Палітыка канфідэнцыйнасці Cartdock

1. Хто адказвае за даныя

Кантралёр даных: Siarhei Mishchanka, фізічная асоба, Koposche aviatsonyaya 13, 247, Беларусь, электронная пошта: support@cartdock.app. Словы «мы» і «наш» у гэтай палітыцы азначаюць кантралёра.

Пытанні і запыты наконт вашых даных: privacy@cartdock.app.

2. Коратка

• Без вашай згоды на чытанне чэкаў з дапамогай ШІ фотаздымкі чэкаў ніколі не пакідаюць вашу прыладу.
• Фотаздымкі чэкаў выдаляюцца з сэрвісу праз 30 дзён пасля іх прачытання.
• У праграме няма рэкламы. Статыстыка выкарыстання (Google Analytics for Firebase) адпраўляецца толькі з вашай згоды; справаздачы пра збоі (Firebase Crashlytics) адпраўляюцца, пакуль вы іх не выключыце (раздзел 3.11).
• Экспарт даных, выдаленне ўліковага запісу і згоды — у праграме: Профіль → Даныя, экран «Мае даныя».

3. Якія даныя мы апрацоўваем

3.1. Усталяванне і ўліковы запіс

• Пры першым запуску праграма стварае выпадковы ідэнтыфікатар усталявання і адпраўляе яго ў сэрвіс разам з платформай (Android або iOS). Так ствараецца ананімны ўліковы запіс без імені і без электроннай пошты. Токены доступу захоўваюцца на прыладзе ў абароненым сховішчы сістэмы, а на сэрвісе — толькі ў выглядзе хэшаў.
• Калі вы ўваходзіце праз Google або з дапамогай электроннай пошты і пароля, уваход выконвае Firebase Authentication (Google). Мы захоўваем спосаб уваходу, ваш ідэнтыфікатар Firebase і ваш адрас электроннай пошты. Калі вы ўваходзіце праз Google, мы атрымліваем і захоўваем імя з вашага профілю Google; яго фота і іншыя даныя профілю мы не захоўваем. На экране ўліковага запісу вы можаце самі ўвесці імя і прозвішча для агульных спісаў; гэта неабавязкова. Ваш пароль праходзіць праз наш сэрвіс да Firebase Authentication, і мы яго не захоўваем.
• Лісты, якія пацвярджаюць ваш адрас або скідаюць пароль, адпраўляе Firebase.
• Калі вы ўваходзіце, даныя, створаныя на прыладзе да ўваходу, пераходзяць у ваш уліковы запіс.
• Каб абараніць уліковыя запісы ад падбору пароляў, мы лічым спробы ўваходу; адрас электроннай пошты для гэтага захоўваецца толькі ў выглядзе хэша, а запісы выдаляюцца праз адзін дзень.

3.2. Спісы пакупак

• Спісы захоўваюцца на вашай прыладзе. Калі вы дзеліцеся спісам (для гэтага патрэбны ўліковы запіс), ён таксама захоўваецца на сэрвісе: яго назва, радкі (назва, колькасць, адзінка, нататка, аддзел, адзнака «куплена», хто дадаў) і яго ўдзельнікі і іх ролі.
• Удзельнікі бачаць адзін аднаго па імені: па імені і прозвішчы, якія вы ўвялі самі, інакш па імені з вашага профілю Google, інакш па частцы адраса электроннай пошты да «@». Поўны адрас ніколі не паказваецца. Госці адлюстроўваюцца пад псеўданімам (назвай жывёлы).
• Выдаленыя радкі агульнага спісу канчаткова выдаляюцца з сэрвісу праз 30 дзён.
• Калі ўладальнік выдаляе агульны спіс або свой уліковы запіс, спіс выдаляецца з сэрвісу разам з радкамі, якія дадалі ўдзельнікі. Калі ўдзельнік губляе доступ да спіса (напрыклад, уладальнік выдаліў спіс або свой уліковы запіс ці выдаліў гэтага ўдзельніка), на прыладзе ўдзельніка застаецца копія спіса: яна больш не абнаўляецца і на сэрвісе не захоўваецца. Выдаліць копію ўдзельнік можа сам.

3.3. Спасылкі на спісы

• Спасылка змяшчае выпадковы ключ; сэрвіс захоўвае толькі яго хэш. Любы, у каго ёсць спасылка, можа праглядаць спіс, пакуль спасылка сапраўдная.
• Спасылка бывае «Толькі праглядаць» або «Удзельнічаць» (удзельнічаць можна ў праграме). Яна дзейнічае 24 гадзіны, 30 дзён (па змаўчанні) або не мае даты заканчэння.
• Па спасылцы можна ўбачыць назву спісу, імя ўладальніка (выбіраецца гэтак жа, як для ўдзельнікаў; яго бачыць любы, у каго ёсць спасылка), радкі (назва, колькасць, адзінка, аддзел, адзнака «куплена»), узровень спасылкі, час апошняй змены і калі спасылка спыняе дзейнічаць. Нататкі да радкоў, удзельнікі, чэкі і выдаткі не бачныя.
• Адкліканне спасылкі адразу закрывае яе і прыбірае гасцей і гледачоў, якія далучыліся праз яе.

