Политика конфиденциальности

Кто отвечает

Ответственный за описанную здесь обработку данных (контролёр в смысле GDPR) — Andrey Fedyukov, Mecumstraße 52, 40225 Düsseldorf, Германия.

С любым вопросом о своих данных пишите на [email protected]. Кроме того, вы можете подать жалобу в надзорный орган по защите данных той страны ЕС, где живёте.

Что мы храним

Данные аккаунта, если вы его создали: адрес электронной почты, идентификаторы способа входа (Apple или Google, если вы входите через них) и технические отметки времени ваших сессий.

Саму книгу: операции, счета, категории, регулярные операции, запланированные платежи, бюджеты, настройки валют и ваши заметки. Если книга общая — ещё и состав группы и её коды приглашения.

Если вы покупаете Topf Plus: сам факт покупки и срок её действия, анонимный идентификатор, который сервис покупок присваивает вашей установке приложения, и — если у вас есть аккаунт — связь между ними. Не вашу карту, Apple ID или аккаунт Google: их хранит магазин и ничего из этого нам не показывает.

Число голосовых вводов, если вы пользуетесь аккаунтом: сколько успешных вводов засчитано вашему аккаунту за каждый календарный месяц. Это нужно, чтобы применять действующее ограничение — месячный лимит в бесплатной версии, а с Plus — предел, защищающий от злоупотреблений. Хранятся календарный месяц, это число и время его последнего изменения; сказанная вами фраза и черновики, полученные из неё, не хранятся. В общей книге голосовые вводы участников без собственного Plus засчитываются аккаунту владельца группы.

Число сканов чеков, если вы пользуетесь аккаунтом: сколько чеков прочитано для вашего аккаунта за каждый календарный месяц. Это нужно, чтобы применять действующее ограничение. Как и у голосового ввода, хранятся календарный месяц, это число и время его последнего изменения; снимок чека и черновики, полученные из него, не хранятся. В общей книге сканы участников без собственного Plus засчитываются аккаунту владельца группы.

Число вопросов Topf AI, если вы им пользуетесь: сколько вопросов засчитано вашему аккаунту за каждый календарный месяц, чтобы применять действующий предел, а пока вопрос получает ответ, отметка о том, что он засчитан; она перестаёт действовать через пятнадцать минут. Сами вопросы, отправленные с ними части книги и ответы не хранятся. В общей книге вопросы участников без собственного Plus засчитываются аккаунту владельца группы.

Автоучёт, если вы им пользуетесь: у каждой операции, которую он записал, — откуда пришёл платёж (Apple Pay, уведомление или SMS банка), название карты, как его показывает Wallet, и записал ли Topf её сам и в каком месяце; и память книги — какую категорию получает продавец и на какой счёт пишутся карта или банк. Метка платёжного терминала и сумма, как их отдаёт Apple Pay, едут вместе с операцией, поэтому их видят все устройства книги и все участники общей книги. Текст сообщения банка остаётся на устройстве, которое его получило. С аккаунтом — для каждого календарного месяца, сколько платежей модель прочитала для вашего аккаунта, чтобы действовал положенный лимит.

Это полный список того, что хранится с аккаунтом. В приложении нет ни рекламного идентификатора, ни отпечатка устройства, ни стороннего отслеживания; статистика использования, описанная ниже, с вашим аккаунтом не связана.

Если пользоваться без аккаунта

Topf можно пользоваться без аккаунта. Тогда книга хранится только на устройстве и не загружается на сервер. Голосовой ввод и сканирование чеков требуют сети и передают данные при использовании. Покупки Plus проходят через App Store или Google Play и сервис покупок. Приложение также отправляет анонимную статистику, которую можно выключить. Подробнее о каждом случае ниже.

Автоучёт работает и без аккаунта; что и когда он отправляет, описано ниже.

Для Topf AI нужен аккаунт: каждый вопрос засчитывается аккаунту, который его задаёт.

Зачем мы обрабатываем данные и на каком основании

Чтобы предоставить продукт, которым вы решили пользоваться: хранить вашу книгу, синхронизировать её между устройствами и восстанавливать на новом. Правовое основание: исполнение договора (ст. 6(1)(b) GDPR).

Чтобы вы могли войти: отправка кода входа на ваш адрес электронной почты. Правовое основание: исполнение договора (ст. 6(1)(b) GDPR).

