Политика конфиденциальности

Кто отвечает

Ответственный за описанную здесь обработку данных (контролёр в смысле GDPR) — Andrey Fedyukov, Mecumstraße 52, 40225 Düsseldorf, Германия.

С любым вопросом о своих данных пишите на [email protected]. Кроме того, вы можете подать жалобу в надзорный орган по защите данных той страны ЕС, где живёте.

Что мы храним

Данные аккаунта, если вы его создали: адрес электронной почты, идентификаторы способа входа (Apple или Google, если вы входите через них) и технические отметки времени ваших сессий.

Саму книгу: операции, счета, категории, регулярные операции, запланированные платежи, бюджеты, настройки валют и ваши заметки. Если книга общая — ещё и состав группы и её коды приглашения.

Если вы покупаете Topf Plus: сам факт покупки и срок её действия, анонимный идентификатор, который сервис покупок присваивает вашей установке приложения, и — если у вас есть аккаунт — связь между ними. Не вашу карту, Apple ID или аккаунт Google: их хранит магазин и ничего из этого нам не показывает.

Число голосовых вводов, если вы пользуетесь аккаунтом: сколько успешных вводов засчитано вашему аккаунту за каждый календарный месяц. Это нужно, чтобы применять действующее ограничение — месячный лимит в бесплатной версии, а с Plus — предел, защищающий от злоупотреблений. Хранятся календарный месяц, это число и время его последнего изменения; сказанная вами фраза и черновики, полученные из неё, не хранятся. В общей книге голосовые вводы участников без собственного Plus засчитываются аккаунту владельца группы.

Число сканов чеков, если вы пользуетесь аккаунтом: сколько чеков прочитано для вашего аккаунта за каждый календарный месяц. Это нужно, чтобы применять действующее ограничение. Как и у голосового ввода, хранятся календарный месяц, это число и время его последнего изменения; снимок чека и черновики, полученные из него, не хранятся. В общей книге сканы участников без собственного Plus засчитываются аккаунту владельца группы.

Это полный список того, что хранится с аккаунтом. В приложении нет ни рекламного идентификатора, ни отпечатка устройства, ни стороннего отслеживания; статистика использования, описанная ниже, с вашим аккаунтом не связана.

Если пользоваться без аккаунта

Topf можно пользоваться без аккаунта. Тогда книга хранится только на устройстве и не загружается на сервер. Голосовой ввод и сканирование чеков требуют сети и передают данные при использовании. Покупки Plus проходят через App Store или Google Play и сервис покупок. Приложение также отправляет анонимную статистику, которую можно выключить. Подробнее о каждом случае ниже.

Зачем мы обрабатываем данные и на каком основании

Чтобы предоставить продукт, которым вы решили пользоваться: хранить вашу книгу, синхронизировать её между устройствами и восстанавливать на новом. Правовое основание: исполнение договора (ст. 6(1)(b) GDPR).

Чтобы вы могли войти: отправка кода входа на ваш адрес электронной почты. Правовое основание: исполнение договора (ст. 6(1)(b) GDPR).

Чтобы знать, есть ли у вас Plus: проверка покупки через сервис покупок и хранение её текущего состояния на нашем сервере. Правовое основание: исполнение договора (ст. 6(1)(b) GDPR).

Чтобы соблюдать месячные ограничения голосовых вводов и сканов чеков: подсчёт тех и других по календарным месяцам, потому что бесплатная версия включает ограниченное их число. Правовое основание: исполнение договора (ст. 6(1)(b) GDPR).

Чтобы понимать, как приложением пользуются, и улучшать его: статистика использования. Правовое основание: законный интерес (ст. 6(1)(f) GDPR).

Чтобы сервис работал, а голосовым вводом и сканированием чеков не злоупотребляли. Правовое основание: законный интерес (ст. 6(1)(f) GDPR).

Где хранятся данные

Полная копия книги лежит на вашем устройстве, в локальной базе данных, и работает там без сети.

