ПОЛИТИКА КОНФИДЕНЦИАЛЬНОСТИ

Конфиденциальность

Эта Политика конфиденциальности описывает, как Amon Budget («мы», «наш») собирает, использует и защищает информацию при использовании мобильного приложения Amon Budget (далее — «Приложение») и связанных сервисов.

1. Кто мы

Amon Budget эксплуатируется R. Baster (индивидуальный разработчик). По вопросам конфиденциальности пишите на support@amon-budget.online.

Если вы находитесь в ЕЭП, Великобритании или Швейцарии, по GDPR / UK GDPR мы выступаем контролёром данных для всех персональных данных, описанных в этой политике, включая финансовый контент, который вы вводите в Приложении. Цели и средства обработки определяем мы; никто не даёт нам указаний от вашего имени. Третьи стороны из раздела 5 выступают нашими обработчиками или, где это отмечено, самостоятельными контролёрами.

2. Какую информацию мы собираем

2.1 Информация, которую вы предоставляете

Данные аккаунта — email, имя и аватар в том виде, в каком их передают Google Sign-In или Sign in with Apple. Регистрации по email и паролю в Приложении нет: аккаунт создаётся при первом входе через одного из этих провайдеров.
Финансовый контент — транзакции, балансы счетов, бюджеты, накопительные цели, категории, теги, заметки, повторяющиеся транзакции, кастомные правила. Это основное содержимое, которое вы создаёте в Приложении.
Общение — при обращении на support@amon-budget.online мы храним сообщение и ответ для целей поддержки.

2.2 Информация, собираемая автоматически

Использование — просмотры экранов, взаимодействия с функциями, длительность сессии (Firebase Analytics в мобильном приложении, Google Analytics 4 в веб-версии). Аналитика выключена, пока вы её не разрешили. Приложение поставляется с согласием на аналитику в положении «выключено» и начинает сбор только после вашего согласия; если выключить его обратно, сбор прекращается, а в вебе очищаются cookies Google Analytics. События использования функций никогда не содержат сумм и остатков. Если аналитика включена и вы проходите анкету инвестиционного плана, в аналитику уходит её итог — категория риска, причина, по которой она была ограничена (если была), и ограничивавший фактор, — а также общие состояния плана (например, готов ли расчёт или нужно больше данных, и сценарий — ежемесячный или разовый взнос), направление ежемесячного обзора (вверх или вниз) и ответ «да» или «нет» на вопрос о полезности подсказки. Суммы, остатки и ваши отдельные ответы в аналитику не отправляются.
Информация об устройстве — модель, версия ОС, версия приложения, язык, часовой пояс, Firebase installation ID, push-токен.
Сбои и производительность — стек-трейсы и метрики (через Sentry).
- В мобильном приложении и в веб-версии отчёты о сбоях отправляются без персональных данных: приложение не прикладывает к событиям вашу личность и IP-адрес. Перед отправкой приложение вычищает из текста ошибок, адресов, тегов и хлебных крошек email-адреса, токены и ключи доступа, номера счетов и карт, длинные числовые последовательности и заголовки авторизации и cookie; параметры в адресах запросов скрываются. В dev- и test-сборках Sentry отключён полностью.
- На бэкенде отчёты о сбоях тоже отправляются без персональных данных, а тела запросов подавляются целиком, а не просто обрезаются. Поэтому серверные события не несут ни ваш IP-адрес, ни cookies и заголовки авторизации, ни содержимое запроса — то есть ни суммы, ни названия счетов, ни email. Что действительно может попасть в Sentry — внутренний идентификатор вашего аккаунта: часть логов ошибок прикладывает его, чтобы можно было связать сбой с конкретным аккаунтом. Это случайный UUID, в нём нет ни имени, ни email.

