Политика конфиденциальности

Мы не запрашиваем и не обрабатываем: имя, фамилию, налоговый идентификатор, дату рождения, адрес, номер телефона, пол, документ, удостоверяющий личность.

При каждом новом входе в систему мы фиксируем:

Эти данные используются исключительно для безопасности аккаунта (обнаружение подозрительных входов, противодействие злоупотреблениям). Они собираются всегда и не подпадают под opt-out Программы улучшения (см. §3.5).

Эти данные хранятся на нашей удалённой базе данных (Supabase, европейские серверы), связанной с никнеймом и email пользователя. По замыслу они не содержат идентифицирующих данных реального лица, если только пользователь добровольно не внесёт их (например, названия счетов, содержащие фамилию, — такое поведение не рекомендуется, см. /privacy-radicale).

Содержимое этих файлов шифруется end-to-end на устройстве пользователя до отправки ключом, который создаётся на устройстве и защищён кодом документов (отличным от пароля учётной записи); 24 слова восстановления (BIP39 seed) являются резервной копией этого ключа. Ключ в открытом виде никогда не покидает устройство: на сервере мы храним только его зашифрованную версию, а из содержимого документов видим лишь блоки цифрового шума. При этом, чтобы файлы можно было искать и упорядочивать, читаемыми остаются сведения, которые пользователь связывает с файлом: название, заметки, дата, тип и размер, данные о гарантиях и страховых полисах, связь с транзакциями.

Для улучшения приложения мы измеряем:

Эти данные псевдонимизируются при сборе и, как правило, анализируются в обобщённом виде (ст. 4.5 GDPR). Они остаются на наших европейских серверах Supabase: никаких сторонних сервисов (Google Analytics, Mixpanel, Amplitude, Sentry, Firebase Analytics и т. п.).

Техническая связь с учётной записью остаётся необходимой, и в ограниченном числе случаев сотрудник нашей команды может просмотреть данные об использовании, относящиеся к одной учётной записи. Это происходит в четырёх целях, все они связаны с работой и улучшением сервиса: (a) соблюдение отказа отдельного пользователя (чтобы перестать собирать данные Вашей учётной записи, нам нужно знать, какие из них Ваши); (b) измерение охвата по операционным системам (приоритет бета-тестировщиков и поддержка платформ); (c) ответ на Ваши обращения в поддержку, где знание того, какими функциями Вы пользовались и с какими ошибками столкнулись, зачастую единственный способ понять проблему; (d) диагностика сбоев, затрагивающих немногих, которые в обобщённых цифрах невидимы по определению.

Вне этих целей мы эти данные не используем: никакого коммерческого профилирования, никакой рекламы, никаких автоматизированных решений в отношении Вас, никакой передачи третьим лицам. Данные об использовании не влияют ни на цену, которую Вы платите, ни на условия, которые мы Вам предлагаем, и не служат для построения поведенческих профилей в маркетинговых целях.

Вы можете отключить сбор в любой момент в настройках приложения, в разделе «Программа улучшения».

До регистрации. С первого запуска до первого входа приложение анонимно считает, до каких шагов доходит новая установка (открытие, приветствие, вход, регистрация, подтверждение электронной почты). На сервер передаются только название шага, операционная система и версия приложения: никакой учётной записи, никакого идентификатора устройства, никакого сохранённого IP-адреса. Числа суммируются по дням, каждый шаг учитывается только один раз, а подсчёт прекращается при первом входе. Это анонимные данные, которые невозможно связать с конкретным человеком, поэтому они не зависят от Программы улучшения, которой до создания учётной записи не существует.

Обрабатываются, только если Вы сами решите подписаться. См. §5 о стороннем сервисе, который их размещает (ActiveCampaign). Для листа ожидания к запуску мы дополнительно храним строку в наших европейских базах — адрес, язык и дату — по одной-единственной причине: чтобы знать, сколько подписавшихся затем создали учётную запись. Ничего больше и никакого профилирования. Удаление запрашивается письмом на privacy@cashfulness.com, помимо ссылки отписки в каждом письме.

Не обрабатываются напрямую Cashfulness. Платежи по подписке проходят через:

Apple App Store и Google Play выступают в роли продавца по договору (merchant of record): они обрабатывают имя пользователя, адрес, кредитную карту, IBAN и отвечают за выставление счетов или фискальных чеков конечным пользователям согласно своим политикам и законодательству соответствующей страны. По этим двум каналам Cashfulness получает только чистую выручку и непрозрачный идентификатор подписки (например, sub_abc123): мы никогда не видим имя клиента, адрес, налоговый идентификатор, кредитную карту, IBAN.

