Политика конфиденциальности Cartdock

1. Кто отвечает за данные

Оператор (контролёр) данных: Siarhei Mishchanka, физическое лицо, Koposche aviatsonyaya 13, 247, Беларусь, электронная почта: support@cartdock.app. Слова «мы» и «наш» в этой политике означают оператора.

Вопросы и запросы о ваших данных: privacy@cartdock.app.

2. Коротко

• Без вашего согласия на чтение чеков с помощью AI фотографии чеков не покидают устройство.
• Фотографии чеков удаляются с сервиса через 30 дней после распознавания.
• В приложении нет рекламы. Статистика использования (Google Analytics for Firebase) уходит только с вашего согласия; отчёты о сбоях (Firebase Crashlytics) уходят, пока вы их не выключите (раздел 3.11).
• Экспорт данных, удаление аккаунта и согласия находятся в приложении: «Профиль» → «Данные» (экран «Мои данные»).

3. Какие данные мы обрабатываем

3.1. Установка и аккаунт

• При первом запуске приложение создаёт случайный идентификатор установки и сообщает сервису его и тип платформы (Android или iOS). Так появляется анонимный аккаунт — без имени и почты. Токены доступа хранятся на устройстве в защищённом хранилище системы, на сервисе — только в виде хэшей.
• Если вы входите через Google или по почте и паролю, вход выполняет Firebase Authentication (Google). Мы храним способ входа, ваш идентификатор в Firebase и адрес почты. При входе через Google мы получаем и храним имя из вашего профиля Google; фотографию и остальные данные профиля не храним. Имя и фамилию для общих списков вы можете указать сами на экране аккаунта — это необязательно. Пароль проходит через наш сервис в Firebase Authentication и у нас не сохраняется.
• Письма для подтверждения почты и сброса пароля отправляет Firebase.
• После входа данные, созданные на устройстве до входа, переходят в ваш аккаунт.
• Чтобы защитить аккаунты от подбора пароля, мы считаем попытки входа; адрес почты для этого хранится только в виде хэша, а записи удаляются через сутки.

3.2. Списки покупок

• Списки хранятся на устройстве. Когда вы делитесь списком (для этого нужен аккаунт), он хранится и на сервисе: название, строки (название, количество, единица, заметка, отдел, отметка «куплено», кто добавил), участники и их роли.
• Участники видят друг друга по имени: имя и фамилия, которые вы указали сами, иначе имя из профиля Google, иначе часть адреса почты до знака «@». Полный адрес не показывается. Гости видны под псевдонимом (название животного).
• Удалённые строки общего списка окончательно удаляются с сервиса через 30 дней.
• Если владелец удаляет общий список или свой аккаунт, список удаляется с сервиса вместе со строками, которые добавили участники. Когда участник теряет доступ к списку (например, владелец удалил список или свой аккаунт либо удалил этого участника), на устройстве участника остаётся копия списка: она больше не обновляется и на сервисе не хранится. Удалить копию участник может сам.

3.3. Ссылки на список

• Ссылка содержит случайный ключ; на сервисе хранится только его хэш. Любой, у кого есть ссылка, может посмотреть список, пока ссылка действует.
• Уровень ссылки — «Только смотреть» или «Участвовать» (участвовать можно в приложении). Срок — 24 часа, 30 дней (по умолчанию) или бессрочно.
• По ссылке видно: название списка, имя владельца (по тому же правилу, что у участников; его видит любой, у кого есть ссылка), строки (название, количество, единица, отдел, отметка «куплено»), уровень ссылки, время последнего изменения и срок ссылки. Заметки к строкам, участники, чеки и траты не видны.
• Отзыв ссылки сразу закрывает её и убирает из списка гостей и зрителей, пришедших по ней.

