गोपनीयता नीति

1ज़िम्मेदार कौन है

MiExpenses को एक ही व्यक्ति, Alexander Volkov, बनाता और चलाता है। इसके पीछे कोई कंपनी नहीं है। यहाँ बताई गई हर बात के लिए डेटा नियंत्रक वही हैं, और सवाल, अपने डेटा की प्रति का अनुरोध तथा हटाने का अनुरोध — सब एक ही पते पर जाते हैं: contacts@mve.suxlv2.space।

2यह दस्तावेज़ किस पर लागू होता है

यह MiExpenses Android ऐप और इस वेबसाइट पर लागू होता है। वेबसाइट स्थिर पृष्ठ हैं: यह कोई स्क्रिप्ट नहीं चलाती, दूसरे होस्ट से कोई फ़ॉन्ट, छवि या फ़ाइल नहीं लाती, और उस सर्वर के अलावा किसी से कोई अनुरोध नहीं करती जो आपको यह पृष्ठ देता है। इसे पढ़ने से कोई कुकी नहीं बैठती और किसी को पता नहीं चलता कि आप यहाँ आए थे। नीचे की हर बात ऐप के बारे में है।

3आप हमें क्या देते हैं

ऐप के लिए खाता ज़रूरी है, इसलिए वह सबसे पहले एक ईमेल पता और पासवर्ड माँगता है, या Google से साइन इन। Google से साइन इन करने पर भी हमें वही एक ख़ाना मिलता है: ऐप Google क्रेडेंशियल में से केवल ईमेल पता पढ़ता है, और Google का टोकन ख़ुद फ़ोन पर ही रह जाता है। बाक़ी वही है जो आप शुरुआती सेटअप में चुनते हैं।

खाते पर रखा जाता है:

• आपका ईमेल पता। यही खाते का नाम है, और वही कुंजी जिसके नीचे बाक़ी सब रखा जाता है।
• आपका देश। शुरुआती सेटअप में चुना हुआ, या आगे बताई गई खोज से भरा हुआ।
• आपकी मुद्रा। दूसरी मुद्राओं में दर्ज रक़में जोड़ के लिए इसी में बदली जाती हैं।
• आपकी दूरी इकाई: किलोमीटर या मील।
• आपकी आयतन इकाई: लीटर, ब्रिटिश गैलन या अमेरिकी गैलन।
• खाते पर MiExpenses Premium सक्रिय है या नहीं।

4आप ऐप में क्या दर्ज करते हैं

वाहन और उसके ख़र्चों के बारे में आप जो कुछ दर्ज करते हैं, वह सिर्फ़ आपके फ़ोन पर नहीं, हमारे सर्वर पर रखा जाता है। इसमें वे ख़ाने भी हैं जिनके बारे में लोग अक्सर मान लेते हैं कि वे डिवाइस पर ही रहते हैं।

• वाहन: नाम, प्रकार, ब्रांड, मॉडल, वर्ष, इंजन आयतन, ईंधन टंकी आयतन और ईंधन प्रकार, ओडोमीटर का मान, और अगर आप भरें तो नंबर प्लेट और VIN।
• व्यय: तिथि, श्रेणी और उपश्रेणी, ओडोमीटर, रक़म और मुद्रा, और खुली टिप्पणी।
• भराई: इनके अलावा प्रति इकाई मूल्य, मात्रा, ईंधन प्रकार, तथा पूरी टंकी और आँकड़ों से बाहर रखें के निशान।
• अनुस्मारक, आपकी बनाई व्यय उपश्रेणियाँ, और साझेदारी की प्रविष्टियाँ।
• ऐप से भेजी गई प्रतिक्रिया: सितारा रेटिंग, आपका पाठ, और आपकी उपयोगकर्ता आईडी।
• मासिक सीमाएँ और व्यय टेम्पलेट अलग तरह से चलते हैं। वे सर्वर तक तभी पहुँचते हैं जब खाते पर MiExpenses Premium सक्रिय हो; उसके बिना वे फ़ोन पर ही रह जाते हैं — इसीलिए दूसरा फ़ोन उन्हें नहीं दिखाता।

5ऐप ख़ुद क्या इकट्ठा करता है

तीन चीज़ें आपके कहे बिना होती हैं, और उनमें से दो को ऐप के अंदर से बंद नहीं किया जा सकता।