3.4. Чэкі і фотаздымкі

• Фотаздымкі чэкаў застаюцца на вашай прыладзе, пакуль іх не адпраўлена, і адпраўляюцца толькі тады, калі вы дазволілі «апрацоўку ШІ».
• Адпраўленыя фотаздымкі захоўваюцца ў прыватным Supabase Storage (рэгіён eu-central-1, ЕС).
• Захаваны чэк захоўваецца на сэрвісе: крама, дата пакупкі, валюта, сума, радкі з колькасцямі, цэнамі і катэгорыямі, а таксама вынік распазнавання. Калі вы прывязалі чэк да спісу, сэрвіс захоўвае таксама ідэнтыфікатар гэтага спісу (без яго назвы і радкоў).
• Калі вы запісваеце, колькі каштаваў спіс без чэка, сэрвіс захоўвае гэтую суму ў вашым уліковым запісе: суму, валюту, дзень і ідэнтыфікатар спісу. Іншыя ўдзельнікі спісу яе не бачаць.
• Каб заўважыць чэк, адпраўлены двойчы, мы параўноўваем хэшы фотаздымкаў у межах вашага ўліковага запісу.
• На Android краі чэка на фотаздымку знаходзіць мадэль Google ML Kit на самой прыладзе. Фотаздымак нікуды не адпраўляецца, але пасля першага пошуку краёў бібліятэка адпраўляе Google тэхнічныя звесткі пра сваю працу.
• Калі вы паведамляеце пра праблему з чэкам, мы атрымліваем тып праблемы, ваш каментарый і спасылку на заданне распазнавання. Фотаздымкі да паведамлення не дадаюцца.
• Мы лічым, колькі чэкаў вы адсканавалі і колькі пытанняў задалі асістэнту за месяц, для месячных лімітаў.
• Лагатыпы крам у спісе чэкаў праграма супастаўляе на прыладзе. Не часцей за раз на суткі, калі адкрыты спіс чэкаў, яна спампоўвае з нашага сайта агульны каталог лагатыпаў і ўсе яго файлы — адзін і той жа набор для ўсіх усталёвак. Запыт не змяшчае назваў крам, даных чэкаў і ўліковага запісу, таму па журнале сайта нельга зразумець, дзе вы купляеце. Сайт бачыць IP-адрас і час запыту.
• Лагатыпы крам належаць іх уладальнікам. Каб прыбраць лагатып, напішыце на privacy@cartdock.app.

3.5. Чытанне чэкаў з дапамогай ШІ

• Чэкі чытае OpenAI. OpenAI атрымлівае выявы старонак чэка і нашы інструкцыі. Мы не дадаём у гэты запыт ваш ідэнтыфікатар, электронную пошту ці іншыя даныя ўліковага запісу. Запыт адпраўляецца з выключаным захоўваннем адказаў у OpenAI (store=false). Калі пазіцыі чэка напісаны не на мове праграмы і пераклад уключаны ў Профіль → Даныя → Апрацоўка даных, OpenAI у тым жа запыце перакладае іх назвы на мову праграмы. Мы захоўваем і пераклад, і назву, як яна надрукавана на чэку.
• Калі OpenAI недаступны, чэк замест яго чытае Anthropic. Anthropic атрымлівае тыя ж выявы і інструкцыі, таксама без вашага ідэнтыфікатара, электроннай пошты ці іншых даных уліковага запісу, і гэтак жа перакладае назвы пазіцый. Налады, падобнай да store=false, у Anthropic няма; колькі ён захоўвае запыты — у раздзеле 6.
• Для кожнага выкліку мы захоўваем службовыя запісы без тэксту чэка: мадэль, працягласць, памер, кошт і паказчыкі якасці распазнавання.
• Без згоды фотаздымкі не адпраўляюцца. Пасля адклікання згоды новыя фотаздымкі не адпраўляюцца, а ўжо зробленыя фотаздымкі чакаюць на прыладзе.

3.6. Асістэнт

• У праграме асістэнт называецца Рынка. Рынка — гэта ШІ, а не чалавек: адказы піша моўная мадэль OpenAI або Anthropic. Якую з іх выкарыстоўваць, выбіраем мы ў наладах сэрвісу, і другая можа замяніць першую, калі тая недаступная.
• Калі адказ піша Anthropic, ён атрымлівае тыя ж даныя, што і OpenAI паводле пунктаў ніжэй, таксама без вашай пошты і імя.
• Калі вы задаяце асістэнту пытанне, OpenAI атрымлівае тэкст пытання, ідэнтыфікатары вашых спісаў (не іх змесціва), колькасць апошніх чэкаў і тэхнічны ідэнтыфікатар вашага ўліковага запісу ў нас (без электроннай пошты і імені).
• Мадэль не атрымлівае змесціва вашых спісаў і чэкаў, а таксама вашых выдаткаў. Каб разумець працяг размовы, OpenAI разам з пытаннем атрымлівае да 6 папярэдніх пытанняў і адказаў гэтай жа размовы — не больш за 6 000 знакаў і толькі за апошнія 48 гадзін. У папярэдніх адказах могуць быць назвы пазіцый, якія прапанавала сама Рынка. Пытанні з іншых размоў не адпраўляюцца. Запыт адпраўляецца з выключаным захоўваннем адказаў у OpenAI (store=false).
• Пытанне і адказ захоўваюцца на сэрвісе 48 гадзін, потым іх тэкст выдаляецца. Запіс пра тое, што пытанне было зададзена, застаецца для месячнага ліміту.
• Для кожнага адказу мы захоўваем службовыя запісы без тэксту пытання і адказу: мадэль, працягласць, памер адказу і кошт.
• Асістэнт працуе толькі са згодай на «апрацоўку ШІ» — той самай, што і для чэкаў: без яе або пасля яе адклікання пытанне не адпраўляецца, а адказ, які яшчэ пішацца, спыняецца. Даныя адпраўляюцца толькі тады, калі вы задаяце пытанне.
• Пад кожным адказам Рынкі ёсць кнопка «Паскардзіцца». Калі вы паскардзіцеся на адказ, наш сэрвіс атрымлівае гэты адказ, ваша пытанне да яго, спіс, які Рынка ў ім прапанавала (калі быў), выбраную прычыну і ваш каментарый (да 500 знакаў); скарга звязана з вашым уліковым запісам. Пакуль у сэрвісу ёсць уласная копія пытання і адказу (48 гадзін), ён захоўвае яе замест копіі з прылады. Сэрвіс дадае да скаргі мадэль, версію інструкцый, тарыф і платформу (Android або iOS), з якімі быў напісаны адказ, і тое, як адказ завяршыўся (цалкам, абарваўся ці з памылкай). Змесціва вашых спісаў і чэкаў у скаргу не ўваходзіць; ні OpenAI, ні Anthropic скаргу не атрымліваюць.
• Скаргі патрэбныя, каб правяраць адказы і паляпшаць Рынку. Тэксты скаргі — пытанне, адказ, прапанаваны спіс і каментарый — выдаляюцца праз 30 дзён пасля таго, як мы яе атрымалі; прычына і звесткі пра адказ захоўваюцца да выдалення ўліковага запісу, каб лічыць скаргі. Без сувязі скарга чакае на прыладзе і адпраўляецца пазней; пасля адказу сэрвісу на прыладзе застаецца толькі яе статус. Згода на «апрацоўку ШІ» для скаргі не патрэбная. Заявіць пярэчанне супраць гэтай апрацоўкі можна лістом на privacy@cartdock.app — тады мы выдалім скаргу.