Если у вас есть аккаунт, те же данные хранятся в базе PostgreSQL, которую размещает Supabase во Франкфурте-на-Майне, Германия (AWS eu-central-1), и доходят до ваших устройств через сервис синхронизации PowerSync. Доступ разграничен для каждого пользователя защитой на уровне строк (row-level security): аккаунт читает свою книгу, а если книга общая — её.

Голосовой ввод

При голосовом вводе фразу обычно распознаёт служба распознавания речи на устройстве. На iPhone это служба Apple, на Android выбранная в системе служба, обычно Google. Она может работать на самом устройстве или на серверах своего поставщика по его собственным условиям. На наш сервер уходит только получившийся текст — вместе с контекстом, без которого его не понять: языком интерфейса, сегодняшней датой, часовым поясом, основной валютой и названиями ваших активных счетов и категорий.

Этот текст передаётся OpenAI, который превращает его в черновики операций. Черновики возвращаются на устройство и показываются вам; в книгу ничего не записывается, пока вы не подтвердите.

Если распознавание на устройстве недоступно, вместо текста отправляется сама запись, и её расшифровывает тот же провайдер. В обоих случаях звук и текст проходят через нашу функцию только в оперативной памяти и нами не сохраняются — ни в базе данных, ни в файле, ни в журнале. Если вы пользуетесь аккаунтом, успешный ввод лишь увеличивает на единицу описанное выше число вводов за месяц.

OpenAI обрабатывает эти данные по нашему поручению как обработчик. Его API используется в режиме, при котором переданные данные не идут на обучение моделей; для контроля злоупотреблений провайдер может хранить запрос и ответ на него до 30 дней, а дольше — если этого требует закон или если это обоснованно необходимо для защиты его сервисов или третьих лиц от вреда. Не диктуйте того, что не должен видеть обработчик.

Сканирование чеков

Чтобы отсканировать чек, вы снимаете его в приложении или выбираете снимок из фото; приложение получает только тот снимок, который вы выбрали. Прежде чем снимок покинет устройство, он уменьшается и сохраняется заново без метаданных, например без места и времени съёмки. Ничего не отправляется, пока вы не разрешите это в приложении, а отозвать разрешение можно в любой момент: «Настройки → Конфиденциальность».

Снимок уходит на наш сервер вместе с контекстом, без которого его не прочитать: языком интерфейса, сегодняшней датой, часовым поясом, основной валютой и названиями ваших категорий расходов. Оттуда он передаётся OpenAI, который читает чек и превращает его в черновики операций. Черновики возвращаются на ваше устройство и показываются вам; в книгу ничего не записывается, пока вы не подтвердите.

Вместе со снимком уходит всё, что напечатано на чеке: если на нём есть ваше имя, адрес или почта, OpenAI получит и их. Снимок проходит через нашу функцию в памяти и нами не хранится: ни в базе, ни в файле, ни в журнале. Если вы пользуетесь аккаунтом, прочитанный чек увеличивает месячное число сканов на один; снимок, из которого ничего не удалось прочитать, не засчитывается.

OpenAI обрабатывает эти данные по нашему поручению как обработчик, с теми же настройками и тем же хранением для контроля злоупотреблений, что и при голосовом вводе. Не сканируйте того, что не должен видеть обработчик.

Электронная почта

Коды входа отправляются через Amazon Simple Email Service (AWS, Франкфурт-на-Майне, Германия). Сервис получает ваш адрес, чтобы доставить письмо. Рекламных писем мы не рассылаем, и списка рассылки нет.

Курсы валют

Ежедневные курсы валют берутся из открытого сервиса api.frankfurter.dev. Запрос раз в день делает наш сервер сразу для всех, а не ваше устройство, — поэтому, сколько бы валют вы ни вели, этот сервис ничего о вас не узнаёт.

Покупки

Topf Plus покупается на iPhone через App Store от Apple, а на Android через Google Play, с аккаунтом или без. Сам платёж, ваша карта и ваш Apple ID или аккаунт Google остаются у магазина; мы их никогда не видим. Apple и Google обрабатывают покупку как самостоятельные контролёры по своим политикам конфиденциальности. RevenueCat (RevenueCat, Inc., США) получает подтверждение покупки от магазина (чек App Store или токен покупки Google Play), анонимный идентификатор вашей установки и — если у вас есть аккаунт — его идентификатор и сообщает приложению и нашему серверу, активен ли Plus и до какого числа. RevenueCat обрабатывает эти данные по нашему поручению как обработчик; передача в США основана на стандартных договорных условиях ЕС.

