Polityka prywatności — jakie dane przechowujemy

W skrócie

• Przechowujemy tylko to, czego GetHossa potrzebuje do działania: adres e-mail, skrót hasła, Twoje transakcje i listę obserwowanych.
• Nie wyświetlamy reklam, nie sprzedajemy i nie udostępniamy Twoich danych.
• Nie używamy cookies analitycznych ani śledzących — tylko dwóch plików cookie potrzebnych do działania serwisu. Odwiedziny liczymy anonimowo, bez cookies (Vercel Web Analytics).
• Nigdy nie prosimy o login, hasło ani klucze API do Twojego rachunku maklerskiego.
• Jeśli korzystasz z asystenta AI, Twoje pytania i dane potrzebne do odpowiedzi (np. pozycje portfela) trafiają do Anthropic, dostawcy modelu Claude.
• W każdej chwili możesz sam pobrać swoje dane i usunąć konto razem ze wszystkimi danymi (menu konta → „Konto i dane”).

Kto odpowiada za Twoje dane

Administratorem Twoich danych osobowych jest Maciej Kamieniak, który prowadzi serwis GetHossa jako osoba prywatna (dane kontaktowe: zob. hello@gethossa.com). W każdej sprawie dotyczącej Twoich danych możesz się z nami skontaktować w ten sam sposób.

Jakie dane przechowujemy

Dane	Po co
Adres e-mail	identyfikuje Twoje konto i służy do logowania
Skrót hasła	pozwala sprawdzić hasło przy logowaniu — samego hasła nie znamy i nie przechowujemy
Transakcje, które importujesz lub wpisujesz	data, symbol spółki, rodzaj operacji, liczba akcji, cena, kwota, waluta, kurs wymiany i źródło (broker lub wpis ręczny) — na ich podstawie liczymy wyniki portfela
Lista obserwowanych	symbole dodanych spółek i data dodania
Rozmowy z asystentem AI	Twoje pytania, odpowiedzi asystenta, dane pobrane do odpowiedzi (np. pozycje portfela, dane spółek) i liczba zużytych tokenów — żeby zachować historię rozmów i pilnować dziennego limitu pytań
Ustawienia konta	waluta bazowa portfela i data założenia konta
Sesje logowania	skrót tokenu sesji oraz data jej utworzenia i wygaśnięcia — dzięki nim pozostajesz zalogowany
Nieudane próby logowania	adres e-mail, na który próbowano się zalogować, adres IP, z którego przyszła próba, i jej czas — chronią konta przed odgadywaniem haseł

Pliki od brokera. Wgrany wyciąg odczytujemy w chwili importu i zapisujemy wyłącznie wyodrębnione z niego transakcje. Samego pliku nie przechowujemy. Jeśli zawiera inne informacje (np. numer rachunku), nie zapisujemy ich.

Czego nie zbieramy. Imienia i nazwiska, adresu, numeru telefonu, danych logowania do brokera ani danych płatniczych.

Dane techniczne. Jak każdy serwis internetowy, nasz dostawca hostingu (Vercel) przetwarza dane potrzebne do obsłużenia Twoich zapytań, np. adres IP i informacje o przeglądarce, i może je przez ograniczony czas przechowywać w logach serwera.

Po co i na jakiej podstawie

Cel	Podstawa prawna (RODO)
Założenie i prowadzenie konta, logowanie, przechowywanie transakcji i liczenie wyników portfela	art. 6 ust. 1 lit. b — wykonanie umowy, czyli świadczenie usługi, z której chcesz korzystać
Asystent AI: odpowiadanie na Twoje pytania i przechowywanie historii rozmów	art. 6 ust. 1 lit. b — wykonanie umowy (funkcja, z której decydujesz się skorzystać)
Bezpieczeństwo: limit nieudanych prób logowania i zakładania kont, ochrona sesji, logi techniczne	art. 6 ust. 1 lit. f — nasz prawnie uzasadniony interes w ochronie kont i serwisu
Anonimowe statystyki odwiedzin i szybkości stron (bez cookies)	art. 6 ust. 1 lit. f — nasz prawnie uzasadniony interes w rozwijaniu serwisu
Odpowiadanie na Twoje wiadomości i zgłoszenia	art. 6 ust. 1 lit. f — nasz prawnie uzasadniony interes w kontakcie z użytkownikami

