Polityka prywatności

1. Kto odpowiada za dane

Usługę tabhug prowadzi jej właściciel (dalej «my») i to on jest administratorem Twoich danych. We wszystkich sprawach dotyczących danych napisz na [email protected] — to nasz kanał kontaktu.

Ta wersja obowiązuje od 4 października 2026.

2. Jakie dane przechowujemy i po co

• Konto: adres e-mail i czas założenia. Dzięki niemu logujesz się z każdego urządzenia, a pokój ma gospodarza. Hasła nie ma: wysyłamy jednorazowy kod i przechowujemy tylko jego skrót (hash).
• Logowania: dla każdego wejścia na konto lub do pokoju bez konta — skrót losowego klucza, czas utworzenia i ostatniego użycia nazwa urządzenia i przeglądarki («iPhone · Safari») oraz adres IP i dane o przeglądarce i urządzeniu (ciąg User-Agent), z których logowanie utworzono i z których ostatnio z niego korzystano. Adres i dane o urządzeniu służą bezpieczeństwu i ochronie przed nadużyciami i są przechowywane 90 dni. Samego klucza na serwerze nie ma — jest tylko w Twojej przeglądarce.
• Pokój: nazwa, waluta, ustawienia, imiona uczestników (wpisuje je gospodarz pokoju), paragony (nazwa, data, kwota, pozycje, kto płacił i kto co wziął), przelewy między uczestnikami (kto, komu, ile, kiedy, notatka), prośby o sprawdzenie paragonu.
• Dane do przelewu: to, co uczestnik (lub gospodarz w jego imieniu) wpisał w polu «dokąd przelewać» — numer karty, IBAN, telefon.
• Historia zmian pokoju: kto, co i kiedy zmienił. Przechowuje wcześniejsze wersje paragonów i imion, żeby każdy błąd dało się cofnąć — dopóki pokój nie zostanie usunięty.
• Zdjęcia paragonów i to, co odczytał z nich model (zob. punkt 5).
• Zaproszenia: skrót linku ważnego 10 minut.
• Link do podglądu: jeśli gospodarz pokoju go utworzył — skrót linku i data utworzenia. Każdy, kto ma taki link, widzi paragony, salda i dane do przelewu pokoju, dopóki gospodarz go nie wyłączy; niczego nie można przez niego zmienić.
• Dane techniczne: adres IP — w pamięci serwera do godziny, by ograniczać nadużycia (zgadywanie kodów, masowe tworzenie pokoi), oraz w dzienniku dostępu serwera WWW (14 dni).
• Zapisy o działaniu usługi: o każdym odczytaniu zdjęcia przez model — identyfikator pokoju, czas, model i liczba tokenów (bez zdjęcia i bez tego, co odczytano); o każdej próbie logowania — czas, adres IP i to, jak się zakończyła; kiedy odbyło się czyszczenie nieaktualnych danych; co operator zrobił i co otwierał w panelu serwisowym. W tych zapisach nie ma imion, kwot, adresów e-mail ani treści paragonów.
• Zablokowane adresy: jeśli z powodu nadużyć zablokowaliśmy logowanie z adresu e-mail — sam adres i data.
• Ogólne liczby o korzystaniu z usługi liczymy z tego, co już jest przechowywane: ile kont, pokoi i paragonów przybyło w ciągu dnia, ile było logowań, z jakich urządzeń i w jakich językach.

Nie zbieramy lokalizacji, kontaktów ani danych o urządzeniu poza wymienionymi i nie tworzymy profili.

3. Na jakiej podstawie

• Aby świadczyć usługę, z której korzystasz (art. 6 ust. 1 lit. b RODO — wykonanie umowy): konto, logowania, pokoje, paragony, przelewy, dane do przelewu, zaproszenia, odczytanie zdjęcia wysłanego przez Ciebie.
• Nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO): ochrona przed nadużyciami i dzienniki techniczne, w tym adresy IP i dane o urządzeniu przy logowaniach; wgląd operatora w zawartość pokoju, gdy jest to potrzebne do rozpatrzenia zgłoszenia, nadużycia lub usterki; przechowywanie zdjęć paragonów razem z odczytem, by mierzyć i poprawiać rozpoznawanie; przetwarzanie imion osób, które gospodarz wpisał do pokoju (interes gospodarza i grupy — rozliczenie wspólnych wydatków).
• Wobec przetwarzania opartego na prawnie uzasadnionym interesie możesz wnieść sprzeciw — zob. punkt 12.