Статистика использования

Чтобы понимать, где люди теряются и что улучшить, приложение отправляет статистику использования в PostHog (PostHog Inc., США; данные хранятся в ЕС, во Франкфурте): как используется приложение — какие экраны открываются и какие действия в нём выполняются. С каждым событием уходят версия приложения, операционная система и её версия, язык, часовой пояс и случайный идентификатор установки.

Никогда не отправляются суммы, заметки, названия счетов и категорий, то, что вы сказали, ваш адрес почты и идентификатор аккаунта. IP-адрес отбрасывается и не используется для определения местоположения. Статистика не связана с вашим аккаунтом; после переустановки приложения идентификатор установки будет новым. Отправку можно выключить в приложении: «Настройки → Конфиденциальность → Статистика использования».

Правовое основание — наш законный интерес в том, чтобы улучшать приложение (ст. 6(1)(f) GDPR). PostHog обрабатывает эти данные по нашему поручению как обработчик; передача в США основана на стандартных договорных условиях ЕС. События доступны для анализа год; более старые в отчёты не попадают, но PostHog может хранить их в своём архиве. Поскольку статистика не связана с вами, выделить и удалить события одной установки мы не можем.

Этот сайт

Сайт размещён на Cloudflare Pages. На нём нет ни форм, ни файлов cookie, ни аналитики, ни встроенного содержимого третьих сторон. Только главная страница читает языки, выбранные в вашем браузере, чтобы открыться на одном из них, и ничего из этого не сохраняется. Cloudflare обрабатывает технические данные, которые видит любой веб-сервер, — ваш IP-адрес, запрошенный адрес, user agent, — чтобы доставить страницу и защитить сервис.

Кто ещё видит данные

Только перечисленные выше обработчики, каждый — ради своей единственной задачи:

• Supabase — размещение базы данных и сервиса входа;
• PowerSync — синхронизация между базой данных и вашими устройствами;
• OpenAI — превращение произнесённой фразы или снимка чека в черновики;
• Amazon Web Services — доставка писем и инфраструктура, на которой работает база данных;
• RevenueCat — обработка покупок в приложении и состояние вашего права на Plus;
• PostHog — статистика использования приложения;
• Cloudflare — размещение этого сайта и домен.

Мы следим за тем, чтобы третьи стороны, которым мы передаём данные пользователей, защищали их на том же или равноценном уровне, какой предусмотрен этой политикой конфиденциальности и требованиями к защите данных, применимыми к нашему приложению.

Ваши данные не продаются, не сдаются в аренду, не передаются рекламодателям и не используются для обучения чьих-либо моделей.

Сколько мы храним данные

Столько, сколько существует ваш аккаунт. Удаление аккаунта удаляет книгу на сервере; копия, уже синхронизированная на ваши устройства, исчезает, когда вы выходите из аккаунта или удаляете приложение.

Операция, которую вы удаляете в приложении, сразу исчезает из книги и из всех итогов; сразу после этого удаление ещё можно отменить. На сервере она остаётся сохранённой с пометкой «удалена», пока вы не удалите аккаунт.

Ваши права

По GDPR у вас есть право на доступ к своим данным, на их исправление и удаление, на ограничение обработки и переносимость данных, а также право возразить против обработки, основанной на законном интересе.

Удаление встроено в приложение: «Настройки» → «Аккаунт» → «Удалить аккаунт» удаляет ваши данные на сервере, а если вы входили через Apple, заодно отзывает и это разрешение. По всем остальным вопросам пишите на [email protected].

Дети

Topf не предназначен для детей и не рассчитан на людей младше 16 лет.

Изменения

Когда эта политика меняется, вместе с ней меняется и дата вверху. Об изменении, которое существенно затрагивает обращение с вашими данными, приложение сообщит заранее, до того как оно вступит в силу.