3.4. Чеки и фотографии

• Фотографии чеков остаются на устройстве, пока не отправлены, и отправляются, только если вы разрешили «Обработка с помощью AI».
• Отправленные фотографии хранятся в закрытом хранилище Supabase Storage (регион eu-central-1, ЕС).
• Сохранённый чек хранится на сервисе: магазин, дата покупки, валюта, итог, строки с количеством, ценами и категориями, а также результат распознавания. Если вы привязали чек к списку, сервис хранит и идентификатор этого списка (без его названия и строк).
• Если вы записываете, сколько стоил список без чека, сервис хранит эту сумму в вашем аккаунте: сумму, валюту, день и идентификатор списка. Другие участники списка её не видят.
• Чтобы заметить повторно отправленный чек, мы сравниваем хэши фотографий в пределах вашего аккаунта.
• На Android края чека на снимке находит модель Google ML Kit на самом устройстве. Фотография никуда не отправляется, но после первого поиска краёв библиотека отправляет Google технические сведения о своей работе.
• Если вы сообщаете о проблеме с чеком, мы получаем тип проблемы, ваш комментарий и ссылку на задание распознавания. Фотографии к сообщению не прикладываются.
• Мы считаем, сколько чеков вы отсканировали и сколько вопросов задали ассистенту за месяц, — для месячных лимитов.
• Логотипы магазинов в списке чеков приложение сопоставляет на устройстве. Не чаще раза в сутки, когда открыт список чеков, оно скачивает с нашего сайта общий каталог логотипов и все его файлы — один и тот же набор для всех установок. Запрос не содержит названий магазинов, данных чеков и аккаунта, поэтому по журналу сайта нельзя понять, где вы покупаете. Сайт видит IP-адрес и время запроса.
• Логотипы магазинов принадлежат их владельцам. Чтобы убрать логотип, напишите на privacy@cartdock.app.

3.5. Распознавание чеков с помощью AI

• Чеки распознаёт OpenAI. OpenAI получает изображения страниц чека и нашу инструкцию. Ваш идентификатор, почту и другие данные аккаунта мы в этот запрос не включаем. Запрос отправляется с отключённым сохранением ответа на стороне OpenAI (store=false). Если позиции чека написаны не на языке приложения и перевод включён на экране «Профиль» → «Данные» → «Обработка данных», OpenAI в том же запросе переводит их названия на язык приложения. Мы храним и перевод, и название как на чеке.
• Если OpenAI недоступен, чек вместо него распознаёт Anthropic. Anthropic получает те же изображения и инструкции, тоже без вашего идентификатора, почты и других данных аккаунта, и так же переводит названия позиций. Настройки, подобной store=false, у Anthropic нет; сколько он хранит запросы — в разделе 6.
• О каждом вызове мы храним служебные сведения без текста чека: модель, длительность, объём, стоимость и счётчики качества распознавания.
• Без согласия фотографии не отправляются. После отзыва согласия новые фотографии не отправляются, а снятые ждут на устройстве.

