MiExpenses
Доступно в Google Play

Правовая информация

Политика конфиденциальности

Что приложение MiExpenses и этот сайт делают с данными. Написано по самому приложению и серверу, а не по шаблону, поэтому здесь названо и то, что шаблон бы опустил.

Обновлено:

MiExpenses делает и поддерживает один человек, Alexander Volkov. Компании за этим нет. Он же — оператор персональных данных по всему, что здесь описано, и вопросы, запросы копии данных и запросы на удаление идут на один и тот же адрес: [email protected].

Он охватывает Android-приложение MiExpenses и этот сайт. Сайт — это статические страницы: он не выполняет скриптов, не подгружает шрифты, картинки или файлы с чужих хостов и не обращается ни к кому, кроме сервера, который отдаёт вам страницу. Чтение сайта не ставит cookie и никому не сообщает, что вы здесь были. Всё, что ниже, — про приложение.

Приложению нужна учётная запись, поэтому первое, что оно спрашивает, — адрес электронной почты и пароль или вход через Google. Вход через Google даёт нам то же самое одно поле: приложение читает из учётных данных Google только адрес электронной почты, а сам токен Google остаётся на телефоне. Остальное — то, что вы выбираете при первоначальной настройке.

Хранится в учётной записи:

  • Ваш адрес электронной почты. Это имя учётной записи и ключ, под которым хранится всё остальное.
  • Ваша страна. Выбирается при первоначальной настройке или заполняется определением, описанным ниже.
  • Ваша валюта. Суммы, введённые в других валютах, пересчитываются в неё для итогов.
  • Ваша мера расстояния: километры или мили.
  • Ваша мера объёма: литры, английские галлоны или американские галлоны.

Всё, что вы вводите о транспорте и его расходах, хранится на нашем сервере, а не только на телефоне. В том числе поля, про которые часто думают, что они остаются на устройстве.

  • Транспорт: название, тип, марка, модель, год выпуска, объём двигателя, объёмы баков и типы топлива, показание одометра и, если вы их заполните, номерной знак и VIN.
  • Расход: дата, категория и подкатегория, одометр, сумма и валюта, свободный комментарий.
  • Заправка: сверх того цена за единицу, объём, тип топлива и отметки «Полный бак» и «Исключить из статистики».
  • Напоминания, созданные вами подкатегории расходов и записи о совместном доступе.
  • Отзыв, отправленный из приложения: оценка звёздами, ваш текст и ваш идентификатор пользователя.
  • Месячные лимиты и шаблоны расходов — исключение. Они остаются на телефоне и никогда не отправляются на сервер, поэтому на втором телефоне их и не видно.

Три вещи происходят без вашей просьбы, и две из них нельзя выключить внутри приложения.

  • Push-токен. Firebase Cloud Messaging выдаёт токен для вашей установки, и приложение отправляет его на наш сервер вместе с вашим адресом электронной почты — это ключ, под которым он хранится. Он отправляется после входа, при смене токена и после перезагрузки, независимо от того, разрешили вы уведомления или нет.
  • Определение страны по IP-адресу. При первоначальной настройке и при каждом запуске главного экрана с рабочим соединением приложение спрашивает у стороннего сервиса, какой стране принадлежит ваш IP-адрес. Сначала оно пробует free.freeipapi.com, потом ipapi.co, потом ipwho.is. Ваш IP-адрес — это то, что видят эти сервисы. Согласия у вас никто не спрашивает, выключить это в настройках нельзя, а ответ записывается в ваш профиль только тогда, когда страна ещё не задана.
  • Реклама. Google Mobile Ads SDK запускается при каждом открытии главного экрана, в том числе в сессиях, где реклама так и не запрашивается. Место показа в приложении ровно одно: полноэкранное видео с вознаграждением перед открытием списка глобальной статистики, для учётных записей без отметки об оплате. Запрос собирается с настройками по умолчанию, поэтому он не помечен как неперсонализированный, и форма согласия не показывается. То, что собирает этот SDK, уходит в Google, а не к нам, и на это распространяются собственные условия Google.