3.7. Галасавы ўвод

• Вы можаце прадыктаваць асістэнту пытанне. Маўленне распазнае служба распазнавання маўлення Android або iOS. У залежнасці ад прылады гэта адбываецца на самой прыладзе або на серверах пастаўшчыка сістэмы (Google, Apple) на яго ўмовах.
• Праграма атрымлівае толькі распазнаны тэкст і не захоўвае запіс. Мікрафон уключаны, пакуль на экране напісана «Слухаем»; спыніць запіс можна кнопкай.

3.8. Што застаецца на прыладзе

• Вынікі выдаткаў і планаванне пакупак вылічваюцца на прыладзе з вашых чэкаў, спісаў і сум без чэка. Сэрвіс захоўвае толькі чэкі і сумы, апісаныя ў раздзеле 3.4.
• Напаміны — гэта лакальныя апавяшчэнні прылады, без сервера і без рассылак.
• Вашы адказы наконт згод захоўваюцца на прыладзе.
• Пасля выхаду з уліковага запісу асабістыя спісы гэтага ўліковага запісу, копіі агульных спісаў, да якіх у вас больш няма доступу, і чэкі гэтага ўліковага запісу разам з іх фотаздымкамі не выдаляюцца з тэлефона, а хаваюцца: праграма захоўвае іх толькі з ідэнтыфікатарам уліковага запісу (без адраса электроннай пошты) і вяртае, калі вы зноў уваходзіце ў той жа ўліковы запіс на гэтым тэлефоне. Чэкі, яшчэ не захаваныя ва ўліковым запісе, трапяць туды толькі пасля гэтага ўваходу. Госць і іншыя ўліковыя запісы на гэтым тэлефоне іх не бачаць. Выдаленне ўліковага запісу ў праграме на гэтым тэлефоне сцірае іх; схаваныя спісы і чэкі іншых уліковых запісаў на гэтым тэлефоне застаюцца.
• На Android рэзервовую копію даных праграмы робіць сістэма, і толькі ў двух выпадках. Першы — воблачная копія ў вашым уліковым запісе Google: толькі калі рэзервовае капіяванне ўключана і Android можа зашыфраваць копію на тэлефоне; для гэтага патрэбна блакіроўка экрана (PIN-код, графічны ключ або пароль). Калі копію нельга зашыфраваць, даныя праграмы не трапляюць у воблачную копію. Другі — перанос даных са старога тэлефона на новы пры змене тэлефона. Android 7 і 8 не правяраюць шыфраванне копіі, таму на іх мы не абяцаем, што воблачная копія зашыфравана.
• Копія змяшчае спісы, чэкі без фотаздымкаў, размовы з Рынкай, мову праграмы і налады, у тым ліку вашы адказы наконт згод, а калі вы ўвайшлі — адрас электроннай пошты і імя ўліковага запісу. Рэзервовая копія змяшчае таксама спісы і чэкі (без фотаздымкаў), схаваныя на гэтым тэлефоне пры выхадзе з уліковага запісу, у тым ліку спісы і чэкі іншых уліковых запісаў: з ідэнтыфікатарам уліковага запісу, без адраса электроннай пошты. Копія не змяшчае токенаў доступу, ідэнтыфікатара ўсталявання, фотаздымкаў чэкаў і напамінаў. Пасля аднаўлення ўвайдзіце зноў і зноў уключыце напаміны.

3.9. Журналы сэрвісу

• Кожны раз, калі праграма звяртаецца да сэрвісу, захоўваецца запіс журнала: IP-адрас, метад і адрас запыту без параметраў, а таксама код адказу. Ключы спасылак і часовыя адрасы загрузкі ў нашым журнале замяняюцца пазнакай.
• Платформа Google Cloud Run таксама вядзе ўласны журнал запытаў. У ім адрас запыту захоўваецца цалкам — у тым ліку ключ спасылкі, калі праграма адкрывае спіс па спасылцы. Гэтыя журналы могуць бачыць толькі тыя, хто мае доступ да журналаў праекта. Тэрмін захоўвання журналаў: 30 дзён.
• Сэрвіс таксама адзначае, у якія дні ваш уліковы запіс звяртаўся да яго і з якой платформы (Android або iOS), каб лічыць колькасць актыўных карыстальнікаў. Гэтыя адзнакі выдаляюцца праз 35 дзён; у справаздачах застаюцца толькі агульныя лічбы без уліковых запісаў. Апошні такі дзень захоўваецца таксама ў запісе прылады, пакуль прылада не выдалена. Гэтыя адзнакі не залежаць ад выбару наконт статыстыкі выкарыстання (раздзел 7).

3.10. Старонка агульнага спісу ў браўзеры

• Старонка працуе на сайце Cartdock (Google Cloud Run, рэгіён europe-west1) і загружае спіс з Supabase (рэгіён eu-central-1): ключ спасылкі перадаецца ў целе запыту, а не ў адрасе. Змены прыходзяць праз Supabase Realtime як сігнал без даных спісу. Запыты да старонак /s/ выключаны з журнала запытаў платформы. Калі старонка не адлюстроўваецца праз памылку, журнал памылак кантэйнера можа захоўваць поўны адрас, у тым ліку ключ спасылкі ў шляху /s/, на працягу 30 дзён.
• Даныя спісу не захоўваюцца ў браўзеры.
• Статыстыка наведванняў (Google Analytics 4) уключаецца, толькі калі вы націснеце «Так» у пытанні на старонцы. Да гэтага старонка не звяртаецца да Google. Пасля «Так» Google атрымлівае падзеі — адкрыццё старонкі, націсканне кнопкі «Адкрыць у Cartdock» і кнопак Google Play і App Store, захаванне спісу ў TXT або CSV, несапраўдная спасылка — з тыпам платформы, фарматам файла або прычынай. Ключ спасылкі, назва і радкі спісу і імя ўладальніка ў статыстыку не трапляюць, а адрас старонкі замяняецца агульным /s/. Google Signals і рэкламныя функцыі выключаны.
• Гэтая старонка палітыкі не выкарыстоўвае аналітыку і запыты да старонніх сайтаў; адзіны cookie сайта апісаны ў раздзеле 9.

