак мора да се поклапа са отиском у запису о промени броја. Када таква провера није могућа (запис о промени више не постоји или власник нема првобитни број), проверава га потврдом од другог родитеља у породици (верификованом SMS кодом послатим на број овог родитеља) и одговорима на питања која постави подршка; у том случају прво шаље обавештење на уређаје налога и родитељима у породици, а број враћа најраније за 72 сата, уколико се нико не успротиви; ово обавештење ћете видети након пријаве и директно у апликацији током целог рока. Без такве провере неће обновити број и неће отказати ниједан захтев – може само да одјави све уређаје налога. Ако је подршка исти налог у последњих 30 дана већ једном враћала, сматра следећи захтев спором и неће обновити број без додатне провере. Након обнове сервер одјављује налог на свим уређајима, опште обавештење добијају родитељи у породици и интервенција се бележи (ко ју је извршио, када, на који налог се односи и везу ка вашем захтеву – без броја телефона). Опште обавештење родитељи добијају и при брисању налога детета, при уклањању другог родитеља (и уклоњени родитељ) и при сумњи на злоупотребу токена за пријаву; у том случају сервер одјављује налог на свим уређајима и отказује његове регистрације за обавештења. Безбедносна обавештења (нпр. о новој пријави или уређају, промени броја телефона, промени финансијских правила, уклањању члана, брисању налога детета или сумњи на злоупотребу токена) сервер прво чува у реду чекања (врста обавештења, прималац – push токен уређаја или интерни идентификатор породице или налога и језик – и општи технички тип догађаја) и тек одатле их доставља; обавештење при враћању преузетог налога од стране подршке (изнад) шаље директно. Ако обавештење родитељима или уређајима налога члана породице ни након поновљених покушаја не буде успешно достављено, сервер чува само интерни идентификатор породице, врсту обавештења и време (без push токена и без имена), како би родитељ при следећој пријави у апликацији видео о ком обавештењу се радило и могао да га потврди; уколико прималац нема ниједан уређај на који се обавештење може послати, такав запис не настаје. Рокове чувања утврђује тачка 6.
• Журнал промена телефона и статуса члана: поред безбедносних записа изнад, сервер за сваку промену броја телефона налога (било да је извршите сами у Профилу или је на ваш захтев изврши подршка) и за свако уклањање или обнављање члана породице води засебан запис у журналу. Запис садржи насумични идентификатор записа, интерне идентификаторе налога и породице, врсту догађаја (промена броја, обнова броја од стране подршке, уклањање члана, обнављање члана), време догађаја и – само код промене броја – неповратне отиске првобитног и новог броја (HMAC-SHA-256 са тајним кључем који се чува ван базе података). Код уклањања и обнављања члана нема никаквих отисака. Бројеви телефона, имена ни IP адресе нису у журналу. Отисак није могуће без тајног кључа претворити назад у број телефона, али пошто је везан за интерни идентификатор налога, реч је о псеудонимизованом податку, а не о анонимном податку. Журнал служи само за заштиту од последица обнове базе података из резервне копије: како се уз налог не би вратио број који је налог у међувремену напустио (и који је могао да преузме неко други), и како би се поново применило уклањање члана породице које резервна копија не садржи. Сервер зато приликом пријаве SMS кодом и при провери броја телефона упоређује отисак унетог броја са последњим записом журнала; ако не одговара, пријаву задржава и упућује на подршку. Запис се чува у бази података и по правилу у року од неколико минута и у копији у засебном нејавном складишту Cloudflare R2 (тачка 4), како би преживео губитак базе података између резервних копија. Рокове чувања одређује тачка 6.
• Технички подаци: push токен и насумични идентификатор уређаја који апликација креира за доставу обавештења (није хардверски идентификатор), време последње регистрације уређаја, пријава којој регистрација припада, и SHA-256 отисак насумичне тајне инсталације, којим уређај доказује да му push токен припада. Након ослобађања регистрације (одјава, уклањање члана, безбедносно блокирање или аутоматско чишћење) сервер памти два временски ограничена записа како обавештења уређаја не би могао да преузме туђи налог: (а) запис о ослобођеном push токену – SHA-256 отиске push токена и тајне инсталације, интерни идентификатор породице и време ослобађања (токен тако не може да преузме налог из друге породице); и (б) запис о ослобођеном уређају – интерни идентификатор налога, насумични идентификатор уређаја, исте отиске и време ослобађања (ослобођени уређај тако не може, без доказивања да је реч о истој инсталацији, поново да заузме друга сесија пријављивања истог налога, на пример украдена). Сервер даље 30 дана чува запис о регистрацији уређаја (интерни идентификатор налога и уређаја, отисак push токена, врста догађаја и време), према коме прати лимит регистрација нових уређаја за 24 сата. Рокове чувања одређује тачка 6; запис о ослобођеном уређају се при брисању налога не води. Даље оперативни записи сервера (нпр. стања грешке) без бројева телефона и садржаја захтева. У телефону апликација у безбедном складишту чува токене за пријаву и даље памти изабрани језик и тему; изабрани језик саопштава и серверу, како би обавештења стизала на вашем језику. Шта апликација шаље директно услугама Expo и Sentry, описује тачка 4.

