Політика конфіденційності PayCheck

PayCheck — застосунок для особистих фінансів на Android та iOS. Ваші транзакції, баланси, рахунки, категорії, цілі й нотатки зберігаються в зашифрованій базі даних на вашому пристрої. Ми, розробник, не отримуємо, не зберігаємо й не маємо доступу до вашої фінансової історії. Дані потрапляють до нас лише тоді, коли ви користуєтеся необов'язковою функцією, якій вони потрібні: акаунтом PayCheck, Premium, купленим у Google Play, підтримкою, опитуваннями в App News, видаленням акаунта або необов'язковими технічними звітами. Спільні фінанси передають обрані вами рахунки наскрізно зашифрованими через ваш власний Google Drive і ніколи — через наші сервери. Безкоштовна версія показує рекламу Google AdMob; Premium її прибирає. Android-застосунок надсилає звіти про збої та базову статистику використання до Google Firebase. Ми не продаємо персональні дані й ніколи не використовуємо фінансові дані для реклами.

Контролер даних PayCheck — Вадим Руснак, індивідуальний розробник з України («ми», «нас»). Контакт з усіх питань і запитів щодо конфіденційності: [email protected].

Ця політика стосується застосунків PayCheck для Android (Google Play) та iPhone/iPad (App Store), API PayCheck на vados.dev, до яких звертаються застосунки, сторінок PayCheck на vados.dev (зокрема бета-програми та сторінки видалення акаунта) і листування з підтримкою. Решту сайту vados.dev охоплює загальна політика сайту: /ua/privacy-policy. Google, Apple та інші постачальники, названі нижче, також обробляють дані за власними політиками конфіденційності, наприклад https://policies.google.com/privacy і https://www.apple.com/legal/privacy/.

PayCheck зберігає ваші фінансові записи (транзакції та суми, рахунки й баланси, категорії, цілі, нотатки та нагадування), ім'я профілю й налаштування застосунку лише на вашому пристрої. База даних зашифрована, а її ключ захищено Android Keystore або iOS Keychain. Графіки, аналітика та звіти обчислюються на пристрої. У нас немає копії цих даних. Вони залишають пристрій лише тоді, коли ви самі цього хочете: експортуєте чи створюєте резервну копію, ділитеся рахунками через Спільні фінанси (наскрізне шифрування) або самі вписуєте фінансові деталі в повідомлення до підтримки. Інші функції, що працюють лише на пристрої: необов'язкове блокування застосунку використовує біометричну перевірку або код пристрою, і результат не залишає пристрій; нагадування — це локальні сповіщення; камера (iOS) або сканер кодів сервісів Google Play (Android) використовується лише для зчитування QR-коду об'єднання у Спільних фінансах, а зображення не зберігається й не передається. На Android PayCheck виключає свої дані з автоматичного хмарного резервного копіювання Android. На iOS зашифрована база даних може входити до резервних копій пристрою, які ви створюєте в iCloud або на комп'ютері.

PayCheck можна користуватися без акаунта. Акаунт потрібен для окремих функцій, наприклад щоб активувати Premium, куплений у Google Play, і керувати даними на сервері або видалити їх. Вхід забезпечує Supabase (https://supabase.com/privacy). Увійти можна так: - Google: Google підтверджує вашу особу, а застосунок передає отриманий Google ID-токен до Supabase. Supabase зберігає з цього токена вашу адресу e-mail, ідентифікатор акаунта Google, ім'я та URL фото профілю. - Вхід через Apple (iOS): Apple передає ідентифікатор користувача та адресу e-mail; якщо ви обрали «Приховати e-mail», це буде адреса-ретранслятор Apple. - E-mail і пароль: ваша адреса e-mail та хеш пароля. Сам пароль ніколи не зберігається. Для кожного акаунта ми також зберігаємо випадковий 12-символьний PayCheck ID (показується в застосунку й використовується для перевірки запитів на видалення), час створення акаунта та останнього входу, а на Android — ім'я, яке ви вказали в PayCheck. Supabase веде технічні журнали автентифікації, наприклад події входу з IP-адресою, для безпеки. Токени сесії зберігаються на пристрої в зашифрованому вигляді. Вихід з акаунта видаляє сесію з пристрою, але не видаляє акаунт на сервері, ваші локальні дані чи дозвіл Google Drive. Вхід не завантажує вашу фінансову історію і сам по собі не дає PayCheck доступу до вашого Google Drive.