3.11. Справаздачы пра збоі і статыстыка выкарыстання

• Android і iOS адпраўляюць справаздачы пра збоі. Статыстыку выкарыстання адпраўляе толькі Android. Зборкі Debug нічога не адпраўляюць.
• Справаздачы пра збоі уключаны, пакуль вы іх не выключыце: адзнака «Адпраўляць справаздачы пра збоі» пры першым запуску або пазней Профіль → Даныя → Апрацоўка даных → «Справаздачы пра збоі». Калі праграма аварыйна завяршаецца, справаздача ідзе ў Firebase Crashlytics (Google): месца ў кодзе, дзе адбыўся збой, тып і тэкст памылкі, час збою, версія праграмы, мадэль прылады, версія сістэмы, аб’ём памяці і сховішча, прыкмета root-доступу і выпадковы ідэнтыфікатар усталявання Crashlytics. Каб лічыць сеансы, Firebase таксама атрымлівае выпадковы ідэнтыфікатар усталявання Firebase і час, калі праграма была на экране.
• У справаздачы пра збой няма ідэнтыфікатара ўліковага запісу, адраса пошты, змесціва спісаў і чэкаў і пытанняў да Рынкі. Тэксты памылак нашага кода такіх даных не ўтрымліваюць.
• Без сувязі справаздача чакае на прыладзе і адпраўляецца пры наступным запуску. Калі вы выключыце справаздачы пра збоі, неадпраўленыя справаздачы выдаляюцца з прылады пры наступным запуску.
• Статыстыка выкарыстання (Google Analytics for Firebase) выключана, пакуль вы яе не дазволіце: адзнака «Дазволіць статыстыку выкарыстання» пры першым запуску або пазней Профіль → Даныя → Апрацоўка даных → «Статыстыка выкарыстання». З вашай згоды Google атрымлівае падзеі, якія бібліятэка запісвае сама, — першы запуск, пачатак і працягласць сеансаў, абнаўленні праграмы і сістэмы — з версіяй праграмы, мадэллю прылады, версіяй сістэмы, прыблізным рэгіёнам і выпадковым ідэнтыфікатарам экзэмпляра праграмы. Уласных падзей, назваў экранаў, ідэнтыфікатара ўліковага запісу і рэкламнага ідэнтыфікатара мы не адпраўляем; рэкламныя функцыі выключаны.
• Пасля адклікання згоды статыстыка адразу спыняецца, і праграма скідае свой ідэнтыфікатар статыстыкі. Справаздачы пра збоі і статыстыка не звязаны з уліковым запісам: іх няма ў архіве даных, і яны не выдаляюцца разам з уліковым запісам; Google выдаляе іх па тэрмінах з раздзела 6.

3.12. Падпіскі

• Тарыфы Lite і Plus купляюцца ў праграме як падпіскі праз Google Play або App Store і толькі пасля ўваходу. Вы плаціце краме: яна апрацоўвае плацёж па сваіх умовах і палітыцы прыватнасці, а даных вашай карткі і іншых плацежных даных мы не атрымліваем.
• Для праверкі пакупак мы выкарыстоўваем RevenueCat. Праграма і крама перадаюць RevenueCat ідэнтыфікатар вашага ўліковага запісу ў нас (без пошты і імя), прадукт, краму, валюту і рэгіянальныя налады крамы і запіс пра пакупку. RevenueCat захоўвае гісторыю пакупак, падаўжэнняў, адмен і вяртанняў грошай вашага ўліковага запісу. RevenueCat атрымлівае гэты ідэнтыфікатар уліковага запісу пры запыце прапаноў падпіскі пасля ўваходу, яшчэ да пакупкі. Гісторыю пакупак у RevenueCat мы таксама выкарыстоўваем для прагляду статыстыкі падпісак.
• Наш сэрвіс запытвае ў RevenueCat звесткі пра вашу падпіску і захоўвае тарыф, прадукт, краму, дату пакупкі, пачатак і канец бягучага перыяду, прыкмету падаўжэння, праблему з аплатай і вяртанне грошай. Па гэтых звестках сэрвіс дае ўліковаму запісу яго тарыф.
• Выдаленне ўліковага запісу або праграмы не адмяняе падпіску ў краме. Як яе адмяніць, апісана на старонцы выдалення ўліковага запісу.
• Цана, падаўжэнне, скасаванне, адмова ад дагавора і вяртанне грошай за падпіскі апісаны ва ўмовах выкарыстання. Калі вы просіце Apple вярнуць грошы за падпіску, набытую ў App Store, наш сэрвіс праз RevenueCat паведамляе Apple, ці была падпіска прадастаўлена; нічога з вашых спісаў, чэкаў або пытанняў ён не перадае. Падстава — наш законны інтарэс у правільным рашэнні пра вяртанне грошай (арт. 6(1)(f) GDPR); запярэчыць можна на privacy@cartdock.app да звароту ў Apple (умовы выкарыстання, раздзел 6).