2.3 Что мы НЕ делаем

Не получаем доступ к вашим банковским счетам, картам или любым внешним финансовым аккаунтам. Все финансовые данные вы вводите вручную (или через голосовой ввод / скан чека).
Не получаем, не храним и не слушаем звук с вашего микрофона — ни на одном из двух путей голосового ввода запись до нас не доходит. Обычно она вообще не покидает устройство: Приложение использует встроенный офлайн-распознаватель телефона. Если офлайн-пакета для языка диктовки нет, Приложение говорит об этом и сначала спрашивает — и только если вы согласитесь, эта запись уходит в речевой сервис Apple, Google или вашего браузера. К нам — никогда. На обоих путях устройство покидает получившийся текст; обе половины разобраны в разделе 5.2.
Не отслеживаем вас в других приложениях и сайтах. Не показываем рекламу. Не используем рекламные / маркетинговые SDK. В веб-версии Google Analytics загружается с ad_storage, ad_user_data и ad_personalization в положении denied.
Не продаём, не сдаём в аренду и не торгуем вашими персональными данными.
Не используем ваш финансовый контент для обучения AI-моделей и не дообучаем, не переобучаем и не переиспользуем его для улучшения моделей. Данные, которые мы отправляем AI-провайдеру (раздел 5.1), обрабатываются по условиям этого провайдера.

2.4 Что мы загружаем на наши серверы

Для синхронизации между устройствами, совместных бюджетов, инвестиционного плана и AI-функций следующие данные хранятся в нашем бэкенде:

Данные аккаунта (email, имя, привязки к социальным провайдерам).
Весь финансовый контент: счета, транзакции, категории, теги, бюджеты, накопительные цели, повторяющиеся транзакции.
Опциональные изображения: аватар, кастомные иконки категорий, фотографии чеков (изображение хранится как вложение к транзакции, чтобы вы могли посмотреть его позже, и используется для распознавания чека, когда вы его сканируете, — раздел 5.1).
Членство в совместных группах и журнал активности.
Push-токены (FCM).
Анкета инвестиционного плана: ваши ответы, получившаяся структура и риск-профиль, границы уведомлений, состояние уведомлений о границах (какие границы уже сработали), настройки подушки и то, какие из ваших счетов вы назначили подушкой.
Метаданные синхронизации и версии.

История ежемесячных обзоров инвестиционного плана хранится только на вашем устройстве и стирается при выходе из аккаунта.

Все передачи идут по HTTPS. Пароля от вашего аккаунта у нас нет — см. раздел 10.

3. Как мы используем информацию

Чтобы предоставить Приложение — хранить и синхронизировать ваш финансовый контент между устройствами, обеспечить совместные бюджеты, отправлять push-уведомления, на которые вы согласились, и выполнять AI-функции, которые вы вызываете (раздел 5.1). Уведомления о границах и ежемесячном обзоре инвестиционного плана можно отключить в настройках уведомлений приложения.
Чтобы улучшить Приложение — анализ агрегированной статистики для исправления багов. Аналитика работает только после вашего согласия.
Чтобы Приложение работало — отчёты о сбоях, мониторинг ошибок, безопасность, предотвращение злоупотреблений (легитимный интерес, Art. 6(1)(f) GDPR).
Чтобы общаться с вами — отвечать на запросы поддержки, отправлять сервисные уведомления (например, об инцидентах безопасности).
Чтобы соблюдать закон — отвечать на законные запросы органов власти.

Мы не используем финансовый контент ни для чего, кроме предоставления Приложения вам.

4. Правовое основание обработки (ЕЭП / UK)

Исполнение договора (Art. 6(1)(b) GDPR) — создание аккаунта, аутентификация, синхронизация, совместные группы и AI-функции, которые вы вызываете сами.
Легитимные интересы (Art. 6(1)(f)) — отчёты о сбоях, мониторинг ошибок, безопасность.
Согласие (Art. 6(1)(a)) — аналитика и push-уведомления. Согласие на аналитику по умолчанию выключено и меняется в любой момент в Settings → Privacy; для push-уведомлений нужно разрешение самой операционной системы.

