Polityka prywatności

Wersja 0.2. Dotyczy aplikacji Totalify, stron w domenie totalify.pl oraz Programu Poleceń.

1. Administrator

Administratorem danych osobowych jest PTAKSERWIS Spółka z ograniczoną odpowiedzialnością z siedzibą w Rzeczypospolitej Polskiej („Administrator"). Kontakt we wszystkich sprawach dotyczących danych osobowych: kontakt@traxy.pl.

2. Zakres dokumentu

Niniejsza Polityka opisuje przetwarzanie danych w związku z: (a) aplikacją mobilną Totalify; (b) stronami internetowymi w domenie totalify.pl, w tym panelem Programu Poleceń (affiliate.totalify.pl); (c) uczestnictwem w Programie Poleceń. Płatności realizuje Apple w ramach App Store — w tym zakresie Apple działa jako odrębny administrator zgodnie z własną polityką prywatności; Administrator nie otrzymuje danych kart płatniczych.

3. Kategorie danych i cele przetwarzania

(a) Dane Konta: adres e-mail, identyfikator użytkownika, ustawienia — w celu rejestracji, logowania i obsługi Konta. (b) Dane Rachunków Transakcyjnych: numer rachunku (login), nazwa serwera brokera, nazwa własna rachunku oraz hasło inwestorskie (wyłącznie do odczytu) — w celu utrzymania odczytowego połączenia i zasilania dziennika. (c) Dane o transakcjach: historia i parametry transakcji, salda, pozycje, statystyki — w celu prezentacji dziennika i statystyk Użytkownikowi. (d) Dane subskrypcji: identyfikatory transakcji App Store, rodzaj planu, status — w celu aktywacji usług i obsługi cyklu subskrypcji. (e) Dane Programu Poleceń: kod partnerski, powiązania poleceń, naliczenia i salda — w celu rozliczenia nagród. (f) Dane rozliczeniowe do wypłat: imię i nazwisko, adres, PESEL albo NIP i dane firmy, numer rachunku bankowego — w celu realizacji wypłat oraz wykonania obowiązków podatkowych i księgowych. (g) Dane weryfikacji tożsamości (KYC): przetwarzane przez zewnętrznego, wyspecjalizowanego dostawcę; Administrator otrzymuje wyłącznie potwierdzony wynik weryfikacji. (h) Tokeny powiadomień push i aktywności ekranowych — w celu dostarczania powiadomień. (i) Logi techniczne: adres IP, znaczniki czasu, identyfikatory urządzeń — w celu zapewnienia bezpieczeństwa i diagnostyki.

4. Podstawy prawne

Przetwarzanie odbywa się na podstawie: (a) art. 6 ust. 1 lit. b RODO — niezbędność do wykonania umowy (obsługa Konta, usług, Programu Poleceń); (b) art. 6 ust. 1 lit. c RODO — obowiązki prawne, w szczególności podatkowe i rachunkowe (rozliczenia wypłat, informacje PIT-11, faktury); (c) art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes Administratora: zapewnienie bezpieczeństwa, zapobieganie nadużyciom, dochodzenie i obrona roszczeń, komunikacja operacyjna.

5. Hasła inwestorskie i dane rachunków

Hasło inwestorskie (read-only) jest szyfrowane kryptografią asymetryczną już na urządzeniu Użytkownika; klucz deszyfrujący znajduje się wyłącznie w wydzielonej infrastrukturze przetwarzającej Administratora. Hasło umożliwia wyłącznie odczyt danych rachunku — nie pozwala na składanie ani modyfikowanie zleceń. Administrator nie przechowuje haseł głównych do rachunków i nigdy o nie nie prosi.

6. Odbiorcy danych

Dane mogą być powierzane lub udostępniane wyłącznie w niezbędnym zakresie: (a) Google Ireland Ltd. — usługi Firebase (uwierzytelnianie, baza danych, powiadomienia); (b) dostawcom infrastruktury serwerowej zlokalizowanej w Unii Europejskiej; (c) zewnętrznemu dostawcy weryfikacji tożsamości — w zakresie procesu KYC; (d) biuru rachunkowemu Administratora — w zakresie rozliczeń; (e) Apple Distribution International Ltd. — jako odrębnemu administratorowi w zakresie dystrybucji i płatności; (f) organom publicznym, gdy obowiązek udostępnienia wynika z przepisów prawa.