3.6. Ассистент

• В приложении ассистент называется «Ринка». Ринка — это AI, а не человек: ответы пишет языковая модель OpenAI или Anthropic. Какую из них использовать, выбираем мы в настройках сервиса, и вторая может заменить первую, когда та недоступна.
• Когда ответ пишет Anthropic, он получает те же данные, что OpenAI в пунктах ниже, тоже без вашей почты и имени.
• Когда вы задаёте вопрос ассистенту, OpenAI получает текст вопроса, идентификаторы ваших списков (без их содержимого), число недавних чеков и технический идентификатор вашего аккаунта у нас (без почты и имени).
• Содержимое ваших списков и чеков и траты модель не получает. Чтобы понимать продолжение беседы, OpenAI вместе с вопросом получает до 6 прошлых вопросов и ответов этой же беседы — не больше 6 000 знаков и только за последние 48 часов. В прошлых ответах могут быть названия позиций, которые предложила сама Ринка. Вопросы из других бесед не отправляются. Запрос отправляется с отключённым сохранением ответа на стороне OpenAI (store=false).
• Вопрос и ответ хранятся на сервисе 48 часов, затем их текст удаляется. Остаётся запись о том, что вопрос был задан, — для месячного лимита.
• О каждом ответе мы храним служебные сведения без текста вопроса и ответа: модель, длительность, объём ответа и стоимость.
• Ассистент работает только с согласием «Обработка с помощью AI» — тем же, что и для чеков: без него и после его отзыва вопросы не отправляются, а ответ, который ещё пишется, останавливается. Данные отправляются, только когда вы задаёте вопрос.
• Под каждым ответом Ринки есть кнопка «Пожаловаться». Если вы пожалуетесь на ответ, наш сервис получает этот ответ, ваш вопрос к нему, список, который Ринка в нём предложила (если был), выбранную причину и ваш комментарий (до 500 знаков); жалоба связана с вашим аккаунтом. Пока у сервиса есть своя копия вопроса и ответа (48 часов), он сохраняет её вместо копии с устройства. Сервис добавляет к жалобе модель, версию инструкций, тариф и платформу (Android или iOS), с которыми был написан ответ, и то, как ответ завершился (полностью, оборвался или с ошибкой). Содержимое ваших списков и чеков в жалобу не входит; ни OpenAI, ни Anthropic жалобу не получают.
• Жалобы нужны, чтобы проверять ответы и улучшать Ринку. Тексты жалобы — вопрос, ответ, предложенный список и комментарий — удаляются через 30 дней после того, как мы её получили; причина и сведения об ответе хранятся до удаления аккаунта, чтобы считать жалобы. Без связи жалоба ждёт на устройстве и уходит позже; после ответа сервиса на устройстве остаётся только её статус. Согласие «Обработка с помощью AI» для жалобы не нужно. Возразить против этой обработки можно письмом на privacy@cartdock.app — тогда мы удалим жалобу.

3.7. Голосовой ввод

• В ассистенте вопрос можно надиктовать. Речь распознаёт системная служба распознавания речи Android или iOS. В зависимости от устройства это происходит на самом устройстве или на серверах поставщика системы (Google, Apple) по его правилам.
• Приложение получает только распознанный текст и не сохраняет запись. Микрофон работает, пока на экране написано «Слушаем»; запись можно остановить кнопкой.

3.8. Что остаётся на устройстве

• Итоги трат и планирование покупок приложение считает на устройстве из ваших чеков, списков и сумм без чека. Сервис хранит только чеки и суммы, описанные в разделе 3.4.
• Напоминания — локальные уведомления устройства, без сервера и рассылок.
• Ваши ответы о согласиях хранятся на устройстве.
• При выходе из аккаунта личные списки аккаунта, копии общих списков, к которым у вас больше нет доступа, и чеки аккаунта с их фотографиями не удаляются с этого телефона, а скрываются: приложение хранит их только с идентификатором аккаунта (без адреса почты) и возвращает, когда вы снова входите в тот же аккаунт на этом телефоне. Чеки, ещё не сохранённые в аккаунте, попадут туда только после этого входа. Гость и другие аккаунты на этом телефоне их не видят. Удаление аккаунта в приложении на этом телефоне стирает их; скрытые списки и чеки других аккаунтов на этом телефоне остаются.
• На Android резервную копию данных приложения делает система, и только в двух случаях. Первый — облачная копия в вашем аккаунте Google: только если резервное копирование включено и Android может зашифровать копию на телефоне; для этого нужна блокировка экрана (PIN-код, графический ключ или пароль). Если копию нельзя зашифровать, данные приложения в облачную копию не входят. Второй — перенос данных со старого телефона на новый при смене телефона. Android 7 и 8 шифрование копии не проверяют, поэтому на них мы не обещаем, что облачная копия зашифрована.
• В копию входят списки, чеки без фотографий, беседы с Ринкой, язык приложения и настройки, в том числе ваши ответы о согласиях, а если вы вошли в аккаунт — адрес почты и имя аккаунта. В копию входят также списки и чеки (без фотографий), скрытые на этом телефоне при выходе из аккаунта, в том числе списки и чеки других аккаунтов: с идентификатором аккаунта, без адреса почты. В копию не входят токены доступа, идентификатор установки, фотографии чеков и напоминания. После восстановления войдите в аккаунт снова и снова включите напоминания.