Firebase Analytics SDK входит в сборку, но флаг в манифесте приложения выключает сбор данных. Своих аналитических событий приложение тоже не отправляет: в его исходном коде нет ни одного вызова события или свойства пользователя.

Отчётов о сбоях и мониторинга производительности нет вовсе: ни Crashlytics, ни стороннего аналога, ни самодельного обработчика сбоев. Если приложение упадёт на вашем телефоне, к нам не придёт никакой стек вызовов, и мы об этом не узнаем. Единственный способ, которым мы услышим о проблеме, — если вы нам напишете.

В приложении есть экран, который ставит транспорт рядом с той же маркой и моделью у других людей. Он работает потому, что наш сервер держит строку по каждому транспорту, который проходит отбор, и показывает этот список другим людям, пользующимся приложением.

Транспорт попадает в список только после как минимум десяти записей, тридцати дней истории, активности за последние шестьдесят дней и как минимум тысячи единиц расстояния. Его марка и модель должны быть ещё и в справочнике сервера, а на учётной записи с нашей стороны должна стоять отметка об оплате. Строки не усредняются между собой: каждая строка — это один транспорт.

Что строка хранит, а что нет:

  • Числовой идентификатор владельца, страна, марка, модель и год выпуска.
  • Итоги по этому транспорту: расстояние, объём топлива и стоимость.
  • Она не хранит ни номерного знака, ни VIN, ни вашего адреса электронной почты, ни отдельных расходов.
  • В приложении нет переключателя, который держал бы ваш транспорт вне этого списка.

Всё, что приложение хранит, уходит на собственные серверы разработчика по HTTPS. Точек входа две; приложение выбирает между ними само, а вы можете закрепить одну из них в настройках. Стороннего облачного хранилища в цепочке нет: ни Google Drive, ни Dropbox, ни какого бы то ни было файлового сервиса. Этот документ не называет страну хранения, потому что это утверждение мы не можем подкрепить ничем, что вы могли бы проверить.

Данные уходят с телефона:

  • На наш собственный сервер, на hh.suxlv2.space и suxlv2.space, по HTTPS. Там живут ваша учётная запись, транспорт, расходы, напоминания, категории и записи о совместном доступе.
  • В Firebase Authentication — для входа по почте и входа через Google.
  • В Firebase Cloud Messaging — для push-токена и для будящих сообщений, которые сами по себе не несут персональных данных.
  • В Google AdMob — для единственного видео с вознаграждением, описанного выше.
  • На free.freeipapi.com, ipapi.co или ipwho.is — для определения страны.

Трафик между приложением и сервером идёт по HTTPS, а выпущенная сборка отказывается работать по обычному HTTP. Пароли обрабатывает Firebase Authentication, и до нашего сервера они не доходят: у него нет ни поля для пароля, ни колонки под него; для входа по почте Firebase к тому же требует подтверждённого адреса. На телефоне кэшированная копия данных вашей учётной записи в файле настроек зашифрована по AES/GCM ключом, который создан и хранится в Android Keystore, поэтому прочитать её из скопированного файла настроек нельзя.

Это весь список, и стоит быть точным в том, чем он не является. Это не сквозное шифрование и не zero knowledge: данные на сервере читаемы, и разработчик может их прочитать. База расходов на вашем телефоне — обычная незашифрованная база, защищённая песочницей приложений Android и шифрованием самого устройства. Закрепление сертификатов не используется. Если какая-то деталь настолько чувствительна, что всё это имеет значение, безопасный ответ — не вводить её.

Вы можете дать другому зарегистрированному человеку доступ к одному из своих транспортных средств на одном из трёх уровней: «Просмотр», «Добавление расходов» или «Сменить владельца». Совместный доступ работает на весь транспорт целиком. Отдельные записи из него не исключить.

