Správcem osobních údajů v aplikaci Kvitos (Android, balíček com.kvitos.app) je VeloXity Solutions s.r.o., IČO 21029253, Korunní 2569/108, Vinohrady, 101 00 Praha 10, společnost se sídlem v České republice (dále „my“).
Kontakt pro vše, co se týká osobních údajů: support@kvitos.com.
2. Jaké údaje zpracováváme
a) Účet
e-mail, jméno (přezdívka) a heslo (ukládáme jen jeho kryptografický otisk, scrypt, nikdy heslo samotné)
datum vytvoření účtu
nepovinně: profilová fotka (avatar)
nepovinně: číslo účtu (IBAN) a variabilní symbol, aby ti ostatní mohli poslat peníze přes QR platbu
b) Skupiny a výdaje
názvy skupin
jména členů ve skupině, včetně členů bez účtu, které do skupiny přidá jiný uživatel jen jménem
pozvánkové kódy
výdaje: částka, měna, popis, kdo platil a jak se dělí
vyrovnání (kdo komu a kolik, stav, způsob platby)
záznamy o odeslaných připomínkách dluhů
c) Technické údaje
při každém požadavku na server se do provozního logu zapisuje IP adresa, čas, metoda a šablona cesty požadavku (bez hodnot parametrů a dotazového řetězce)
pro ochranu před zneužitím přihlášení si server krátce (max. 15 minut) drží v paměti počet pokusů z dané IP adresy
Aplikace neobsahuje reklamy, analytiku ani sledovací nástroje. Údaje neprodáváme a nepoužíváme je k profilování.
3. Proč a na jakém právním základě
Účel
Právní základ (GDPR)
Vytvoření a správa účtu, skupiny, výdaje, dluhy, QR platby
plnění smlouvy, čl. 6 odst. 1 písm. b)
Provozní logy, zálohy, ochrana proti zneužití a útokům
oprávněný zájem na bezpečném provozu, čl. 6 odst. 1 písm. f)
Odpovědi na tvé dotazy
oprávněný zájem, čl. 6 odst. 1 písm. f)
4. Kdo údaje vidí
Ostatní členové tvých skupin vidí tvé jméno, e-mail, avatar a (pokud je vyplníš) IBAN a variabilní symbol, aby ti mohli zaplatit. Vidí také výdaje a vyrovnání ve skupině.
Profilová fotka je uložená na adrese, kterou zná aplikace. Kdo by tu přesnou adresu znal, může fotku otevřít i bez přihlášení. Nenahrávej proto nic citlivého.
Zpracovatelé (poskytovatelé služeb):
API i statické stránky zásad a smazání účtu hostuje VPS u FORPSI, v České republice. HTTPS a statické HTML obsluhuje Caddy.
WEDOS zajišťuje DNS domény a přeposílání kontaktních e-mailů (catch-all) do schránky hostované u WEDOS Internet, a.s., v EU. Tato schránka uchovává doručené kontaktní zprávy. DNS jen směruje návštěvníky; obsah API a webu jde přímo na VPS.
Google Fonts v mobilní aplikaci: současná aplikace může stahovat písmo Inter ze serveru fonts.gstatic.com; Google při tom obdrží IP adresu a údaje o požadavku. Tyto statické webové stránky naopak používají systémové písmo a žádná externí písma nenačítají.
Google Play zajišťuje distribuci a aktualizace aplikace a související údaje o účtu Google, zařízení a instalaci zpracovává jako samostatný správce podle vlastních zásad ochrany soukromí. Toto zpracování při distribuci je odlišné od provozu aplikace a její databáze.
Předání mimo EHP: uvedené služby Google mohou zahrnovat zpracování mimo Evropský hospodářský prostor, včetně USA. Google ve svých pravidlech pro předávání údajů uvádí EU–U.S. Data Privacy Framework pro Google LLC a v příslušných případech standardní smluvní doložky. Podrobnosti a postup pro získání kopie záruk jsou v těchto pravidlech. Jde o mechanismy popsané společností Google, nikoli tvrzení, že jsme s Googlem uzavřeli vlastní standardní smluvní doložky.
Jiným subjektům údaje nepředáváme, ledaže to vyžaduje zákon.
5. Jak dlouho údaje uchováváme
Účet a jeho data: dokud účet nesmažeš.