3.9. Журналы сервиса

• При каждом обращении приложения к сервису сохраняется запись журнала: IP-адрес, метод и адрес запроса без параметров, код ответа. Ключи ссылок и временные адреса загрузки в нашем журнале заменяются пометкой.
• Платформа Google Cloud Run ведёт и собственный журнал запросов. В нём адрес запроса хранится целиком — в том числе ключ ссылки, когда приложение открывает список по ссылке. Эти журналы видят только те, у кого есть доступ к журналам проекта. Срок хранения журналов: 30 дней.
• Сервис также отмечает, в какие дни ваш аккаунт обращался к нему и с какой платформы (Android или iOS), чтобы считать число активных пользователей. Эти отметки удаляются через 35 дней; в отчётах остаются только итоговые числа без аккаунтов. Последний такой день хранится и в записи устройства, пока устройство не удалено. Эти отметки не зависят от выбора о статистике использования (раздел 7).

3.10. Страница общего списка в браузере

• Страница работает на сайте Cartdock (Google Cloud Run, регион europe-west1) и загружает список из Supabase (регион eu-central-1): ключ ссылки передаётся в теле запроса, а не в адресе. Изменения приходят через Supabase Realtime сигналом без данных списка. Запросы страниц /s/ исключены из журнала запросов платформы. Если страница не отобразилась из-за ошибки, журнал ошибок контейнера может сохранить полный адрес, включая ключ ссылки в пути /s/, на 30 дней.
• Данные списка не сохраняются в браузере.
• Статистика посещений (Google Analytics 4) включается, только если вы нажмёте «Да» в запросе на странице. До этого страница не обращается к Google. После «Да» Google получает события — открытие страницы, нажатия кнопки «Открыть в Cartdock» и кнопок Google Play и App Store, сохранение списка в TXT или CSV, недействующая ссылка — с типом платформы, форматом файла или причиной. Ключ ссылки, название и строки списка и имя владельца в статистику не попадают, а адрес страницы заменяется общим /s/. Google Signals и рекламные функции выключены.
• Эта страница политики не использует аналитику и запросы к сторонним сайтам; единственная cookie сайта описана в разделе 9.

3.11. Отчёты о сбоях и статистика использования

• Android и iOS отправляют отчёты о сбоях. Статистику использования отправляет только Android. Сборки Debug ничего не отправляют.
• Отчёты о сбоях включены, пока вы их не выключите: галочка «Отправлять отчёты о сбоях» при первом запуске или позже «Профиль» → «Данные» → «Обработка данных» → «Отчёты о сбоях». Если приложение падает, отчёт уходит в Firebase Crashlytics (Google): место в коде, где произошёл сбой, тип и текст ошибки, время сбоя, версия приложения, модель устройства, версия системы, объём памяти и хранилища, признак root-доступа и случайный идентификатор установки Crashlytics. Чтобы считать сеансы, Firebase получает ещё случайный идентификатор установки Firebase и время, когда приложение было на экране.
• В отчёте о сбое нет идентификатора аккаунта, адреса почты, содержимого списков и чеков и вопросов Ринке. Тексты ошибок нашего кода таких данных не содержат.
• Без связи отчёт ждёт на устройстве и уходит при следующем запуске. Если вы выключите отчёты о сбоях, неотправленные отчёты удаляются с устройства при следующем запуске.
• Статистика использования (Google Analytics for Firebase) выключена, пока вы её не разрешите: галочка «Разрешить аналитику использования» при первом запуске или позже «Профиль» → «Данные» → «Обработка данных» → «Статистика использования». С вашего согласия Google получает события, которые библиотека записывает сама, — первый запуск, начало и длительность сеансов, обновления приложения и системы — с версией приложения, моделью устройства, версией системы, примерным регионом и случайным идентификатором экземпляра приложения. Своих событий, названий экранов, идентификатора аккаунта и рекламного идентификатора мы не отправляем; рекламные функции выключены.
• После отзыва согласия статистика сразу прекращается, и приложение сбрасывает свой идентификатор статистики. Отчёты о сбоях и статистика не связаны с аккаунтом: их нет в архиве данных, и они не удаляются вместе с аккаунтом; Google удаляет их по срокам из раздела 6.

