Політика конфіденційності застосунку «Копійка»

1. Які дані обробляє застосунок

Копійка — застосунок для особистого обліку фінансів. Рахунки, операції, категорії, бюджети, цілі, борги та регулярні платежі, які ви створюєте, зберігаються на вашому пристрої в локальній базі даних. Ми не маємо до них доступу. Якщо ви самі ввімкнете спільний бюджет (розділ 4), зашифровані копії записів зберігаються на нашому сервері так, що прочитати їх можемо не ми, а лише ваші пристрої.

2. Автозапис операцій зі сповіщень банків (необов’язково)

Якщо ви ввімкнете «Автозапис із банків» і надасте застосунку системний доступ до сповіщень, Копійка отримуватиме від Android сповіщення, що з’являються на телефоні. Застосунок аналізує лише сповіщення тих банківських застосунків, які ви самі ввімкнули в налаштуваннях, і бере з них суму, валюту, назву магазину чи відправника та останні цифри картки, щоб записати операцію у вибраний вами рахунок. Решта сповіщень не читається й не зберігається.

Для показу списку банків застосунок запам’ятовує лише назви пакетів застосунків, від яких надходили сповіщення про оплати. Уся обробка відбувається на телефоні: ані текст сповіщень, ані їхній вміст нікуди не надсилаються. Вимкнути функцію й відкликати доступ можна будь-коли в застосунку або в налаштуваннях Android.

3. Синхронізація з monobank (необов’язково)

Щоб підключити monobank, ви самі отримуєте персональний токен на офіційному сайті api.monobank.ua. Токен дає доступ лише на читання виписки, зберігається зашифрованим (системне сховище ключів Android Keystore) тільки на вашому пристрої та надсилається виключно до серверів monobank (api.monobank.ua) для отримання балансів і операцій. Ви можете відключити monobank у налаштуваннях будь-коли, а також відкликати токен на сайті api.monobank.ua.

4. Спільний бюджет і синхронізація (необов’язково)

Якщо ви створите спільний простір або приєднаєтеся до нього, записи (рахунки, операції, категорії, бюджети, цілі, борги, шаблони, регулярні платежі та основна валюта) синхронізуються між пристроями простору через наш сервер на Cloudflare (сервіс kopiyka-sync, сховище Cloudflare D1).

Кожен запис шифрується на пристрої ключем простору (AES-256-GCM) до надсилання. Ключ передається між вашими пристроями лише в посиланні-запрошенні чи ключі відновлення й ніколи не надходить на сервер, тому ми не можемо прочитати вміст записів.

Сервер зберігає:

• зашифровані записи, їхні технічні ідентифікатори, тип (наприклад, «операція») і порядковий номер зміни;
• назви пристроїв простору (модель телефона), час їх додавання й останнього звернення;
• хеші токенів пристроїв, одноразових кодів запрошень (діють 72 години) і ключа відновлення.

Фото чеків не синхронізуються. Ключ відновлення ви можете зберегти в менеджері паролів Google на своєму пристрої — це відбувається через системний Credential Manager, ми його не отримуємо. Коли з простору виходить останній пристрій, сервер видаляє всі записи простору; вилучений пристрій втрачає доступ. Для захисту від зловживань сервер тимчасово (до трьох годин) обліковує кількість спроб створення, приєднання й відновлення з IP-адреси.

5. ШІ-функції (необов’язково)

«Скан чека», «Швидке введення з ШІ» та «ШІ-помічник» працюють лише тоді, коли ви їх явно запускаєте. Тоді на наш сервер-посередник (Cloudflare Workers) передаються:

• для скану чека — фото чека, яке ви обрали, а також назви ваших категорій;
• для швидкого введення — введений вами текст, назви категорій і рахунків;
• для ШІ-помічника — ваші повідомлення, зведені підсумки (суми витрат і доходів за місяці, найбільші категорії, бюджети, цілі) та, коли ваш запит цього потребує, окремі операції чи записи (рахунки, категорії, регулярні платежі), які помічник читає або змінює, щоб виконати ваше доручення. Історія розмови з помічником зберігається лише на вашому пристрої й видаляється кнопкою «Нова розмова».

