Prywatność i bezpieczeństwo

Szyfrowana transmisja

Komunikacja z Evyllą odbywa się przez HTTPS/TLS.

Hasła IMAP aplikacji i skrzynki oraz tokeny OAuth są przechowywane zaszyfrowane AES-256-GCM. Hasło konta Evylla zapisujemy tylko jako nieodwracalny skrót.

Dostęp według najmniejszych uprawnień

Evylla powinna sięgać tylko po dane potrzebne do danej funkcji.

Wewnętrzne uprawnienia są nadawane według zasady najmniejszych uprawnień.

Ochrona zapisanych danych

Dane osobowe i inne dane wymagające ochrony są chronione środkami technicznymi i organizacyjnymi. W zależności od rodzaju danych należą do nich w szczególności:

• TLS encryption for every connection to the application
• AES-256-GCM for stored credentials of connected accounts
• Password hashing according to the current state of the art
• CSRF protection, session hardening and server-side permission checks on every request
• Separate roles and permissions for regular accounts and administration
• Regular backups with limited retention
• Logging of security-relevant events with short retention

Konkretne środki zależą od charakteru, zakresu i ryzyka przetwarzania.

Evylla jest tworzona tak, aby ochrona danych była uwzględniana już przy projektowaniu funkcji.

Oznacza to na przykład:

Privacy by design
New features are designed from the outset to work with as little personal data as possible.

Privacy by default
The data-minimising setting is the default. Additional processing only happens when you actively trigger it.

Purpose limitation
Data collected for your purchase history is not reused for other purposes.

Deletability
Every kind of data that is created must also be removable – individually or completely.

Transparency
You should not have to guess what happens. That is why this page exists.

This follows the principle of “data protection by design and by default” in Art. 25 GDPR.

To zależy od funkcji, których używasz.

Konto użytkownika

Dla konta Evylla mogą być przetwarzane na przykład te dane:

• First and last name
• Username and email address
• Country and – if provided – phone number
• Password hash as well as session and security attributes
• Plan, payment status and billing identifiers
• Timestamps such as registration, last sign-in or verification

Połączenia e-mail

Jeśli połączysz konto e-mail, Evylla może przetwarzać wiadomości, które udostępniłeś, aby rozpoznać informacje o zakupach.

Może to obejmować na przykład:

• IMAP server, port and username of the connection
• Encrypted app password used for retrieval
• Sender, subject, date and identifiers of the recognised emails
• Recognised order data: merchant, order number, items, amounts, currency, status
• Time and result of the last synchronisation

Evylla stara się przetwarzać tylko informacje potrzebne do danej funkcji i nic więcej.

Usługi płatnicze i finansowe

Jeśli później połączysz usługę płatniczą lub finansową, w zależności od dostawcy i udzielonych uprawnień mogą być przetwarzane na przykład te informacje:

• Customer and subscription identifiers of the payment provider
• Status of payment and term
• References to invoices and receipts

Konkretny zakres zależy od dostawcy i połączenia.

🤖 AI i automatyczne przetwarzanie

Evylla może stosować procedury automatyczne i w razie potrzeby wspierane przez AI, aby rozpoznawać i porządkować informacje w Twoich danych.

Na przykład potwierdzenie zakupu może zostać rozpoznane automatycznie:

« Zamówienie u sprzedawcy X – 14.09.2026 – 79,99 € – produkt Y »

Automatyczne przetwarzanie służy przygotowaniu informacji do funkcji Evylli, o które prosisz.

Automatyczna analiza nie oznacza, że zapada prawnie istotna zautomatyzowana decyzja o Tobie.

Jeśli Evylla wprowadzi funkcje ze zautomatyzowanymi decyzjami lub profilowaniem w rozumieniu art. 22 RODO, wymagane informacje zostaną podane osobno.

🧠 Twoje dane nie służą innym celom

Dane, które podajesz, są co do zasady przetwarzane w celach, dla których korzystasz z Evylli.