5. Передача информации

Мы передаём данные только в этих случаях:

Получатель	Цель	Какие данные	Регион
Ollama Cloud (ollama.com)	Выполнение AI-функций — Quick Add, разбор чека, AI Insights / недельный дайджест, подсказки авто-правил, Ask Amon, маппинг колонок CSV, разбор надиктованного списка	Промпт, который наш бэкенд собирает для конкретного запроса: ваш текст, фотография чека и распознанный с неё текст, описания транзакций и названия мерчантов, суммы, валюты, названия категорий и итоги за период. См. раздел 5.1.	США. Политика конфиденциальности Ollama говорит, что данные «may be transferred to and processed in the United States».
Google (Firebase Auth, Analytics, Cloud Messaging)	Аутентификация, аналитика, push	Email, имя, user ID, device / installation ID, события аналитики, FCM-токен	США / ЕС
Apple (Sign in with Apple)	Аутентификация	Email (может быть relay-адрес Apple), имя (если вы поделились)	США
Apple / Google / речевой сервис вашего браузера (распознавание речи)	Превращение надиктованной записи в текст — только если на устройстве нет офлайн-пакета для языка диктовки и только если вы согласились, когда Приложение спросило. См. раздел 5.2.	Запись того, что вы надиктовали. Её отправляет ваше устройство напрямую в речевой сервис этой компании: через наши серверы она не проходит, и мы её не получаем.	Apple, Google и производители браузеров не сообщают нам, где обрабатывается конкретная диктовка, поэтому регион мы указать не можем. Это регулируют их собственные условия, а не наши.
RevenueCat	Управление подпиской Premium, проверка прав доступа, хостинговый paywall и покупки в вебе	Идентификатор вашего аккаунта (Приложение передаёт RevenueCat ваш UUID и добавляет его к веб-ссылке на покупку), статус покупок и подписки, чеки сторов, метаданные устройства и приложения	США
Brevo	Отправка транзакционных писем — в этом релизе приглашений в совместную группу	Email получателя и содержимое письма; для приглашения в группу это включает имя пригласившего (или его email, если имя не задано)	Европейский союз. В документации Brevo сказано, что серверы, на которых он обрабатывает и хранит свои базы, «are all located within the European Union» — собственные серверы в OVH во Франции и Германии плюс Google Cloud в Бельгии.
Finnhub	Поиск тикеров и котировки акций / ETF США	Текст поиска тикера и символы, по которым мы запрашиваем котировки. Вашу личность, количество бумаг и суммы мы не отправляем.	США
Sentry	Отчёты о сбоях и ошибках	Стек-трейсы, модель устройства или браузера, версия ОС; с бэкенда — ещё внутренний идентификатор вашего аккаунта, но не IP-адрес, не заголовки и не содержимое запроса (раздел 2.2)	ЕС (Германия — используем ingest-регион `de`)
Cloudflare	Доставка контента, терминация TLS и защита от DDoS перед `amon-budget.online` и `api.amon-budget.online`	Всё, что ваше устройство отправляет нам и получает обратно. Поскольку зашифрованное соединение завершается на стороне Cloudflare, ему по необходимости видны ваш IP-адрес, метаданные запроса и содержимое запроса и ответа — то есть и финансовый контент в транзите. Что из этого Cloudflare хранит, регулируют его собственная политика и DPA, а не наши.	Глобальная сеть Cloudflare: запрос обрабатывает ближайший к вам дата-центр, возможно за пределами ЕЭП. По заявлению Cloudflare, метаданные этого трафика обрабатываются в дата-центрах в США и Европе.
OVH (наш хостинг-провайдер)	Хранение ваших данных	Все данные из раздела 2.4	Европейский союз — Польша (Варшава)
Contabo (хранение резервных копий)	Хранение зашифрованных резервных копий нашей базы данных	Содержимое базы данных из раздела 2.4 (без загруженных изображений), зашифрованное AES-256 до записи на диск	Европейский союз — Германия

Мы никогда не передаём ваш индивидуальный финансовый контент рекламодателям и брокерам данных и не продаём ваши данные.