Платежі повністю обробляють Google Play або Apple App Store. Ми ніколи не отримуємо номер вашої картки, банківські реквізити чи платіжну адресу. Premium прибирає рекламу. Google Play (Android): для купівлі Premium потрібен акаунт PayCheck. Після покупки застосунок надсилає токен покупки та ідентифікатор продукту на наш сервер vados.dev. Сервер перевіряє підписку через Google Play Developer API і зберігає, прив'язавши до вашого акаунта: ідентифікатор продукту, стан підписки, дату завершення, номер замовлення, SHA-256-хеш токена покупки (не сам токен) і запис про підписку, отриманий від Google, з видаленими токенами. Цей запис містить, наприклад, час покупки й завершення та країну або регіон покупки. Зміни зберігаються в історії прав доступу. Застосунок також передає Google Play односторонній хеш ідентифікатора вашого акаунта, щоб покупка належала саме вашому акаунту. App Store (iOS): StoreKit перевіряє покупки на вашому пристрої, і PayCheck не надсилає квитанції чи транзакції App Store на наш сервер. Якщо ви ввійшли в акаунт, застосунок додає до покупки внутрішній ідентифікатор вашого акаунта PayCheck як «app account token» App Store, тож запис Apple про покупку пов'язаний з вашим акаунтом. Керувати підпискою чи скасувати її можна у вашому акаунті Google Play або Apple. Видалення акаунта PayCheck чи застосунку не скасовує підписку.

Безкоштовна версія показує рекламу Google AdMob (Google Mobile Ads SDK). Для активних передплатників Premium застосунок рекламу не запитує. Перед запитом реклами застосунок через Google User Messaging Platform (UMP) просить вашої згоди там, де цього вимагає закон, наприклад у ЄЕЗ, Великій Британії та Швейцарії. Переглянути чи змінити вибір можна будь-коли в Налаштування → «Налаштування приватності реклами» (показується там, де це застосовно). Android: якщо ви погоджуєтеся або згода не потрібна, Google може показувати персоналізовану рекламу з використанням рекламного ідентифікатора пристрою. Якщо ви відмовляєтеся, Google показує неперсоналізовану рекламу. Рекламний ідентифікатор можна скинути або видалити в налаштуваннях Android. iOS: PayCheck запитує лише неперсоналізовану рекламу, вимикає власний ідентифікатор видавця (publisher first-party ID) і не запитує дозволу App Tracking Transparency, тому рекламний ідентифікатор (IDFA) недоступний ні застосунку, ні Google. На обох платформах Google Mobile Ads SDK збирає такі дані, як IP-адреса (для визначення приблизного місцезнаходження), ідентифікатори пристрою й застосунку, взаємодію з рекламою, дані про продуктивність і діагностику — для показу реклами, обмеження частоти, вимірювання та запобігання шахрайству, зокрема й для неперсоналізованої реклами. Ми ніколи не передаємо AdMob ваші транзакції, баланси, дані акаунта, e-mail чи PayCheck ID. Як Google використовує ці дані: https://policies.google.com/technologies/partner-sites.