4. Хто атрымлівае даныя і дзе яны апрацоўваюцца

• Google Cloud Run — наш сэрвіс, рэгіён europe-west1 (ЕС).
• Google Cloud Run — сайт Cartdock: галоўная старонка, старонка агульнага спісу і гэтая старонка.
• Supabase — база даных, сховішча фотаздымкаў і архіваў экспарту, абнаўленні вэб-старонкі; рэгіён eu-central-1 (ЕС).
• Firebase (Google) — Authentication: уваход і лісты; даныя апрацоўваюцца толькі ў ЗША. Падстава перадачы — сертыфікацыя Google LLC у EU-U.S. Data Privacy Framework (рашэнне пра належны ўзровень абароны, арт. 45 GDPR); калі яна перастане дзейнічаць — стандартныя дагаворныя ўмовы Еўрапейскай камісіі (арт. 46(2)(c) GDPR) з умоў апрацоўкі даных Google.
• OpenAI Ireland Ltd. (Ірландыя) — апрацоўшчык, які дзейнічае па нашым даручэнні: чытанне і пераклад чэкаў, адказы Рынкі. OpenAI можа перадаваць даныя сваім афіляваным асобам і іншым апрацоўшчыкам, якіх яна прыцягвае, за межы ЕЭП, у тым ліку ў ЗША, на падставе стандартных дагаворных умоў Еўрапейскай камісіі (арт. 46(2)(c) GDPR) або рашэння пра належны ўзровень абароны (арт. 45 GDPR). Копію гэтых умоў можна запытаць па адрасе privacy@cartdock.app. OpenAI не выкарыстоўвае гэтыя даныя для навучання мадэляў і захоўвае іх да 30 дзён у журналах абароны ад злоўжыванняў; параметр store=false гэты тэрмін не змяняе.
• Anthropic Ireland, Limited (Ірландыя) — апрацоўшчык, які дзейнічае па нашым даручэнні: чытанне і пераклад чэкаў, калі OpenAI недаступны, адказы Рынкі. Anthropic можа апрацоўваць даныя за межамі ЕЭП, у тым ліку ў ЗША, на падставе стандартных дагаворных умоў Еўрапейскай камісіі (арт. 46(2)(c) GDPR) у сваім пагадненні пра апрацоўку даных, якое з’яўляецца часткай Commercial Terms Anthropic. Anthropic не выкарыстоўвае гэтыя даныя для навучання мадэляў.
• Firebase Crashlytics (Google) — справаздачы пра збоі праграм для Android і iOS; Google апрацоўвае іх у сваёй глабальнай інфраструктуры, у тым ліку ў ЗША. Падстава перадачы — як для Firebase Authentication: EU-U.S. Data Privacy Framework, інакш стандартныя дагаворныя ўмовы.
• Google Analytics for Firebase (Google) — статыстыка выкарыстання праграмы для Android, толькі пасля вашай згоды; падстава перадачы — тая ж.
• RevenueCat, Inc. (ЗША) — апрацоўшчык, які дзейнічае па нашым даручэнні: праверка пакупак падпісак і захоўванне іх гісторыі. Падстава перадачы — стандартныя дагаворныя ўмовы Еўрапейскай камісіі (арт. 46(2)(c) GDPR) у пагадненні RevenueCat пра апрацоўку даных.
• Google Play, App Store — продаж падпісак і прыём аплаты па ўмовах і палітыках прыватнасці Google і Apple.
• Google Analytics — толькі на старонцы агульнага спісу і толькі пасля вашай згоды.
• Google або Apple — распазнаванне маўлення сістэмай прылады, толькі падчас дыктоўкі.

Іншых знешніх сэрвісаў наш сэрвіс не выклікае.

Людзі ў Швейцарыі: атрымальнікі і краіны тыя ж. Швейцарыя прызнае належным узровень абароны даных у краінах ЕС і ЕЭП, а ў ЗША — толькі ў кампаній, сертыфікаваных паводле Swiss-U.S. Data Privacy Framework, напрыклад Google LLC. Перадача даных кампаніі RevenueCat у ЗША і перадача даных кампаніямі OpenAI і Anthropic за межы ЕЭП грунтуюцца на стандартных дагаворных умовах Еўрапейскай камісіі з папраўкамі для швейцарскага права (арт. 16(2)(d) Федэральнага закона Швейцарыі аб абароне даных, FADP).

5. Прававыя падставы

• Згода (арт. 6(1)(a) GDPR) — чытанне і пераклад чэкаў з дапамогай ШІ, адказы Рынкі і памяць размовы, статыстыка наведванняў на старонцы агульнага спісу.
• Выкананне дагавора (арт. 6(1)(b) GDPR) — уліковы запіс і ўваход, сінхранізацыя і агульныя спісы, захоўванне чэкаў, экспарт і выдаленне.
• Законны інтарэс (арт. 6(1)(f) GDPR) — журналы, абарона ад падбору пароляў і злоўжыванняў, месячныя ліміты, падлік актыўных карыстальнікаў, скаргі на адказы Рынкі. Наш інтарэс — бяспека сэрвісу, сумленнае размеркаванне бясплатных лімітаў, веданне таго, колькі людзей карыстаецца сэрвісам, а таксама пошук і выпраўленне шкодных або няправільных адказаў Рынкі.
• Законны інтарэс (арт. 6(1)(f) GDPR) — таксама выяўленне злоўжыванняў, абмежаванні ўліковага запісу, запісы пра нашы рашэнні і код адраса пошты пасля выдалення ўліковага запісу (раздзел 6, раздзел 12). Наш інтарэс — каб бясплатныя ліміты і ШІ не выдаткоўваў адзін чалавек або скрыпт і каб выдаленне ўліковага запісу не здымала лімітаў і абмежаванняў. Для выяўлення мы выкарыстоўваем толькі даныя, якія ўжо захоўваем, а адрас пошты захоўваем толькі як код.
• Згода (арт. 6(1)(a) GDPR) — таксама статыстыка выкарыстання ў праграме (раздзел 3.11).
• Законны інтарэс (арт. 6(1)(f) GDPR) — справаздачы пра збоі праграмы. Наш інтарэс — знаходзіць і выпраўляць збоі праграмы. У справаздачы няма даных уліковага запісу, і выключыць справаздачы можна ў любы час (раздзел 3.11); выключэнне — гэта ваша пярэчанне (арт. 21 GDPR).
• Выкананне дагавора (арт. 6(1)(b) GDPR) — таксама падпіскі: праверка пакупкі і выдача тарыфу ўліковаму запісу (раздзел 3.12).