Зашто обрађујемо податке и на ком правном основу:

• Породични налог и функције апликације (регистрација, породица, задаци и фотографије, планови, подсетници, награде, циљеви, џепарац укључујући записе директних исплата и ручних отплата, обавештења и претплата): извршење уговора, односно услова коришћења (чл. 6 ст. 1 тач. б GDPR). Записе директних исплата и ручних отплата и историју промена финансијских правила обрађујемо додатно на основу нашег легитимног интереса за доказивост финансијских операција и правила у апликацији и за решавање спорова у породици (чл. 6 ст. 1 тач. ф GDPR). Доказ о сагласности са тренутним почетком Premium-а и његову копију ван базе података обрађујемо додатно на основу нашег легитимног интереса за доказивање ове сагласности и за одбрану правних захтева (чл. 6 ст. 1 тач. ф GDPR). За податке деце види тачку 5.
• Пријава потврђена SMS кодом: извршење уговора (чл. 6 ст. 1 тач. б GDPR) - без потврђеног броја телефона није могуће пријавити се у апликацију.
• Безбедност и заштита од злоупотребе (сесије и отисци токена, изазови за SMS код, ограничења броја захтева и дневни лимит SMS-ова, безбедносни записи, журнал промена телефона и статуса члана, меморија ослобођених push токена и уређаја, запис о регистрацији уређаја и лимит регистрација нових уређаја за 24 сата, ред чекања безбедносних обавештења и евиденција неиспоручених обавештења, оперативни логови, отисак броја телефона против поновног коришћења пробног периода, захтеви за сагласност родитеља који породицу штите од једностраног уклањања родитеља или брисања, и провера идентитета када подршка враћа преузети налог укључујући евиденцију таквих интервенција): наш легитимни интерес за безбедан рад услуге, заштиту налога родитеља и деце и одбрану од злоупотребе SMS потврде (чл. 6 ст. 1 тач. ф GDPR).
• Исправљање грешака и ажурирање апликације (извештаји о грешкама преко Sentry, ажурирања преко Expo): наш легитимни интерес за стабилну и безбедну апликацију (чл. 6 ст. 1 тач. ф GDPR).
• Решавање ваших захтева према тачки 7 и доказ о томе како и када смо их решили (нпр. статус извршеног брисања, дневник извршених брисања и задатак екстерног брисања): испуњење правне обавезе (чл. 6 ст. 1 тач. ц GDPR).
• Мерење оглашавања на веб-сајту kimda.app (Meta Pixel): ваша сагласност (чл. 6 ст. 1 тач. а GDPR), види тачку 9.

Против обраде на основу легитимног интереса можете уложити приговор (тачка 7). Број телефона је неопходан за регистрацију и пријаву; без њега се апликација не може користити. Профилна фотографија је добровољна, а фотографија обављеног задатка је потребна само за задатке код којих је родитељ захтева. Аутоматизовано доношење одлука ни профилисање са правним или слично значајним последицама (чл. 22 GDPR) не користимо; аутоматска безбедносна ограничења, која на пример привремено блокирају даље покушаје за SMS код, служе само за заштиту налога и услуге.

3. Фотографије уз задатке

Фотографије које дете (или родитељ уместо њега) отпреми уз задатак виде само чланови исте породице (родитељи и деца у апликацији). Нису јавне, апликација их не дели ни са једном другом апликацијом ни друштвеном мрежом. Фотографија за задатак може се снимити само камером у апликацији. Апликација, а након ње поново и сервер, пре чувања уклањају метаподатке са фотографије (на пример GPS локацију или податке о камери). Фотографије се чувају у нејавном објектном складишту (види тачку 4) и сервер их издаје само пријављеном члану исте породице. Родитељ у сваком тренутку може да затражи њихово брисање.

За сваку отпремљену фотографију сервер израчунава технички отисак (контролни збир и поједностављени отисак слике од 64 бита). Служи само да би апликација препознала када се иста или готово иста фотографија поново употреби за задатак, и да би фотографија припадала задатку за који ју је дете управо снимило у апликацији. Из отиска се фотографија не може приказати нити реконструисати и брише се заједно са фотографијом. Запис о временском изазову за фотографију (ко ју је затражио у апликацији, за који задатак и када) сервер брише након 7 дана. Родитељ уз фотографију види упозорење када фотографија нема важећу временску проверу апликације или је веома слична ранијој фотографији, као помоћ при одобравању; провера не гарантује да фотографија не може бити лажирана.