Android: застосунок містить Google Firebase Crashlytics, Google Analytics for Firebase і Firebase App Check. - Crashlytics надсилає звіт, коли застосунок аварійно завершується або стикається з непередбаченою помилкою: стек викликів, модель пристрою, версію Android, версію застосунку, випадковий ідентифікатор встановлення Crashlytics і кілька технічних значень, які додаємо ми (мову застосунку, код валюти та результат вбудованої перевірки безпеки). Тексти помилок очищуються перед надсиланням, і звіти ніколи не містять ваших фінансових записів. - Google Analytics for Firebase збирає автоматичні події (наприклад перше відкриття, оновлення застосунку, початок сесії та покупку в застосунку) разом з ідентифікатором екземпляра застосунку та даними про пристрій і застосунок. Також записуються п'ять власних подій: завершення початкового налаштування, перша додана транзакція, купівля Premium, створення Спільних фінансів і ввімкнення банківського імпорту. Ці події не містять сум, назв чи даних акаунта. Рекламний ідентифікатор збирається лише після того, як згоду надано через форму згоди, описану в розділі про рекламу. - Застосунок також отримує від Google Play токен цілісності пристрою, який ми можемо використовувати, щоб відрізняти справжні встановлення застосунку від автоматизованого трафіку. iOS: PayCheck не містить SDK для звітів про збої чи аналітики. Якщо ви ввімкнули «Надсилати розробникам програм» у налаштуваннях iOS, Apple може передавати нам дані про збої та використання на умовах Apple. Ми використовуємо ці дані лише для пошуку й виправлення помилок, безпеки застосунку та розуміння загального використання. Google обробляє їх як наш постачальник послуг. Технічні звіти (необов'язково, за замовчуванням вимкнено). У налаштуваннях можна ввімкнути «Надсилати технічні звіти». Коли цей параметр увімкнено, застосунок надсилає нам короткі структуровані записи про технічні події: запуск застосунку, відкриті екрани, тип помилки й місце в коді, де вона сталася, чи було розпізнано банківське сповіщення, тривалість операцій, модель пристрою, версію операційної системи та застосунку, мову застосунку й випадковий ідентифікатор, створений застосунком для цієї копії. Назва банку, сповіщення якого було (або не було) розпізнано, додається лише тоді, коли ви ввімкнули технічні звіти. У записах немає полів для сум, балансів, назв рахунків чи категорій, описів операцій, тексту сповіщень, e-mail, імені, PayCheck ID, вмісту резервних копій, даних Спільних фінансів, місцезнаходження чи контактів, тому такі дані не можуть туди потрапити. Ідентифікатор не пов'язаний з вашим акаунтом, рекламою чи звітами про збої й змінюється щоразу, коли ви вимикаєте й знову вмикаєте цей параметр. Ми зберігаємо ці записи до 60 днів на власному сервері, не створюємо їхніх резервних копій і протягом 24 годин видаляємо всі записи, пов'язані з вашим ідентифікатором, коли ви користуєтеся кнопкою «Видалити мої звіти» в застосунку. Вимкнення параметра негайно припиняє надсилання.

Спільні фінанси дозволяють 2 людям (до 6 з Premium) бачити рахунки, якими кожен учасник вирішив поділитися. Сервера PayCheck для спільного доступу немає: спільні дані кожного учасника зберігаються в одному файлі в його власному Google Drive. Як це працює: - Ви підключаєте акаунт Google і надаєте дозвіл «drive.file». Він дозволяє PayCheck створювати й читати лише файли, створені PayCheck, або ті, які ви явно відкрили у вікні вибору файлів Google; інших файлів у вашому Drive PayCheck не бачить. Токен доступу Google зберігається лише на вашому пристрої. - Застосунок записує у ваш файл на Drive рахунки, якими ви вирішили поділитися (назви, валюти, баланси й транзакції від обраної вами дати, зокрема суми, дати, описи та категорії), разом з вашим іменем, кольором і адресою Google e-mail. Цей вміст шифрується (AES-256-GCM) і підписується на вашому пристрої ключами, які створюються й зберігаються лише на пристроях учасників. Google зберігає файл, але не може прочитати його вміст. Ми ніколи не отримуємо ні файл, ні ключі. - Ваш файл відкривається лише для читання адресам Google e-mail інших учасників через дозволи Google Drive, без листа-сповіщення від Google. Кожен учасник один раз підтверджує доступ у вікні вибору файлів Google. - Інші учасники бачать ваше ім'я, колір і адресу Google e-mail, а також рахунки й транзакції, якими ви ділитеся. Google бачить, що файл існує, його розмір і час оновлення, назву (вона містить ваше ім'я) та акаунти Google, яким його відкрито. - Об'єднання відбувається через QR-коди, які показують і сканують між телефонами особисто. Вони містять відкриті ключі, імена, адреси e-mail та ідентифікатори файлів і не надсилаються нам. Припинення доступу й вихід: коли ви перестаєте ділитися рахунком, він зникає з вашого файлу під час наступної синхронізації. Коли учасник виходить або його видаляють, ключ групи замінюється, а доступ цього учасника до файлів інших учасників відкликається, тож нових оновлень він прочитати не зможе. Файл учасника, що виходить, одразу очищується й видаляється з його Drive через 14 днів. Те, що пристрій іншого учасника вже завантажив, залишається на тому пристрої; видалити це віддалено ми не можемо. Ви будь-коли можете видалити свій файл у Google Drive і відкликати доступ PayCheck на https://myaccount.google.com/permissions. Сервіси Google API: використання PayCheck інформації, отриманої з Google API, та її передавання іншим застосункам відповідатиме Політиці щодо даних користувачів сервісів Google API (https://developers.google.com/terms/api-services-user-data-policy), зокрема вимогам обмеженого використання (Limited Use). Дані Google Drive використовуються лише для надання вам Спільних фінансів. Вони не використовуються для реклами, не продаються, не використовуються для навчання моделей ШІ й не читаються людьми, крім випадків вашого явного дозволу, потреб безпеки або вимог закону.

