Політика конфіденційності

Хто відповідає

Відповідальний за описану тут обробку даних (контролер у розумінні GDPR) — Andrey Fedyukov, Mecumstraße 52, 40225 Düsseldorf, Німеччина.

З будь-яким питанням про свої дані пишіть на [email protected]. Крім того, ви можете подати скаргу до наглядового органу із захисту даних у тій країні ЄС, де живете.

Що ми зберігаємо

Дані облікового запису, якщо ви його створили: адресу електронної пошти, ідентифікатори способу входу (Apple або Google, якщо ви входите через них) і технічні позначки часу ваших сесій.

Саму книгу: операції, рахунки, категорії, регулярні операції, заплановані платежі, бюджети, налаштування валют і ваші нотатки. Якщо книга спільна — ще й склад групи та її коди запрошення.

Якщо ви купуєте Topf Plus: сам факт покупки й строк її дії, анонімний ідентифікатор, який сервіс покупок призначає вашому встановленню застосунку, і — якщо у вас є обліковий запис — зв’язок між ними. Не вашу картку, Apple ID чи обліковий запис Google: їх зберігає магазин і нічого з цього нам не показує.

Кількість голосових введень, якщо ви користуєтеся обліковим записом: скільки успішних введень зараховано вашому обліковому запису за кожен календарний місяць. Це потрібно, щоб застосовувати чинне обмеження — місячний ліміт у безкоштовній версії, а з Plus — межу, що захищає від зловживань. Зберігаються календарний місяць, ця кількість і час її останньої зміни; сказана вами фраза й чернетки, отримані з неї, не зберігаються. У спільній книзі голосові введення учасників без власного Plus зараховуються обліковому запису власника групи.

Кількість сканів чеків, якщо ви користуєтеся обліковим записом: скільки чеків прочитано для вашого облікового запису за кожен календарний місяць. Це потрібно, щоб застосовувати чинне обмеження. Як і для голосового введення, зберігаються календарний місяць, ця кількість і час її останньої зміни; знімок чека й чернетки, отримані з нього, не зберігаються. У спільній книзі скани учасників без власного Plus зараховуються обліковому запису власника групи.

Це повний перелік того, що зберігається з обліковим записом. У застосунку немає ні рекламного ідентифікатора, ні відбитка пристрою, ні стороннього відстеження; статистика використання, описана нижче, з вашим обліковим записом не пов’язана.

Якщо користуватися без облікового запису

Topf можна користуватися без облікового запису. Тоді книга зберігається лише на пристрої й не завантажується на сервер. Голосове введення та сканування чеків потребують мережі й передають дані, коли ви ними користуєтеся. Покупки Plus проходять через App Store або Google Play і сервіс покупок. Застосунок також надсилає анонімну статистику, яку можна вимкнути. Докладніше про кожен випадок нижче.

Навіщо ми обробляємо дані й на якій підставі

Щоб надати продукт, яким ви вирішили користуватися: зберігати вашу книгу, синхронізувати її між пристроями й відновлювати на новому. Правова підстава: виконання договору (ст. 6(1)(b) GDPR).

Щоб ви могли увійти: надсилання коду входу на вашу адресу електронної пошти. Правова підстава: виконання договору (ст. 6(1)(b) GDPR).

Щоб знати, чи є у вас Plus: перевірка покупки через сервіс покупок і зберігання її поточного стану на нашому сервері. Правова підстава: виконання договору (ст. 6(1)(b) GDPR).

Щоб дотримуватися місячних обмежень голосових введень і сканів чеків: підрахунок і тих, і інших за календарними місяцями, бо безкоштовна версія включає обмежену їх кількість. Правова підстава: виконання договору (ст. 6(1)(b) GDPR).

Щоб розуміти, як застосунком користуються, і покращувати його: статистика використання. Правова підстава: законний інтерес (ст. 6(1)(f) GDPR).

Щоб сервіс працював, а голосовим введенням і скануванням чеків не зловживали. Правова підстава: законний інтерес (ст. 6(1)(f) GDPR).

Де зберігаються дані

Повна копія книги лежить на вашому пристрої, у локальній базі даних, і працює там без мережі.