6. Як доўга мы захоўваем даныя

• Фотаздымкі чэкаў — 30 дзён пасля прачытання або менш, як толькі выдалены чэк больш нельга аднавіць.
• Выдалены чэк можна аднавіць на працягу 7 дзён; праз 30 дзён пасля гэтага ён выдаляецца канчаткова.
• Пытанні і адказы асістэнта — 48 гадзін.
• Запыты ў Anthropic — выдаляюцца на працягу 30 дзён; калі запыт пазначаны як такі, што парушае правілы выкарыстання Anthropic, ён захоўваецца да 2 гадоў, а ацэнкі яго праверак бяспекі — да 7 гадоў.
• Службовыя запісы пра выклікі ШІ для чэкаў і Рынкі, без тэксту — да выдалення ўліковага запісу.
• Лічыльнікі сканаванняў і пытанняў для месячнага бюджэту кожнага тарыфу, без сувязі з уліковым запісам — бягучы і папярэдні месяц.
• Справаздачы пра збоі — 90 дзён у Google (Firebase Crashlytics); неадпраўленая справаздача выдаляецца з прылады, калі вы выключаеце справаздачы.
• Падзеі статыстыкі выкарыстання — 2 месяцы ў Google (Google Analytics for Firebase); у справаздачах застаюцца толькі выніковыя лічбы.
• Звесткі пра падпіску на нашым сэрвісе і ў RevenueCat — да выдалення ўліковага запісу; пры выдаленні ўліковага запісу наш сэрвіс выдаляе і ваш запіс у RevenueCat. Крама захоўвае ўласныя запісы пра пакупкі па сваіх умовах.
• Скаргі на адказы Рынкі — тэксты 30 дзён пасля атрымання скаргі; прычына і звесткі пра адказ — да выдалення ўліковага запісу.
• Выдаленыя радкі агульных спісаў — 30 дзён.
• Архіў экспарту — 3 дні; спасылка для спампоўкі дзейнічае 15 хвілін і выдаецца паўторна па запыце.
• Токены ўваходу — да 90 дзён; іх запісы выдаляюцца праз 30 дзён пасля заканчэння тэрміну дзеяння.
• Лічыльнікі спроб уваходу — адзін дзень.
• Журналы — 30 дзён.
• Адзнакі дзён актыўнасці — 35 дзён.
• Запіс пра выкананае або адмененае выдаленне ўліковага запісу (ідэнтыфікатары ўліковага запісу і прылады, стан запыту і час) — 12 месяцаў пасля выканання або адмены; калі сэрвіс сам выдаліў даныя госця, — 35 дзён.
• Даныя без уліковага запісу (госць) — пакуль праграма звяртаецца да сэрвісу; праз 14 дзён без зваротаў сэрвіс выдаляе іх гэтак жа, як пры выдаленні па вашай просьбе. Даныя на прыладзе застаюцца.
• Пасля выдалення ўліковага запісу з адрасам пошты — да канца месяца і яшчэ 1 дзень: код гэтага адраса (HMAC з сакрэтным ключом; сам адрас не захоўваецца) і колькасць сканаванняў і пытанняў асістэнту за гэты месяц, каб новая рэгістрацыя з тым жа адрасам у гэтым месяцы не пачынала месячныя ліміты нанова.
• Абмежаванне ўліковага запісу (раздзел 12) — пакуль яно дзейнічае і яшчэ 30 дзён пасля заканчэння тэрміну; калі мы здымаем яго раней або ўліковы запіс выдаляецца, запіс выдаляецца адразу.
• Запісы пра нашы рашэнні наконт абмежаванняў — 12 месяцаў ад рашэння; пасля выдалення ўліковага запісу яны застаюцца без яго ідэнтыфікатара; для блакіроўкі рэгістрацыі запіс змяшчае першыя 8 сімвалаў кода адраса.
• Блакіроўка рэгістрацыі — код адраса пошты (HMAC з сакрэтным ключом) — да 6 месяцаў ад нашага рашэння; пасля выдалення ўліковага запісу, прыпыненага за парушэнне правіл, — 6 месяцаў ад выдалення або да канца прыпынення, калі яно сканчаецца пазней.
• Уліковы запіс, чэкі, спісы і паведамленні пра праблемы — пакуль вы іх не выдаліце або не выдаліце ўліковы запіс.
• Сумы без чэка — да выдалення ўліковага запісу. Выдаленая вамі сума пазначаецца як выдаленая і не трапляе ў архіў, але яе запіс захоўваецца да выдалення ўліковага запісу, каб больш старая змена з іншай прылады не вярнула яе.

Тэрміны вышэй вызначаюць, калі даныя трэба выдаліць. Потым іх выдаляе службовае заданне сэрвісу, якое запускаецца кожныя 10 хвілін, пакуль сэрвіс працуе. Калі сэрвісам ніхто не карыстаецца, ён спыняецца, і заданне запускаецца пры наступным старце сэрвісу, таму даныя могуць быць выдалены пазней, чым сканчаецца тэрмін. Журналы выдаляе сама платформа Google Cloud Run.

7. Згоды

• Пры першым запуску вы выбіраеце, ці дазволіць апрацоўку ШІ (чытанне чэкаў і адказы асістэнта) і статыстыку выкарыстання і ці адпраўляць справаздачы пра збоі, і пацвярджаеце, што вам споўнілася 16 гадоў.
• Адзнака «Дазволіць апрацоўку ШІ» спачатку не пастаўлена. Без згоды на ШІ спісы працуюць; распазнаванне чэкаў і Рынка выключаны.
• Статыстыка выкарыстання выключана, пакуль вы яе не дазволіце. Справаздачы пра збоі ўключаны, пакуль вы іх не выключыце: яны грунтуюцца не на згодзе, а на нашым законным інтарэсе (раздзел 5), і выключэнне спыняе іх гэтак жа. Адзнакі дзён актыўнасці на сэрвісе (раздзел 3.9) — асобная апрацоўка і ад гэтых выбараў не залежаць.
• Вы можаце змяніць або адклікаць згоду ў любы час: Профіль → Даныя → Апрацоўка даных. Адкліканне дзейнічае адразу і не ўплывае на тое, што было адпраўлена раней.
• На старонцы агульнага спісу выбар змяняецца па спасылцы «Змяніць» унізе старонкі.

8. Вашы правы

Вы маеце права на доступ да сваіх даных і атрыманне іх копіі, на выпраўленне, выдаленне, абмежаванне апрацоўкі, пераноснасць даных, на пярэчанне супраць апрацоўкі і на адкліканне згоды.