Podanie adresu e-mail i hasła jest dobrowolne, ale bez nich nie założysz konta. Nie podejmujemy wobec Ciebie zautomatyzowanych decyzji wywołujących skutki prawne i nie profilujemy Cię w celach marketingowych.

Gdzie przechowujemy dane i kto je przetwarza

Korzystamy z czterech dostawców, którzy przetwarzają dane w naszym imieniu:

• Vercel — hosting aplikacji oraz anonimowe statystyki (Web Analytics i Speed Insights, opis poniżej),
• Turso — baza danych (libSQL), w której przechowujemy dane konta, transakcje, listę obserwowanych i rozmowy z asystentem,
• Anthropic — dostawca modelu Claude, z którego korzysta asystent AI. Tylko gdy zadajesz asystentowi pytanie, przekazujemy mu treść rozmowy i dane potrzebne do odpowiedzi (np. pozycje Twojego portfela). Anthropic nie wykorzystuje danych przesyłanych przez API do trenowania modeli. Asystent może też szukać informacji w internecie (wyszukiwarką Anthropic) — trafia do niej wtedy treść wyszukiwania, którą układa asystent (zwykle nazwa spółki i temat).
• Resend — wysyłka wiadomości e-mail: powitania po założeniu konta i linku do zmiany hasła. Przekazujemy mu tylko Twój adres e-mail i treść tej wiadomości.

Ci dostawcy mogą przetwarzać dane także poza Europejskim Obszarem Gospodarczym, np. w USA. W takim przypadku przekazanie danych musi być objęte zabezpieczeniami wymaganymi przez RODO, takimi jak standardowe klauzule umowne zatwierdzone przez Komisję Europejską.

Dane rynkowe pobieramy z Yahoo Finance i SEC EDGAR. Wysyłamy do nich wyłącznie zapytania o notowania i dane spółek (symbole i zakresy dat), niepowiązane z Twoim kontem — nigdy Twoich danych osobowych.

Nie sprzedajemy, nie wynajmujemy i nie udostępniamy Twoich danych nikomu innemu, chyba że będzie tego wymagał przepis prawa, np. żądanie uprawnionego organu.

Jak chronimy dane

• Hasła przechowujemy wyłącznie jako skróty scrypt z losową solą — nawet my nie znamy Twojego hasła.
• Token sesji jest losowy, a w bazie zapisujemy tylko jego skrót SHA-256. Ewentualny wyciek bazy nie pozwoliłby więc nikomu zalogować się na Twoje konto.
• Plik cookie sesji jest niedostępny dla skryptów na stronie (httpOnly) i ważny 30 dni.
• Ograniczamy liczbę nieudanych prób logowania — zarówno dla jednego konta, jak i dla jednego adresu IP.
• Połączenie z serwisem GetHossa jest szyfrowane (HTTPS).
• Strony Twojego portfela widzisz tylko Ty, po zalogowaniu.

Żadne zabezpieczenie nie daje stuprocentowej pewności, ale ochronę Twoich danych traktujemy bardzo poważnie.