Nie opieramy się na zgodzie, bo w usłudze nie ma niczego nieobowiązkowego (reklam, newsletterów, analitycznych plików cookie). Licznik odwiedzin stron publicznych działa bez plików cookie i opiera się na naszym prawnie uzasadnionym interesie — chcemy wiedzieć, ile osób trafia na stronę.

4. Jeśli Twoje imię dodano do pokoju

Uczestnik pokoju to imię wpisane przez gospodarza. Może pojawić się w pokoju i w paragonach, zanim tu wejdziesz — albo gdy nie wejdziesz nigdy. Gospodarz pokoju odpowiada za to, by uprzedzić osoby, które dopisuje, i za to, co o nich zapisano.

Widzimy tylko imię w takiej postaci, w jakiej je wpisano («Andrzej», «Ola z pracy»), i nie łączymy go z żadną inną informacją o Tobie, dopóki tu nie wejdziesz.

Aby zostać usuniętym: poproś gospodarza pokoju o zmianę lub usunięcie imienia albo napisz do nas na [email protected], podając pokój i imię. Imię znika z paragonów i historii całkowicie wraz z usunięciem pokoju; na prośbę możemy ręcznie zastąpić je neutralnym («Uczestnik») w całej historii pokoju.

5. Zdjęcia paragonów i model sztucznej inteligencji

Paragonu nie trzeba fotografować — zawsze można go wpisać ręcznie. Jeśli robisz zdjęcie:

• Przed wysłaniem przeglądarka zmniejsza zdjęcie i rysuje je na nowo, więc metadane (miejsce wykonania, model telefonu, czas) nie są wysyłane. Serwer dodatkowo je usuwa, gdyby jednak dotarły.
• Serwer wysyła zdjęcie do odczytania przez model sztucznej inteligencji za pośrednictwem OpenRouter (USA); model dostarcza Google. Wymagamy, by zapytanie trafiało wyłącznie do dostawców, którzy nie przechowują przesłanych treści i nie trenują na nich modeli. Razem ze zdjęciem nie jest przekazywane nic o Tobie ani o pokoju.
• Zdjęcie i to, co odczytał model, są przechowywane na naszym serwerze, dopóki zdjęcie nie zostanie usunięte. Zdjęcie, z którego nie zapisano paragonu, jest usuwane samo po dobie. Zdjęcie widzą uczestnicy pokoju. Pary «co odczytał model / jak było naprawdę» pomagają nam poprawiać rozpoznawanie: mierzymy, jak często odczyt trzeba poprawiać, i sprawdzamy na nich inne modele (zdjęcie trafia wtedy do innego modelu na tych samych warunkach).

Jeśli na paragonie jest coś, czym nie chcesz się dzielić — zasłoń to albo wpisz paragon ręcznie.

Zdjęcie wraz z odczytem może usunąć osoba, która je zrobiła, lub gospodarz pokoju: otwórz zdjęcie w paragonie i naciśnij «Usuń zdjęcie». Wszystkie zdjęcia pokoju znikają razem z pokojem.

6. Dane do przelewu

Dane do przelewu są po to, by inni uczestnicy mogli Ci zapłacić, dlatego widzą je wszyscy uczestnicy pokoju. To zwykły tekst: nie weryfikujemy go i nie wykonujemy płatności.

Wpisuj tylko to, czego wymaga przelew (numer karty lub IBAN), i nigdy — daty ważności karty, CVV, haseł ani kodów z banku. Dane możesz zmienić lub wyczyścić w każdej chwili: stare wtedy znikają, a w historii pokoju zostaje tylko wzmianka, że je zmieniono.

7. Kto jeszcze ma dostęp do danych

W pokoju: wszyscy uczestnicy widzą wszystko, co w nim jest — paragony, zdjęcia, salda, dane do przelewu, historię. Gospodarz widzi dodatkowo, z ilu urządzeń wszedł każdy uczestnik, czy powiązał konto i kiedy był ostatnio. Adresów e-mail uczestników nie widzi nikt poza nami.