Наш бэкенд также забирает справочные данные у Европейского центрального банка (ежедневные курсы валют) и Binance (тикеры криптовалют). В этих запросах нет пользовательских данных.

5.1 AI-обработка

Когда вы вызываете AI-функцию, наш бэкенд собирает запрос и по зашифрованному соединению отправляет его в Ollama Cloud — облачный сервис AI-инференса компании Ollama.

Само Приложение никогда не обращается к AI-провайдеру напрямую — оно вызывает наш бэкенд, а исходящий запрос делает уже бэкенд.

Что отправляет каждая функция:

AI Quick Add — текст, который вы ввели или вставили, плюс идентификатор счёта по умолчанию и валюта.
Скан чека — фотография чека, текст, распознанный с неё на вашем устройстве, и поля фискального QR-кода, если он на чеке есть. Фотография также хранится на наших серверах как вложение к транзакции.
AI Insights / недельный дайджест — сводка, которую наш бэкенд строит по вашим транзакциям максимум за 90 дней: итоги по расходам и доходам за период, топ категорий расходов с суммами и названия категорий.
Подсказки авто-правил — до 25 описаний транзакций (в них обычно есть названия мерчантов) вместе с категориями, которые вы им присвоили, и названия ваших категорий.
Ask Amon — ваш вопрос и сводка по транзакциям максимум за 90 дней: итоги, топ категорий по месяцам и регулярные платежи с описаниями и суммами.
Маппинг колонок при импорте CSV — заголовки колонок и несколько примерных строк импортируемого файла. В этих строках — реальные данные из вашего файла.
Разбор надиктованного списка — введённый вами текст.

Мы отправляем только то, что нужно конкретному запросу, и не храним промпты. Наши собственные логи AI-вызовов содержат только агрегированные счётчики — название модели, функцию, успех / ошибку, количество токенов и длительность, — но не промпт и не ответ. Готовые результаты AI-задач лежат в нашем кэше 24 часа, чтобы Приложение успело их забрать, и затем истекают.

Обработку этих данных в Ollama Cloud регулируют условия и политика конфиденциальности Ollama.

AI-функции необязательны и работают только тогда, когда вы их вызываете. Всё остальное в Приложении — ручной ввод, бюджеты, счета, синхронизация, совместные группы, импорт / экспорт, отчёты — работает без них.

5.2 Голосовой ввод

Что происходит с записью и что происходит с получившимся из неё текстом — два разных вопроса. Мы отвечаем здесь на оба, а не подменяем второй первым.

Запись: обычный путь. Когда вы диктуете в Amon Budget, Приложение сначала обращается к офлайн-распознавателю, встроенному в само устройство. На этом пути аудио обрабатывается целиком на устройстве и никуда не передаётся — ни на серверы Amon Budget, ни в речевые сервисы Apple или Google. Ничего не спрашивается и ничего не отправляется. Уговорить Приложение свернуть с этого пути нельзя: процедура запуска распознавания требует офлайн-движок, и параметра, флага или фолбэка, который бы это требование ослабил, у неё нет — если офлайн-движок недоступен, она останавливается до открытия микрофона.

Запись: когда офлайн-пакета нет. Офлайн-распознаванию нужен речевой пакет для языка, на котором вы диктуете, и он есть не на каждом устройстве и не для каждого языка. Если у вас его нет, Приложение не отправляет запись куда-то ещё молча. Оно останавливается, сообщает, что офлайн-распознавание недоступно, называет получателя и спрашивает вас. Только если вы согласитесь, эта запись уходит на распознавание — в речевой сервис Apple на iPhone и iPad, Google на Android или вашего браузера в веб-версии (Chrome отправляет её Google, Safari — Apple). Вы можете отказаться: тогда ничего не записывается и ничего не отправляется. На Android, если офлайн-пакет для языка существует, но не установлен, на той же карточке предлагается установка в одно касание — как альтернатива согласию, а не вместо неё.