4. Коме прослеђујемо податке и пренос ван ЕУ

Податке прослеђујемо само пружаоцима услуга који за нас обезбеђују рад апликације (обрађивачима), и то само у обиму који им је за то потребан. Обрађивачи смеју да користе податке само за пружање своје услуге за нас и према нашим упутствима. Apple и Google при куповинама у продавницама наступају као самостални руковаоци.

• Пружалац хостинга (Railway) – управља сервером апликације и базом података у којој су сачувани подаци апликације.
• Cloudflare – приватно објектно складиште R2 чува шифровано пренете профилне фотографије и фотографије обављених задатака, резервне копије базе података (шифроване још пре слања тако да се могу дешифровати само приватним кључем који чувамо ван облака), дневник извршених брисања (само интерни идентификатори, врста брисања и време), журнал промена телефона и статуса члана (тачка 2: интерни идентификатори, врста и време догађаја и код промене броја неповратни отисци бројева) и копију доказа о пристанку на тренутни почетак Premium (тачка 6: интерни идентификатори породице и корисника, време пристанка, изабрани план, почетак плаћеног периода, идентификатор трансакције продавнице и верзија приказаног текста) у нејавним bucket-има; приступ фотографијама и даље контролише пријављени Kimda бекенд. Cloudflare такође управља веб-сајтом kimda.app (тачка 9).
• Twilio (потврда телефона SMS кодом) – добија број телефона и код који унесете, само ради доставе и провере SMS кода.
• Expo (650 Industries) – прво, доставља обавештења: добија push токен уређаја, идентификатор инсталације за обавештења, нативни токен Apple или Google, општи текст или емоџи обавештења и општи технички тип догађаја. ИД-ове из базе података, имена, називе задатака ни износе не шаљемо у push поруци. Expo прослеђује поруку push услузи компаније Apple (Apple Push Notification service) или Google (Firebase Cloud Messaging). Друго, доставља ажурирања апликације (EAS Update): апликација при сваком покретању пита Expo сервере да ли је доступна исправка. Expo притом добија IP адресу уређаја, платформу, верзију апликације, идентификатор инсталираног ажурирања, евентуално текст последње грешке која је затворила апликацију, и насумични идентификатор инсталације EAS-Client-ID, који апликација трајно чува у телефону и који се не мења ни након одјаве. Са вашим налогом га не повезујемо и апликација га не шаље нашем серверу.
• Apple и Google – као самостални руковаоци обрађују куповину и управљање претплатом у App Store и Google Play; као push услуге (Apple Push Notification service, Firebase Cloud Messaging) достављају обавештења на уређај.
• RevenueCat (обрада претплате преко App Store / Google Play само за родитељске налоге) – обрађује идентификатор породице, историју куповина, Apple признаницу или Google токен куповине, време последњег коришћења и техничке податке уређаја (нпр. тип уређаја и оперативни систем). Од Kimda не добија име ни број телефона родитеља или детета. У апликацији нису укључене рекламне/атрибуционе интеграције RevenueCat ни ручно прикупљање рекламних идентификатора.
• Sentry (технички извештаји о грешкама апликације и сервера, ради исправљања грешака) – добија тип грешке, место у коду, верзију апликације и оперативног система. Апликација и сервер су подешени тако да му не шаљу име, телефон, токен за пријаву, садржај захтева ни IP адресу. Организација Kimda у Sentry се води у области података ЕУ (Немачка).
• Пружалац е-поште (Spaceship, услуга Spacemail) – доставља и чува имејлове које нам пошаљете на privacy@kimda.app или support@kimda.app.

Railway, Cloudflare, Twilio, Expo, RevenueCat, Sentry, Spaceship, Apple, Google и Meta (тачка 9) су компаније са седиштем или позадином у САД, и податке стога могу обрађивати и ван Европског економског простора. Код преноса ван Европског економског простора користимо механизам према поглављу V GDPR, који се односи на конкретног примаоца и обраду - углавном сертификацију примаоца у оквиру EU-USA Data Privacy Framework (одлука Европске комисије о адекватној заштити, чл. 45 GDPR) или стандардне уговорне клаузуле које је одобрила Европска комисија (чл. 46 ст. 2 тач. ц GDPR). Информацију о механизму код конкретног примаоца и о томе где се може добити копија одговарајућих гаранција, пружићемо вам на захтев на privacy@kimda.app.

Податке из апликације не продајемо, не делимо их са оглашивачима нити их користимо за циљано оглашавање. Мерење оглашавања на веб-сајту kimda.app уз сагласност посетиоца описује тачка 9.