• एक पुश टोकन। Firebase Cloud Messaging आपकी इंस्टॉलेशन के लिए एक टोकन देता है, और ऐप उसे आपके ईमेल पते के साथ हमारे सर्वर को भेजता है — वही कुंजी है जिसके नीचे वह रखा जाता है। यह साइन इन के बाद, टोकन बदलने पर, और रीबूट के बाद भेजा जाता है, चाहे आपने सूचनाओं की अनुमति दी हो या नहीं।
• IP पते से देश की खोज। शुरुआती सेटअप में, और हर बार मुख्य स्क्रीन के खुलने पर जब कनेक्शन चालू हो, ऐप किसी तीसरे पक्ष की जियोलोकेशन सेवा से पूछता है कि आपका IP पता किस देश का है। ऐसी तीन सेवाएँ हैं और ऐप उन्हें बारी-बारी आज़माता है जब तक कोई जवाब न दे; इनमें से कोई हमारी नहीं है, और हर एक आपका IP पता देखती है। यह दस्तावेज़ उनके नाम नहीं लेता: कौन जवाब देती है यह लागू करने का ब्योरा है, जबकि आपके फ़ोन से जो जाता है वह हर सूरत में वही है। इसके लिए कोई सहमति नहीं माँगी जाती, इसे बंद करने की कोई सेटिंग नहीं है, और जवाब आपके प्रोफ़ाइल में तभी लिखा जाता है जब आपका देश अभी तय न हुआ हो।
• विज्ञापन। मुख्य स्क्रीन हर बार खुलने पर Google Mobile Ads SDK चालू होता है, उन सत्रों में भी जब कोई विज्ञापन कभी माँगा ही नहीं जाता। ऐप में ठीक एक जगह विज्ञापन है: वैश्विक आँकड़ों की सूची खुलने से पहले एक पूरी स्क्रीन का रिवॉर्डेड वीडियो, जो उन खातों को दिखाया जाता है जिन पर भुगतान का निशान नहीं है। अनुरोध डिफ़ॉल्ट सेटिंग्स के साथ बनाया जाता है, इसलिए उस पर ग़ैर-वैयक्तिकृत का निशान नहीं होता, और कोई सहमति फ़ॉर्म नहीं दिखाया जाता। वह SDK जो इकट्ठा करता है वह Google के पास जाता है, हमारे पास नहीं, और उस पर Google की अपनी शर्तें लागू होती हैं।

6एनालिटिक्स और क्रैश रिपोर्ट

Firebase Analytics SDK बिल्ड का हिस्सा है, पर ऐप के मैनिफ़ेस्ट में एक फ़्लैग डेटा संग्रह को बंद कर देता है। ऐप अपनी ओर से कोई एनालिटिक्स इवेंट भी नहीं भेजता: उसके सोर्स में एक भी इवेंट या यूज़र-प्रॉपर्टी कॉल नहीं है।

क्रैश रिपोर्टिंग और परफ़ॉर्मेंस मॉनिटरिंग बिलकुल नहीं है: न Crashlytics, न किसी तीसरे पक्ष का कोई विकल्प, और न अपना बनाया कोई क्रैश हैंडलर। अगर ऐप आपके फ़ोन पर क्रैश होता है, तो कोई स्टैक ट्रेस हम तक नहीं पहुँचता और हमें इसका पता नहीं चलता। किसी दिक़्क़त का पता हमें सिर्फ़ तभी चलता है जब आप हमें लिखें।

7वैश्विक आँकड़े

ऐप में एक स्क्रीन है जो आपके वाहन को दूसरे लोगों के उसी ब्रांड और मॉडल के वाहनों के बगल में रखती है। यह इसलिए चलती है कि हमारा सर्वर हर योग्य वाहन के लिए एक पंक्ति रखता है और वह सूची ऐप इस्तेमाल करने वाले दूसरे लोगों को दिखाता है।