3.12. Подписки

• Тарифы Lite и Plus покупаются в приложении как подписки через Google Play или App Store и только после входа в аккаунт. Вы платите магазину: он обрабатывает платёж по своим условиям и политике конфиденциальности, а данных вашей карты и других платёжных данных мы не получаем.
• Для проверки покупок мы используем RevenueCat. Приложение и магазин передают RevenueCat идентификатор вашего аккаунта у нас (без почты и имени), продукт, магазин, валюту и региональные настройки магазина и запись о покупке. RevenueCat хранит историю покупок, продлений, отмен и возвратов вашего аккаунта. RevenueCat получает этот идентификатор аккаунта при запросе предложений подписки после входа, ещё до покупки. Историю покупок в RevenueCat мы также используем для просмотра статистики подписок.
• Наш сервис запрашивает у RevenueCat сведения о вашей подписке и хранит тариф, продукт, магазин, дату покупки, начало и конец текущего периода, признак продления, проблему с оплатой и возврат. По этим сведениям сервис даёт аккаунту его тариф.
• Удаление аккаунта или приложения не отменяет подписку в магазине. Как её отменить, описано на странице «Удаление аккаунта».
• Цена, продление, отмена, отказ от договора и возврат денег за подписки описаны в условиях использования. Когда вы просите Apple вернуть деньги за подписку, купленную в App Store, наш сервис через RevenueCat сообщает Apple, была ли подписка предоставлена; ничего из ваших списков, чеков или вопросов он не передаёт. Основание — наш законный интерес в правильном решении о возврате (ст. 6(1)(f) GDPR); возразить можно на privacy@cartdock.app до обращения в Apple (условия использования, раздел 6).

4. Кто получает данные и где они обрабатываются

• Google Cloud Run — наш сервис, регион europe-west1 (ЕС).
• Google Cloud Run — сайт Cartdock: главная страница, страница общего списка и эта страница.
• Supabase — база данных, хранилище фотографий и архивов экспорта, обновления веб-страницы; регион eu-central-1 (ЕС).
• Firebase (Google) — Authentication: вход и письма; данные обрабатываются только в США. Основание передачи — участие Google LLC в EU-U.S. Data Privacy Framework (решение о достаточности защиты, ст. 45 GDPR); если оно перестанет действовать — стандартные договорные условия Европейской комиссии (ст. 46(2)(c) GDPR) из условий обработки данных Google.
• OpenAI Ireland Ltd. (Ирландия) — обработчик по нашему поручению: распознавание и перевод чеков, ответы Ринки. OpenAI может передавать данные своим аффилированным лицам и субподрядчикам за пределами ЕЭЗ, в том числе в США. Основание — стандартные договорные условия Европейской комиссии (ст. 46(2)(c) GDPR) или решение о достаточности защиты (ст. 45 GDPR). Копию условий можно запросить по адресу privacy@cartdock.app. OpenAI не использует эти данные для обучения моделей и хранит их до 30 дней в журналах защиты от злоупотреблений; параметр store=false этот срок не меняет.
• Anthropic Ireland, Limited (Ирландия) — обработчик по нашему поручению: распознавание и перевод чеков, когда OpenAI недоступен, ответы Ринки. Anthropic может обрабатывать данные за пределами ЕЭЗ, в том числе в США, на основании стандартных договорных условий Европейской комиссии (ст. 46(2)(c) GDPR) в своём соглашении об обработке данных, которое входит в Commercial Terms Anthropic. Anthropic не использует эти данные для обучения моделей.
• Firebase Crashlytics (Google) — отчёты о сбоях приложений для Android и iOS; Google обрабатывает их в своей глобальной инфраструктуре, в том числе в США. Основание передачи — как у Firebase Authentication: EU-U.S. Data Privacy Framework, иначе стандартные договорные условия.
• Google Analytics for Firebase (Google) — статистика использования приложения для Android, только после вашего согласия; основание передачи — то же.
• RevenueCat, Inc. (США) — обработчик по нашему поручению: проверка покупок подписок и хранение их истории. Основание передачи — стандартные договорные условия Европейской комиссии (ст. 46(2)(c) GDPR) в соглашении RevenueCat об обработке данных.
• Google Play, App Store — продажа подписок и приём оплаты по условиям и политикам конфиденциальности Google и Apple.
• Google Analytics — только на странице общего списка и только после вашего согласия.
• Google или Apple — распознавание речи системой устройства, только при диктовке.