На Android ви можете за бажанням увімкнути автоматичний імпорт із банківських сповіщень. Для цього потрібен системний дозвіл «Доступ до сповіщень», який ви надаєте самі й можете будь-коли відкликати в налаштуваннях Android. PayCheck читає лише сповіщення з вбудованого списку підтримуваних банківських застосунків і ігнорує всі інші. Сума, валюта, опис і час визначаються на вашому пристрої, після чого застосунок додає транзакцію або просить вас її перевірити. Вміст сповіщень обробляється лише на вашому пристрої й ніколи не надсилається нам чи третім особам. Коли ви переглядаєте імпортовану банківську операцію, оригінальний текст сповіщення зберігається на вашому пристрої в зашифрованому вигляді лише до 24 годин (або доки перегляд не завершено) і нікуди не надсилається. Функція перебуває в бета-версії, доступна лише в окремих регіонах і відсутня на iOS. PayCheck не читає SMS.

Експорт (CSV, JSON, PDF, XLSX) і резервні копії створюються на вашому пристрої та зберігаються лише там, де ви оберете через системне вікно файлів або «Поділитися», наприклад у пам'яті пристрою, хмарному сховищі, месенджері чи e-mail. PayCheck ніколи не передає їх нам. Звичайний експорт не шифрується, і застосунок попереджає вас перед його створенням. Резервні копії з паролем шифруються вашим паролем. Автоматичні резервні копії за розкладом (Premium) містять зашифровану базу даних і зберігаються на пристрої або в обраному вами місці. Зашифровані резервні копії також містять ключі Спільних фінансів, щоб після відновлення можна було продовжити роботу з групою. Щойно ви зберегли файл в іншому сервісі чи надіслали його, діють умови цього сервісу, і ви самі відповідаєте за видалення непотрібних копій.

Застосунок завантажує дописи App News і курси валют з vados.dev. Якщо ви голосуєте в опитуванні, застосунок надсилає ваш вибір і випадковий ідентифікатор голосуючого, створений застосунком. Він використовується лише для запобігання повторним голосам і не пов'язаний з вашим акаунтом, e-mail чи фінансовими даними. Як і будь-який інтернет-запит, ці запити показують нашому серверу та Cloudflare вашу IP-адресу й тип застосунку чи пристрою (User-Agent); див. розділ «Сайт PayCheck, бета-програма та журнали сервера».

Коли ви надсилаєте відгук або повідомлення про проблему із застосунку, ми отримуємо те, що ви ввели (оцінку, коментар чи опис проблеми та її важливість), адресу e-mail, якщо ви вирішили її вказати, і технічні дані: платформу, виробника й модель пристрою, версію операційної системи та версію застосунку. Наш сервер також записує IP-адресу та User-Agent запиту для запобігання зловживанням. Застосунок ніколи не додає журнали, транзакції, баланси, назви рахунків чи файли резервних копій. Будь ласка, не пишіть у повідомленні фінансових деталей. Якщо ви пишете нам на e-mail, ми отримуємо вашу адресу та повідомлення. Дані підтримки ми використовуємо лише для відповіді вам і покращення PayCheck.