Чтобы знать, есть ли у вас Plus: проверка покупки через сервис покупок и хранение её текущего состояния на нашем сервере. Правовое основание: исполнение договора (ст. 6(1)(b) GDPR).

Чтобы соблюдать месячные ограничения голосовых вводов и сканов чеков: подсчёт тех и других по календарным месяцам, потому что бесплатная версия включает ограниченное их число. Правовое основание: исполнение договора (ст. 6(1)(b) GDPR).

Чтобы применять месячный предел вопросов Topf AI: мы считаем их по календарным месяцам, потому что в бесплатной версии их число ограничено. Правовое основание: исполнение договора (ст. 6(1)(b) GDPR).

Чтобы понимать, как приложением пользуются, и улучшать его: статистика использования. Правовое основание: законный интерес (ст. 6(1)(f) GDPR).

Чтобы сервис работал, а голосовым вводом и сканированием чеков не злоупотребляли. Правовое основание: законный интерес (ст. 6(1)(f) GDPR).

Чтобы действовали лимиты автоучёта: подсчёт за календарный месяц платежей, которые Topf записал сам, и платежей, которые прочитала модель. Правовое основание: исполнение договора (ст. 6(1)(b) GDPR).

Где хранятся данные

Полная копия книги лежит на вашем устройстве, в локальной базе данных, и работает там без сети.

Если у вас есть аккаунт, те же данные хранятся в базе PostgreSQL, которую размещает Supabase во Франкфурте-на-Майне, Германия (AWS eu-central-1), и доходят до ваших устройств через сервис синхронизации PowerSync. Доступ разграничен для каждого пользователя защитой на уровне строк (row-level security): аккаунт читает свою книгу, а если книга общая — её.

Голосовой ввод

При голосовом вводе фразу обычно распознаёт служба распознавания речи на устройстве. На iPhone это служба Apple, на Android выбранная в системе служба, обычно Google. Она может работать на самом устройстве или на серверах своего поставщика по его собственным условиям. На наш сервер уходит только получившийся текст — вместе с контекстом, без которого его не понять: языком интерфейса, сегодняшней датой, часовым поясом, основной валютой и названиями ваших активных счетов и категорий.

Этот текст передаётся OpenAI, который превращает его в черновики операций. Черновики возвращаются на устройство и показываются вам; в книгу ничего не записывается, пока вы не подтвердите.

Если распознавание на устройстве недоступно, вместо текста отправляется сама запись, и её расшифровывает тот же провайдер. В обоих случаях звук и текст проходят через нашу функцию только в оперативной памяти и нами не сохраняются — ни в базе данных, ни в файле, ни в журнале. Если вы пользуетесь аккаунтом, успешный ввод лишь увеличивает на единицу описанное выше число вводов за месяц.

OpenAI обрабатывает эти данные по нашему поручению как обработчик. Его API используется в режиме, при котором переданные данные не идут на обучение моделей; для контроля злоупотреблений провайдер может хранить запрос и ответ на него до 30 дней, а дольше — если этого требует закон или если это обоснованно необходимо для защиты его сервисов или третьих лиц от вреда. Не диктуйте того, что не должен видеть обработчик.

Сканирование чеков

Чтобы отсканировать чек, вы снимаете его в приложении или выбираете снимок из фото; приложение получает только тот снимок, который вы выбрали. Прежде чем снимок покинет устройство, он уменьшается и сохраняется заново без метаданных, например без места и времени съёмки. Ничего не отправляется, пока вы не разрешите это в приложении, а отозвать разрешение можно в любой момент: «Настройки → Конфиденциальность».

Снимок уходит на наш сервер вместе с контекстом, без которого его не прочитать: языком интерфейса, сегодняшней датой, часовым поясом, основной валютой и названиями ваших категорий расходов. Оттуда он передаётся OpenAI, который читает чек и превращает его в черновики операций. Черновики возвращаются на ваше устройство и показываются вам; в книгу ничего не записывается, пока вы не подтвердите.

Вместе со снимком уходит всё, что напечатано на чеке: если на нём есть ваше имя, адрес или почта, OpenAI получит и их. Снимок проходит через нашу функцию в памяти и нами не хранится: ни в базе, ни в файле, ни в журнале. Если вы пользуетесь аккаунтом, прочитанный чек увеличивает месячное число сканов на один; снимок, из которого ничего не удалось прочитать, не засчитывается.