Других внешних сервисов наш сервис не вызывает.

Люди в Швейцарии: получатели и страны те же. Швейцария признаёт достаточной защиту данных в странах ЕС и ЕЭЗ, а в США — только у компаний, сертифицированных по Swiss-U.S. Data Privacy Framework, например Google LLC. Передача данных компании RevenueCat в США и передача данных компаниями OpenAI и Anthropic за пределы ЕЭЗ основаны на стандартных договорных условиях Европейской комиссии с поправками для швейцарского права (ст. 16(2)(d) Федерального закона Швейцарии о защите данных, FADP).

5. Основания обработки

• Согласие (ст. 6(1)(a) GDPR) — распознавание и перевод чеков с помощью AI, ответы Ринки и память беседы, статистика посещений на странице общего списка.
• Исполнение договора (ст. 6(1)(b) GDPR) — аккаунт и вход, синхронизация и общие списки, хранение чеков, экспорт и удаление.
• Законный интерес (ст. 6(1)(f) GDPR) — журналы, защита от подбора пароля и злоупотреблений, месячные лимиты, подсчёт активных пользователей, жалобы на ответы Ринки. Наш интерес — безопасность сервиса, честное распределение бесплатных лимитов, знание того, сколько людей пользуется сервисом, а также поиск и исправление вредных или неверных ответов Ринки.
• Законный интерес (ст. 6(1)(f) GDPR) — также поиск злоупотреблений, ограничения аккаунта, записи о наших решениях и код адреса почты после удаления аккаунта (раздел 6, раздел 12). Наш интерес — чтобы бесплатные лимиты и AI не расходовал один человек или программа и чтобы удаление аккаунта не снимало лимиты и ограничения. Для поиска мы используем только данные, которые уже храним, а адрес почты храним только как код.
• Согласие (ст. 6(1)(a) GDPR) — также статистика использования в приложении (раздел 3.11).
• Законный интерес (ст. 6(1)(f) GDPR) — отчёты о сбоях приложения. Наш интерес — находить и исправлять сбои приложения. В отчёте нет данных аккаунта, и выключить отчёты можно в любой момент (раздел 3.11); выключение — это ваше возражение (ст. 21 GDPR).
• Исполнение договора (ст. 6(1)(b) GDPR) — также подписки: проверка покупки и выдача тарифа аккаунту (раздел 3.12).