Ваш ответ запоминается, и его можно изменить. Выбор хранится на вашем устройстве и учитывается при следующих попытках, так что вопрос не повторяется раз за разом. В Settings → Privacy → Online speech recognition видно текущий ответ, и его можно поменять в любую сторону в любой момент: разрешено, никогда или спрашивать перед отправкой. Пока запись распознаётся одним из этих сетевых сервисов, Приложение прямо говорит об этом на экране — не полагаясь на то, что вы вспомните одноразовый вопрос.

На обоих путях аудио к нам не попадает: серверы Amon Budget его не получают, и Приложение нигде не записывает и не сохраняет аудиофайлы. Если запись с вашего согласия уходит в Apple, Google или к поставщику вашего браузера, что она делает с ней дальше, регулируют их собственные условия, а не наши, и нам это не видно.

Текст — на обоих путях одинаково. Как бы речь ни была распознана, получившийся текст отправляется на серверы Amon Budget, чтобы наш AI превратил его в транзакцию, задачу или заметку. С ним обращаются ровно так же, как с любым другим текстом, который вы набираете в Приложении, — включая передачу стороннему AI-провайдеру при вызове AI-функции (раздел 5.1). Распознавание речи на телефоне не делает содержимое скрытым от нас; оно оставляет приватной саму запись вашего голоса. На пути с согласием это различие тоже сохраняется: согласие меняет, кто слышит аудио, а не то, кто читает слова.

Apple Watch. Экран «Voice» в приложении для Apple Watch микрофон не использует — это обычное текстовое поле watchOS. Если вы выберете там диктовку, её выполняет сам watchOS по правилам приватности Apple, а не Amon Budget, и нам это не видно; получившийся текст уходит на ваш iPhone и дальше на наши серверы, как описано выше.

5.3 Совместные группы

Если вы пригласили другого пользователя в совместную группу, он увидит финансовый контент этой группы (но не ваши приватные счета и транзакции).

Приглашение по email — как отправленное вами, так и полученное — записывает этот адрес в само приглашение и в журнал активности группы. Эти записи принадлежат группе и хранятся бессрочно, в том числе после того, как любой из участников удалит аккаунт. Что это значит для вас — в разделе 14.

6. Международная передача данных

Наши серверы (OVH, Польша), хранилище резервных копий (Contabo, Германия) и почтовый провайдер (Brevo) находятся внутри ЕС, поэтому то, что мы отправляем им, его не покидает. Для обработчиков за пределами ЕС передачу покрывает следующее:

Обработчик	Чем покрыта передача
Cloudflare	Стандартные договорные оговорки и сертификация по EU–U.S. Data Privacy Framework. DPA Cloudflare инкорпорирован по ссылке в его self-serve соглашение, то есть уже действует для нас, и подписывать ничего не нужно.
Google (Firebase Auth, Analytics, Cloud Messaging; биллинг Play)	Сертификация по Data Privacy Framework, за которой стоят Стандартные договорные оговорки. Google LLC сертифицирована активно, а условия обработки данных Firebase инкорпорированы в соглашение автоматически.
Apple (Sign in with Apple, App Store)	Стандартные договорные оговорки. В политике Apple прямо сказано, что международная передача персональных данных, собранных в ЕЭП, Великобритании и Швейцарии, регулируется этими оговорками. Сертификации по Data Privacy Framework у Apple нет, и она на неё не ссылается.
RevenueCat	Стандартные договорные оговорки через DPA, который автоматически является частью клиентского соглашения. Для Великобритании работает дополнение ICO к тем же оговоркам. Сертификации DPF нет.
Sentry	Сертификация по Data Privacy Framework, со Стандартными договорными оговорками как запасным вариантом в том же документе. Отчёты о сбоях хранятся во Франкфурте, но компания, которая эксплуатирует Sentry, находится в США и читает их оттуда — поэтому механизм здесь и нужен.
Ollama Cloud	Ollama не публикует соглашение об обработке данных (DPA) и не сертифицирована по Data Privacy Framework. Передача происходит только тогда, когда вы вызываете AI-функцию.
Finnhub	Finnhub не публикует соглашение об обработке данных. Запрос делает наш сервер, и в нём только тикер — ничего, что бы вас идентифицировало.