Якщо у вас є обліковий запис, ті самі дані зберігаються в базі PostgreSQL, яку розміщує Supabase у Франкфурті-на-Майні, Німеччина (AWS eu-central-1), і надходять на ваші пристрої через сервіс синхронізації PowerSync. Доступ розмежовано для кожного користувача захистом на рівні рядків (row-level security): обліковий запис читає свою книгу, а якщо книга спільна — її.

Голосове введення

Під час голосового введення фразу зазвичай розпізнає служба розпізнавання мовлення на пристрої. На iPhone це служба Apple, на Android вибрана в системі служба, зазвичай Google. Вона може працювати на самому пристрої або на серверах свого постачальника за його власними умовами. На наш сервер надходить лише отриманий текст — разом із контекстом, без якого його не зрозуміти: мовою інтерфейсу, сьогоднішньою датою, часовим поясом, основною валютою та назвами ваших активних рахунків і категорій.

Цей текст передається OpenAI, який перетворює його на чернетки операцій. Чернетки повертаються на пристрій і показуються вам; до книги нічого не записується, доки ви не підтвердите.

Якщо розпізнавання на пристрої недоступне, замість тексту надсилається сам запис, і його розшифровує той самий провайдер. В обох випадках звук і текст проходять через нашу функцію лише в оперативній пам’яті й нами не зберігаються — ні в базі даних, ні у файлі, ні в журналі. Якщо ви користуєтеся обліковим записом, успішне введення лише збільшує на одиницю описану вище кількість введень за місяць.

OpenAI обробляє ці дані за нашим дорученням як обробник. Його API використовується в режимі, за якого передані дані не йдуть на навчання моделей; для контролю зловживань провайдер може зберігати запит і відповідь на нього до 30 днів, а довше — якщо цього вимагає закон або якщо це обґрунтовано необхідно для захисту його сервісів чи третіх осіб від шкоди. Не диктуйте того, чого не повинен бачити обробник.

Сканування чеків

Щоб відсканувати чек, ви знімаєте його в застосунку або вибираєте знімок із фото; застосунок отримує лише той знімок, який ви вибрали. Перш ніж знімок залишить пристрій, його зменшують і зберігають заново без метаданих, наприклад без місця й часу зйомки. Нічого не надсилається, доки ви не дозволите це в застосунку, а відкликати дозвіл можна будь-коли: «Налаштування → Конфіденційність».

Знімок іде на наш сервер разом із контекстом, без якого його не прочитати: мовою інтерфейсу, сьогоднішньою датою, часовим поясом, основною валютою й назвами ваших категорій витрат. Звідти він передається OpenAI, який читає чек і перетворює його на чернетки операцій. Чернетки повертаються на ваш пристрій і показуються вам; до книги нічого не записується, доки ви не підтвердите.

Разом зі знімком іде все, що надруковано на чеку: якщо на ньому є ваше ім’я, адреса чи пошта, OpenAI отримає і їх. Знімок проходить через нашу функцію в пам’яті й нами не зберігається: ні в базі, ні у файлі, ні в журналі. Якщо ви користуєтеся обліковим записом, прочитаний чек збільшує місячну кількість сканів на один; знімок, з якого нічого не вдалося прочитати, не зараховується.

OpenAI обробляє ці дані за нашим дорученням як обробник, з тими самими налаштуваннями й тим самим зберіганням для контролю зловживань, що й під час голосового введення. Не скануйте того, чого не повинен бачити обробник.

Електронна пошта

Коди входу надсилаються через Amazon Simple Email Service (AWS, Франкфурт-на-Майні, Німеччина). Сервіс отримує вашу адресу, щоб доставити лист. Рекламних листів ми не розсилаємо, і списку розсилки немає.

Курси валют

Щоденні курси валют надходять із відкритого сервісу api.frankfurter.dev. Запит раз на день робить наш сервер одразу для всіх, а не ваш пристрій, — тож скільки б валют ви не вели, цей сервіс нічого про вас не дізнається.

Покупки

Topf Plus купується на iPhone через App Store від Apple, а на Android через Google Play, з обліковим записом або без нього. Сам платіж, дані вашої картки й ваш Apple ID чи обліковий запис Google залишаються в магазині; ми їх ніколи не бачимо. Apple і Google обробляють покупку як самостійні контролери за своїми політиками конфіденційності. RevenueCat (RevenueCat, Inc., США) отримує підтвердження покупки від магазину (квитанцію App Store або токен покупки Google Play), анонімний ідентифікатор вашого встановлення і — якщо у вас є обліковий запис — його ідентифікатор та повідомляє застосунку й нашому серверу, чи активний Plus і до якої дати. RevenueCat обробляє ці дані за нашим дорученням як обробник; передавання до США ґрунтується на стандартних договірних положеннях ЄС.