My jako operator widzimy listę kont (adres e-mail, czas założenia, ostatnie logowanie, adresy IP i urządzenia logowań) oraz listę pokoi. Zawartość pokoju — imiona, paragony, zdjęcia, dane do przelewu, historię — możemy otworzyć, gdy rozpatrujemy zgłoszenie do pomocy, nadużycie lub usterkę; każdy taki wgląd jest zapisywany: co otwarto, kiedy i z jakiego adresu. Na skargę lub na Twoją prośbę możemy usunąć pokój, zdjęcie albo konto, zakończyć logowania i zablokować logowanie z adresu e-mail; każde takie działanie również zapisujemy.

Podmioty, które pomagają nam świadczyć usługę (podmioty przetwarzające):

• Dostawca hostingu w Holandii (UE) — serwer, na którym leżą baza danych i zdjęcia.
• Cloudflare — sieć, przez którą przechodzą wszystkie zapytania do strony (ochrona przed atakami); widzi adres IP i dane techniczne zapytania.
• OpenRouter oraz Google jako dostawca modelu — otrzymują zdjęcie paragonu do odczytania (punkt 5).
• Google (Gmail) — wysyła e-mail z kodem logowania: otrzymuje Twój adres e-mail i kod.
• Google Fonts — Twoja przeglądarka pobiera krój pisma z serwerów Google; Google widzi przy tym Twój adres IP.
• Google Analytics — licznik odwiedzin, tylko na stronach publicznych (strona główna, poradniki, zasady) i bez plików cookie: Google otrzymuje adres otwartej strony publicznej, Twój adres IP i ogólne dane o przeglądarce. W pokojach oraz na stronach logowania, zaproszenia, podglądu przez link i konta licznika nie ma, więc nic z pokoju tam nie trafia.

Możemy ujawnić dane, gdy wymaga tego prawo. Innym podmiotom trzecim danych nie przekazujemy.

8. Przekazywanie danych poza UE i Ukrainę

Cloudflare, OpenRouter i Google to firmy amerykańskie, więc adres IP, adres e-mail z kodem logowania i zdjęcia paragonów mogą być przetwarzane w USA i innych krajach. Przekazywanie opiera się na decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU–US Data Privacy Framework) wobec firm, które w nim uczestniczą, oraz na standardowych klauzulach umownych w warunkach tych dostawców.

Baza danych i zdjęcia są przechowywane na serwerze w Holandii (Unia Europejska).

9. Jak długo przechowujemy dane

• Konto — dopóki go nie usuniesz.
• Pokój z całą zawartością (paragony, historia, dane do przelewu, zdjęcia) — dopóki nie usunie go gospodarz.
• Wiadomość wysłana przyciskiem «Zgłoś problem»: Twój tekst, e-mail do odpowiedzi, adres strony, przeglądarka, adres IP i liczby pokoju (ile osób, paragonów i walut, jak jest ustawiony — bez imion, nazw i kwot) — 90 dni na serwerze, potem usuwana samoczynnie; kopia, która trafiła na naszą pocztę, — tak długo, jak trzeba, żeby sprawę zbadać i odpowiedzieć.
• Kody logowania i zaproszenia — ważne 10 minut, usuwane dobę po wygaśnięciu.
• Logowania na konto i do pokoju — dopóki z nich korzystasz: logowanie nieużywane przez 90 dni przestaje działać i jest usuwane.
• Unieważnione logowania — 30 dni, potem są usuwane. Logowanie zakończone przez Ciebie («Wyjdź z pokoju na tym urządzeniu») jest usuwane od razu.
• Adresy IP w licznikach nadużyć — do godziny; dzienniki serwera WWW — 14 dni.
• Adresy IP i dane o urządzeniu przy logowaniach — 90 dni.
• Zapisy o działaniu usługi (odczyty zdjęć przez model, próby logowania, czyszczenia, działania operatora i jego wglądy w pokoje) — 90 dni.
• Zablokowany adres e-mail — do czasu zdjęcia blokady.
• Kopie zapasowe: co noc powstaje kopia bazy i zdjęć, każda przechowywana 14 dni. To, co usunięto, znika z usługi od razu, a z kopii zapasowych — w ciągu 14 dni.

