Політика конфіденційності

Хто відповідає

Відповідальний за описану тут обробку даних (контролер у розумінні GDPR) — Andrey Fedyukov, Mecumstraße 52, 40225 Düsseldorf, Німеччина.

З будь-яким питанням про свої дані пишіть на [email protected]. Крім того, ви можете подати скаргу до наглядового органу із захисту даних у тій країні ЄС, де живете.

Що ми зберігаємо

Дані облікового запису, якщо ви його створили: адресу електронної пошти, ідентифікатори способу входу (Apple або Google, якщо ви входите через них) і технічні позначки часу ваших сесій.

Саму книгу: операції, рахунки, категорії, регулярні операції, заплановані платежі, бюджети, налаштування валют і ваші нотатки. Якщо книга спільна — ще й склад групи та її коди запрошення.

Якщо ви купуєте Topf Plus: сам факт покупки й строк її дії, анонімний ідентифікатор, який сервіс покупок призначає вашому встановленню застосунку, і — якщо у вас є обліковий запис — зв’язок між ними. Не вашу картку, Apple ID чи обліковий запис Google: їх зберігає магазин і нічого з цього нам не показує.

Кількість голосових введень, якщо ви користуєтеся обліковим записом: скільки успішних введень зараховано вашому обліковому запису за кожен календарний місяць. Це потрібно, щоб застосовувати чинне обмеження — місячний ліміт у безкоштовній версії, а з Plus — межу, що захищає від зловживань. Зберігаються календарний місяць, ця кількість і час її останньої зміни; сказана вами фраза й чернетки, отримані з неї, не зберігаються. У спільній книзі голосові введення учасників без власного Plus зараховуються обліковому запису власника групи.

Кількість сканів чеків, якщо ви користуєтеся обліковим записом: скільки чеків прочитано для вашого облікового запису за кожен календарний місяць. Це потрібно, щоб застосовувати чинне обмеження. Як і для голосового введення, зберігаються календарний місяць, ця кількість і час її останньої зміни; знімок чека й чернетки, отримані з нього, не зберігаються. У спільній книзі скани учасників без власного Plus зараховуються обліковому запису власника групи.

Кількість запитань Topf AI, якщо ви ним користуєтеся: скільки запитань зараховано вашому обліковому запису за кожен календарний місяць, щоб застосовувати чинну межу, а поки запитання отримує відповідь, позначка про те, що його зараховано; вона перестає діяти через п’ятнадцять хвилин. Самі запитання, надіслані з ними частини книги та відповіді не зберігаються. У спільній книзі запитання учасників без власного Plus зараховуються обліковому запису власника групи.

Автооблік, якщо ви ним користуєтеся: у кожної операції, яку він записав, — звідки прийшов платіж (Apple Pay, сповіщення чи SMS банку), назва картки, як її показує Wallet, і чи записав Topf її сам і в якому місяці; і пам’ять книги — яку категорію отримує продавець і на який рахунок записуються картка чи банк. Мітка платіжного термінала й сума, як їх віддає Apple Pay, їдуть разом з операцією, тож їх бачать усі пристрої книги й усі учасники спільної книги. Текст повідомлення банку залишається на пристрої, який його отримав. З акаунтом — для кожного календарного місяця, скільки платежів модель прочитала для вашого акаунта, щоб діяв належний ліміт.

Це повний перелік того, що зберігається з обліковим записом. У застосунку немає ні рекламного ідентифікатора, ні відбитка пристрою, ні стороннього відстеження; статистика використання, описана нижче, з вашим обліковим записом не пов’язана.

Якщо користуватися без облікового запису

Topf можна користуватися без облікового запису. Тоді книга зберігається лише на пристрої й не завантажується на сервер. Голосове введення та сканування чеків потребують мережі й передають дані, коли ви ними користуєтеся. Покупки Plus проходять через App Store або Google Play і сервіс покупок. Застосунок також надсилає анонімну статистику, яку можна вимкнути. Докладніше про кожен випадок нижче.

Автооблік працює й без акаунта; що і коли він надсилає, описано нижче.

Для Topf AI потрібен обліковий запис: кожне запитання зараховується обліковому запису, який його ставить.

Навіщо ми обробляємо дані й на якій підставі

Щоб надати продукт, яким ви вирішили користуватися: зберігати вашу книгу, синхронізувати її між пристроями й відновлювати на новому. Правова підстава: виконання договору (ст. 6(1)(b) GDPR).

Щоб ви могли увійти: надсилання коду входу на вашу адресу електронної пошти. Правова підстава: виконання договору (ст. 6(1)(b) GDPR).