Po smazání účtu (Profil → Smazat účet):
Po úspěšném zpracování žádosti serverem se smaže tvůj účet (včetně e-mailu, jména a otisku hesla), avatar, IBAN, variabilní symbol, případné záznamy připomínek a skupiny, ve kterých jsi byl jediným členem.
Ve skupinách s dalšími lidmi zůstanou výdaje a vyrovnání zachované, protože jsou součástí účetnictví ostatních. Tvůj členský záznam se odpojí od účtu a jeho zobrazované jméno se nahradí textem „Odstraněný uživatel“; tvůj e-mail se již přes členství nezobrazuje. Názvy skupin a volné texty výdajů se automaticky nepřepisují a mohou proto stále obsahovat údaje vložené uživateli. Jejich odstranění lze požadovat e-mailem; žádost posoudíme i s ohledem na práva ostatních členů.
Zálohy databáze a nahraných souborů: zálohování zatím není aktivní, nakonfigurované ani provozně ověřené. Před zahájením provozu nastavíme a ověříme zálohování včetně obnovy ze šifrované kopie a dodržování retence. Zálohy budou šifrované nástrojem age a ukládané na zařízení pod kontrolou správce v České republice. Po zprovoznění budou všechny kopie, na serveru i na tomto zařízení, včetně verzí, koše a snapshotů, uchovávány nejvýše 14 dní od vytvoření zálohy. Přenos ani nové kopírování tuto dobu neprodlužuje. Smazaná data tak mohou v zálohách přetrvat nejvýše 14 dní.
Provozní logy (IP adresa, čas, šablona cesty požadavku): max. 14 dní. Před zahájením provozu zajistíme pravidelné promazávání, aby byl tento limit dodržen.
Přihlašovací token v aplikaci platí 30 dní.
6. Zabezpečení
Komunikace se serverem je šifrovaná (HTTPS).
Hesla ukládáme jen jako otisk (scrypt).
Přístup k serveru mají pouze pověření správci s vyhrazenými SSH klíči.
Databáze na serveru není šifrovaná na úrovni souborů. Chrání ji přístup k serveru.
7. Tvá práva
Máš právo:
na přístup k údajům: v aplikaci Profil → Export dat zkopíruješ svá data ve formátu JSON do schránky zařízení
na opravu: úprava profilu v aplikaci
na výmaz: Profil → Smazat účet, nebo e-mail (viz stránka o smazání účtu)
na omezení zpracování
na přenositelnost: export JSON
vznést námitku proti zpracování na základě oprávněného zájmu
Stačí napsat na support@kvitos.com. Odpovíme do 1 měsíce.
Máš také právo podat stížnost u Úřadu pro ochranu osobních údajů (Pplk. Sochora 27, 170 00 Praha 7, https://uoou.gov.cz/).
8. Údaje o lidech bez účtu
Když do skupiny přidáš člověka jen jménem, odpovídáš za to, že s tím souhlasí. Takový člověk nás může kontaktovat na support@kvitos.com a požádat o posouzení odstranění svých údajů.
9. Děti
Aplikace je určena osobám starším 18 let.
10. Změny
O podstatných změnách informujeme v aplikaci nebo na této stránce. Aktuální verze je vždy na https://kvitos.com/privacy.
English
Effective: · Version 2.0
1. Controller
The controller of personal data in the Kvitos app (Android, package com.kvitos.app) is VeloXity Solutions s.r.o., IČO 21029253, Korunní 2569/108, Vinohrady, 101 00 Praha 10, a company based in the Czech Republic ("we").
Contact for anything about personal data: support@kvitos.com.
2. Data we process
a) Account
e-mail, name (nickname) and password (stored only as a cryptographic hash, scrypt, never in plain text)
account creation date
optional: profile photo (avatar)
optional: bank account number (IBAN) and variable symbol, so others can pay you via a QR payment
b) Groups and expenses
group names
member names, including members without an account whom another user adds by name only
invite codes
expenses: amount, currency, description, who paid and how it is split
settlements (who owes whom and how much, status, payment method)
records of sent debt reminders
c) Technical data
for every request to the server, the operational log records the IP address, time, method and route template (without parameter values or query strings)
to protect sign-in against abuse, the server briefly (max. 15 minutes) keeps in memory the number of attempts from an IP address
The app contains no ads, no analytics and no tracking tools. We do not sell data or use it for profiling.
