Prywatność

Adres e-mail albo numer telefonu — to, czym się logujesz. Jeśli masz hasło, trzymamy wyłącznie jego skrót (argon2id); nie da się z niego odtworzyć hasła i nie znamy go. Jeśli logujesz się przez Google, mamy identyfikator Twojego konta u nich i potwierdzony adres — nic więcej.

Do każdej aktywnej sesji zapisujemy datę logowania, adres IP i nazwę przeglądarki. To nie jest analityka — to lista urządzeń na ekranie konta, żebyś sam zobaczył cudze logowanie. Sam token sesji trzymamy tylko jako skrót.

Jedno: ciasteczko sesji, ustawiane przez nasze API, oznaczone httpOnly (żaden skrypt na stronie go nie odczyta) i SameSite=Lax. Jest po to, żeby po odświeżeniu strony nie trzeba było logować się od nowa. Nie śledzi niczego i nie jeździ na inne strony.

Wybór języka i motywu zapisujemy w pamięci przeglądarki (localStorage), nie w ciasteczku. Nigdy nie wychodzi z Twojego urządzenia i nigdy do nas nie trafia.

Zapisujemy zdarzenia na koncie: logowania, nieudane próby drugiej weryfikacji, dodanie klucza, zmianę hasła, dodanie numeru. Przy każdym adres IP i przeglądarka.

Istnieje z jednego powodu: przejęta sesja nie zostawia śladu nigdzie indziej — żądania włamywacza wyglądają dokładnie jak Twoje. Tę historię widzisz na ekranie konta i jest ona Twoja, nie nasza.

Kody logowania wysyłamy przez Amazon SES (e-mail, serwery we Frankfurcie) i SMSAPI (SMS). Trafia do nich adres albo numer i treść wiadomości — tyle, ile potrzeba, żeby ją dostarczyć. Jeśli logujesz się przez Google, Google wie, że logujesz się u nas.

Poza tym nic. Czcionki i grafiki serwujemy z własnej domeny, nie ma tu żadnej analityki, żadnych pikseli i żadnych reklam. Nie ma też żadnej zewnętrznej captchy: zabezpieczenie przed automatycznym zakładaniem kont to małe działanie, które wykonuje Twoja przeglądarka, liczone na naszych serwerach i nieanalizujące niczego na Twój temat. Dane trzymamy na własnej infrastrukturze w Unii Europejskiej.

Kody jednorazowe żyją 10 minut. Sesja wygasa po 30 dniach bez użycia. Historia konta — 180 dni. Konto i hasło — dopóki konto istnieje.

Kiedy usuniesz konto, wszystko powyżej znika w tej samej chwili: konto, sesje, klucze, kody awaryjne, historia i Twoje dane w aplikacji. Nie oznaczamy konta jako usunięte — kasujemy wiersz. Tego nie da się cofnąć i nie mamy kopii, z której moglibyśmy je odtworzyć.

Masz prawo dostępu do swoich danych, sprostowania, usunięcia, ograniczenia przetwarzania i przenoszenia, a także prawo sprzeciwu i skargi do Prezesa UODO.

Dwa z nich zrobisz sam, natychmiast, na ekranie konta: zobaczysz całą historię i usuniesz konto razem ze wszystkim, co do niego należy. Po resztę napisz na adres poniżej.

W sprawach danych osobowych: rodo@adaraz.com