Щоб знати, чи є у вас Plus: перевірка покупки через сервіс покупок і зберігання її поточного стану на нашому сервері. Правова підстава: виконання договору (ст. 6(1)(b) GDPR).

Щоб дотримуватися місячних обмежень голосових введень і сканів чеків: підрахунок і тих, і інших за календарними місяцями, бо безкоштовна версія включає обмежену їх кількість. Правова підстава: виконання договору (ст. 6(1)(b) GDPR).

Щоб застосовувати місячну межу запитань Topf AI: ми рахуємо їх за календарними місяцями, бо в безкоштовній версії їхня кількість обмежена. Правова підстава: виконання договору (ст. 6(1)(b) GDPR).

Щоб розуміти, як застосунком користуються, і покращувати його: статистика використання. Правова підстава: законний інтерес (ст. 6(1)(f) GDPR).

Щоб сервіс працював, а голосовим введенням і скануванням чеків не зловживали. Правова підстава: законний інтерес (ст. 6(1)(f) GDPR).

Щоб діяли ліміти автообліку: підрахунок за календарний місяць платежів, які Topf записав сам, і платежів, які прочитала модель. Правова підстава: виконання договору (ст. 6(1)(b) GDPR).

Де зберігаються дані

Повна копія книги лежить на вашому пристрої, у локальній базі даних, і працює там без мережі.

Якщо у вас є обліковий запис, ті самі дані зберігаються в базі PostgreSQL, яку розміщує Supabase у Франкфурті-на-Майні, Німеччина (AWS eu-central-1), і надходять на ваші пристрої через сервіс синхронізації PowerSync. Доступ розмежовано для кожного користувача захистом на рівні рядків (row-level security): обліковий запис читає свою книгу, а якщо книга спільна — її.

Голосове введення

Під час голосового введення фразу зазвичай розпізнає служба розпізнавання мовлення на пристрої. На iPhone це служба Apple, на Android вибрана в системі служба, зазвичай Google. Вона може працювати на самому пристрої або на серверах свого постачальника за його власними умовами. На наш сервер надходить лише отриманий текст — разом із контекстом, без якого його не зрозуміти: мовою інтерфейсу, сьогоднішньою датою, часовим поясом, основною валютою та назвами ваших активних рахунків і категорій.

Цей текст передається OpenAI, який перетворює його на чернетки операцій. Чернетки повертаються на пристрій і показуються вам; до книги нічого не записується, доки ви не підтвердите.

Якщо розпізнавання на пристрої недоступне, замість тексту надсилається сам запис, і його розшифровує той самий провайдер. В обох випадках звук і текст проходять через нашу функцію лише в оперативній пам’яті й нами не зберігаються — ні в базі даних, ні у файлі, ні в журналі. Якщо ви користуєтеся обліковим записом, успішне введення лише збільшує на одиницю описану вище кількість введень за місяць.

OpenAI обробляє ці дані за нашим дорученням як обробник. Його API використовується в режимі, за якого передані дані не йдуть на навчання моделей; для контролю зловживань провайдер може зберігати запит і відповідь на нього до 30 днів, а довше — якщо цього вимагає закон або якщо це обґрунтовано необхідно для захисту його сервісів чи третіх осіб від шкоди. Не диктуйте того, чого не повинен бачити обробник.

Сканування чеків

Щоб відсканувати чек, ви знімаєте його в застосунку або вибираєте знімок із фото; застосунок отримує лише той знімок, який ви вибрали. Перш ніж знімок залишить пристрій, його зменшують і зберігають заново без метаданих, наприклад без місця й часу зйомки. Нічого не надсилається, доки ви не дозволите це в застосунку, а відкликати дозвіл можна будь-коли: «Налаштування → Конфіденційність».

Знімок іде на наш сервер разом із контекстом, без якого його не прочитати: мовою інтерфейсу, сьогоднішньою датою, часовим поясом, основною валютою й назвами ваших категорій витрат. Звідти він передається OpenAI, який читає чек і перетворює його на чернетки операцій. Чернетки повертаються на ваш пристрій і показуються вам; до книги нічого не записується, доки ви не підтвердите.

Разом зі знімком іде все, що надруковано на чеку: якщо на ньому є ваше ім’я, адреса чи пошта, OpenAI отримає і їх. Знімок проходить через нашу функцію в пам’яті й нами не зберігається: ні в базі, ні у файлі, ні в журналі. Якщо ви користуєтеся обліковим записом, прочитаний чек збільшує місячну кількість сканів на один; знімок, з якого нічого не вдалося прочитати, не зараховується.

