Jak długo przechowujemy dane
Czas przechowywania każdego rodzaju rekordu, co dzieje się przy usunięciu i co istnieje potem jeszcze w kopiach zapasowych.
Ostatnia aktualizacja: 30 października 2026
Czasy przechowywania poniżej pochodzą z indeksów bazy danych i stałych w kodzie w dniu podanym powyżej. Gdzie czasu nie steruje aplikacja, tabela to podaje.
Państwa treści
| Dane | Przechowywanie |
|---|---|
| Rachunki, transakcje, inwestycje, nieruchomości, pojazdy, kosztowności, budżety, cele, subskrypcje, pożyczki, odczyty mediów | Do czasu usunięcia rekordu albo konta |
| Wgrane pliki (dokumenty, zdjęcia, paragony) | Do czasu usunięcia ich albo konta; plik jest fizycznie usuwany z magazynu, nie tylko odłączany |
| Załączniki wyciągów wysłanych e-mailem | Nie są zapisywane; odczytywane w pamięci |
| Transakcje czekające na zatwierdzenie (Import e-mailem) | Po imporcie transakcje znikają z kolejki od razu. Niezatwierdzone, odrzucone i nieprzetworzone partie są usuwane po 14 dniach, przy najbliższym otwarciu kolejki. Zapis o zaimportowanej wiadomości (nadawca, temat, nazwa załącznika, wynik importu, ewentualnie saldo końcowe wyciągu) zostaje do usunięcia konta |
| Rozmowy z AI w aplikacji | Do czasu ich usunięcia |
| Zapisane weryfikacje nieruchomości | Do czasu ich usunięcia |
| Weryfikacje uruchomione bez konta | Nie są zapisywane do żadnego konta; wynik trzymany jest 7 dni w pamięci podręcznej wg skrótu treści ogłoszenia |
| Powiadomienia | 30 dni |
| Token rejestracyjny telefonu do powiadomień (aplikacja na Androida i iPhone’a) | Do wylogowania w aplikacji, wyłączenia powiadomień w telefonie lub usunięcia konta; po odinstalowaniu aplikacji usuwamy go, gdy tylko Firebase (Android) lub Apple (iPhone) zgłosi, że token jest już nieważny; token nieodnowiony przez 270 dni jest usuwany automatycznie |
| Zapisane plany z kalkulatorów | Do czasu ich usunięcia |
Rekordy bezpieczeństwa i dostępu
| Dane | Przechowywanie |
|---|---|
| Sesja logowania (ciasteczko) | 7 dni od ostatniego użycia; „Wyloguj ze wszystkich urządzeń” kończy ją od razu (pozostałe instancje serwera najpóźniej w ciągu 30 sekund) |
| Token dostępowy OAuth (MCP, mobil) | 1 godzina |
| Token odświeżający OAuth | 60 dni, wymieniany przy każdym odświeżeniu; po usunięciu konektora albo po „Wyloguj ze wszystkich urządzeń” tokeny są unieważniane natychmiast |
| Kod autoryzacyjny OAuth | 10 minut, jednorazowy |
| Tokeny dodatku do Google Sheets | 1 godzina dostępowy, 30 dni odświeżający |
| Log audytu MCP (tylko zapisy) | 365 dni |
| Link weryfikacyjny e-mail | 24 godziny; w bazie jest tylko skrót, a link działa jeden raz |
| Link do zmiany hasła | 60 minut; w bazie jest tylko skrót, a link działa jeden raz |
| Próby logowania hasłem (e-mail, czas, powodzenie lub niepowodzenie) | Do blokady konta liczone są nieudane próby w oknie 15 minut; blokada trwa 15 minut. Zapis próby jest automatycznie usuwany po 365 dniach |
| Liczniki limitów żądań | 24 godziny |
| Sekret uwierzytelniania dwuskładnikowego i kody zapasowe | Do wyłączenia uwierzytelniania dwuskładnikowego albo usunięcia konta |
| Zapis dla jednego logowania, bez kodu (że w tym logowaniu włączyli albo wyłączyli Państwo uwierzytelnianie dwuskładnikowe lub potwierdzili kod przy wejściu do panelu administracyjnego) | 7 dni |
| Znane urządzenia na potrzeby e-maila o nowym logowaniu (tylko skrót rodzaju urządzenia, przeglądarki i systemu, bez adresu IP) | 400 dni od ostatniego logowania z danego urządzenia; przy usunięciu konta od razu |
| Podpisany link do załączonego pliku | Najwyżej 15 minut |
| Rejestr dostępów do panelu administracyjnego (kto, kiedy, ścieżka i ID otwartego rekordu, bez treści) | 365 dni, potem usuwany automatycznie; usunięcie konta go nie usuwa |
Rekordy operacyjne
| Dane | Przechowywanie |
|---|---|
| Kopia zapasowa bazy | Zaszyfrowana AES-256, na własnym komputerze operatora w Czechach, zaplanowana co noc (od 22.10.2026 nocne uruchomienie się nie udaje i naprawiamy to). Kopie starsze niż 30 dni są usuwane; 7 ostatnich kopii zostaje zawsze, nawet jeśli są starsze. Druga zaszyfrowana kopia pozostaje 30 dni jako artefakt GitHub Actions, tylko gdy to zadanie tam działa (od 21.10.2026 nie działa) |
| Kopia wiadomości z wyciągiem (Import e-mailem) | 30 dni u Resend; Resend nie umożliwia wcześniejszego usunięcia |
| Dziennik wysłanych e-maili (rodzaj e-maila, czas, stan doręczenia, skrócony adres, temat bez kwot; bez treści wiadomości) | 400 dni, potem usuwany automatycznie; przy usunięciu konta od razu |