6. Сроки хранения

• Фотографии чеков — 30 дней после распознавания или меньше, если удалённый чек уже нельзя вернуть.
• Удалённый чек можно вернуть 7 дней; через 30 дней после этого он удаляется окончательно.
• Вопросы ассистенту и ответы — 48 часов.
• Запросы у Anthropic — удаляются в течение 30 дней; если запрос помечен как нарушающий правила использования Anthropic, он хранится до 2 лет, а оценки его проверок безопасности — до 7 лет.
• Служебные сведения о вызовах AI для чеков и Ринки, без текста — до удаления аккаунта.
• Счётчики сканов и вопросов для месячного бюджета каждого тарифа, без связи с аккаунтом — текущий и прошлый месяц.
• Отчёты о сбоях — 90 дней у Google (Firebase Crashlytics); неотправленный отчёт удаляется с устройства, когда вы выключаете отчёты.
• События статистики использования — 2 месяца у Google (Google Analytics for Firebase); в отчётах остаются только итоговые числа.
• Сведения о подписке на нашем сервисе и у RevenueCat — до удаления аккаунта; при удалении аккаунта наш сервис удаляет и вашу запись у RevenueCat. Магазин хранит свои записи о покупках по своим условиям.
• Жалобы на ответы Ринки — тексты 30 дней после получения жалобы; причина и сведения об ответе — до удаления аккаунта.
• Удалённые строки общих списков — 30 дней.
• Архив экспорта — 3 дня; ссылка на скачивание действует 15 минут и выдаётся заново.
• Токены входа — до 90 дней; записи о них удаляются через 30 дней после истечения.
• Счётчики попыток входа — сутки.
• Журналы — 30 дней.
• Отметки дней активности — 35 дней.
• Запись о выполненном или отменённом удалении аккаунта (идентификаторы аккаунта и устройства, состояние запроса и время) — 12 месяцев после выполнения или отмены; если сервис сам удалил данные гостя, — 35 дней.
• Данные без аккаунта (гость) — пока приложение обращается к сервису; через 14 дней без обращений сервис удаляет их так же, как при удалении по вашей просьбе. Данные на устройстве остаются.
• После удаления аккаунта с адресом почты — до конца месяца и ещё 1 день: код этого адреса (HMAC с секретным ключом; сам адрес не хранится) и число сканов и вопросов ассистенту за этот месяц, чтобы новая регистрация с тем же адресом в этом месяце не начинала месячные лимиты заново.
• Ограничение аккаунта (раздел 12) — пока оно действует и ещё 30 дней после окончания срока; если мы снимаем его раньше или аккаунт удаляется, запись удаляется сразу.
• Записи о наших решениях об ограничениях — 12 месяцев с момента решения; после удаления аккаунта они остаются без его идентификатора; у блока регистрации в записи есть первые 8 символов кода адреса.
• Блок регистрации — код адреса почты (HMAC с секретным ключом) — до 6 месяцев с момента нашего решения; после удаления аккаунта, приостановленного за нарушение правил, — 6 месяцев после удаления или до конца приостановки, если она кончается позже.
• Аккаунт, чеки, списки и сообщения о проблемах — пока вы их не удалите или не удалите аккаунт.
• Суммы без чека — до удаления аккаунта. Удалённая вами сумма помечается удалённой и не попадает в архив, но её запись хранится до удаления аккаунта, чтобы более старое изменение с другого устройства не вернуло её.

Сроки выше показывают, когда данные пора удалить. Затем их удаляет служебная задача сервиса, которая запускается каждые 10 минут, пока сервис работает. Когда сервисом никто не пользуется, он останавливается, и задача запускается при следующем старте сервиса, поэтому данные могут удалиться позже окончания срока. Журналы удаляет сама платформа Google Cloud Run.

7. Согласия

• При первом запуске вы выбираете, разрешить ли обработку с помощью AI (чтение чеков и ответы ассистента) и статистику использования и отправлять ли отчёты о сбоях, и подтверждаете, что вам исполнилось 16 лет.
• Галочка «Разрешить AI-обработку» изначально не отмечена. Без согласия на AI списки работают; распознавание чеков и Ринка выключены.
• Статистика использования выключена, пока вы её не разрешите. Отчёты о сбоях включены, пока вы их не выключите: они основаны не на согласии, а на нашем законном интересе (раздел 5), и выключение останавливает их так же. Отметки дней активности на сервисе (раздел 3.9) — отдельная обработка и от этих выборов не зависят.
• Изменить или отозвать согласие можно в любой момент: «Профиль» → «Данные» → «Обработка данных». Отзыв действует сразу и не влияет на то, что было отправлено раньше.
• На странице общего списка выбор меняется ссылкой «Изменить» внизу страницы.

8. Ваши права

У вас есть право на доступ к данным и их копию, исправление, удаление, ограничение обработки, перенос данных, возражение против обработки и отзыв согласия.