• Копія вашых даных — Профіль → Даныя → Архіў → Падрыхтаваць архіў. Архіў змяшчае даныя вашага ўліковага запісу (імя і прозвішча, якія вы ўвялі, калі ўвялі, імя з вашага профілю Google, адрас электроннай пошты, спосабы ўваходу, тарыф і дні актыўнасці з раздзела 3.9), прылады, агульныя спісы, якія вы стварылі або да якіх далучыліся, з радкамі, захаваныя чэкі, сумы без чэка, заданні распазнавання, паведамленні пра праблемы, пытанні да асістэнта і адказы, скаргі на адказы Рынкі, абмежаванне ўліковага запісу і нашы рашэнні пра яго, фотаздымкі. Спісы, якімі вы не дзяліліся, копіі агульных спісаў, да якіх у вас больш няма доступу, і чэкі, якія вы яшчэ не захавалі, ёсць толькі на прыладзе і ў архіў не ўваходзяць. Усё іншае, што мы захоўваем пра вас, можна запытаць па адрасе privacy@cartdock.app.
• У архіве ёсць і вашы падпіскі — у тым выглядзе, у якім іх захоўвае наш сэрвіс (раздзел 3.12).
• Выдаленне — Профіль → Даныя → Выдаленне → «Выдаліць уліковы запіс і ўсе даныя». На працягу 24 гадзін выдаленне можна скасаваць; потым сэрвіс выдаляе ўліковы запіс Firebase, чэкі, фотаздымкі, сумы без чэка, адзнакі дзён актыўнасці, ваш удзел у чужых спісах і вашы прылады, а праграма выдаляе даныя ўліковага запісу з прылады; схаваныя спісы і чэкі іншых уліковых запісаў на гэтым тэлефоне застаюцца (раздзел 3.8). Агульныя спісы, якія вы стварылі, выдаляюцца з сэрвісу разам з радкамі, якія дадалі ўдзельнікі; ва ўдзельнікаў на іх прыладах застаецца копія, якая больш не абнаўляецца. Радкі, якія вы дадалі ў чужыя спісы, застаюцца там без аўтара. Застаюцца запіс пра тое, што выдаленне выканана, і — калі ва ўліковага запісу быў адрас пошты — код гэтага адраса з лікамі месяца (раздзел 6), а калі ўліковы запіс быў прыпынены за парушэнне правіл, — блакіроўка рэгістрацыі з гэтым кодам (раздзел 12). Выдаліць уліковы запіс без праграмы можна лістом; як гэта зрабіць і што яшчэ застаецца, апісана на старонцы «Выдаленне ўліковага запісу».
• Выпраўленне — чэкі і спісы можна рэдагаваць у праграме.
• З любым іншым запытам пішыце на privacy@cartdock.app.
• Вы можаце падаць скаргу ў наглядчы орган па абароне даных сваёй краіны; у Польшчы гэта Старшыня Упраўлення па абароне персанальных даных (UODO, uodo.gov.pl); у Швейцарыі — Федэральны ўпаўнаважаны па абароне даных і інфармацыі (FDPIC, edoeb.admin.ch), якому можна паведаміць пра парушэнне правілаў абароны даных.

9. Cookies і сховішча браўзера

• Старонка агульнага спісу захоўвае ў localStorage толькі ваш адказ на пытанне пра статыстыку.
• Cookies Google Analytics (_ga, _ga_…) з’яўляюцца толькі пасля «Так» і выдаляюцца, калі вы потым адмовіцеся.
• Сайт усталёўвае адзін cookie lang з кодам выбранай мовы на 1 год — толькі тады, калі вы самі выбіраеце мову ў пераключальніку моў. Галоўная старонка і гэтая старонка больш нічога не захоўваюць у браўзеры.

10. Узрост

Праграма прызначана для людзей ад 16 гадоў: пры першым запуску вы пацвярджаеце свой узрост. Старонка агульнага спісу пра ўзрост не пытаецца.

Калі вы ў Турцыі і вам менш за 18 гадоў, карыстайцеся праграмай са згоды бацькоў або законнага прадстаўніка.

11. Як абаронены даныя

• Праграма і старонка абменьваюцца данымі з сэрвісамі праз HTTPS.
• Токены доступу і ключы спасылак захоўваюцца на сэрвісе толькі ў выглядзе хэшаў.
• Фотаздымкі і архівы захоўваюцца ў закрытым сховішчы; загрузіць і спампаваць іх можна толькі па часовым падпісаным адрасе, які дзейнічае 15 хвілін.
• На прыладзе даныя ўваходу захоўваюцца ў абароненым сховішчы сістэмы (Keychain на iOS, Keystore на Android).

12. Правілы і абмежаванні ўліковага запісу

Бясплатныя ліміты, Рынка і распазнаванне чэкаў разлічаны на асабістае карыстанне. Карыстаючыся сэрвісам, выконвайце чатыры правілы:

1. Карыстайцеся сэрвісам праз праграму і сайт; не адпраўляйце запыты з дапамогай іншых праграм або скрыптоў.
2. Не абыходзьце месячныя ліміты — напрыклад, не выдаляйце ўліковы запіс і не рэгіструйцеся зноў дзеля новых лімітаў.
3. Не рассылайце спасылкі на спісы масава і тым, хто не пагадзіўся іх атрымліваць.
4. Не захоўвайце ў агульных спісах і не паказвайце па спасылцы незаконнае змесціва.