Один случай из раздела 5 вообще не является передачей с нашей стороны: когда вы соглашаетесь на сетевое распознавание речи (раздел 5.2), ваше собственное устройство отправляет запись напрямую в Apple, Google или речевой сервис вашего браузера. Через нашу инфраструктуру она не проходит, поэтому нам нечего передавать и никакой наш механизм её не покрывает; эта обработка — между вами и той компанией по её условиям. Мы пишем об этом, чтобы отсутствие строки не приняли за недосмотр.

7. Сроки хранения

Данные аккаунта — хранятся, пока аккаунт активен. При удалении аккаунта ваш email, имя, аватар и привязки социального входа стираются сразу; сессии отзываются, а учётная запись, которую держит для вас Firebase Authentication, удаляется вскоре после — фоновой задачей, стартующей сразу после фиксации удаления (детали — в разделе 14). Окна восстановления в 30 дней нет: удаление аккаунта вступает в силу немедленно и отменить его нельзя.
Финансовый контент — пока аккаунт активен. Удаление аккаунта стирает и его: запускать сначала «Clear data» больше не нужно. Загруженные файлы, оставшийся на сервере импортированный файл, push-токены, инвестиционные записи и записи о подписке удаляются на месте; транзакции, счета, категории, бюджеты, цели, повторяющиеся транзакции, теги и совместные задачи скрываются на месте и физически удаляются ночной задачей, обычно в течение 24–48 часов. Раздел 14 описывает тайминг точно и перечисляет то, что не стирается, — включая email-адреса внутри истории совместной группы другого участника, которые мы храним бессрочно.
Результаты AI-задач — кэшируются 24 часа после выполнения запроса, затем истекают автоматически.
Логи сбоев — хранятся в Sentry по настройкам нашего тарифа; больше мы их никуда не копируем.
Письма поддержки — за адресом support@amon-budget.online нет тикет-системы. Это обычный почтовый ящик, ваше письмо и наш ответ живут в нём как почта, чтобы спустя месяцы можно было разобраться в продолжении разговора. Автоматического срока хранения нет: переписку ничто не удаляет по расписанию. Мы удаляем переписку по вашей просьбе — напишите на этот адрес.
Резервные копии — база данных на сервере копируется каждые 6 часов. Копии шифруются AES-256, хранятся в отдельном дата-центре в ЕС (Contabo, Германия) и через 14 дней удаляются автоматически. Каждая копия проверяется сразу после создания. Используются они только для восстановления сервиса после сбоя. Загруженные изображения в эти копии не входят. Удалённые вами данные исчезают из копий по мере их ротации — не позже чем через 14 дней. Локальная копия ваших данных есть и на самом устройстве, а выгрузить их можно в любой момент — Settings → Data → Export.

8. Ваши права

По GDPR, UK GDPR, CCPA и аналогичным законам у вас есть право:

Доступ к персональным данным — экспорт в приложении (Settings → Data → Export) или письмо нам.
Исправление неточных данных — редактирование любого поля в Приложении.
Удаление данных — Profile → Clear data стирает созданный вами контент, но сохраняет аккаунт и вход. Profile → Delete account выполняет то же стирание и удаляет вашу личность и закрывает аккаунт. Оба действия вступают в силу немедленно и отменить их нельзя. Тайминг и границы — в разделе 14.
Ограничение или возражение против обработки — email на support@amon-budget.online.
Перенос данных — экспорт в CSV в приложении (Settings → Data → Export). В экспорт входят транзакции со счетами, категориями, тегами и заметками. Всё, чего CSV не покрывает, пришлём по запросу на почту.
Отзыв согласия — Settings → Privacy.
Подача жалобы в надзорный орган страны проживания.

Для жителей Калифорнии (CCPA): у вас есть право узнать, удалить и отказаться от продажи (мы не продаём данные — отказываться не от чего).

Мы отвечаем на запросы в течение 30 дней.