कोई वाहन इस सूची में तभी आता है जब उसकी कम से कम दस प्रविष्टियाँ हों, तीस दिन का इतिहास हो, पिछले साठ दिनों में हलचल रही हो और कम से कम एक हज़ार इकाई दूरी हो। उसका ब्रांड और मॉडल सर्वर की सूची में भी होने चाहिए, और खाते पर हमारी तरफ़ भुगतान का निशान होना चाहिए। पंक्तियों का औसत नहीं निकाला जाता: हर पंक्ति एक वाहन है।

एक पंक्ति में क्या होता है, और क्या नहीं:

• एक संख्यात्मक मालिक आईडी, देश, ब्रांड, मॉडल और निर्माण वर्ष।
• उस वाहन के जोड़: दूरी, ईंधन की मात्रा और लागत।
• इसमें नंबर प्लेट, VIN, आपका ईमेल पता या कोई अलग व्यय नहीं होता।
• ऐप में ऐसा कोई स्विच नहीं है जो आपके वाहन को इस सूची से बाहर रखे।

8Premium ख़रीदना

अगर आप MiExpenses Premium ख़रीदते हैं, तो भुगतान ख़ुद Google Play सँभालता है: आपका कार्ड या बिलिंग ब्योरा हम कभी नहीं देखते, और कोई पैसा हमारे रास्ते से नहीं जाता। दो बातों में हम शामिल होते हैं। Google Play को वह संख्या दी जाती है जिसके नीचे आपका खाता रखा है, ताकि वह हमारे सर्वर को बता सके कि ख़रीद किस खाते की है; और ऐप Google Play से मिला ख़रीद टोकन हमारे सर्वर को भेजता है, जो उसे Google से जाँचकर खाते पर भुगतान का निशान लगा देता है। वह निशान आपके खाते पर रखा जाता है, और वही हर उस डिवाइस पर भुगतान वाली सुविधाएँ खोलता है जहाँ आप साइन इन करें।

9डेटा कहाँ जाता है

ऐप जो कुछ रखता है वह सब HTTPS पर डेवलपर के अपने सर्वरों पर जाता है। प्रवेश के दो रास्ते हैं; ऐप उनमें से ख़ुद चुनता है, और आप चाहें तो सेटिंग्स में कोई एक तय कर सकते हैं। इस कड़ी में तीसरे पक्ष का कोई क्लाउड भंडारण नहीं है: न Google Drive, न Dropbox, न किसी तरह की कोई फ़ाइल सेवा। यह दस्तावेज़ न उन सर्वरों के पते बताता है और न भंडारण का देश: पते वह ढाँचा हैं जो आपके लिए कुछ बदले बिना बदल सकता है, और देश ऐसा दावा है जिसे हम किसी ऐसी चीज़ से नहीं टिका सकते जिसे आप जाँच सकें।

डेटा आपके फ़ोन से यहाँ जाता है:

• हमारा अपना बैकएंड, HTTPS पर। आपका खाता, वाहन, व्यय, अनुस्मारक, श्रेणियाँ और साझेदारी की प्रविष्टियाँ वहीं रहती हैं।
• Firebase Authentication, ईमेल से साइन इन और Google से साइन इन के लिए।
• Firebase Cloud Messaging, पुश टोकन के लिए और उन जगाने वाले संदेशों के लिए जिनमें अपना कोई व्यक्तिगत डेटा नहीं होता।
• Google AdMob, ऊपर बताए गए उस एक रिवॉर्डेड वीडियो के लिए।
• तीन में से कोई एक तीसरे पक्ष की जियोलोकेशन सेवा, IP पते से देश की खोज के लिए।
• Google Play, MiExpenses Premium की ख़रीद के लिए और यह जाँचने के लिए कि वह अब भी क़ायम है।

10इसकी रक्षा कैसे होती है

ऐप और सर्वर के बीच का ट्रैफ़िक HTTPS है, और जारी किया गया बिल्ड सादे HTTP से इनकार करता है। पासवर्ड Firebase Authentication सँभालता है और वे हमारे सर्वर तक कभी नहीं पहुँचते, जिस पर न पासवर्ड का ख़ाना है न पासवर्ड का कॉलम; ईमेल से साइन इन के लिए Firebase पते की पुष्टि भी माँगता है। फ़ोन पर, सेटिंग्स फ़ाइल में रखी आपके खाते की प्रति AES/GCM से एन्क्रिप्ट की जाती है, और कुंजी Android Keystore में बनती और रहती है — इसलिए उसे नक़ल की गई सेटिंग्स फ़ाइल से पढ़ा नहीं जा सकता।