vados.dev працює на віртуальному сервері, який ми орендуємо в Contabo в Європі, і доставляється через Cloudflare (мережа та безпека). Коли застосунок чи ваш браузер звертається до vados.dev, вебсервер і Cloudflare обробляють вашу IP-адресу, User-Agent, запитувану адресу та час. Журнали вебсервера та застосунку на нашому сервері ротуються щодня й зберігаються 14 днів; Cloudflare обробляє свої журнали згідно з власною політикою (https://www.cloudflare.com/privacypolicy/). Сервер також зберігає короткочасні записи обмеження частоти запитів за IP-адресою, щоб блокувати зловживання. На вебсторінках PayCheck ми ведемо журнал безпеки та статистики (перегляди сторінок і події безпеки з IP-адресою, User-Agent, джерелом переходу та приблизною країною), а коли це ввімкнено — використовуємо аналітику PostHog (хмара в ЄС). Застосунки не містять PostHog. Якщо ви приєднуєтеся до бета-програми PayCheck, ми обробляємо надані вами дані (e-mail, ім'я користувача, ім'я, обрані напрями тестування, повідомлення, звіти про помилки та завантажені знімки екрана) і дані реєстрації (IP-адресу, User-Agent, пристрій, приблизні країну й місто), щоб вести програму. Листи, які ми надсилаємо (наприклад підтвердження видалення акаунта й повідомлення бета-програми), доставляє Resend, і копію кожного надісланого листа ми зберігаємо в журналі листів.

Дані на пристрої: видаліть записи в застосунку або видаліть сам застосунок (на Android можна також очистити дані застосунку). Видаліть експортовані файли й резервні копії скрізь, де ви їх зберегли. Для Спільних фінансів вийдіть із групи в застосунку й видаліть свій файл у Google Drive. Акаунт PayCheck: у застосунку відкрийте Налаштування й скористайтеся функцією видалення акаунта або відкрийте сторінку https://vados.dev/ua/paycheck/account-deletion, яка працює без застосунку (потрібні e-mail акаунта та ваш 12-символьний PayCheck ID). В обох випадках ми надсилаємо на адресу акаунта одноразове посилання для підтвердження. Воно дійсне 30 хвилин, і нічого не видаляється, доки ви не відкриєте його й не підтвердите. Після підтвердження ми видаляємо: ваш обліковий запис входу в Supabase (e-mail, хеш пароля, ідентифікатори Google чи Apple, ім'я та URL фото), ваш PayCheck ID і профіль, синхронізоване ім'я та налаштування, записи про права Premium та їхню історію, дані бета-програми, пов'язані з акаунтом (зокрема звіти про помилки й завантажені знімки екрана), а також збережені в нас копії листів, надісланих на вашу адресу. Що ми зберігаємо: запис про запит на видалення (адреса e-mail, PayCheck ID, внутрішній ідентифікатор акаунта, час, хеш IP-адреси та User-Agent, з яких було підтверджено) як доказ того, що запит виконано; повідомлення підтримки, не пов'язані з вашим акаунтом (напишіть нам — і ми їх видалимо); короткочасні журнали безпеки до завершення їхнього строку. Google і Apple зберігають власні записи про покупки. Дані можуть залишатися в щоденних резервних копіях Supabase, доки їх не буде замінено згідно з політикою резервного копіювання Supabase (https://supabase.com/docs/guides/platform/backups), а також у журналах наших постачальників до завершення їхніх строків. Видалення акаунта не скасовує підписку в Google Play чи App Store, не стирає дані на вашому пристрої й не видаляє ваш файл у Google Drive чи дані, які інший учасник Спільних фінансів уже завантажив. Ви також можете прибрати PayCheck зі свого акаунта Google на https://myaccount.google.com/permissions, а якщо входили через Apple — припинити використання Apple ID з PayCheck у налаштуваннях Apple ID.

Ми зберігаємо персональні дані лише стільки, скільки потрібно для цілей, описаних у цій політиці. Якщо автоматичний строк видалення не налаштовано, у таблиці це зазначено; ви завжди можете попросити нас видалити такі дані раніше.