9. Дети

Приложение не предназначено для детей младше 16. Мы сознательно не собираем данные младше 16. Если вы считаете, что ребёнок предоставил нам данные, напишите на support@amon-budget.online — мы удалим.

10. Безопасность

Все данные передаются по HTTPS.
Наш сайт и наш API проксирует Cloudflare, а значит зашифрованное соединение с вашего устройства заканчивается на Cloudflare, а не на нашей машине. HTTPS по-прежнему защищает ваши данные, пока они идут через публичный интернет; от Cloudflare он их не скрывает. Что именно из-за этого видно Cloudflare — в разделе 5.
Пароля от вашего аккаунта у нас нет. Приложение авторизует вас только через Google или Apple; пароль задавать негде, и атаковать вход по паролю тоже нечем. Пароли администраторов хранятся только в виде bcrypt-хэшей.
Доступ к API — по bearer-токену; refresh-токены ротируются и могут быть отозваны, и они отзываются при удалении аккаунта.
Ни одна система не безопасна на 100%. Если нам станет известно об утечке персональных данных, мы уведомим компетентный надзорный орган в течение 72 часов там, где этого требует GDPR, и уведомим вас без неоправданной задержки, если утечка с высокой вероятностью создаёт серьёзный риск для ваших прав.

11. Cookies и аналогичные технологии

Мобильное Приложение cookies не использует: сессионные токены и настройки лежат в собственном хранилище приложения на устройстве.

Веб-версия Приложения и маркетинговый сайт (amon-budget.online) загружают Google Analytics 4, который ставит cookies _ga и _gid. Они загружаются с запрещёнными рекламным хранилищем и персонализацией, а хранилище аналитики остаётся запрещённым до вашего согласия. Если отозвать согласие, хранилище аналитики снова запрещается, а cookies _ga / _gid очищаются. Рекламные cookies мы не используем.

12. Изменения этой политики

Мы можем обновлять эту Политику. О существенных изменениях сообщим в Приложении и по email.

13. Контакты

Email: support@amon-budget.online
Почтовый адрес: указывается, когда требуется по закону вашей юрисдикции

14. Удаление ваших данных

Этот раздел — цель якоря #delete, который используется в форме Google Play Data Safety.

В Приложении есть два действия, и оба выполняют одно и то же стирание созданного вами контента:

Удалить контент, оставить аккаунт — Profile → Clear data. Аккаунт и вход сохраняются; всё, что вы создали, стирается.
Удалить аккаунт — Profile → Delete account. Выполняется то же стирание, а вместе с ним стирается ваша личность и закрывается аккаунт.

Запускать «Clear data» перед удалением аккаунта больше не нужно. Оба действия вступают в силу немедленно, и отменить их нельзя; окна восстановления нет. Если нужна копия данных — сначала выгрузите её (Settings → Data → Export).

Стирается сразу

Следующее удаляется безвозвратно в момент успешного запроса — и из базы, и из файлового хранилища:

Загруженные изображения — фотографии чеков, ваш аватар и кастомные иконки категорий. Удаляются сами файлы и их превью, а не только записи в базе.
Импортированные файлы, оставшиеся на сервере — если импорт CSV когда-либо оставил файл на сервере, удаляется и он, и папка аккаунта, в которой он лежал. Приложение разбирает CSV на вашем устройстве, поэтому в большинстве случаев здесь пусто; это на случай, когда не пусто.
Push-токены.
Инвестиционные портфели, инструменты и инвестиционные транзакции.
Записи о подписке — запись о ваших правах доступа Premium.
Анкета инвестиционного плана — ваши ответы, получившаяся структура, границы уведомлений, состояние уведомлений о границах (какие границы уже сработали), настройки подушки и то, какие из ваших счетов вы назначили подушкой. Нужны, чтобы объяснить результат и пересчитывать план; удаляются вместе с вашими данными.
Только при удалении аккаунта: ваш email, имя, аватар, привязки социального входа, данные устройства, записанные при входе, и любой хэш пароля, который нёс аккаунт (почему у вашего его нет — в разделе 10).

