MyCashflow – Privacy

Účinnosť: 30.09.2025

V týchto Zásadách ochrany osobných údajov (“Zásady”) vysvetľujeme, ako APP development s.r.o., IČO: 480 18 759 (“Prevádzkovateľ”, “my”) spracúva osobné údaje používateľov aplikácie MyCashflow (“Aplikácia”). Spracovanie prebieha v súlade s GDPR a relevantnými právnymi predpismi SR/EÚ.

1. Aké údaje spracúvame

• Identifikačné údaje účtu: e‑mail, meno (ak je poskytnuté), avatar.
• Prihlasovanie a autorizácia: tokeny a identifikátory poskytovateľov (napr. Google), ID zariadenia, IP adresa, čas prihlásenia.
• Údaje v aplikácii: transakcie (príjmy/výdavky), peňaženky, kategórie, pracovné priestory (workspaces), prípadné prílohy/poznámky.
• Diagnostika a analýza: udalosti používania, crash logy, výkon.
• Reklamné identifikátory: GAID/IDFA (ak je povolené), segmentačné údaje pre zobrazovanie reklám vo free verzii.

2. Účely a právne základy

• Poskytovanie služieb aplikácie – vedenie záznamov, synchronizácia, zálohy (plnenie zmluvy, čl. 6(1)(b) GDPR).
• Autentifikácia a zabezpečenie – správa prístupov, prevencia zneužitia (oprávnený záujem, čl. 6(1)(f)).
• Analytika a zlepšovanie – meranie používania, stabilita (oprávnený záujem / súhlas podľa nastavení).
• Reklama vo free verzii – personalizované alebo nepersonalizované reklamy (súhlas, čl. 6(1)(a)).
• Fakturácia a podpora – správa predplatného (plnenie zmluvy / zákonná povinnosť).

3. Zdroj údajov

Údaje poskytujete priamo vy (registrácia, používanie aplikácie) alebo vznikajú automaticky pri používaní (telemetria). Pri social logine získavame údaje od tretích strán (napr. Google).

4. Príjemcovia a spracovatelia

• Google Firebase (Authentication, Firestore/Storage, Cloud Functions, Crashlytics, Analytics)
• Google AdMob (reklamy vo free verzii)
• Platobná brána / predplatné (napr. Stripe alebo obchod s aplikáciami), ak je to relevantné
• Ďalší poskytovatelia IT služieb (hosting, zálohy, e‑mail), podľa potreby

So spracovateľmi máme uzavreté zmluvy o spracúvaní údajov v súlade s GDPR.

4.1 Google Kalendár

Google Kalendár prepájame iba na vašu výslovnú žiadosť v Nastaveniach. Aby ste si mohli vybrať cieľový kalendár, aplikácia získa jeho názov, identifikátor a informáciu, či doň môžete zapisovať. Nevyhľadávame ani nečítame vaše existujúce udalosti v Google Kalendári.

Do vami vybraného kalendára vytvárame, aktualizujeme alebo odstránime len finančné udalosti, ktoré vytvoril MyCashflow – napríklad splatnosť záväzku. Do udalosti zapíšeme iba úroveň podrobnosti, ktorú si sami zvolíte. Prístupové tokeny sú uložené šifrovane a po odpojení kalendára ich odstránime.

4.2 Spracovanie dokumentov pomocou Gemini

V MyCashflow BOX môžete dobrovoľne nechať spracovať dokument, ktorý ste sami nahrali alebo poslali na svoju BOX e-mailovú adresu. Jednorazovú kópiu dokumentu posielame do platenej služby Google Gemini Developer API, aby sme pripravili návrh údajov a vyhľadateľný prepis; výsledok nikdy nevytvorí finančnú transakciu bez vášho potvrdenia.

Údaje získané prostredníctvom Google Calendar API do Gemini neposielame. Dokumenty v Secret Boxe sa do Gemini nikdy neodosielajú. Nepoužívame dokumenty ani výsledky spracovania na trénovanie alebo zlepšovanie modelov; pri väčších súboroch po spracovaní vyvoláme vymazanie dočasne nahraného súboru u poskytovateľa.

4.3 Vyhlásenie Limited Use

The use of information received from Google Workspace APIs will adhere to the Google User Data Policy, including the Limited Use requirements.

5. Prenosy do tretích krajín

Ak dochádza k prenosu mimo EHP, používame mechanizmy podľa GDPR (štandardné zmluvné doložky, prípadne rozhodnutie o primeranosti).

6. Doba uchovávania

• Účet a dáta v aplikácii: po dobu trvania účtu; po zmazaní účtu primeraná doba na zálohy (max. 30–90 dní).
• Logy a analytika: 14 dní až 24 mesiacov (podľa typu a nastavení).
• Fakturačné údaje: podľa zákonných lehôt (zvyčajne 10 rokov).

7. Vaše práva

• prístup k údajom, oprava, vymazanie, obmedzenie spracúvania, námietka, prenosnosť údajov,
• odvolanie súhlasu (ak je právnym základom),
• podanie sťažnosti na dozorný orgán: Úrad na ochranu osobných údajov SR.