5. Сагласност родитеља и улоге деце

Регистровати се у апликацији (у улози „родитељ“ и са новом породицом) сме само пунолетно лице. Налог са улогом „дете“ увек настаје тек након придруживања помоћу позивног кода који зна само родитељ – дете се, дакле, може укључити само уз знање и сагласност родитеља који дели код. Поред тога, свако придруживање детета и другог родитеља мора родитељ у апликацији изричито да одобри; до одобрења нови члан види само име породице. Позивни код породице важи 48 сати, неодобрени захтев се након 72 сата аутоматски брише, а одбијени или отказани одмах. Регистрацијом у улози „родитељ“ потврђујете да сте пунолетни и да имате законско право да дате сагласност за обраду података ваше деце у апликацији.

Податке детета обрађујемо само у обиму потребном за функционисање породичног налога који је родитељ отворио и којим управља, дакле за извршење уговора са родитељем (чл. 6 ст. 1 тач. б GDPR). Родитељ као законски заступник одлучује о укључивању детета: дели позивни код, изричито одобрава придруживање детета и може дете у сваком тренутку да уклони из породице или да затражи брисање његовог налога. Дете при регистрацији политику само прима к знању; сагласност за обраду његових података даје родитељ када у апликацији одобрава придруживање детета, а сервер бележи време, родитеља и верзију политике. Код деце одобрене старијом верзијом апликације, апликација ће накнадно затражити недостајућу сагласност од родитеља. Ако би обрада захтевала сагласност, а дете још нема 15 година (старосна граница у Чешкој према чл. 8 GDPR и § 7 Закона бр. 110/2019 Сб., о обради података о личности), сагласност у име детета даје родитељ. Права детета према тачки 7 у његово име може остварити родитељ.

6. Колико дуго чувамо податке

Податке налога и породице чувамо док корисник не затражи брисање налога или целе породице. Сама неактивност апликације не покреће аутоматско брисање. Корисник због тога не мора редовно да отвара апликацију да не би изгубио породичну историју, а брисање може у сваком тренутку да започне директно у апликацији или да га затражи на privacy@kimda.app. Историју промена финансијских правила (тачка 2) чувамо током целог постојања породице, без временског и укупног бројчаног ограничења (породица сме да сачува промене финансијских правила највише 30 пута на сат), јер служи као непроменљив доказ о томе ко је и када променио правила, на пример у случају спора између родитеља; у апликацији се не може мењати нити брисати. Након брисања целе породице (тачка 7), сервер је брише при најближем чишћењу; брисање налога појединог члана је не мења и код ње остаје само интерни идентификатор без имена.

За поједине друге записе важе следећи рокови:

• Изазови за SMS код (отисци броја телефона и изазова): важе 10 минута; након успешне провере сервер их брише одмах, иначе најкасније сат времена након њиховог истека.
• Ограничења броја захтева и дневни лимит SMS-ова (отисци): сервер их брише 24 сата након завршетка праћеног периода; дневни лимит SMS-ова се увек завршава у поноћ UTC.
• Сесије пријављивања: токен за пријаву важи 15 минута; сесија се завршава након 30 дана неактивности, најкасније након 90 дана, или раније одјавом. Завршену сесију, укључујући отиске токена, сервер брише 30 дана након њеног завршетка.
• Позивнице и захтеви за придруживање: позивни код породице важи 48 сати, а позивница за другог родитеља 24 сата; неодобрени захтев за придруживање се након 72 сата аутоматски брише, а одбијени или отказани одмах. Запис о позивници за другог родитеља (код, ко ју је креирао и ко ју је искористио) сервер брише 30 дана након њеног истека, коришћења или отказивања.
• Безбедносни записи у бази података (тачка 2): сервер их сам брише након 30 дана. Журнал промена телефона и статуса члана се руководи сопственим роком наведеним у наставку.
• Журнал промена телефона и статуса члана (тачка 2): запис у бази података сервер брише најраније 60 дана након његовог настанка, и то тек након што га је копирао у засебно складиште (копија настаје по правилу у року од неколико минута). Запис који није успео да се копира сервер не брише док копирање не успе, па зато остаје у бази података и дуже од 60 дана. Копију у засебном нејавном складишту Cloudflare R2 брише само складиште након 60 дана од њеног чувања. При брисању налога или целе породице (тачка 7) сервер записе журнала обрисаног налога или породице брише из базе података; њихова копија у складишту нестаје најкасније 60 дана након чувања.
• Фотографије: неповезане фотографије, које није било могуће доделити профилу или задатку, сервер уклања након 24 сата; запис о временском изазову за фотографију брише након 7 дана (тачка 3) а технички запис о обрисаној фотографији (само интерни идентификатори) 30 дана након брисања фотографије.
• Push токен и идентификатор уређаја: до одјаве уређаја, уклањања члана из породице или брисања налога, односно док га Apple или Google не означе као неважећи. Сервер их додатно сам брише када апликација није обновила регистрацију уређаја 90 дана (обнавља је при свакој пријави и покретању), или када корисник нема важећу сесију пријављивања дуже од 30 дана. Након одјаве уређаја (и на даљину у Профилу) или завршетка његове пријаве на уређај се ништа не доставља. Изузетак су регистрације из времена пре увођења ове верзије, које апликација од тада није обновила: одјава једног уређаја на даљину их неће искључити, опција Одјави све уређаје хоће; иначе их сервер брише према роковима изнад. Запис о ослобођеном push токену (отисци, породица и време) сервер брише након 30 дана, или раније, када се уређај поново региструје. Запис о ослобођеном уређају (интерни идентификатор налога, насумични идентификатор уређаја, отисци и време) сервер брише након 91 дана – дакле тек након истека најдужег могућег важења сесије пријављивања (90 дана) – или раније, када се уређај истог налога поново региструје. Запис о ослобођеном уређају се при брисању налога не води; ако је већ настао при покретању брисања, сервер га брише при његовом завршетку. Рок записа о ослобођеном push токену тиме остаје непромењен. Технички отисак push токена код послатог подсетника служи само за проверу доставе; сервер га брише након евалуације доставе, најкасније 30 дана након слања. Запис о регистрацији уређаја (интерни идентификатор налога и уређаја, отисак push токена, врста догађаја и време; тачка 2) сервер брише након 30 дана од његовог настанка, чак и ако у међувремену обришете налог.
• Ред чекања за безбедносна обавештења и недостављена обавештења (тачка 2): податке о примаоцу обавештења (push токен уређаја или интерни идентификатор породице или налога и језик) сервер из сачуваног записа реда чекања уклања одмах након доставе или након одустајања од доставе, а најкасније 7 дана након настанка обавештења; само интерни идентификатор породице (при изузетној грешци базе података привремено и налога) у њему може остати до уписивања записа о недостављеном обавештењу (у наставку). Преостали запис (врста обавештења, општи технички тип догађаја, време и техничка порука о грешци) брише 30 дана након обраде. Запис о недостављеном обавештењу за родитеља (интерни идентификатор породице, врста обавештења и време, без push токена и без имена) чува док га родитељ не потврди у апликацији; потврђени запис брише чим буде старији од 90 дана. Запис породице која више не постоји брише при најближем чишћењу.
• Сачувани одговори финансијских операција: како поновљени захтев након прекида мреже не би двапут уписао исплату, позајмицу или другу финансијску операцију, сервер памти одговор на њу 30 дана. Сам запис о операцији (врста операције, њен случајни идентификатор, интерни идентификатори породице, актера и дотичног члана, SHA-256 отисак захтева и време) део је финансијске историје и чува се до брисања налога или породице.
• Записи директних исплата и ручних отплата (тачка 2): за разлику од сачуваног одговора изнад који се брише након 30 дана, ови записи се чувају до брисања детета на које се односе или целе породице (тачка 7).
• Сачувани записи поновљених захтева планера: како поновљени захтев након прекида мреже не би двапут направио план задатака, сервер 60 дана чува запис о његовом стварању (интерни идентификатори породице и родитеља, врста операције, насумични идентификатор захтева, SHA-256 отисак унетих параметара плана, веза ка креираном плану и време). Запис сервер брише такође при брисању налога родитеља који је креирао план и при брисању целе породице (тачка 7).
• Захтев за брисање налога: непотврђени захтев за брисање након 45 дана постаје неважећи и брише се најкасније након још 400 дана; запис о извршеном брисању (само интерни идентификатори и статус, без имена и контаката) чувамо као доказ да смо решили ваш захтев, и то 3 године од решавања. У истом обиму (интерни насумични идентификатор налога или породице, врста брисања и време) водимо дневник извршених брисања, како би се након евентуалне обнове базе података из резервне копије сва каснија брисања поново применила. Запис дневника у бази података сервер брише најраније 180 дана након његовог настанка, и то тек након што га је копирао у засебно складиште (копија настаје обично у року од неколико минута); запис који није успешно копиран, сервер не брише док копирање не успе. Копију у засебном нејавном складишту брише само складиште након 60 дана од њеног чувања. Шифровани извоз дневника, који је део резервне копије базе података, нестаје заједно са резервном копијом (најкасније након 30 дана).
• Захтеви за сагласност родитеља: отворен захтев важи 14 дана; продужава се само ако се породици у међувремену придружи родитељ (код захтева за брисање породице нови родитељ добија сопствених 14 дана, али највише до краја евентуалног заштитног рока након уклањања другог родитеља), или након обнове базе података из резервне копије (осим захтева за брисање породице, који важи само до краја заштитног рока). Захтев за брисање породице, који би истекао током рока од 14 дана након уклањања другог родитеља, траје до краја тог рока и затим постаје неважећи. Током рока од 14 дана након уклањања другог родитеља није могуће обрисати породицу; захтев за брисање породице поднет у овом року постаје неважећи након његовог истека. Након истека рока, једини преостали родитељ може директно у Профилу обрисати породицу. Решен захтев сервер брише након 90 дана.
• Отисак броја телефона након брисања налога или промене броја: да се пробни период за Premium не би могао добијати више пута брисањем налога и новом регистрацијом, сервер приликом брисања налога родитеља који је био члан породице током њеног пробног периода и приликом промене броја таквог родитеља (чак и ако број на његов захтев промени подршка) чува само отисак досадашњег броја телефона (HMAC са тајним кључем) и време – сам број не. Нова регистрација са истим бројем тада не добија пробни период. Отисак сервер брише након 12 месеци.
• Имејлови које нам пошаљете: онолико дуго колико је потребно за решавање вашег питања или захтева и за доказивање како смо га решили.
• Евиденција интервенција подршке и управљања: запис о интервенцији у бази података (врста интервенције, ко ју је извршио, када, на коју породицу се односи и број захтева – без имена и бројева телефона; овако бележимо обнову броја и одјављивање уређаја од стране подршке, извоз података породице на захтев и управљање промо кодовима и бесплатним приступом) сервер сам брише након 3 године. Дневник захтева подршци (број захтева, датум, интерни идентификатор налога, начин провере идентитета и резултат – без броја телефона) водимо шифровано ван базе података и чувамо га такође 3 године као доказ како смо решили захтев.

