InvestAnalyzer

Prywatność i dane w urządzeniu

Krótko: nie ma kont, nie ma cookies, nie ma śledzenia. Dane portfela zostają w pamięci Twojej przeglądarki. Serwer widzi tylko zapytania o notowania i kursy oraz zwykłe dane techniczne połączenia.

Wersja z 7 października 2026 r. Dokument obejmuje aplikację online investanalyzer-app.dismonder.workers.dev i stronę projektu investanalyzer-strona.dismonder.workers.dev.

1. Kto odpowiada za serwisy

Serwisy prowadzi autor projektu InvestAnalyzer, publikujący pod nazwą Dismonder (github.com/Dismonder). W rozumieniu RODO jest on administratorem danych, które powstają przy korzystaniu z serwisów (zob. część 4). Kontakt w sprawach prywatności i bezpieczeństwa: przez zgłoszenie w repozytorium GitHub (zakładka Security → Report a vulnerability) albo kanał podany w pliku /.well-known/security.txt.

Wersja na Windows (aplikacja komputerowa) działa w całości na Twoim komputerze i nie łączy się z tymi serwerami; notowania i kursy pobiera bezpośrednio od dostawców wymienionych w części 5.

2. Cookies i inne identyfikatory

Serwisy nie używają plików cookie. Ani własnych, ani zewnętrznych. Nie ma logowania, rejestracji, analityki, reklam, pikseli śledzących ani osadzonych zasobów z obcych domen (czcionek, skryptów, widżetów). Dlatego nie wyświetlamy baneru o zgodzie na cookies — nie ma na co wyrażać zgody.

Jedyne, co serwisy zapisują na Twoim urządzeniu, to dane samej aplikacji opisane w części 3. Taki zapis jest niezbędny do świadczenia usługi, o którą prosisz (prowadzenie portfela w przeglądarce), i mieści się w wyjątku z art. 399 ust. 3 ustawy — Prawo komunikacji elektronicznej (odpowiednik art. 5 ust. 3 dyrektywy 2002/58/WE), więc nie wymaga odrębnej zgody. Masz nad nim pełną kontrolę: usuwasz go w aplikacji albo w ustawieniach przeglądarki.

Platforma Cloudflare, na której działa wersja online, może wyjątkowo ustawić własne cookie techniczne (np. cf_clearance), gdy uzna, że ruch wymaga sprawdzenia, czy nie pochodzi z automatu. Takie cookie jest niezbędne do ochrony serwisu przed nadużyciami, nie zawiera danych o Tobie i nie służy śledzeniu; w zwykłym użyciu nie pojawia się wcale.

3. Dane w pamięci Twojego urządzenia

Aplikacja online zapisuje dane wyłącznie w pamięci przeglądarki (localStorage, sessionStorage, IndexedDB i pamięć podręczna service workera Cache Storage). Nic z tego nie jest wysyłane na serwer ani do autora. Zapisywane są:

Co	Po co
Transakcje, rachunki maklerskie, pozycje, alerty cenowe, ulubione instrumenty	To jest treść Twojego portfela — bez tego aplikacja nie ma czego pokazać.
Ustawienia widoków: motyw, filtry, zakresy wykresów, odstęp odświeżania notowań, ukryte podpowiedzi	Żeby aplikacja wyglądała tak, jak ją zostawiłeś.
Dane podatnika, jeśli je wpiszesz (imię, nazwisko, PESEL, urząd skarbowy, straty z lat ubiegłych)	Tylko do wypełnienia rozliczenia PIT-38. W wersji online rozliczenie nie jest liczone; pola służą wersji Windows.
Znacznik trybu hostowanego (po sprawdzeniu `/api/health`)	Żeby ukryć panele, które wymagają lokalnego serwera.
Pliki aplikacji (skrypty, style, ikony) w pamięci service workera	Start bez sieci i instalacja na ekranie głównym telefonu (PWA).

Dane są zapisane w postaci jawnej w profilu przeglądarki. Każdy, kto ma dostęp do Twojego urządzenia i profilu przeglądarki, może je odczytać. Używaj blokady ekranu, nie wpisuj danych podatnika na współdzielonych komputerach, a na cudzym urządzeniu korzystaj z trybu prywatnego i po pracy usuń dane. Blokada kodem TOTP (Ustawienia → Bezpieczeństwo) chroni wyłącznie ekran aplikacji w tej przeglądarce — nie szyfruje zapisanych danych.