Голосове введення (у швидкому введенні та в помічнику) розпізнає системна служба розпізнавання мовлення вашого телефона (зазвичай Google): застосунок отримує лише готовий текст, який далі обробляється так само, як набраний.

Сервер-посередник пересилає запит до Google Gemini API й повертає результат у застосунок. Ми не зберігаємо зміст запитів і фото. Для захисту від зловживань сервер обліковує лише кількість запитів за добу — окремо для випадкового ідентифікатора встановлення, не пов’язаного з вашою особою, і для IP-адреси, з якої надійшов запит; ці лічильники автоматично видаляються через 7 днів. Запити обробляє Google відповідно до Додаткових умов Gemini API та Політики конфіденційності Google.

6. Курси валют

Застосунок завантажує офіційні курси з відкритого API Національного банку України (bank.gov.ua). Ваші дані при цьому не передаються.

7. Покупки й оцінка застосунку

Копійка Pro оплачується через Google Play. Платіжні дані обробляє Google; ми їх не отримуємо. Застосунок перевіряє лише статус покупки. Після кількох тижнів користування застосунок може запропонувати оцінку через стандартне вікно Google Play — оцінку й відгук теж обробляє Google.

8. Резервні копії, імпорт та експорт

Ви можете вручну створити файл резервної копії або CSV — він зберігається туди, куди ви оберете. Якщо ввімкнути автоматичні резервні копії, застосунок щотижня зберігає копію у власній захищеній пам’яті на пристрої (останні п’ять копій) і, якщо ви обрали папку, також у цю папку — зокрема в папку хмарного диска, якщо ви так вирішили; у такому разі дані передаються лише тому сервісу, який ви обрали.

Файли виписок (CSV та Excel), які ви імпортуєте, і текст чи фото, якими ви поділилися з Копійкою з інших застосунків, обробляються на телефоні (фото чека й текст надсилаються до ШІ-функцій, лише коли ви запускаєте скан чи розпізнавання). Також Android може включати дані застосунку в резервну копію вашого облікового запису Google відповідно до налаштувань пристрою; токен monobank у такому разі не відновлюється на іншому пристрої.

9. Реклама та аналітика

Застосунок не містить реклами, сторонніх трекерів і систем аналітики.

10. Дозволи

• Інтернет — курси валют, monobank, спільний бюджет, ШІ-функції, покупки.
• Сповіщення — нагадування про платежі та бюджети (за вашим бажанням).
• Біометрія — блокування застосунку (за вашим бажанням).
• Камера — лише через системний застосунок камери, коли ви фотографуєте чек.
• Мікрофон — не запитується: голос розпізнає системна служба через власний інтерфейс.
• Доступ до сповіщень — лише якщо ви ввімкнете автозапис із банків; використовується, як описано в розділі 2.
• Встановлення оновлень — лише у версії із сайту: щоб Копійка могла встановити свою нову версію.

11. Видалення даних

Усі дані можна видалити в застосунку («Налаштування → Видалити всі дані») або видаливши застосунок. Якщо пристрій у спільному просторі, перед видаленням він виходить із нього; щоб видалити записи простору із сервера, із простору мають вийти всі його пристрої (або напишіть нам — ми видалимо простір за його ідентифікатором).

12. Діти

Копійка не призначена для дітей молодше 13 років, і ми свідомо не збираємо їхні дані.

13. Зміни та контакти

Про суттєві зміни цієї політики ми повідомимо в оновленні застосунку, а на цій сторінці оновимо дату вгорі. Питання щодо конфіденційності надсилайте розробнику застосунку «Копійка» — Steppe: jason.statusom@gmail.com.