Dane zakupów i konta nie powinny być używane do dowolnych innych celów.

Użycie do dodatkowych celów, na przykład pewnych analiz, marketingu lub trenowania, następuje tylko wtedy, gdy istnieje podstawa prawna i spełnione są wymogi ochrony danych.

🚫 Brak sprzedaży Twoich danych osobowych

Evylla nie sprzedaje danych osobowych użytkowników.

Przekazanie może być jednak konieczne, gdy usługodawcy prowadzą Evyllę albo gdy wymaga tego obowiązek prawny.

Tacy usługodawcy otrzymują tylko dostęp potrzebny do ich zadania.

Evylla może obsługiwać różne usługi zewnętrzne.

Może to obejmować na przykład:

• Email accounts via IMAP (active)
• Sign-in via OAuth without an app password (in preparation)
• PayPal receipts (in preparation)
• Bank and card transactions (in preparation)

Przy łączeniu usługi widzisz, jakie uprawnienia są potrzebne.

Rozłączenie zatrzymuje dalsze pobieranie; zapisane zakupy zostają. Usunięcie konta e-mail kasuje połączenie, wiadomości i powiązane zakupy.

Możesz też usunąć tylko zaimportowane dane połączenia; samo połączenie wtedy zostaje.

🗑️ Usuwanie Twoich danych

Na koncie w sekcji Prywatność i bezpieczeństwo wybierasz dokładnie, co jest usuwane.

Przy usuwaniu obowiązki przechowywania albo niezbędne kopie zapasowe mogą sprawić, że część danych nie znika od razu ze wszystkich systemów.

Takie dane są usuwane lub anonimizowane po upływie terminów przechowywania albo kopii, chyba że inna podstawa prawna nakazuje dalsze przechowywanie.

Konkretne terminy usuwania:

• Account data: until the account is deleted
• Order and mail data: until you delete it or remove the account
• Server logs: as a rule up to 14 days
• Administrative SQL backups: a maximum of 20 versions, older ones are pruned automatically – with regular backups typically up to about 90 days
• Invoices and payment records: as long as statutory retention obligations apply

📦 Eksport danych

Co do zasady masz prawo otrzymać swoje dane osobowe w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego, jeśli spełnione są warunki przenoszenia.

Evylla może udostępnić w tym celu funkcję eksportu.

Prawo do przenoszenia danych reguluje art. 20 RODO.

W zależności od przesłanek ustawowych przysługują Ci w szczególności te prawa:

Dostęp

Możesz żądać informacji, jakie dane osobowe o Tobie przetwarzamy.

Sprostowanie

Możesz żądać sprostowania nieprawidłowych danych osobowych.

Usunięcie

Możesz, gdy spełnione są przesłanki ustawowe, żądać usunięcia swoich danych osobowych.

Ograniczenie przetwarzania

Możesz w określonych warunkach żądać ograniczenia przetwarzania swoich danych.

Sprzeciw

Możesz, gdy spełnione są przesłanki ustawowe, wnieść sprzeciw wobec przetwarzania.

Przenoszenie

Możesz, gdy spełnione są przesłanki ustawowe, otrzymać podane przez siebie dane osobowe w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego.

Wycofanie zgody

Jeśli przetwarzanie opiera się na Twojej zgodzie, możesz ją w każdej chwili wycofać ze skutkiem na przyszłość. Zgodność z prawem przetwarzania do chwili wycofania pozostaje nienaruszona.

⚖️ Na jakiej podstawie Evylla przetwarza dane

Konkretna podstawa prawna zależy od danej operacji przetwarzania.

W zależności od funkcji mogą mieć znaczenie w szczególności te podstawy:

Art. 6 ust. 1 lit. a RODO
Zgoda.

Art. 6 ust. 1 lit. b RODO
Przetwarzanie niezbędne do wykonania umowy lub do działań przed jej zawarciem.

Art. 6 ust. 1 lit. c RODO
Przetwarzanie w celu wypełnienia obowiązku prawnego.