Продукцијски оперативни и безбедносни логови хостинга смеју да се чувају највише 30 дана. Техничке извештаје о грешкама апликације и сервера Sentry чува највише 90 дана, како бисмо могли да пронађемо и исправимо грешке које се испоље тек након објављивања нове верзије апликације; евентуалне оперативне резервне копије Sentry престају да постоје најкасније 90 дана након свог креирања. Резервне копије базе података се праве дневно, шифрују се још пре слања из продукцијског окружења и бришу се 30 дана након прављења, тако да претходно обрисани подаци у њима остају највише 30 дана; не користе се за уобичајено враћање обрисаног налога. Ако бисмо морали да обновимо базу података из резервне копије, поново ћемо применити брисања извршена након прављења резервне копије према дневнику брисања. Подешавања хостинга, базе података и складишта морају те рокове технички да спроводе, а оператор их редовно проверава.

Ако брисање записа код спољног пружаоца претплате није могуће завршити одмах, Kimda након уклањања медијских датотека без даљег одлагања анонимизује локалне личне податке. За безбедно понављање спољног захтева задржава само интерни насумични идентификатор породице и технички статус брисања, а не имена или телефонске бројеве. Запис о овом задатку спољног брисања (интерни идентификатор породице, ознака пружаоца, број покушаја, времена и код последње грешке, без имена и телефонских бројева) сервер брише 90 дана након његовог завршетка; недовршени задатак се чува док се не заврши.

Доказ о пристанку на тренутни почетак Premium (интерни идентификатори породице и корисника, време пристанка, изабрани план, почетак плаћеног периода, идентификатор трансакције продавнице, интерни идентификатор покушаја куповине и верзија приказаног текста) чувамо током периода неопходног за доказивање овог пристанка у евентуалном спору, стандардно 3 године од његовог давања. Након истека рока, доказ се контролисано брише. Доказ се не брише заједно са налогом нити са породицом (тачка 7). Његову копију (без интерног идентификатора покушаја куповине) чувамо такође у засебном нејавном складишту Cloudflare R2 (тачка 4), како би доказ преживео губитак базе података између резервних копија; складиште је само брише након 1125 дана од њеног складиштења.

7. Ваша права

Имате право:

• на приступ свим подацима које апликација чува о вама и вашој породици (чл. 15 GDPR),
• на исправку нетачних података (чл. 16 GDPR) – број телефона мењате сами у Профилу након верификације новог броја SMS кодом; ако изгубите приступ налогу (на пример зато што је број променио неко други са пријављеног уређаја), променићемо га на ваш захтев након провере идентитета,
• на брисање налога појединачног члана (чл. 17 GDPR) – апликација директно у апликацији (Мој профил → Обриши налог) неповратно уклања или анонимизује име, телефон, фотографију и push токен и брише све фотографије које сте отпремили; код налога детета и фотографије уз његове задатке које је уместо њега отпремио родитељ. Са тим налогом се онда више не може пријавити и уз њега не остаје име ни контакт. У историји задатака и исплата остају само рачуноводствене чињенице неопходне за повезаност остатка породице (бодови, износ, статус и време); слободна белешка се брише, а називи задатака и циљева замењују се неутралном вредношћу. Ова историја се не брише јер остаје повезана са остатком породице (иначе се не би слагала њихова међусобна рачуноводствена повезаност), али је везана само за запис без имена и контакта. Записи директних исплата и ручних отплата детета (тачка 2) бришу се заједно са дететом. Записе журнала промена телефона и статуса члана (тачка 2) сервер брише из базе података; њихова копија у засебном складишту нестаје најкасније 60 дана након складиштења. Ако дете има дуг, салдо или нерешене захтеве, апликација ће му пре брисања приказати које износе губи, а брисање мора изричито да потврди; родитељи ће затим добити опште обавештење. Члан кога је родитељ уклонио из породице може након потврде SMS кодом у апликацији сам трајно да обрише свој налог и тиме ослободи свој број телефона,
• на каскадно брисање целе породице – када родитељ изричито потврди брисање целе породице, анонимизујемо све њене чланове, бришемо њихове фотографије и додатно замењујемо слободне текстове и називе сопствених задатака, циљева и награда неутралним вредностима; такође бришемо записе директних исплата и ручних отплата породице (тачка 2), историју промена финансијских правила породице (при најближем чишћењу) и записе журнала промена телефона и статуса члана њених чланова (копија журнала у засебном складишту нестаје најкасније 60 дана након складиштења). Уклањање другог родитеља захтева сагласност дотичног родитеља: изричито одбијање зауставља радњу, без реакције се извршава након 14 дана. Брисање целе породице у којој постоји други родитељ захтева изричиту сагласност сваког другог родитеља; без сагласности свих захтев се након 14 дана отказује и породица се не брише. Породицу из које је у последњих 14 дана уклоњен други родитељ могуће је обрисати најраније 14 дана након његовог уклањања. Рачуноводствени записи о обрисаној породици, укључујући салда и статусе зајмова и штедње деце, уклањају се из оперативне базе података најкасније у року од 30 дана од брисања; у шифрованим резервним копијама могу остати најдуже још 30 дана, док се резервна копија не обрише. Доказ о сагласности са тренутним почетком Premium-а се брисањем породице не брише (тачка 6). Анонимизовани записи о коришћењу партнерских кодова, који не садрже податке о личности, чувају се ради евиденције партнера и заштите од злоупотребе. Након уклањања медијских датотека локална анонимизација се обавља и онда када је RevenueCat привремено недоступан; спољни захтев се затим безбедно понавља само са интерним идентификатором породице. RevenueCat брисање обавља асинхроно. Тиме се не отказује претплата коју води App Store или Google Play – њу родитељ мора посебно да откаже у подешавањима одговарајуће продавнице,
• на ограничење обраде (чл. 18 GDPR), на пример када оспоравате тачност података, током периода док је не проверимо,
• на преносивост (чл. 20 GDPR) – податке које сте нам пружили и које обрађујемо на основу уговора, предаћемо вам у структурираном, уобичајено коришћеном и машински читљивом формату (нпр. JSON), односно на ваш захтев ћемо их предати другом руковаоцу, ако је то технички изводљиво,
• да уложите приговор (чл. 21 GDPR) против обраде засноване на нашем легитимном интересу (тачка 2); обраду ћемо тада прекинути, осим ако докажемо озбиљне легитимне разлоге који претежу над вашим интересима, правима и слободама, или нам је потребна за утврђивање, остваривање или одбрану правних захтева,
• да у сваком тренутку опозовете сагласност (чл. 7 ст. 3 GDPR) – сагласност за мерење оглашавања на веб-сајту опозивате путем везе "Подешавања колачића" у подножју веб-сајта (тачка 9); опозив не утиче на обраду пре њега,
• да поднесете притужбу надзорном органу (чл. 77 GDPR) – у Чешкој је то Канцеларија за заштиту података о личности (Úřad pro ochranu osobních údajů), Pplk. Sochora 27, 170 00 Praha 7, веб-сајт uoou.gov.cz; можете се обратити и надзорном органу у држави чланици ЕУ у којој живите или радите.

Захтев пошаљите на privacy@kimda.app. Како податке не бисмо предали или обрисали неком другом, прво ћемо проверити да ли захтев подноси власник налога (на пример потврдом са броја телефона додељеног налогу); SMS кодове за пријаву нам никада не шаљите. Једини изузетак је код из SMS-а означеног са „Kimda obnova účtu“, који ће вам подршка тражити само у одговору на ваш сопствени захтев за враћање преузетог налога, или на вашу сопствену потврду таквог захтева другог родитеља из ваше породице (тачка 2); чак и тада га дајте само подршци, никада другом члану породице. Овај код подршка од вас тражи искључиво е-поштом са адресе support@kimda.app са бројем вашег захтева, никада телефоном нити преко другог члана породице. Захтев за приступ или преносивост решавамо извозом података породице у формату JSON (без токена за пријаву и њихових отисака и без отисака првобитних бројева телефона из безбедносних записа, који служе само за проверу захтева за враћање налога, и без журнала промена телефона и статуса члана који служи само за заштиту од преузимања броја; извоз садржи записе директних исплата и ручних отплата (тачка 2); код фотографија садржи њихов технички отисак према тачки 3, саме фотографије ћемо на захтев предати посебно); сваки извоз бележимо (ко га је припремио, када и на основу ког захтева). Податке о догађајима из журнала промена телефона и статуса члана (врста и време, без отисака) ћемо вам саопштити на захтев. Одговорићемо без непотребног одлагања, најкасније у року од месец дана; у сложенијим случајевима рок можемо продужити за још два месеца, о чему ћемо вас благовремено обавестити. Права детета у његово име може остварити родитељ као законски заступник.

