Политика конфиденциальности

Действует с 10 сентября 2026 года. Обновлена 22 сентября 2026 года (версия 1.2: напоминание о незаконченном подключении банка).

Коротко

Ваши счета, операции, категории, цели и долги хранятся только на вашем телефоне. Приложение не отправляет их никуда: ни нам, ни третьим лицам. Это относится и к операциям, загруженным из банков: вход в банк происходит на вашем устройстве, и ни логины, ни коды, ни операции к нам не попадают.

Учётная запись нужна только для подключения банков и создаётся по вашему действию. О ней мы храним минимум: идентификатор, имя и почту от Apple или Google, код аккаунта и срок доступа к банкам. Учёт вручную работает без учётной записи.

Наружу уходит только техническая информация: отчёты о сбоях и статистика того, какие экраны открывают и на что нажимают. Сумм, названий и контрагентов в ней нет. Если вы вошли в учётную запись, к этой статистике добавляется её идентификатор; без входа она обезличена. Статистику можно выключить.

Какие данные вы вводите и где они лежат

Всё, что вы вводите — названия счетов, суммы, даты, категории, комментарии, имена контрагентов в долгах — записывается в хранилище приложения на устройстве. Эти данные:

• не передаются на наши серверы;
• не передаются третьим лицам;
• удаляются вместе с приложением;
• попадают в резервную копию только тогда, когда вы сами нажимаете «Экспорт» — и уходят туда, куда вы их отправите (мессенджер, заметки, файл).

Если вы включили резервное копирование устройства (iCloud), данные приложения могут попасть в копию по правилам Apple. Это происходит вне приложения и регулируется политикой Apple.

Учётная запись

Учётная запись создаётся, когда вы входите через Apple или Google на экране «Аккаунт». Она нужна для одного — подключать банки. При входе мы получаем от Apple или Google и храним на сервере:

• идентификатор пользователя;
• имя и адрес электронной почты, которые передал провайдер входа (Apple позволяет скрыть настоящий адрес — тогда мы получаем адрес-псевдоним);
• код аккаунта вида KOPI-XXXX-XXXX, вычисленный из идентификатора;
• срок доступа к банкам (пробный период и оплаченный период);
• открытый ключ устройства и журнал обращений к серверу: какое устройство, какой банк подключался, когда — без содержимого;
• идентификатор устройства для доставки уведомлений, если вы их разрешили;
• незаконченное подключение банка: какой банк вы начали подключать, на каком шаге остановились (например «код из СМС») и когда. Это нужно, чтобы через несколько часов напомнить вам об этом уведомлением. Ни номера телефона, ни кодов, ни паролей, ни операций в этой записи нет; она удаляется, как только вход закончен — успешно или отказом — и сразу после отправки напоминания;
• сведения об оплате, если вы оплачивали доступ: номер и сумма платежа. Реквизиты карты мы не получаем — их обрабатывает платёжный сервис.

Сервер — Google Firebase (Cloud Functions и база данных в регионе Франкфурт, служба входа Google). Учётная запись не связана с данными учёта: ни счета, ни операции, ни данные банков на сервер не передаются.

Удалить учётную запись можно в приложении: Профиль → Аккаунт → «Удалить аккаунт». Сервер удаляет запись о пользователе, код, срок доступа, ключи устройств и журнал выдач. Данные учёта на телефоне остаются.

Вход на сайт по QR-коду из приложения создаёт короткоживущую сессию входа; для этого приложение запрашивает доступ к камере в момент сканирования.

Импорт из банков

Подключение банка происходит на вашем устройстве штатным способом банка: номер телефона, код из СМС, пароль — то, что банк запрашивает у своих клиентов. Учётные данные и токены сессии банка хранятся в защищённом хранилище устройства (Keychain), операции и остатки — в хранилище приложения. Ничего из этого не передаётся нам или третьим лицам.

Отключение банка в приложении удаляет с устройства его учётные данные, токены и загруженные операции.

Какие данные собираются автоматически

Через сервисы Google Firebase собирается обезличенная информация:

Отчёты о сбоях (Firebase Crashlytics). Когда приложение падает: модель устройства, версия системы, версия приложения, стек вызовов и — если вы вошли в учётную запись — её идентификатор. Нужны, чтобы починить поломку.

Статистика использования (Firebase Analytics). Какие экраны открывались, какие кнопки нажимались, какие настройки менялись. Числа передаются диапазонами («10–99 операций»), а не точными значениями. Если вы вошли в учётную запись, к этим событиям добавляется её идентификатор — тот же, что на экране «Аккаунт»: он связывает статистику разных сеансов одного человека и позволяет прислать напоминание, если подключение банка осталось незаконченным. Без входа события обезличены.

Конфигурация (Firebase Remote Config). Приложение спрашивает, не является ли его версия слишком старой. Данные при этом не отправляются.

Уведомления (Firebase Messaging). Если вы разрешили уведомления, устройство получает идентификатор для их доставки. Разрешение спрашивается только в настройках и только по вашему действию. Уведомления бывают двух видов: общие — о важном обновлении и новом в приложении, и личное напоминание о незаконченном подключении банка (одно на попытку, не ночью). Выключить их можно в приложении: Профиль → Настройки, или в настройках телефона.

Чего в этой статистике нет

В события намеренно не попадают: суммы, остатки, названия магазинов и мерчантов, имена людей из долгов и переводов, идентификаторы счетов и операций, содержимое комментариев.

Это не обещание на словах: список допустимых полей закрыт в коде приложения, и попытка отправить что-либо сверх него отсекается автоматически.

Как выключить

Настройки → Приватность → «Отправлять статистику». Отключение останавливает сбор статистики использования. Отчёты о сбоях продолжают приходить: без них сломанная сборка остаётся сломанной для всех.

Отслеживание и реклама

Приложение не отслеживает вас между приложениями и сайтами, не запрашивает рекламный идентификатор (IDFA), не показывает рекламу и не передаёт данные рекламным сетям.

Доступ к функциям телефона

• Уведомления — только если вы разрешили их в настройках приложения.
• Камера — только в момент сканирования QR-кода входа на сайт; изображение никуда не отправляется и не сохраняется.
• Датчик положения — если включён жест «скрывать суммы переворотом»; показания никуда не отправляются и используются в момент жеста.

Приложение не запрашивает доступ к контактам, микрофону, фотографиям, геопозиции и файлам.

Дети

Приложение не предназначено специально для детей и не собирает данные о возрасте.

Ваши права

Данные учёта лежат на вашем устройстве, поэтому вы управляете ими напрямую: можете выгрузить их (экспорт резервной копии), изменить или удалить любую запись, удалить всё вместе с приложением. Запрашивать их у нас не требуется — у нас этих данных нет.

Данные учётной записи вы удаляете сами кнопкой «Удалить аккаунт». Узнать, что именно о вас хранится, исправить или удалить это можно и по запросу на почту ниже — ответим в течение 30 дней.

Изменения политики

При изменении политики обновляется дата в начале документа. Существенные изменения будут объявлены в описании обновления приложения.

Контакты

Вопросы о приватности: white1984j@gmail.com