OpenAI обробляє ці дані за нашим дорученням як обробник, з тими самими налаштуваннями й тим самим зберіганням для контролю зловживань, що й під час голосового введення. Не скануйте того, чого не повинен бачити обробник.

Автооблік

Автооблік працює через персональну автоматизацію, яку ви налаштовуєте в застосунку Apple «Швидкі команди» на iPhone: коли ви платите Apple Pay або банк надсилає сповіщення чи SMS, автоматизація передає платіж у Topf. Сам Topf не може читати ваш Wallet, ваші повідомлення та сповіщення інших застосунків; він отримує лише те, що передає ваша автоматизація, і спершу зберігає це на пристрої.

Оплату Apple Pay у знайомого продавця Topf записує на пристрої за пам’яттю вашої книги, нічого не надсилаючи на розбір. Для нового продавця з Apple Pay і для кожного повідомлення банку, знайомий продавець чи ні, платіж іде на наш сервер разом із контекстом, потрібним для розбору: назва продавця й сума, як їх віддає Apple Pay, або текст повідомлення точно так, як його написав банк, а також мова інтерфейсу, дата й час надходження платежу, часовий пояс, основна валюта й назви ваших категорій. Звідти він передається OpenAI, який читає суму й продавця та вибирає категорію.

У повідомленні банку буває залишок на рахунку або останні цифри картки; вони теж ідуть, бо текст надсилається так, як його написав банк. Він проходить через нашу функцію в пам’яті й на наших серверах не зберігається. До OpenAI нічого не йде, доки ви не дозволили це в застосунку; з вибором «Без OpenAI» до OpenAI не йде нічого, а дозвіл можна відкликати будь-коли в «Налаштування → Конфіденційність».

OpenAI обробляє ці дані за нашим дорученням як обробник, з тими самими налаштуваннями й тим самим зберіганням для контролю зловживань, що й для голосового введення.

Topf AI

Topf AI відповідає на запитання про ваші гроші за вашою книгою. Він працює лише з обліковим записом, і нічого не надсилається, поки ви не дозволите це в застосунку; дозвіл зберігається на вашому пристрої. Відкликати його можна будь-коли: «Налаштування → Конфіденційність».

З кожним запитанням наш сервер надсилає до OpenAI саме запитання, мову інтерфейсу, сьогоднішню дату, часовий пояс, основну валюту та назви ваших рахунків і категорій. Щоб відповісти, модель запитує в застосунку те, що їй потрібно, а застосунок знаходить це в книзі на вашому пристрої й надсилає лише це: знайдені операції з датою, сумою, категорією, рахунком і нотаткою, підсумки за категоріями, місяцями чи рахунками, баланси рахунків, бюджети поточного періоду та регулярні операції. Розмова до цього моменту йде з кожним кроком відповіді. Адреса електронної пошти та ідентифікатор облікового запису до OpenAI не надсилаються.

Запитання голосом записується на вашому пристрої, надсилається на наш сервер, розпізнається OpenAI і повертається текстом. Чек, доданий у Topf AI, проходить шлях сканування чеків, описаний вище, і моделі не показується. Topf AI сам нічого не змінює в книзі: чернетки операцій і зміни категорій, рахунків, бюджетів і регулярних операцій записуються лише після вашого підтвердження.

Запитання, записи, надіслані з ними частини книги та відповіді проходять через нашу функцію в пам’яті й нами не зберігаються; розмова лишається в застосунку, доки ви не почнете нову або не закриєте застосунок. Якщо ви користуєтеся обліковим записом, запитання збільшує описаний вище місячний лічильник на один, скільки б кроків не забрала відповідь. OpenAI обробляє ці дані за нашим дорученням як обробник, з тими самими налаштуваннями й тим самим зберіганням для контролю зловживань, що й під час голосового введення. Не запитуйте того, чого не повинен бачити обробник.

Електронна пошта

Коди входу надсилаються через Amazon Simple Email Service (AWS, Франкфурт-на-Майні, Німеччина). Сервіс отримує вашу адресу, щоб доставити лист. Рекламних листів ми не розсилаємо, і списку розсилки немає.

Курси валют

Щоденні курси валют надходять із відкритого сервісу api.frankfurter.dev. Запит раз на день робить наш сервер одразу для всіх, а не ваш пристрій, — тож скільки б валют ви не вели, цей сервіс нічого про вас не дізнається.