Калі правіла парушана, мы можам абмежаваць уліковы запіс. Меры — ад мяккай да строгай:

• Запаволенне. Калі запытаў занадта шмат, сэрвіс на пэўны час (не даўжэй за 24 гадзіны) адхіляе іх і просіць паўтарыць пазней. Гэта адзіная мера, якую праграма ўжывае без рашэння чалавека.
• Паўза ШІ — да 90 дзён. Рынка і распазнаванне чэкаў не працуюць для вашага ўліковага запісу; адхіленае пытанне або сканаванне не спісваецца з лімітаў. Спісы працуюць.
• Прыпыненне — да 180 дзён. Сэрвіс не прымае ад уліковага запісу змен — у агульных спісах, чэках, спасылках і імені ўліковага запісу, — Рынка і распазнаванне чэкаў не працуюць. Вы па-ранейшаму бачыце свае даныя, можаце спампаваць архіў, выдаліць спісы, адклікаць спасылкі, выдаліць уліковы запіс і выйсці з яго. Спісы на тэлефоне, якімі вы не дзяліліся, працуюць як раней. Спасылкі на вашы агульныя спісы па-ранейшаму адкрываюцца; калі паведамленне пра незаконнае змесціва пацвердзіцца, мы можам іх адклікаць.
• Блакіроўка рэгістрацыі — да 6 месяцаў ад рашэння. З адрасам пошты нельга зарэгістраваць новы ўліковы запіс; уваход ва ўжо наяўны ўліковы запіс працуе. Калі вы выдаляеце ўліковы запіс, пакуль ён прыпынены за парушэнне правіл, яго адрасы пошты блакіруюцца без новага рашэння — на падставе нашага рашэння пра прыпыненне — на 6 месяцаў ад выдалення або да канца прыпынення, калі яно сканчаецца пазней. Адрас захоўваецца толькі як код (HMAC з сакрэтным ключом).

Як мы вырашаем і што вы можаце зрабіць:

• Паўзу ШІ, прыпыненне і блакіроўку рэгістрацыі прызначае чалавек — Siarhei Mishchanka, які вядзе сэрвіс, — пасля праверкі фактаў, а не праграма. Кожнае рашэнне называе прычыну і дату заканчэння; падоўжыць меру можна толькі новым рашэннем. Калі тэрмін сканчаецца, абмежаванне здымаецца само. Гасцявы ўліковы запіс (без уваходу) так не абмяжоўваецца: для яго дзейнічаюць месячныя ліміты і запаволенне.
• Каб заўважыць злоўжыванне, мы глядзім на паказчыкі з даных, якія ўжо захоўваем: выдаткі на ШІ па ўліковым запісе, колькасць новых спасылак, спрацоўванні лімітаў, паўторныя рэгістрацыі з тым жа адрасам пошты пасля выдалення, колькасць скаргаў на адказы Рынкі. Змесціва спісаў і чэкаў для гэтага не выкарыстоўваецца, новых даных мы не збіраем.
• Пра паўзу ШІ, прыпыненне або блакіроўку рэгістрацыі мы пішам на адрас электроннай пошты ўліковага запісу не пазней, чым яно пачынае дзейнічаць: што абмежавана і да якой даты, якое правіла парушана і якія факты гэта паказваюць, як мы гэта выявілі і як абскардзіць рашэнне.
• Даныя пры абмежаванні не выдаляюцца. Абмежаванне і нашы рашэнні пра ваш уліковы запіс ёсць у архіве даных (раздзел 8); запісы пра нашы рашэнні захоўваюцца 12 месяцаў (раздзел 6).
• Абскардзіць такое рашэнне можна на працягу 6 месяцаў пасля паведамлення: адкажыце на наш ліст або напішыце на privacy@cartdock.app. Рашэнне перагледжвае чалавек; мы адказваем не пазней чым праз 14 дзён пасля атрымання абскарджання і, калі згодныя, здымаем абмежаванне ў дзень адказу. Вы таксама можаце заявіць пярэчанне супраць апрацоўкі даных для выяўлення злоўжыванняў і абмежаванняў (арт. 21 GDPR), падаць скаргу ў наглядчы орган па абароне даных (арт. 77 GDPR, раздзел 8) і звярнуцца ў суд.
• Калі вы просіце абмежаваць апрацоўку вашых даных (арт. 18 GDPR), мы прыпыняем уліковы запіс з гэтай прычынай на час разгляду вашага запыту (адно рашэнне — да 180 дзён, пры неабходнасці мы яго падаўжаем): даныя толькі захоўваюцца, а вы па-ранейшаму бачыце і экспартуеце іх. Спасылкі на вашы агульныя спісы пры гэтым працуюць — мы спытаем, ці адклікаць іх; адклікаць іх можаце і вы самі. Такое прыпыненне — не мера, якая ўжываецца за парушэнне правіл: калі падчас яго вы выдаліце ўліковы запіс, блакіроўка рэгістрацыі не ўзнікае, і з тым самым адрасам пошты можна зноў зарэгістравацца. Перш чым зняць абмежаванне апрацоўкі, мы вам паведамім.
• Паведаміць пра незаконнае змесціва ў агульным спісе можна спасылкай «Паведаміць пра парушэнне» на старонцы спісу або лістом на privacy@cartdock.app. Пазначце нумар спасылкі (яго паказвае старонка спісу), што парушае закон і чаму, ваша імя і адрас электроннай пошты і пацвердзіце, што звесткі дакладныя і поўныя. Мы пацвердзім атрыманне і паведамім пра рашэнне.

13. Для людзей у ЗША і Канадзе

• Do Not Track. Мы не адсочваем людзей на іншых сайтах і ў іншых сэрвісах, таму праграма і сайт працуюць аднолькава з сігналам браўзера «Do Not Track» і без яго. На старонцы агульнага спісу Google Analytics працуе толькі пасля вашага «Так» (раздзел 3.10), а праграма адпраўляе Google статыстыку выкарыстання толькі з вашай згоды (раздзел 3.11); у абодвух выпадках рэкламныя функцыі выключаны. Акрамя гэтага, трэція асобы не збіраюць праз Cartdock даныя пра вашы дзеянні.
• Мы не прадаём персанальныя даныя і не перадаём іх для рэкламы.
• Канада. Наш сэрвіс і яго апрацоўшчыкі захоўваюць і апрацоўваюць даныя за межамі Канады — у Еўрапейскім саюзе і ў ЗША (раздзел 4). Там доступ да даных могуць атрымаць суды, праваахоўныя і іншыя органы гэтых краін паводле іх законаў.
• Квебек. Адказны за абарону персанальных даных — кантралёр даных, Siarhei Mishchanka; пішыце на privacy@cartdock.app. Перад перадачай даных людзей з Квебека за яго межы мы ацанілі ўплыў гэтай перадачы на прыватнасць (артыкул 17 Закона Квебека пра абарону персанальных даных у прыватным сектары).

14. Змены гэтай палітыкі

Дзейная рэдакцыя заўсёды апублікавана па гэтым адрасе; дата яе ўступлення ў сілу пазначана ўверсе старонкі.