OpenAI обрабатывает эти данные по нашему поручению как обработчик, с теми же настройками и тем же хранением для контроля злоупотреблений, что и при голосовом вводе. Не сканируйте того, что не должен видеть обработчик.

Автоучёт

Автоучёт работает через персональную автоматизацию, которую вы настраиваете в приложении Apple «Команды» на iPhone: когда вы платите Apple Pay или банк присылает уведомление или SMS, автоматизация передаёт платёж в Topf. Сам Topf не может читать ваш Wallet, ваши сообщения и уведомления других приложений; он получает только то, что передаёт ваша автоматизация, и сначала сохраняет это на устройстве.

Оплату Apple Pay у знакомого продавца Topf записывает на устройстве по памяти вашей книги, ничего не отправляя на разбор. Для нового продавца из Apple Pay и для каждого сообщения банка, знаком продавец или нет, платёж уходит на наш сервер вместе с контекстом, нужным для разбора: название продавца и сумма, как их отдаёт Apple Pay, или текст сообщения точно так, как его написал банк, а также язык интерфейса, дата и время прихода платежа, часовой пояс, основная валюта и названия ваших категорий. Оттуда он передаётся OpenAI, который читает сумму и продавца и выбирает категорию.

В сообщении банка бывает остаток на счёте или последние цифры карты; они тоже уходят, потому что текст отправляется так, как его написал банк. Он проходит через нашу функцию в памяти и на наших серверах не сохраняется. В OpenAI ничего не уходит, пока вы не разрешили это в приложении; с выбором «Без OpenAI» в OpenAI не уходит ничего, а разрешение можно отозвать в любой момент в «Настройки → Конфиденциальность».

OpenAI обрабатывает эти данные по нашему поручению как обработчик, с теми же настройками и тем же хранением для контроля злоупотреблений, что и для голосового ввода.

Topf AI

Topf AI отвечает на вопросы о ваших деньгах по вашей книге. Он работает только с аккаунтом, и ничего не отправляется, пока вы не разрешите это в приложении; разрешение хранится на вашем устройстве. Отозвать его можно в любой момент: «Настройки → Конфиденциальность».

С каждым вопросом наш сервер отправляет в OpenAI сам вопрос, язык интерфейса, сегодняшнюю дату, часовой пояс, основную валюту и названия ваших счетов и категорий. Чтобы ответить, модель запрашивает у приложения то, что ей нужно, а приложение находит это в книге на вашем устройстве и отправляет только это: найденные операции с датой, суммой, категорией, счётом и заметкой, итоги по категориям, месяцам или счетам, балансы счетов, бюджеты текущего периода и регулярные операции. Разговор до этого момента уходит с каждым шагом ответа. Адрес электронной почты и идентификатор аккаунта в OpenAI не уходят.

Вопрос голосом записывается на вашем устройстве, отправляется на наш сервер, распознаётся OpenAI и возвращается текстом. Чек, добавленный в Topf AI, проходит путь сканирования чеков, описанный выше, и модели не показывается. Topf AI сам ничего не меняет в книге: черновики операций и изменения категорий, счетов, бюджетов и регулярных операций записываются только после вашего подтверждения.

Вопросы, записи, отправленные с ними части книги и ответы проходят через нашу функцию в памяти и нами не хранятся; разговор остаётся в приложении, пока вы не начнёте новый или не закроете приложение. Если вы пользуетесь аккаунтом, вопрос увеличивает описанный выше месячный счётчик на один, сколько бы шагов ни занял ответ. OpenAI обрабатывает эти данные по нашему поручению как обработчик, с теми же настройками и тем же хранением для контроля злоупотреблений, что и при голосовом вводе. Не спрашивайте того, что не должен видеть обработчик.

Электронная почта

Коды входа отправляются через Amazon Simple Email Service (AWS, Франкфурт-на-Майне, Германия). Сервис получает ваш адрес, чтобы доставить письмо. Рекламных писем мы не рассылаем, и списка рассылки нет.

Курсы валют

Ежедневные курсы валют берутся из открытого сервиса api.frankfurter.dev. Запрос раз в день делает наш сервер сразу для всех, а не ваше устройство, — поэтому, сколько бы валют вы ни вели, этот сервис ничего о вас не узнаёт.