Покупки

Topf Plus купується на iPhone через App Store від Apple, а на Android через Google Play, з обліковим записом або без нього. Сам платіж, дані вашої картки й ваш Apple ID чи обліковий запис Google залишаються в магазині; ми їх ніколи не бачимо. Apple і Google обробляють покупку як самостійні контролери за своїми політиками конфіденційності. RevenueCat (RevenueCat, Inc., США) отримує підтвердження покупки від магазину (квитанцію App Store або токен покупки Google Play), анонімний ідентифікатор вашого встановлення і — якщо у вас є обліковий запис — його ідентифікатор та повідомляє застосунку й нашому серверу, чи активний Plus і до якої дати. RevenueCat обробляє ці дані за нашим дорученням як обробник; передавання до США ґрунтується на стандартних договірних положеннях ЄС.

Статистика використання

Щоб розуміти, де люди губляться і що покращити, застосунок надсилає статистику використання до PostHog (PostHog Inc., США; дані зберігаються в ЄС, у Франкфурті): як використовується застосунок — які екрани відкриваються і які дії в ньому виконуються. З кожною подією надходять версія застосунку, операційна система та її версія, мова, часовий пояс і випадковий ідентифікатор встановлення.

Ніколи не надсилаються суми, нотатки, назви рахунків і категорій, те, що ви сказали, ваша адреса пошти та ідентифікатор облікового запису. IP-адреса відкидається й не використовується для визначення місцезнаходження. Статистика не пов’язана з вашим обліковим записом; після перевстановлення застосунку ідентифікатор встановлення буде новим. Надсилання можна вимкнути в застосунку: «Налаштування → Конфіденційність → Статистика використання».

Правова підстава — наш законний інтерес у тому, щоб покращувати застосунок (ст. 6(1)(f) GDPR). PostHog обробляє ці дані за нашим дорученням як обробник; передавання до США ґрунтується на стандартних договірних положеннях ЄС. Події доступні для аналізу рік; старіші не потрапляють у звіти, але PostHog може зберігати їх у своєму архіві. Оскільки статистика не пов’язана з вами, виокремити й видалити події одного встановлення ми не можемо.

Цей сайт

Сайт розміщено на Cloudflare Pages. На ньому немає ні форм, ні файлів cookie, ні аналітики, ні вбудованого вмісту третіх сторін. Лише головна сторінка зчитує мови, вибрані у вашому браузері, щоб відкритися однією з них, і нічого з цього не зберігається. Cloudflare обробляє технічні дані, які бачить будь-який вебсервер, — вашу IP-адресу, запитану адресу, user agent, — щоб доставити сторінку й захистити сервіс.

Хто ще бачить дані

Лише названі вище обробники, кожен — задля свого єдиного завдання:

• Supabase — розміщення бази даних і сервісу входу;
• PowerSync — синхронізація між базою даних і вашими пристроями;
• OpenAI — перетворення промовленої фрази, знімка чека або повідомлення про платіж на чернетки й категорії, а також відповіді на запитання про вашу книгу в Topf AI;
• Amazon Web Services — доставлення листів та інфраструктура, на якій працює база даних;
• RevenueCat — обробка покупок у застосунку й стан вашого права на Plus;
• PostHog — статистика використання застосунку;
• Cloudflare — розміщення цього сайту й домен.

Ми стежимо за тим, щоб треті сторони, яким ми передаємо дані користувачів, захищали їх на тому самому або рівноцінному рівні, який передбачають ця політика конфіденційності та чинні для нашого застосунку вимоги щодо захисту даних.

Ваші дані не продаються, не здаються в оренду, не передаються рекламодавцям і не використовуються для навчання будь-чиїх моделей.

Як довго ми зберігаємо дані

Стільки, скільки існує ваш обліковий запис. Видалення облікового запису видаляє книгу на сервері; копія, уже синхронізована на ваші пристрої, зникає, коли ви виходите з облікового запису або видаляєте застосунок.

Операція, яку ви видаляєте в застосунку, одразу зникає з книги та з усіх підсумків; одразу після цього видалення ще можна скасувати. На сервері вона лишається збереженою з позначкою «видалено», доки ви не видалите акаунт.

Ваші права

Відповідно до GDPR ви маєте право на доступ до своїх даних, на їх виправлення й видалення, на обмеження обробки та перенесення даних, а також право заперечити проти обробки, що ґрунтується на законному інтересі.

Видалення вбудовано в застосунок: «Налаштування» → «Обліковий запис» → «Видалити обліковий запис» видаляє ваші дані на сервері, а якщо ви входили через Apple, заразом відкликає і цей дозвіл. З усіх інших питань пишіть на [email protected].

Діти

Topf не призначений для дітей і не розрахований на людей, молодших за 16 років.

Зміни

Коли ця політика змінюється, разом із нею змінюється й дата вгорі. Про зміну, яка істотно стосується поводження з вашими даними, застосунок повідомить заздалегідь, до того як вона набуде чинності.