यही पूरी सूची है, और यह कहना भी ज़रूरी है कि यह क्या नहीं है। यह एंड-टू-एंड एन्क्रिप्शन नहीं है और ज़ीरो नॉलेज भी नहीं: सर्वर पर डेटा पढ़ा जा सकता है, और डेवलपर उसे पढ़ सकता है। आपके फ़ोन पर व्ययों का डेटाबेस एक सामान्य, बिना एन्क्रिप्शन वाला डेटाबेस है, जिसकी रक्षा Android के ऐप सैंडबॉक्स और ख़ुद फ़ोन के डिवाइस एन्क्रिप्शन से होती है। सर्टिफ़िकेट पिनिंग इस्तेमाल नहीं होती। अगर कोई ब्योरा इतना संवेदनशील है कि यह सब मायने रखता हो, तो सुरक्षित जवाब यही है कि उसे दर्ज न कीजिए।

11वाहन साझा करना

आप किसी दूसरे पंजीकृत व्यक्ति को अपने किसी वाहन तक तीन में से किसी एक स्तर पर पहुँच दे सकते हैं: देखना, संपादित करना, या स्वामित्व सौंपना। साझेदारी पूरे वाहन पर चलती है। अलग-अलग प्रविष्टियाँ उससे रोकी नहीं जा सकतीं।

• निमंत्रण आपके टाइप किए ईमेल पते से बनता है, और वह पता साझेदारी की प्रविष्टि के हिस्से के रूप में हमारे सर्वर पर रखा जाता है।
• लंबित निमंत्रण भी डेटा हिला देता है। निमंत्रण बनते ही सर्वर उस खाते को पहुँच वाला मान लेता है, इसलिए उनका फ़ोन अगले सिंक पर वाहन और उसकी प्रविष्टियाँ उतारकर रख लेता है। ऐप उन्हें वाहन तब तक नहीं दिखाता जब तक वे स्वीकार न करें, पर तब तक डेटा उनके डिवाइस पर पहुँच चुका होता है।
• स्वीकार करने के बाद वे वाहन का कार्ड, उससे जुड़ा हर व्यय और अनुस्मारक — उनमें वे भी जो दूसरे साझेदारों ने बनाए — और आपकी व्यय श्रेणियाँ देखते हैं।
• आँकड़ों से बाहर रखें का निशान लगी प्रविष्टि निजी प्रविष्टि नहीं है। वह बाक़ी सबकी तरह रखी और सिंक की जाती है, वाहन जिनके साथ साझा है उन सबको दिखती है, और CSV निर्यात में आती है।
• पहुँच वापस लेते ही वाहन दूसरे व्यक्ति के ऐप से हट जाता है और वे आगे कुछ बदल नहीं सकते। जो उनका फ़ोन पहले ही उतार चुका है, यह उस तक नहीं पहुँचता, और साझेदारी की प्रविष्टि ख़ुद हमारे सर्वर पर हटाए गए के निशान के साथ बनी रहती है।
• स्वामित्व सौंपना स्थायी है और उसे पलटा नहीं जा सकता। जिस PIN से यह पक्का होता है, वह हमारे सर्वर पर सादे पाठ में रखा जाता है और छोटे-बड़े अक्षरों का भेद किए बिना मिलाया जाता है — इसलिए उसे हाथ मिलाना मानिए, पासवर्ड नहीं।

12डिवाइस बैकअप

संस्करण 5.0.0 से ऐप Android के बैकअप ढाँचे से बाहर है: आपके Google खाते में जाने वाला क्लाउड बैकअप और डिवाइस-से-डिवाइस स्थानांतरण, दोनों ऐप के हर हिस्से के डेटा के लिए बंद हैं। 4.1.0 तक के संस्करण बाहर नहीं थे, इसलिए अगर आप ऐप कुछ समय से इस्तेमाल कर रहे हैं, तो उसके स्थानीय डेटाबेस और सेटिंग्स की एक प्रति पहले से किसी Google बैकअप में हो सकती है। वह प्रति आपके Google खाते में है, हमारे पास नहीं, और उसे उसी तरह हटाया जाता है जैसे Google ऐप बैकअप हटाने देता है। फ़ोन बनाने वालों के अपने ट्रांसफ़र टूल Android के बैकअप ढाँचे से बाहर चलते हैं और इस सेटिंग के दायरे में नहीं आते।