7. Przekazywanie poza EOG

Dane przetwarzane w usługach Google (Firebase) mogą być przekazywane do państw trzecich, w tym USA. Transfery odbywają się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU–US Data Privacy Framework) albo standardowych klauzul umownych, wraz z dodatkowymi środkami ochrony stosowanymi przez dostawcę.

8. Okresy przechowywania

(a) Dane Konta — do usunięcia Konta; (b) dane Rachunków i transakcji — przez okres aktywnej usługi, a po wygaśnięciu subskrypcji przez 30-dniowy okres karencji, po którym są trwale usuwane; Użytkownik może usunąć je wcześniej w Aplikacji; (c) dane rozliczeniowe wypłat i dokumenty księgowe — przez okres wymagany przepisami podatkowymi i rachunkowymi (co do zasady 5 lat od końca roku podatkowego); (d) dane Programu Poleceń — przez czas uczestnictwa oraz okres przedawnienia roszczeń; (e) logi techniczne — do 90 dni, chyba że stanowią dowód nadużycia.

9. Prawa osób, których dane dotyczą

Użytkownikowi przysługują prawa: dostępu do danych i uzyskania ich kopii, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych oraz sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie. Żądania realizowane są po zgłoszeniu na kontakt@traxy.pl, bez zbędnej zwłoki, nie później niż w terminie miesiąca (z możliwością przedłużenia w sprawach złożonych, o czym Użytkownik zostanie poinformowany). Użytkownikowi przysługuje skarga do Prezesa Urzędu Ochrony Danych Osobowych.

10. Dobrowolność podania danych

Podanie danych jest dobrowolne, lecz niezbędne odpowiednio do: założenia Konta, podłączenia Rachunków, uczestnictwa w Programie Poleceń albo realizacji wypłat. Niepodanie danych uniemożliwia skorzystanie z danej funkcji.

11. Zautomatyzowane decyzje

Administrator nie podejmuje wobec Użytkowników decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, wywołujących skutki prawne lub w podobny sposób istotnie wpływających na ich sytuację. Automatyczne mechanizmy techniczne (np. naliczenia w Programie, wykrywanie nadużyć) podlegają weryfikacji przez człowieka na żądanie.

12. Pliki cookies i pamięć lokalna

Strony w domenie totalify.pl nie wykorzystują plików cookies do celów marketingowych ani analitycznych. Wykorzystywana jest pamięć lokalna przeglądarki (localStorage) wyłącznie do zapamiętania preferencji językowych oraz utrzymania sesji zalogowanego partnera — są to mechanizmy niezbędne do działania serwisu.

13. Bezpieczeństwo

Administrator stosuje środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności: szyfrowanie transmisji (TLS), szyfrowanie asymetryczne haseł inwestorskich, mechanizmy weryfikacji integralności aplikacji, segmentację infrastruktury, minimalizację zakresu danych, kontrolę dostępu oraz monitorowanie nadużyć.

14. Małoletni

Usługi są przeznaczone wyłącznie dla osób pełnoletnich. Administrator nie kieruje usług do osób poniżej 18 roku życia i nie przetwarza świadomie ich danych.

15. Zmiany Polityki

Polityka może być aktualizowana, w szczególności w razie zmian przepisów, zakresu usług lub dostawców. O istotnych zmianach Administrator informuje w Aplikacji lub na stronie z odpowiednim wyprzedzeniem. Aktualna wersja jest zawsze dostępna pod adresem totalify.pl/prywatnosc.

Privacy Policy

Version 0.2. Applies to the Totalify app, totalify.pl websites and the Referral Program. Polish version is binding.

1. Controller

The controller of personal data is PTAKSERWIS sp. z o.o., seated in Poland (the "Controller"). Contact for all data protection matters: kontakt@traxy.pl.

2. Scope

This Policy describes processing related to: (a) the Totalify mobile app; (b) websites within the totalify.pl domain, including the Referral Program panel (affiliate.totalify.pl); (c) participation in the Referral Program. Payments are processed by Apple within the App Store — in that scope Apple acts as an independent controller under its own privacy policy; the Controller receives no payment-card data.