8. Bezpečnosť

Uplatňujeme primerané technické a organizačné opatrenia (šifrovanie prenosu, prístupové politiky, oddelenie prostredí). Žiadny systém však nie je absolútne bezpečný.

9. Cookies a SDK

Aplikácia a web môžu používať technológie ako cookies, local storage a mobilné SDK. Nastavenia personalizácie reklám a analytiky môžete upraviť v nastaveniach zariadenia alebo priamo v Aplikácii, ak je táto možnosť dostupná.

10. Deti

Aplikácia nie je určená deťom mladším ako 16 rokov. Ak sa dozvieme, že spracúvame údaje dieťaťa bez súhlasu/primeraného základu, údaje odstránime.

11. Zmeny Zásad

Zásady môžeme aktualizovať. Nové znenie zverejníme v Aplikácii alebo na webe s uvedením dátumu účinnosti.

12. Kontaktné údaje

Effective date: 30 Sep 2025

This Privacy Policy (“Policy”) explains how APP development s.r.o., ID: 480 18 759 (“we”, the “Operator”) processes personal data of users of the MyCashflow application (the “App”). Processing is carried out in accordance with GDPR and applicable EU/Slovak law.

1. Data we Process

• Account data: e‑mail, name (if provided), avatar.
• Sign‑in & authorization: provider tokens/identifiers (e.g., Google), device ID, IP address, sign‑in time.
• In‑app data: transactions (income/expense), wallets, categories, workspaces, attachments/notes where applicable.
• Diagnostics & analytics: usage events, crash logs, performance.
• Advertising identifiers: GAID/IDFA (if permitted), segmentation data for ads in the Free tier.

2. Purposes & Legal Bases

• Provide the App – records, sync, backups (contract, Art. 6(1)(b) GDPR).
• Authentication & security – access control, abuse prevention (legitimate interests, Art. 6(1)(f)).
• Analytics & improvement – usage measurement, stability (legitimate interests / consent depending on settings).
• Advertising in Free tier – personalized or non‑personalized ads (consent, Art. 6(1)(a)).
• Billing & support – subscription management (contract / legal obligation).

3. Sources

Data are provided by you (registration, use of the App) or generated automatically (telemetry). For social sign‑in we receive data from third parties (e.g., Google).

4. Recipients & Processors

• Google Firebase (Authentication, Firestore/Storage, Cloud Functions, Crashlytics, Analytics)
• Google AdMob (ads shown in the Free tier)
• Payment gateway / subscription (e.g., Stripe or app store), where applicable
• Other IT providers (hosting, backups, e‑mail), as needed

We have data‑processing agreements with processors as required by GDPR.

4.1 Google Calendar

We connect Google Calendar only when you explicitly request it in Settings. To let you choose a destination calendar, the App receives its name, identifier and whether you have permission to write to it. We do not search for or read your existing Google Calendar events.

In the calendar you select, we create, update or delete only financial events created by MyCashflow, such as a liability due date. The event contains only the level of detail you choose. Access tokens are encrypted at rest and removed when you disconnect the calendar.

4.2 Document processing with Gemini

In MyCashflow BOX, you can voluntarily process a document that you uploaded yourself or sent to your BOX email address. We send a one-time copy to the paid Google Gemini Developer API service to prepare a data proposal and searchable transcript; the result never creates a financial transaction without your confirmation.

We never send data received through the Google Calendar API to Gemini. Secret Box documents are never sent to Gemini. We do not use documents or processing results to train or improve models; for larger files, we invoke deletion of the provider's temporary uploaded file after processing.

4.3 Limited Use statement

The use of information received from Google Workspace APIs will adhere to the Google User Data Policy, including the Limited Use requirements.

5. International Transfers

Where transfers outside the EEA occur, we rely on GDPR mechanisms (Standard Contractual Clauses or adequacy decisions).

6. Retention

• Account & in‑app data: for the life of the account; after deletion, retained in backups for a reasonable period (max 30–90 days).
• Logs & analytics: 14 days to 24 months (depending on type and settings).
• Billing data: per statutory periods (typically up to 10 years).

7. Your Rights

• access, rectification, erasure, restriction, objection, data portability,
• withdraw consent (where consent is the legal basis),
• lodge a complaint with the Slovak supervisory authority.

8. Security

We apply appropriate technical and organizational measures (encrypted transport, access policies, environment separation). No system is 100% secure.

9. Cookies & SDKs

The App and web may use technologies such as cookies, local storage and mobile SDKs. You can adjust personalization of ads and analytics in device settings or within the App if available.

10. Children

The App is not directed to children under 16. If we learn that we processed a child’s data without appropriate basis/consent, we will delete such data.

11. Changes

We may update this Policy. The new version will be made available in the App or on the web with the effective date.

12. Contact

13. Data Subject Request (DSR)

You can submit a request for access, erasure, export or rectification here. Submitting opens a pre‑filled e‑mail to info@mycashflowapp.eu.