10. Co jest przechowywane w Twojej przeglądarce

W pamięci przeglądarki (localStorage): klucz logowania do konta i Twój adres e-mail, klucze wejścia do pokoi z tego urządzenia wraz z nazwami pokoi, lista Twoich pokoi w postaci, w jakiej ostatnio widziało ją konto (nazwy i Twoje saldo), wybrany język, ostatnia waluta paragonu w pokoju. Dzięki temu nie musisz logować się za każdym razem.

Dwa pliki cookie: th_lang — wybrany język, by strona od razu otwierała się w nim; th_in — znacznik «w tej przeglądarce są pokoje» (bez żadnych danych o Tobie), by po odświeżeniu strony od razu pokazać Twoją listę. Innych plików cookie, w tym reklamowych i analitycznych, nie ma: licznik odwiedzin działa w trybie bez plików cookie i niczego nie zapisuje w przeglądarce. Dlatego nie ma też banera cookie.

«Wyloguj się» i «Wyjdź z pokoju na tym urządzeniu» usuwają odpowiednie klucze z przeglądarki.

11. Bezpieczeństwo

• Cała komunikacja ze stroną odbywa się przez HTTPS.
• Klucze logowania, kody i zaproszenia są przechowywane na serwerze wyłącznie jako skróty (hashe): kopia bazy nie pozwala wejść jako ktoś inny.
• Zaproszenie działa 10 minut; osobiste — jeden raz. Gospodarz może zakończyć wszystkie logowania uczestnika, a logowanie nieużywane przez 90 dni kończy się samo.
• Zdjęcia są udostępniane tylko uczestnikom pokoju; operator może otworzyć zdjęcie wyłącznie w przypadkach wymienionych w punkcie 7, a każdy taki wgląd jest zapisywany.
• W dziennikach serwera nie zapisujemy kluczy, kodów, adresów e-mail, danych do przelewu ani treści paragonów.

Wszystko, co jest w pokoju, widzą wszyscy jego uczestnicy — zapisuj tylko to, co chętnie pokażesz całej grupie.

12. Twoje prawa i jak z nich skorzystać

• Kopia danych: w pokoju menu «⋯» → «Dane i prywatność» → «Wszystkie dane w jednym pliku» lub «Paragony jako arkusz». To także prawo do przenoszenia danych.
• Sprostowanie: paragony, przelewy i dane do przelewu edytuje się w pokoju; imię uczestnika zmienia gospodarz.
• Usunięcie zdjęcia: w paragonie, «Usuń zdjęcie».
• Wyjście z pokoju: «Dane i prywatność» → «Wyjdź z pokoju na tym urządzeniu». Twoje imię i paragony zostają w pokoju — są częścią wspólnego rozliczenia.
• Usunięcie pokoju z całą zawartością (gospodarz): «Dane i prywatność» → «Usuń pokój». Jest ostateczne i natychmiastowe; z kopii zapasowych pokój znika w ciągu 14 dni.
• Usunięcie konta: strona startowa → «Konto» → «Usuń konto». Najpierw trzeba usunąć pokoje, których jesteś gospodarzem.
• Aby wnieść sprzeciw wobec przetwarzania, ograniczyć je lub poprosić o coś, czego nie ma w interfejsie (na przykład o usunięcie Twojego imienia z historii pokoju) — napisz na [email protected]. Odpowiadamy w ciągu miesiąca.

Jeśli uważasz, że naruszamy Twoje prawa, możesz wnieść skargę do organu nadzorczego: w Polsce — do Prezesa Urzędu Ochrony Danych Osobowych (UODO), w innym kraju UE — do tamtejszego organu ochrony danych, w Ukrainie — do Pełnomocnika Rady Najwyższej Ukrainy ds. Praw Człowieka.

13. Dzieci

Usługa nie jest przeznaczona dla dzieci poniżej 16 lat. Jeśli masz mniej lat — korzystaj z niej tylko za zgodą rodziców. Jeśli dowiemy się, że konto założyło młodsze dziecko bez takiej zgody, usuniemy je.

14. Zmiany

Jeśli zmieni się to, co przechowujemy lub dokąd to przekazujemy, zaktualizujemy ten tekst i datę powyżej. O istotnych zmianach poinformujemy z wyprzedzeniem na stronie startowej.