Art. 6 ust. 1 lit. f RODO
Przetwarzanie na podstawie prawnie uzasadnionego interesu, jeśli spełnione są warunki ustawowe.

Która podstawa dotyczy której operacji, wyjaśnia pełna polityka prywatności.

🏢 Administrator

Administratorem danych osobowych jest:

URBAN
Friedensplatz 13
SAN-39164 Seehausen Börde
Deutschland

Reprezentowany przez: Udo Urban

E-mail

…

🛡️ Inspektor ochrony danych

Inspektor ochrony danych nie jest obecnie wyznaczony, ponieważ nie zachodzą ustawowe przesłanki.

🔧 Podmioty przetwarzające i usługodawcy techniczni

Do działania Evylli mogą być wykorzystywani usługodawcy techniczni.

Może to obejmować w szczególności:

• Hosting and infrastructure providers for servers, database and backups
• Stripe as payment service provider for passes and subscriptions
• Mail delivery service for system emails such as confirmations and password links

Gdy ci dostawcy przetwarzają dane osobowe na nasze zlecenie, dzieje się to na podstawie wymaganych umów o ochronie danych.

Aktualny przegląd usługodawców i przetwarzania jest w pełnej polityce prywatności.

🌍 Gdzie przetwarzane są Twoje dane

Przetwarzanie może odbywać się w Unii Europejskiej albo w Europejskim Obszarze Gospodarczym.

Jeśli usługodawcy przetwarzają dane poza UE lub EOG, przekazanie następuje tylko z zachowaniem wymogów ochrony danych.

Aktualne miejsca przechowywania i przetwarzania:
Aplikacja, baza danych i kopie zapasowe działają w Niemczech albo w Unii Europejskiej.

Przekazania do państw trzecich:
Stripe (USA) może przetwarzać dane płatnicze poza UE i opiera się na odpowiednich zabezpieczeniach, w szczególności standardowych klauzulach umownych. Szczegóły: https://stripe.com/privacy

💳 Dane płatnicze

Płatności za płatne taryfy Evylli mogą być obsługiwane przez zewnętrznych dostawców płatności.

Przetwarzanie danych płatniczych odbywa się wtedy według warunków i zasad prywatności danego dostawcy.

Evylla nie zapisuje pełnych numerów kart, chyba że funkcja tego wymaga, a płatność techniczna idzie przez wyspecjalizowanego dostawcę.

Wykorzystywani dostawcy płatności:
Stripe Payments Europe, Ltd. i spółki powiązane grupy; szczegóły: stripe.com/privacy.

🔒 Środki techniczne i organizacyjne

Evylla stosuje odpowiednie środki techniczne i organizacyjne, aby chronić dane osobowe przed utratą, zniszczeniem, zmianą i nieuprawnionym dostępem.

Może to obejmować w szczególności:

• Encryption in transit (TLS) and for sensitive stored values (AES-256-GCM)
• Role and permission model with server-side checks on every access
• Protection against CSRF, brute-force attempts and session hijacking
• Separation of development and production environments
• Regular backups with a limited number of versions
• Updates of the components and dependencies in use
• Logging of security-relevant events with short retention

Środki są sprawdzane i rozwijane zgodnie ze stanem techniki i ryzykiem.

Art. 32 RODO wymaga odpowiednich środków technicznych i organizacyjnych z uwzględnieniem m.in. stanu techniki, kosztów, charakteru i zakresu przetwarzania oraz ryzyka dla praw i wolności osób.

🚨 Incydenty bezpieczeństwa

Mimo szerokich środków bezpieczeństwa żadna usługa internetowa nie gwarantuje systemu całkowicie wolnego od ryzyka.

W razie naruszenia ochrony danych osobowych Evylla niezwłocznie ocenia zdarzenie i podejmuje wymagane działania.

Gdy wymaga tego prawo, właściwe organy nadzorcze i osoby, których dane dotyczą, są informowane zgodnie z przepisami.