Jak długo przechowujemy dane

• Konto, transakcje i lista obserwowanych — do czasu usunięcia konta. Ręcznie dodane transakcje i spółki z listy obserwowanych możesz w każdej chwili usunąć sam.
• Rozmowy z asystentem AI — do czasu, aż usuniesz rozmowę (w każdej chwili, w oknie asystenta) albo konto.
• Sesje — rekord sesji usuwamy przy wylogowaniu, a sesja wygasa najpóźniej po 30 dniach.
• Próby logowania, zakładania kont i prośby o zmianę hasła (adres e-mail lub adres IP z datą) — liczymy je w oknach od 15 minut do doby, żeby chronić konta przed zgadywaniem haseł i nadużyciami, a zapisy starsze niż doba usuwamy automatycznie.
• Linki do zmiany hasła — przechowujemy tylko skrót linku; jest ważny 60 minut i usuwamy go po użyciu.
• Licznik użycia asystenta AI — data każdego pytania oraz liczba zużytych tokenów i wyszukiwań, bez treści pytań. Służy do limitów i kontroli kosztów; zapisy starsze niż 31 dni usuwamy. Usunięcie rozmowy nie usuwa licznika.
• Logi techniczne hostingu — przez ograniczony czas określony przez dostawcę hostingu.

Konto usuniesz sam w ustawieniach (menu konta → „Konto i dane”); tam też pobierzesz wszystkie swoje dane w pliku JSON. Po usunięciu konta kasujemy wszystkie powiązane z nim dane: transakcje, listę obserwowanych, rozmowy z asystentem, licznik użycia asystenta, linki do zmiany hasła i sesje. Kopie zapasowe prowadzone przez dostawcę bazy danych mogą je zawierać jeszcze przez ograniczony czas, zanim zostaną nadpisane.

Pliki cookie

Nazwa	Do czego służy	Ważność
hossa_session	utrzymuje Cię zalogowanym; niedostępny dla skryptów na stronie	30 dni lub do wylogowania
hossa_lang	zapamiętuje wybrany język (polski lub angielski)	1 rok

Oba pliki są potrzebne do działania funkcji, z których korzystasz: logowania i wyboru języka. Nie używamy cookies analitycznych, reklamowych ani śledzących. Jeśli to się zmieni, zaktualizujemy tę politykę i — tam, gdzie to wymagane — najpierw poprosimy Cię o zgodę.

Statystyki odwiedzin

Żeby wiedzieć, które strony są czytane i czy serwis działa szybko, korzystamy z Vercel Web Analytics i Vercel Speed Insights. Działają bez plików cookie i bez zapisywania czegokolwiek w Twojej przeglądarce. Widzimy wyłącznie zbiorcze dane: odwiedzane adresy stron, źródło wejścia (np. wyszukiwarka), kraj, typ urządzenia i przeglądarki, czasy ładowania stron oraz zdarzenia takie jak „kliknięto Załóż konto”, „założono konto”, „zaimportowano plik” czy „zadano pytanie asystentowi” (bez treści pytania). Odwiedzający są rozróżniani tylko w obrębie jednego dnia, za pomocą skrótu, który nie pozwala Cię zidentyfikować ani śledzić między dniami. Identyfikator konta usuwamy z adresów stron, zanim cokolwiek zostanie wysłane.

Pliki cookie możesz usunąć w ustawieniach przeglądarki. Bez hossa_session nie da się jednak pozostać zalogowanym.

Twoje prawa

Zgodnie z RODO masz prawo do:

• dostępu do swoich danych i otrzymania ich kopii (art. 15),
• sprostowania danych nieprawidłowych (art. 16),
• usunięcia danych (art. 17),
• ograniczenia przetwarzania (art. 18),
• przenoszenia danych, które nam przekazałeś, w ustrukturyzowanym, powszechnie używanym formacie (art. 20),
• sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie (art. 21),
• wniesienia skargi do organu nadzorczego — w Polsce jest nim Prezes Urzędu Ochrony Danych Osobowych (uodo.gov.pl).

Aby skorzystać z tych praw — w tym poprosić o usunięcie konta — skontaktuj się z nami. Odpowiemy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca, zgodnie z RODO.

Zmiany tej polityki

Gdy zmienimy sposób przetwarzania danych, zaktualizujemy tę stronę i datę ostatniej aktualizacji. O istotnych zmianach poinformujemy Cię w aplikacji.

Kontakt

Kontakt: hello@gethossa.com