| Adres, na który nie da się doręczyć poczty, lub skarga na e-mail (skrót adresu i powód) | Do zmiany adresu e-mail lub usunięcia konta |
| Dziennik zgód (import automatyczny, korzystanie z kredytu AI, AI w aplikacji mobilnej, porady e-mailem, rezygnacja linkiem z e-maila) | Przez cały czas istnienia konta |
| Zapis o poradach e-mailem (które wysłano, czy Państwo kliknęli) | Przez cały czas istnienia konta |
| Anonimowa statystyka wyciągów, których import nie rozpoznał (tylko nazwy kolumn i separator, bez powiązania z kontem) | 2 lata od ostatniego wystąpienia |
| Zanonimizowane próbki wyciągów przesłane dobrowolnie z kreatora mapowania (bez powiązania z kontem) | 1 rok |
| Logi żądań i wyjście funkcji (Vercel) | Zgodnie z planem Vercel; aplikacja tym nie steruje |
| Logi błędów ze strony WWW i z aplikacji mobilnych na Androida i iPhone’a (treść i zapis techniczny błędu, strona lub ekran, wersja aplikacji i systemu, identyfikator konta jako pseudonim, adres IP, User-Agent) | 12 miesięcy, potem są automatycznie usuwane. Wpisy powiązane z Państwa kontem znikają razem z kontem. |
| Anonimowe liczniki dotknięć na ekranie Więcej w aplikacji mobilnej na Androida i iPhone’a (dzienne sumy na pozycję, bez powiązania z kontem) | Bez ograniczenia czasowego; nie zawierają danych osobowych |
| Miesięczny budżet na AI | Odnawia się zawsze po miesiącu od rejestracji lub płatności; doładowany i dożywotni kredyt pozostaje, dopóki go Państwo nie wykorzystają lub nie usuną konta |
| Rekordy płatności (faktury, płatności) | Prowadzi je Stripe; jako dokumenty księgowe i podatkowe są przechowywane przez okres wymagany przez czeskie przepisy o rachunkowości i podatkach. Po usunięciu konta nie pozostają w bazie danych Assetli. |
Usunięcie konta
„Ustawienia → Usuń konto” (na stronie WWW albo w aplikacji mobilnej na Androida i iPhone’a przez Więcej → Ustawienia) usuwa w jednej operacji: rekord użytkownika, każdy profil i każdy powiązany z Państwem rekord we wszystkich kolekcjach, łącznie z rekordami należącymi do grupy wydatków wspólnych albo kontaktu Family Legacy, zapisy prób logowania powiązane z Państwa adresem e-mail oraz każdy plik w magazynie obiektowym. Wymagana jest fraza potwierdzająca.
Aktywna subskrypcja w Stripe zostaje przy usunięciu anulowana, a Państwa rekord klienta w Stripe usunięty. W grupach wydatków wspólnych należących do kogoś innego Państwa wpis członka jest anonimizowany: imię, e-mail, dane bankowe i powiązanie z kontem znikają, kwoty pozostają, aby rozliczenia pozostałych członków dalej się zgadzały. Z cudzych planów Family Legacy Państwa kontakt zostaje usunięty.
Dwie rzeczy przetrwają to usunięcie na ograniczony czas i są poza naszą bazą produkcyjną:
- Kopie zapasowe. Kopia wykonana przed usunięciem zawiera Państwa dane do czasu jej usunięcia — zwykle najdłużej 30 dni, ale 7 ostatnich kopii zostaje zawsze, nawet jeśli są starsze. Kopie są zaszyfrowane i służą wyłącznie do odtworzenia całej bazy po awarii.
- Rekordy płatności (faktury, płatności) u Stripe, przechowywane jako dokumenty księgowe i podatkowe przez okres wymagany przez czeskie przepisy o rachunkowości i podatkach. W bazie danych Assetli nie pozostają.
Wysłanych już e-maili nie da się wycofać z Resend ani ze skrzynki odbiorczej.
Podobnie u Resend zostaje kopia wiadomości wysłanych do Importu e-mailem, najdłużej 30 dni od odbioru.
Ponadto przechowujemy krótki zapis o usunięciu: wewnętrzny identyfikator usuniętego konta, adres e-mail w postaci zamaskowanej, skrót (hash SHA-256) adresu e-mail, czas i dane techniczne o przebiegu usunięcia (np. liczbę usuniętych rekordów). Potwierdza, że żądanie zostało zrealizowane, i pozwala usunąć konto ponownie, gdyby bazę danych trzeba było przywrócić z kopii zapasowej. Nie zawiera danych finansowych. Jest przechowywany przez 3 lata od usunięcia, potem zostaje automatycznie usunięty.
Jeśli operator otworzył Państwa konto w panelu administracyjnym, pozostaje też zapis o tym dostępie (kto, kiedy i ID konta, bez treści) — przez 365 dni od dostępu, potem jest usuwany automatycznie. Usunięcie konta celowo go nie kasuje, aby nie dało się zatrzeć śladu wglądu.
Eksport danych
Ustawienia → Eksport danych tworzy plik ze wszystkimi rekordami należącymi do Państwa, we wszystkich kolekcjach, bez sekretów uwierzytelniania i logów tymczasowych. Eksportować można dowolnie często.