Покупки

Topf Plus покупается на iPhone через App Store от Apple, а на Android через Google Play, с аккаунтом или без. Сам платёж, ваша карта и ваш Apple ID или аккаунт Google остаются у магазина; мы их никогда не видим. Apple и Google обрабатывают покупку как самостоятельные контролёры по своим политикам конфиденциальности. RevenueCat (RevenueCat, Inc., США) получает подтверждение покупки от магазина (чек App Store или токен покупки Google Play), анонимный идентификатор вашей установки и — если у вас есть аккаунт — его идентификатор и сообщает приложению и нашему серверу, активен ли Plus и до какого числа. RevenueCat обрабатывает эти данные по нашему поручению как обработчик; передача в США основана на стандартных договорных условиях ЕС.

Статистика использования

Чтобы понимать, где люди теряются и что улучшить, приложение отправляет статистику использования в PostHog (PostHog Inc., США; данные хранятся в ЕС, во Франкфурте): как используется приложение — какие экраны открываются и какие действия в нём выполняются. С каждым событием уходят версия приложения, операционная система и её версия, язык, часовой пояс и случайный идентификатор установки.

Никогда не отправляются суммы, заметки, названия счетов и категорий, то, что вы сказали, ваш адрес почты и идентификатор аккаунта. IP-адрес отбрасывается и не используется для определения местоположения. Статистика не связана с вашим аккаунтом; после переустановки приложения идентификатор установки будет новым. Отправку можно выключить в приложении: «Настройки → Конфиденциальность → Статистика использования».

Правовое основание — наш законный интерес в том, чтобы улучшать приложение (ст. 6(1)(f) GDPR). PostHog обрабатывает эти данные по нашему поручению как обработчик; передача в США основана на стандартных договорных условиях ЕС. События доступны для анализа год; более старые в отчёты не попадают, но PostHog может хранить их в своём архиве. Поскольку статистика не связана с вами, выделить и удалить события одной установки мы не можем.

Этот сайт

Сайт размещён на Cloudflare Pages. На нём нет ни форм, ни файлов cookie, ни аналитики, ни встроенного содержимого третьих сторон. Только главная страница читает языки, выбранные в вашем браузере, чтобы открыться на одном из них, и ничего из этого не сохраняется. Cloudflare обрабатывает технические данные, которые видит любой веб-сервер, — ваш IP-адрес, запрошенный адрес, user agent, — чтобы доставить страницу и защитить сервис.

Кто ещё видит данные

Только перечисленные выше обработчики, каждый — ради своей единственной задачи:

• Supabase — размещение базы данных и сервиса входа;
• PowerSync — синхронизация между базой данных и вашими устройствами;
• OpenAI — превращение произнесённой фразы, снимка чека или сообщения о платеже в черновики и категории, а также ответы на вопросы о вашей книге в Topf AI;
• Amazon Web Services — доставка писем и инфраструктура, на которой работает база данных;
• RevenueCat — обработка покупок в приложении и состояние вашего права на Plus;
• PostHog — статистика использования приложения;
• Cloudflare — размещение этого сайта и домен.

Мы следим за тем, чтобы третьи стороны, которым мы передаём данные пользователей, защищали их на том же или равноценном уровне, какой предусмотрен этой политикой конфиденциальности и требованиями к защите данных, применимыми к нашему приложению.

Ваши данные не продаются, не сдаются в аренду, не передаются рекламодателям и не используются для обучения чьих-либо моделей.

Сколько мы храним данные

Столько, сколько существует ваш аккаунт. Удаление аккаунта удаляет книгу на сервере; копия, уже синхронизированная на ваши устройства, исчезает, когда вы выходите из аккаунта или удаляете приложение.

Операция, которую вы удаляете в приложении, сразу исчезает из книги и из всех итогов; сразу после этого удаление ещё можно отменить. На сервере она остаётся сохранённой с пометкой «удалена», пока вы не удалите аккаунт.

Ваши права

По GDPR у вас есть право на доступ к своим данным, на их исправление и удаление, на ограничение обработки и переносимость данных, а также право возразить против обработки, основанной на законном интересе.

Удаление встроено в приложение: «Настройки» → «Аккаунт» → «Удалить аккаунт» удаляет ваши данные на сервере, а если вы входили через Apple, заодно отзывает и это разрешение. По всем остальным вопросам пишите на [email protected].

Дети

Topf не предназначен для детей и не рассчитан на людей младше 16 лет.

Изменения

Когда эта политика меняется, вместе с ней меняется и дата вверху. Об изменении, которое существенно затрагивает обращение с вашими данными, приложение сообщит заранее, до того как оно вступит в силу.