Jak usunąć dane

W aplikacji: Ustawienia → Dane (kopie, kwarantanna, czyszczenie) albo usuwanie pojedynczych transakcji i rachunków.
W przeglądarce: usuń dane witryny investanalyzer-app.dismonder.workers.dev (Chrome: kłódka w pasku adresu → „Dane witryny”; Safari: Ustawienia → Safari → Zaawansowane → Dane witryn).
Odinstalowanie aplikacji z ekranu głównego zwykle usuwa też jej pamięć, ale w niektórych przeglądarkach dane witryny zostają — sprawdź ustawienia przeglądarki.

Strona projektu zapisuje w localStorage wyłącznie wybrany motyw (jasny/ciemny) i nic więcej.

4. Co trafia na serwer

Aplikacja online jest hostowana na platformie Cloudflare Workers. Serwer robi dwie rzeczy: podaje pliki aplikacji i odpowiada na zapytania o notowania, historię kursów, kursy NBP i wyszukiwanie instrumentów. Do serwera trafiają:

Treść zapytań: symbole instrumentów (np. CDR, NBIS.US), zakres i interwał wykresu, kod waluty i data kursu, wpisany fragment nazwy w wyszukiwarce. Nie trafiają: liczby posiadanych walorów, ceny zakupu, nazwy rachunków, dane podatnika ani żadne inne dane z Twojego portfela.
Dane techniczne każdego połączenia HTTP: adres IP, data i godzina, żądany adres, nagłówki przeglądarki (m.in. identyfikator przeglądarki i systemu, język).

Dane techniczne przetwarza w imieniu administratora Cloudflare, Inc. (101 Townsend St, San Francisco, USA; w UE: Cloudflare Portugal / EU) jako podmiot przetwarzający — na podstawie standardowych klauzul umownych i programu Data Privacy Framework. Logi serwera (Workers Logs) obejmują próbkę ok. jednej czwartej połączeń, są przechowywane przez 3 dni i służą wyłącznie do diagnozowania awarii i ochrony przed nadużyciami (m.in. limit zapytań na adres IP). Nikt nie łączy ich z Twoją tożsamością ani nie buduje na nich profilu. Zasady Cloudflare: cloudflare.com/privacypolicy.

Podstawa prawna: prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO) polegający na świadczeniu działającej i bezpiecznej usługi. Adres IP jest daną osobową w rozumieniu RODO, dlatego w ogóle o tym piszemy — poza nim administrator nie przetwarza żadnych danych osobowych użytkowników serwisów.

5. Dostawcy notowań i kursów

Notowania pochodzą z Yahoo Finance (query1.finance.yahoo.com), kursy walut z API Narodowego Banku Polskiego (api.nbp.pl). W wersji online pyta o nie serwer, nie Twoja przeglądarka: dostawcy widzą adres serwera Cloudflare i symbol instrumentu, nie widzą Twojego adresu IP. Odpowiedzi są przez krótki czas trzymane w pamięci podręcznej serwera (od 10 sekund dla notowań do godziny dla kursów NBP), żeby nie odpytywać dostawców o to samo.

W wersji Windows aplikacja pyta dostawców bezpośrednio z Twojego komputera, więc tam dostawcy widzą Twój adres IP — tak samo, jak gdybyś otworzył ich strony w przeglądarce.

6. Twoje prawa

Masz prawo dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia oraz sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie (art. 15–21 RODO). Ponieważ dane portfela są wyłącznie na Twoim urządzeniu, realizujesz te prawa samodzielnie (część 3: usuwanie, a także eksport kopii w Ustawieniach → Dane). W sprawie logów technicznych napisz do administratora (część 1); pamiętaj, że są one kasowane po 3 dniach i nie da się ich przypisać do osoby bez dodatkowych informacji. Skargę możesz złożyć do Prezesa Urzędu Ochrony Danych Osobowych (uodo.gov.pl).

7. Bezpieczeństwo

Połączenie wyłącznie przez HTTPS (HSTS); polityka CSP dopuszcza tylko własne skrypty i połączenia, strona nie daje się osadzić w ramce.
Serwer nie przechowuje żadnej bazy danych ani kont — nie ma czego wykraść.
Zapytania o notowania są sprawdzane i limitowane na adres IP; serwer nie przyjmuje danych od użytkownika poza parametrami zapytań.
Kod aplikacji jest dostępny do wglądu w repozytorium github.com/Dismonder/InvestAnalyzer-PIT38.
Zgłoszenia luk: /.well-known/security.txt.

8. Zmiany tego dokumentu

Zmiany publikujemy pod tym samym adresem z nową datą w nagłówku. Istotne zmiany (np. dodanie nowego dostawcy danych) zapisujemy też w dzienniku zmian projektu.

Program nie stanowi porady podatkowej ani inwestycyjnej. Wynik rozliczenia wymaga weryfikacji z dokumentami i obowiązującymi przepisami; odpowiedzialność za zeznanie ponosi podatnik.