3. Data categories and purposes

(a) Account data: e-mail, user identifier, settings — registration, sign-in, Account operation. (b) Trading Account data: account number (login), broker server name, custom account name and the investor (read-only) password — maintaining the read-only connection and feeding the journal. (c) Trade data: history and parameters of trades, balances, positions, statistics — presenting the journal and statistics to the user. (d) Subscription data: App Store transaction identifiers, plan type, status — service activation and subscription lifecycle. (e) Referral Program data: partner code, referral links, accruals and balances — reward settlement. (f) Payout data: name, address, PESEL or VAT number and company data, bank account number — payouts and tax/accounting obligations. (g) Identity verification (KYC): processed by a specialised external provider; the Controller receives only the confirmed result. (h) Push and live-activity tokens — delivering notifications. (i) Technical logs: IP address, timestamps, device identifiers — security and diagnostics.

4. Legal bases

Processing is based on: (a) Art. 6(1)(b) GDPR — necessity for contract performance (Account, services, Referral Program); (b) Art. 6(1)(c) GDPR — legal obligations, notably tax and accounting (payout settlement, PIT-11 information, invoices); (c) Art. 6(1)(f) GDPR — the Controller's legitimate interest: security, abuse prevention, establishing and defending claims, operational communication.

5. Investor passwords and account data

The investor (read-only) password is encrypted with asymmetric cryptography already on the user's device; the decryption key resides solely in the Controller's segregated processing infrastructure. The password only allows reading account data — it does not allow placing or modifying orders. The Controller does not store master account passwords and never asks for them.

6. Recipients

Data may be entrusted or disclosed only as necessary to: (a) Google Ireland Ltd. — Firebase services (authentication, database, notifications); (b) providers of server infrastructure located in the EU; (c) the external identity-verification provider — for KYC; (d) the Controller's accounting office — for settlements; (e) Apple Distribution International Ltd. — as an independent controller for distribution and payments; (f) public authorities where disclosure is required by law.

7. Transfers outside the EEA

Data processed in Google services (Firebase) may be transferred to third countries, including the USA. Transfers rely on a European Commission adequacy decision (EU–US Data Privacy Framework) or standard contractual clauses, with supplementary safeguards applied by the provider.

8. Retention

(a) Account data — until Account deletion; (b) Trading Account and trade data — for the active service period and a 30-day grace period after subscription expiry, after which it is permanently deleted; the user may delete it earlier in the App; (c) payout settlement data and accounting documents — as required by tax and accounting law (in principle 5 years from the end of the tax year); (d) Referral Program data — for the participation period and the limitation period of claims; (e) technical logs — up to 90 days unless evidencing abuse.

9. Data subject rights

Users have the rights of access and copy, rectification, erasure, restriction, portability and objection to processing based on legitimate interest. Requests submitted to kontakt@traxy.pl are handled without undue delay, within one month at the latest (extendable in complex cases, with notice). Users may lodge a complaint with the President of the Polish DPA (UODO).

10. Voluntariness

Providing data is voluntary but necessary, respectively, to create an Account, connect Trading Accounts, participate in the Referral Program or receive payouts. Failure to provide data prevents use of the given feature.

11. Automated decisions

The Controller does not make decisions based solely on automated processing, including profiling, that produce legal effects or similarly significantly affect users. Automatic technical mechanisms (e.g. Program accruals, abuse detection) are subject to human review on request.

12. Cookies and local storage

Websites within totalify.pl use no marketing or analytics cookies. Browser local storage is used solely to remember language preferences and maintain a signed-in partner session — mechanisms necessary for the service to function.

13. Security

The Controller applies technical and organisational measures appropriate to the risk, notably: transport encryption (TLS), asymmetric encryption of investor passwords, app-integrity verification mechanisms, infrastructure segmentation, data minimisation, access control and abuse monitoring.

14. Minors

The services are intended for adults only. The Controller does not direct services to persons under 18 and does not knowingly process their data.

15. Changes

This Policy may be updated, in particular upon changes in law, service scope or providers. Material changes are announced in the App or on the website with appropriate notice. The current version is always available at totalify.pl/prywatnosc.