3. Purposes and legal bases
Purpose
Legal basis (GDPR)
Creating and running your account, groups, expenses, debts, QR payments
performance of a contract, Art. 6(1)(b)
Operational logs, backups, protection against abuse and attacks
legitimate interest in secure operation, Art. 6(1)(f)
Answering your requests
legitimate interest, Art. 6(1)(f)
4. Who can see the data
Other members of your groups see your name, e-mail, avatar and (if you fill them in) IBAN and variable symbol, so they can pay you. They also see the group's expenses and settlements.
Profile photos are stored at an address known to the app. Anyone who knows that exact address can open the photo without signing in, so do not upload anything sensitive.
Processors (service providers):
The API and static privacy/account-deletion pages run on a VPS from FORPSI, in the Czech Republic. Caddy serves HTTPS and the static HTML.
WEDOS provides domain DNS and contact e-mail forwarding (catch-all) to a mailbox hosted by WEDOS Internet, a.s., in the EU. This mailbox stores incoming contact messages. DNS only directs visitors; API/website content goes directly to the VPS.
Google Fonts in the mobile app: the current app may download the Inter font from fonts.gstatic.com; Google receives the IP address and request information. These static web pages, by contrast, use system fonts and do not load external fonts.
Google Play distributes and updates the app and processes related Google account, device and installation information as an independent controller under its own privacy policy. This distribution-related processing is separate from running the app and its database.
Transfers outside the EEA: the Google services described above may involve processing outside the European Economic Area, including the USA. In its data transfer frameworks, Google describes the EU–U.S. Data Privacy Framework for Google LLC and standard contractual clauses where applicable. Those rules explain the safeguards and how to request a copy. These are mechanisms described by Google, not a statement that we have entered into our own standard contractual clauses with Google.
We do not disclose data to anyone else unless required by law.
5. Retention
Account data: until you delete your account.
After account deletion (Profil → Smazat účet (Delete account)):
After the server successfully processes the request, it deletes your account (including e-mail, name and password hash), avatar, IBAN, variable symbol, any reminder records, and groups where you were the only member.
In groups shared with others, expenses and settlements are kept because they are part of other people's records. Your membership is detached from the account and its display name is replaced with "Odstraněný uživatel" (Deleted user); your e-mail is no longer shown through that membership. Group names and free-text expense descriptions are not rewritten automatically and may still contain information entered by users. You can request removal by e-mail; we assess requests with regard to other members’ rights as well.
Database and uploaded-file backups: backups are not active yet. The backup process has not been configured or operationally verified. Before launch, we will configure and verify the backup process, including a restore test from the encrypted copy and retention checks. Backups will be encrypted using age and stored on a device controlled by the controller in the Czech Republic. Once enabled, all copies, on the server and on this device, including versions, trash and snapshots, will be kept for at most 14 days from backup creation. Transfer or copying does not restart this period. Deleted data may then remain in backups for no more than 14 days.
Operational logs (IP address, time, route template): at most 14 days. Before launch, we will ensure regular deletion to enforce this limit.
Sign-in token in the app is valid for 30 days.
6. Security
Communication with the server is encrypted (HTTPS).
Passwords are stored only as hashes (scrypt).
Only authorised administrators with dedicated SSH keys have server access.
The database is not encrypted at file level. It is protected by access control to the server.
7. Your rights
You have the right to:
access your data: in the app, Profil → Export dat (Export data) copies your data as JSON to the device clipboard
rectification: edit your profile in the app
erasure: Profil → Smazat účet (Delete account), or by e-mail (see the account deletion page)
restriction of processing
portability: JSON export
object to processing based on legitimate interest
Write to support@kvitos.com. We will reply within one month.
You may also lodge a complaint with the Czech supervisory authority, Úřad pro ochranu osobních údajů (Pplk. Sochora 27, 170 00 Prague 7, https://uoou.gov.cz/), or with the authority in your EU country.
8. People without an account
If you add someone to a group by name only, you are responsible for having their consent. Such a person can contact us at support@kvitos.com to request a review of the removal of their data.
9. Children
The app is intended for people aged 18 and over.
10. Changes
We announce material changes in the app or on this page. The current version is always at https://kvitos.com/privacy.