8. Безбедност

Апликација не користи лозинке (пријава само преко потврђеног телефона). Приступ штити краткорочни токен за пријаву са роком важења од 15 минута и токен за обнову, који сервер чува само као отисак; при доказаној поновљеној употреби већ замењеног токена за обнову сервер одјављује налог на свим уређајима, отказује његове регистрације за обавештења, уписује безбедносни запис и упозорава остале родитеље. У продукцији комуникација између апликације и сервера иде преко HTTPS-а. Фотографије су у нејавном складишту и бекенд пре њиховог издавања проверава налог и припадност истој породици. Резервне копије базе података су шифроване још пре преноса и могу се дешифровати само приватним кључем сачуваним ван облака; промо кодови су у бази података само као HMAC отисак са кључем ван базе података и управљање промо кодовима бележимо. Бројеве телефона, токене ни садржај захтева сервер не уписује у оперативне логове.

9. Веб-сајт kimda.app и колачићи

Ова тачка се односи само на посетиоце веб-сајта kimda.app, а не на коришћење апликације. Веб-сајт ради на мрежи Cloudflare, која при свакој посети технички обрађује IP адресу и податке о прегледачу да би могла да испоручи страницу и заштити је од напада; записе за дијагностику грешака веб-сајта Cloudflare чува највише 3 дана. Према језику прегледача (код везе за преузимање и према типу уређаја) веб-сајт вас преусмерава на одговарајућу верзију странице. Правни основ је наш легитимни интерес за безбедан и функционалан веб-сајт (чл. 6 ст. 1 тач. ф GDPR). Изабрану тему веб-сајт памти само у вашем прегледачу (localStorage). Вашу одлуку о колачићима веб-сајт чува у localStorage и у неопходном техничком колачићу kimda-consent-proof (важи 180 дана), који садржи само врсту избора и време одлуке, без идентификатора особе или налога. Прегледач га технички шаље са сваким захтевом ка веб-сајту; сервер га не обрађује, служи искључиво скрипти у прегледачу за проверу да сагласност није повучена. Овај колачић не захтева сагласност и не користи се за мерење нити за оглашавање.

Само ако на траци на веб-сајту изаберете "Слажем се", веб-сајт учитава Meta Pixel друштва Meta Platforms Ireland Limited. Он у прегледачу чува колачић (нпр. _fbp са роком важења до 90 дана) и шаље компанији Meta податке о посети: посећену страницу, IP адресу, податке о прегледачу и идентификатор колачића. Служи нам за мерење ефикасности огласа на Facebook-у и Instagram-у. Правни основ је ваша сагласност (чл. 6 ст. 1 тач. а GDPR и § 89 ст. 3 Закона бр. 127/2005 Сб., о електронским комуникацијама). За прикупљање и пренос ових података одговарамо заједно са компанијом Meta; њихову даљу обраду, укључујући евентуални пренос у САД на основу Оквира ЕУ-САД за заштиту података о личности (Data Privacy Framework), Meta врши као самостални руковалац у складу са својом политиком на facebook.com/privacy/policy. Податке из апликације, налога или породице компанији Meta никада не шаљемо.

Без сагласности се Meta Pixel уопште не учитава. Сагласност можете у сваком тренутку опозвати путем везе "Подешавања колачића" у подножју веб-сајта; веб-сајт тада брише колачиће Pixel-а и више га не учитава.

Ако се преко странице за тестере придружите групи тестера у Google Groups, администратор групе ће видети имејл вашег Google налога; користићемо га само за тестирање апликације и за приступ њеној тестној верзији у Google Play. Тестну верзију за iPhone дистрибуира Apple преко TestFlight-а. Google и Apple притом обрађују податке као самостални руковаоци у складу са својим политикама. Правни основ је ваш захтев за учешће у тестирању (чл. 6 ст. 1 тач. б GDPR). Имејл ће остати у групи док се из ње не одјавите или док се тестирање не заврши.

10. Измене ове политике

О свакој битној измени ове политике обавестићемо вас у апликацији и на веб-сајту kimda.app. Апликација препознаје коју верзију политике сте прихватили: од родитеља ће затражити потврду нове верзије (и евентуално сагласност за децу), дете ће је примити к знању. Време и верзију потврде бележимо.

11. Контакт

Питања о заштити података о личности: privacy@kimda.app