  • Приглашение создаётся по адресу электронной почты, который вы вводите, и этот адрес хранится на нашем сервере как часть записи о совместном доступе.
  • Ещё не принятое приглашение уже перемещает данные. С момента, когда приглашение существует, сервер считает, что у той учётной записи есть доступ, поэтому её телефон при следующей синхронизации скачивает и хранит транспорт и его записи. Приложение прячет от них транспорт, пока они не примут приглашение, но данные к этому моменту уже на их устройстве.
  • После принятия они видят карточку транспорта, все привязанные к нему расходы и напоминания, включая записи, сделанные другими участниками, и ваши категории расходов.
  • Запись с отметкой «Исключить из статистики» — не приватная запись. Она хранится и синхронизируется как любая другая, видна всем, с кем открыт совместный доступ к транспорту, и попадает в выгрузку CSV.
  • Отзыв доступа немедленно убирает транспорт из приложения другого человека и не даёт ему менять что-либо дальше. До того, что его телефон уже скачал, это не дотягивается, а сама запись о совместном доступе остаётся на нашем сервере с пометкой об удалении.
  • Смена владельца необратима, и отменить её нельзя. PIN-код, который её подтверждает, хранится на нашем сервере открытым текстом и сравнивается без учёта регистра, так что относитесь к нему как к рукопожатию, а не как к паролю.

Начиная с версии 5.0.0 приложение отказывается от системы резервного копирования Android: и облачная копия в вашу учётную запись Google, и перенос с устройства на устройство выключены для всех частей данных приложения. Версии по 4.1.0 включительно от этого не отказывались, поэтому, если вы пользуетесь приложением давно, копия его локальной базы и настроек может уже лежать в резервной копии Google. Эта копия — в вашей учётной записи Google, а не в нашей, и удаляется так, как Google позволяет удалять резервные копии приложений. Инструменты переноса, сделанные производителями телефонов, работают вне системы резервного копирования Android, и эта настройка их не касается.

Данные лежат на сервере столько, сколько существует учётная запись. Удаление транспорта, расхода, напоминания, категории или записи о совместном доступе внутри приложения — это мягкое удаление на сервере: строка перестаёт показываться и перестаёт синхронизироваться, но сохраняется с пометкой об удалении.

Экрана удаления учётной записи в приложении нет, и на сервере метода для этого тоже нет. Удаление — это запрос по почте на [email protected], на который отвечает тот единственный человек, который читает этот адрес. Это вся процедура, и написать обратное было бы легче, чем выполнить.

Конкретно:

  • Удаление внутри приложения: запись уходит из вашего приложения и из приложения того, с кем вы поделились, и сохраняется на сервере с пометкой об удалении.
  • Выход из учётной записи: нигде ничего не удаляется. Записи, которые ещё ждут отправки, теряются, если выйти до того, как они отправлены, и приложение сначала об этом предупреждает.
  • Удаление приложения: локальная копия уходит, включая месячные лимиты и шаблоны расходов, которых больше нигде нет. Повторный вход возвращает то, что хранит сервер; лимиты и шаблоны он не возвращает.
  • Удалить учётную запись и её данные на сервере: напишите на [email protected].

Вы можете спросить, что о вас хранится, попросить исправление, попросить копию, попросить удаление или возразить против части обработки. Адрес для всего этого один: [email protected]. Пишите, пожалуйста, с того адреса, на который зарегистрирована учётная запись, потому что этот адрес — единственный ваш идентификатор, который у нас есть.

  • Доступ и копия. Приложение выгружает по одному транспорту за раз в CSV или в отчёт PDF, и CSV из них полнее. За тем, чего выгрузка не покрывает, обращайтесь по почте.
  • Исправление. Большинство полей можно исправить в самом приложении. Там, где нельзя, — по почте.
  • Удаление. По почте, как описано в разделе выше.
  • Возражение. По почте, включая возражение против попадания вашего транспорта в список глобальной статистики: переключателя для этого в приложении нет, поэтому это должен быть запрос.

Когда этот документ меняется, вместе с ним меняется дата вверху страницы, и эта дата — единственная отметка: обновления политики приложение вам не присылает. Если изменение когда-нибудь будет означать, что собирается что-то новое, оно будет описано здесь так же подробно, как и всё остальное, — до того, как дойдёт до приложения.