Статистика використання

Щоб розуміти, де люди губляться і що покращити, застосунок надсилає статистику використання до PostHog (PostHog Inc., США; дані зберігаються в ЄС, у Франкфурті): як використовується застосунок — які екрани відкриваються і які дії в ньому виконуються. З кожною подією надходять версія застосунку, операційна система та її версія, мова, часовий пояс і випадковий ідентифікатор встановлення.

Ніколи не надсилаються суми, нотатки, назви рахунків і категорій, те, що ви сказали, ваша адреса пошти та ідентифікатор облікового запису. IP-адреса відкидається й не використовується для визначення місцезнаходження. Статистика не пов’язана з вашим обліковим записом; після перевстановлення застосунку ідентифікатор встановлення буде новим. Надсилання можна вимкнути в застосунку: «Налаштування → Конфіденційність → Статистика використання».

Правова підстава — наш законний інтерес у тому, щоб покращувати застосунок (ст. 6(1)(f) GDPR). PostHog обробляє ці дані за нашим дорученням як обробник; передавання до США ґрунтується на стандартних договірних положеннях ЄС. Події доступні для аналізу рік; старіші не потрапляють у звіти, але PostHog може зберігати їх у своєму архіві. Оскільки статистика не пов’язана з вами, виокремити й видалити події одного встановлення ми не можемо.

Цей сайт

Сайт розміщено на Cloudflare Pages. На ньому немає ні форм, ні файлів cookie, ні аналітики, ні вбудованого вмісту третіх сторін. Лише головна сторінка зчитує мови, вибрані у вашому браузері, щоб відкритися однією з них, і нічого з цього не зберігається. Cloudflare обробляє технічні дані, які бачить будь-який вебсервер, — вашу IP-адресу, запитану адресу, user agent, — щоб доставити сторінку й захистити сервіс.

Хто ще бачить дані

Лише названі вище обробники, кожен — задля свого єдиного завдання:

• Supabase — розміщення бази даних і сервісу входу;
• PowerSync — синхронізація між базою даних і вашими пристроями;
• OpenAI — перетворення промовленої фрази або знімка чека на чернетки;
• Amazon Web Services — доставлення листів та інфраструктура, на якій працює база даних;
• RevenueCat — обробка покупок у застосунку й стан вашого права на Plus;
• PostHog — статистика використання застосунку;
• Cloudflare — розміщення цього сайту й домен.

Ми стежимо за тим, щоб треті сторони, яким ми передаємо дані користувачів, захищали їх на тому самому або рівноцінному рівні, який передбачають ця політика конфіденційності та чинні для нашого застосунку вимоги щодо захисту даних.

Ваші дані не продаються, не здаються в оренду, не передаються рекламодавцям і не використовуються для навчання будь-чиїх моделей.

Як довго ми зберігаємо дані

Стільки, скільки існує ваш обліковий запис. Видалення облікового запису видаляє книгу на сервері; копія, уже синхронізована на ваші пристрої, зникає, коли ви виходите з облікового запису або видаляєте застосунок.

Операція, яку ви видаляєте в застосунку, одразу зникає з книги та з усіх підсумків; одразу після цього видалення ще можна скасувати. На сервері вона лишається збереженою з позначкою «видалено», доки ви не видалите акаунт.

Ваші права

Відповідно до GDPR ви маєте право на доступ до своїх даних, на їх виправлення й видалення, на обмеження обробки та перенесення даних, а також право заперечити проти обробки, що ґрунтується на законному інтересі.

Видалення вбудовано в застосунок: «Налаштування» → «Обліковий запис» → «Видалити обліковий запис» видаляє ваші дані на сервері, а якщо ви входили через Apple, заразом відкликає і цей дозвіл. З усіх інших питань пишіть на [email protected].

Діти

Topf не призначений для дітей і не розрахований на людей, молодших за 16 років.

Зміни

Коли ця політика змінюється, разом із нею змінюється й дата вгорі. Про зміну, яка істотно стосується поводження з вашими даними, застосунок повідомить заздалегідь, до того як вона набуде чинності.