13कितने समय तक रखा जाता है, और हटाना

डेटा सर्वर पर तब तक रहता है जब तक खाता रहता है। ऐप के अंदर किसी वाहन, व्यय, अनुस्मारक, श्रेणी या साझेदारी की प्रविष्टि को हटाना सर्वर पर सॉफ़्ट डिलीट है: पंक्ति दिखनी और सिंक होनी बंद हो जाती है, पर वह रखी जाती है और हटाए गए के निशान के साथ रहती है।

ऐप में खाता हटाने की कोई स्क्रीन नहीं है, और सर्वर पर भी उसके लिए कोई एंडपॉइंट नहीं है। हटाना contacts@mve.suxlv2.space पर ईमेल से किया गया अनुरोध है, जिसका जवाब वही एक व्यक्ति देता है जो उस पते को पढ़ता है। पूरी प्रक्रिया इतनी ही है, और इससे अलग कुछ लिखना निभाने से आसान होता।

ठोस शब्दों में:

• ऐप के अंदर हटाना: प्रविष्टि आपके ऐप से और उन सबके ऐप से चली जाती है जिनके साथ आपने साझा किया था, और सर्वर पर हटाए गए के निशान के साथ रखी जाती है।
• साइन आउट: कहीं कुछ नहीं हटता। जो प्रविष्टियाँ अपलोड की क़तार में हैं, वे भेजी जाने से पहले साइन आउट करने पर चली जाती हैं, और ऐप आपको इसकी चेतावनी पहले देता है।
• अनइंस्टॉल: स्थानीय प्रति चली जाती है। दोबारा साइन इन करने पर वह सब लौट आता है जो सर्वर के पास है — मासिक सीमाएँ और व्यय टेम्पलेट भी, बशर्ते Premium ने उन्हें वहाँ सहेजा हो; जो कभी सर्वर तक पहुँचा ही नहीं, वह चला गया।
• खाता और उसका सर्वर वाला डेटा हटाना: contacts@mve.suxlv2.space पर लिखिए।

14आपके अधिकार

आप पूछ सकते हैं कि आपके बारे में क्या रखा है, सुधार माँग सकते हैं, प्रति माँग सकते हैं, हटाने को कह सकते हैं, या किसी प्रसंस्करण पर आपत्ति कर सकते हैं। इन सबके लिए एक ही पता है: contacts@mve.suxlv2.space। कृपया उसी पते से लिखिए जिस पर खाता पंजीकृत है, क्योंकि आपकी पहचान के लिए हमारे पास वही एक चीज़ है।

• पहुँच और प्रति। ऐप एक बार में एक वाहन को CSV या PDF रिपोर्ट में निर्यात करता है, और दोनों में CSV ज़्यादा पूरा है। जो कुछ निर्यात में नहीं आता, उसके लिए ईमेल से पूछिए।
• सुधार। अधिकतर ख़ाने ऐप में ही सुधारे जा सकते हैं। जहाँ नहीं, वहाँ ईमेल से कहिए।
• हटाना। ईमेल से, जैसा ऊपर वाले हिस्से में बताया गया है।
• आपत्ति। ईमेल से — इसमें आपके वाहन को वैश्विक आँकड़ों की सूची में शामिल किए जाने पर आपत्ति भी शामिल है: ऐप में इसके लिए कोई स्विच नहीं है, इसलिए यह अनुरोध ही करना होगा।

15इस नीति में बदलाव

जब यह दस्तावेज़ बदलता है, तो पृष्ठ के ऊपर लिखी तिथि भी उसके साथ बदलती है, और वही एकमात्र निशान है: ऐप आपको नीति के अपडेट भेजकर नहीं दिखाता। अगर कभी किसी बदलाव का मतलब यह हुआ कि कुछ नया इकट्ठा किया जा रहा है, तो उसे यहाँ बाक़ी सबकी तरह उतने ही ब्योरे से बताया जाएगा — और बदलाव के ऐप तक पहुँचने से पहले बताया जाएगा।