Скрывается сразу, физически удаляется за 24–48 часов

Ваши транзакции, счета, категории, бюджеты, накопительные цели, повторяющиеся транзакции, теги и совместные задачи помечаются на удаление в момент успешного запроса. Из Приложения и из нашего API они исчезают сразу, и после этого их уже ничто не читает. Сами записи затем безвозвратно удаляет задача, которая запускается раз в сутки и удаляет всё помеченное более суток назад, — то есть на практике их не остаётся в течение примерно 24–48 часов, а не мгновенно.

Одно ограничение. Если на такую запись всё ещё ссылаются живые данные участника совместной группы, чей аккаунт не удаляется, ночная задача не может её удалить и пропускает. На следующую ночь попытка повторяется, поэтому большинство таких записей уходит, как только ссылка исчезает, — но запись, на которую продолжают ссылаться, может остаться в нашей базе бессрочно. В Приложении она в любом случае невидима.

Сессии и учётная запись входа (только при удалении аккаунта)

Ваши refresh-токены отзываются, а учётная запись, которую держит для вас Firebase Authentication — размещённая у Google запись о вашем входе через Google или Apple с email, провайдером и историей входов, — удаляется по нашему запросу. И то и другое выполняется фоновой задачей, которая стартует после фиксации удаления: она отрабатывает через секунды после запроса, а не внутри него, и если задача задержится — отработает, когда догонит.

Что НЕ стирается

Email-адреса внутри истории совместной группы другого участника. Если вы пригласили кого-то в совместный бюджет по email или кто-то пригласил вас, этот адрес хранится в приглашении и в журнале активности группы. Эти записи не удаляет ничто — ни очистка, ни срок годности, ни каскад; истечение приглашения делает его лишь непригодным к использованию. Они принадлежат истории группы другого участника и остаются видны ему в Приложении. Это работает в обе стороны: ваш собственный email может остаться в истории группы другого человека после удаления вашего аккаунта. Если хотите его удалить — напишите на support@amon-budget.online, и мы удалим его вручную.
Отметка о закрытом аккаунте. Мы сохраняем саму запись аккаунта: случайный идентификатор, флаг «аккаунт удалён», язык интерфейса и даты создания, последнего изменения и последнего использования. Все поля, которые вас идентифицируют, очищены. Мы храним её, чтобы чужие данные, которые ссылаются на вас, не ломались и чтобы удалённый аккаунт отличался от никогда не существовавшего. Рядом остаются пустая оболочка профиля, связь с членством в группе и ваши настройки отображения даты и валюты.
Временные копии на наших серверах. Уменьшенная копия каждого загруженного изображения пишется во временное хранилище сервера и удалением не убирается; она исчезает при следующей замене сервера, что происходит на каждом деплое. Серверные логи могут хранить идентификаторы аккаунта тот же срок.
Копии у других компаний. Cloudflare, стоящий перед нашими серверами, хранит собственные логи запросов, которые он для вас передавал, по собственным срокам хранения; удаление аккаунта у нас до них не дотягивается. RevenueCat держит собственную запись подписчика, привязанную к идентификатору вашего аккаунта, вместе с историей покупок; автоматического способа удалить её у нас нет, по запросу попросим их об этом. Apple и Google хранят записи о покупках по подписке. Sentry хранит отчёты об ошибках, отправленные до удаления, — задним числом они не вычищаются. Удаление аккаунта Amon Budget также не отменяет подписку в сторе: отменяйте её в своём аккаунте App Store или Play Store.
Зашифрованные резервные копии. Копии базы, снятые до удаления, ещё содержат стёртые данные, пока не будут удалены по ротации, — не дольше 14 дней. Они используются только для восстановления после сбоя.
Кэшированные результаты AI истекают сами в течение 24 часов после запроса (раздел 5.1).

Если вы больше не можете войти — напишите на support@amon-budget.online с адреса, указанного в аккаунте, и мы выполним удаление за вас.