- Надання застосунку й обраних вами функцій (акаунт, Premium, Спільні фінанси, підтримка, видалення акаунта): виконання нашої домовленості з вами. - Персоналізована реклама й, де це потрібно, збереження чи зчитування інформації на пристрої для реклами: ваша згода в діалозі UMP, яку можна відкликати в «Налаштуваннях приватності реклами». - Неперсоналізована реклама, звіти про збої, статистика застосунку, журнали безпеки та обмеження частоти: наші законні інтереси — фінансувати безкоштовний застосунок, підтримувати його стабільність і безпеку та запобігати зловживанням. Ви можете будь-коли заперечити (див. «Ваші права»). - Імпорт банківських сповіщень, доступ до Google Drive і камера: ваш дозвіл, який можна відкликати в системних налаштуваннях або відключивши функцію. - Зберігання записів про видалення та запити щодо конфіденційності: наші юридичні обов'язки та встановлення чи захист правових вимог.

Ми не продаємо персональні дані. Ми передаємо їх лише постачальникам, які забезпечують частини PayCheck для нас, і лише для цієї мети: - Supabase: акаунти та записи Premium; - Google: Google Play і Play Billing, AdMob і UMP, Firebase Crashlytics, Analytics і App Check, вхід через Google і Google Drive (Спільні фінанси); - Apple: App Store, StoreKit і вхід через Apple; - Cloudflare: доставка й безпека vados.dev; - Resend: доставка листів; - Contabo: хостинг сервера vados.dev (Європа); - PostHog: аналітика сайту, коли її ввімкнено. У Спільних фінансах учасники, з якими ви об'єдналися, отримують дані, якими ви вирішили поділитися. Ми можемо розкрити дані, якщо цього вимагає закон, або для захисту прав і безпеки. На Android персоналізована реклама AdMob за законами про конфіденційність деяких штатів США може вважатися «поширенням» даних для таргетованої реклами. Відмовитися можна, відхиливши персоналізовану рекламу в «Налаштуваннях приватності реклами» або видаливши рекламний ідентифікатор у налаштуваннях Android.

Ми перебуваємо в Україні. Наша база даних акаунтів (Supabase) розміщена в регіоні West EU (Ірландія), а сервер vados.dev працює на віртуальному сервері Contabo в Європі. Наші постачальники також можуть обробляти дані в Європейському Союзі, США та інших країнах, де працюють вони чи їхні субпідрядники; Google, Apple і Cloudflare мають глобальну інфраструктуру. Там, де цього вимагає законодавство про захист даних, передача ґрунтується на рішеннях про адекватність, стандартних договірних умовах постачальників або рівноцінних гарантіях.

Фінансові дані зашифровані на вашому пристрої; мережеві з'єднання використовують HTTPS; вміст Спільних фінансів зашифрований наскрізно й підписаний; токени покупок і посилання для видалення зберігаються лише у вигляді хешів; доступ до сервера та адміністрування обмежено. Жодна система не є повністю захищеною, тож бережіть свій пристрій, акаунти й експортовані файли.

PayCheck не призначений для дітей до 13 років або до мінімального віку цифрової згоди в їхній країні, якщо він вищий. Ми свідомо не збираємо персональні дані дітей. Якщо ви вважаєте, що дитина передала нам персональні дані, напишіть нам — і ми їх видалимо.

Залежно від місця проживання (наприклад за GDPR, UK GDPR або законодавством України) ви можете попросити нас надати доступ до ваших персональних даних, виправити, видалити, обмежити їх обробку чи передати їх, заперечити проти обробки на підставі наших законних інтересів і будь-коли відкликати згоду без впливу на попередню обробку. Пишіть на [email protected]. Ми можемо попросити підтвердити, що акаунт належить вам, наприклад написати з адреси e-mail акаунта, і відповідаємо протягом одного місяця. Більшість ваших даних до нас ніколи не потрапляє, тож ви можете керувати ними й безпосередньо — у застосунку, у Google Drive та у своєму акаунті магазину. Ви можете подати скаргу до органу із захисту даних; в Україні це Уповноважений Верховної Ради України з прав людини.

Ми оновлюємо цю політику, коли змінюється PayCheck або порядок обробки даних, і зазначаємо нову дату вгорі сторінки. Про важливі зміни ми також повідомляємо в застосунку або на цій сторінці.

Вадим Руснак (PayCheck), Україна: [email protected]. Будь ласка, ніколи не надсилайте e-mail з паролями, паролями резервних копій чи повними фінансовими даними.