И на сайте продавец — не мы. Для подписок, приобретённых через сайт, продавцом является Link (Sold through Link, LLC, компания группы Stripe), которая выступает в качестве merchant of record: принимает платёж, рассчитывает и уплачивает налоги страны клиента, выдаёт чеки и счета, а также рассматривает запросы на возврат и оспаривание платежей. Link и Stripe обрабатывают эти данные как продавец в соответствии со своей политикой конфиденциальности. Для расчёта налогов Stripe запрашивает имя и платёжный адрес: Vittorio Giusti srl видит их в панели Stripe вместе с адресом электронной почты, брендом карты и последними 4 цифрами, результатом платежа и идентификатором клиента, но имя и адрес никогда не попадают в базу данных приложения. Мы никогда не получаем полный номер кредитной карты или защитные данные (CVV). Для связи платежа с аккаунтом Cashfulness передаёт Stripe адрес электронной почты и идентификатор пользователя; после получения платежа мы сохраняем связь между пользователем и идентификатором клиента Stripe.

Платёжные данные по веб-каналу, которые мы видим в панели Stripe, обрабатываются Vittorio Giusti srl для исполнения договора (ст. 6.1.b GDPR) и для выполнения бухгалтерских обязательств, связанных с ежемесячным счётом, выставляемым Link (ст. 6.1.c GDPR); см. §4 и §7.

Если Вы включаете push-уведомления, мы обрабатываем:

Токены и очередь отправки остаются на наших серверах Supabase в Европе. Доставка проходит через Google Firebase Cloud Messaging и, на iPhone, через Apple Push Notification service: оба видят токен, заголовок и текст уведомления (см. §5). На Mac, Windows и Linux push-уведомлений нет: напоминания формируются на устройстве и не покидают приложение.

Правовое основание: исполнение договора (ст. 6.1.b GDPR), поскольку уведомления запрашиваете Вы, включая их. Вы можете отключить их в любой момент в настройках приложения или операционной системы; токен деактивируется и удаляется вместе с аккаунтом.

Когда Вы пишете нам на info@, support@ или beta@cashfulness.com либо отправляете сообщение из приложения, мы обрабатываем то, что Вы нам присылаете: текст сообщения, Ваш адрес электронной почты, никнейм, платформу и версию приложения, возможные вложения. Как мы их используем и с помощью каких инструментов, описано в §5.1.

Обращения в поддержку. Обращения, поступающие на info@, support@ и beta@cashfulness.com, и сообщения, отправленные из приложения, читает человек из нашей команды. Для их классификации и подготовки первого черновика ответа мы используем Claude — инструмент искусственного интеллекта компании Anthropic: текст обращения и, для сообщений из приложения, никнейм, адрес электронной почты, платформа, версия приложения и возможные вложения обрабатываются Anthropic в США. Мы используем Claude по индивидуальной подписке, на условиях использования Anthropic для индивидуальных пользователей: между нами и Anthropic нет соглашения об обработке данных (DPA), а в настройках аккаунта мы отключили использование материалов для обучения моделей. Черновик всегда перечитывает, исправляет и отправляет человек: ни один ответ не уходит автоматически. Мы переносим эту обработку на сервер Vittorio Giusti srl в Италии: когда это будет сделано, Anthropic перестанет получать эти данные, и мы обновим настоящую Политику.

Ассистент в приложении. В приложении есть ассистент, отвечающий на вопросы об использовании Cashfulness; его доступность зависит от тарифа. Когда Вы задаёте ему вопрос, модель получает Ваш вопрос, язык, последние сообщения той же беседы и несколько фрагментов руководства. Ваши бухгалтерские данные ей не передаются: счета, балансы, транзакции и документы остаются за её пределами. Модель работает на компьютере Vittorio Giusti srl в Италии, доступ к которому идёт через зашифрованное соединение, предоставляемое Tailscale, которая не может читать его содержимое (см. §5). Текст вопроса отправляется в том виде, в каком Вы его написали: не указывайте персональные данные, которыми не хотите делиться. Беседы сохраняются на наших серверах Supabase в Европе и удаляются вместе с аккаунтом. Ассистент даёт подсказки по использованию приложения, а не финансовые, налоговые или юридические консультации.

Чат на сайте. Окно чата на cashfulness.com не подключено ни к какому сервису искусственного интеллекта и не передаёт данные третьим лицам. Если мы его подключим, то сначала обновим настоящую Политику.

Мы не используем Ваши данные для обучения моделей искусственного интеллекта — ни своих, ни чужих — и не передаём наборы данных поставщикам ИИ.

Чтобы реализовать любое из перечисленных выше прав, пользователь может:

Мы ответим в течение 30 дней с момента запроса (может быть продлено ещё на 60 дней для особо сложных запросов согласно ст. 12.3 GDPR; в этом случае пользователь будет проинформирован).