• Копия данных — «Профиль» → «Данные» → «Архив» → «Подготовить архив». В архив входят данные аккаунта (имя и фамилия, если вы их указали, имя из профиля Google, адрес почты, способы входа, тариф и дни активности из раздела 3.9), устройства, общие списки, которые вы создали или в которые вступили, со строками, сохранённые чеки, суммы без чека, задания распознавания, сообщения о проблемах, вопросы ассистенту и ответы, жалобы на ответы Ринки, ограничение аккаунта и наши решения о нём, фотографии. Списки, которыми вы не делились, копии общих списков, к которым у вас больше нет доступа, и чеки, которые вы ещё не сохранили, есть только на устройстве и в архив не входят. Другие сведения о вас можно запросить по privacy@cartdock.app.
• В архиве есть и ваши подписки — в том виде, в каком их хранит наш сервис (раздел 3.12).
• Удаление — «Профиль» → «Данные» → «Удаление» → «Удалить аккаунт и все данные». В течение 24 часов удаление можно отменить; затем сервис удаляет аккаунт в Firebase, чеки, фотографии, суммы без чека, отметки дней активности, участие в чужих списках и устройства, а приложение удаляет данные аккаунта с устройства; скрытые списки и чеки других аккаунтов на этом телефоне остаются (раздел 3.8). Общие списки, которые вы создали, удаляются с сервиса вместе со строками, которые добавили участники; у участников на их устройствах остаётся копия, которая больше не обновляется. Строки, которые вы добавили в чужие списки, остаются в них без указания автора. Остаются запись о том, что удаление выполнено, и — если у аккаунта был адрес почты — код этого адреса с числами месяца (раздел 6), а если аккаунт был приостановлен за нарушение правил, — блок регистрации с этим кодом (раздел 12). Удалить аккаунт без приложения можно письмом; как это сделать и что ещё остаётся, описано на странице «Удаление аккаунта».
• Исправление — чеки и списки можно редактировать в приложении.
• По остальным запросам пишите на privacy@cartdock.app.
• Вы можете подать жалобу в надзорный орган по защите данных своей страны; в Польше это Председатель Управления по защите персональных данных (UODO, uodo.gov.pl); в Швейцарии — Федеральный уполномоченный по защите данных и информации (FDPIC, edoeb.admin.ch), которому можно сообщить о нарушении правил защиты данных.

9. Cookies и хранилище браузера

• Страница общего списка хранит в localStorage только ваш ответ на запрос о статистике.
• Cookies Google Analytics (_ga, _ga_…) появляются только после «Да» и удаляются, если вы потом откажетесь.
• Сайт ставит одну cookie lang с кодом выбранного языка на 1 год — только когда вы сами выбираете язык в переключателе. Главная страница и эта страница ничего больше не сохраняют в браузере.

10. Возраст

Приложение предназначено для людей от 16 лет: при первом запуске вы подтверждаете возраст. Страница общего списка возраст не спрашивает.

Если вы в Турции и вам меньше 18 лет, пользуйтесь приложением с согласия родителя или законного представителя.

11. Защита данных

• Приложение и страница обмениваются данными с сервисами по HTTPS.
• Токены доступа и ключи ссылок на сервисе хранятся только в виде хэшей.
• Фотографии и архивы лежат в закрытом хранилище; загрузить и скачать их можно только по временному подписанному адресу, который действует 15 минут.
• На устройстве данные входа хранятся в защищённом хранилище системы (Keychain на iOS, Keystore на Android).

12. Правила и ограничения аккаунта

Бесплатные лимиты, Ринка и распознавание чеков рассчитаны на личное использование. Пользуясь сервисом, соблюдайте четыре правила:

1. Пользуйтесь сервисом через приложение и сайт; не отправляйте запросы программой или скриптом.
2. Не обходите месячные лимиты — например, не удаляйте аккаунт и не регистрируйтесь заново ради новых лимитов.
3. Не рассылайте ссылки на списки массово и тем, кто не согласился их получать.
4. Не храните в общих списках и не показывайте по ссылке незаконное содержимое.

Если правило нарушено, мы можем ограничить аккаунт. Меры — от мягкой к строгой:

• Замедление. Если запросов слишком много, сервис на время (не дольше 24 часов) отказывает в них и просит повторить позже. Это единственная мера, которую программа применяет без решения человека.
• Пауза AI — до 90 дней. Ринка и распознавание чеков не работают для вашего аккаунта; отклонённый вопрос или скан не списывается с лимитов. Списки работают.
• Приостановка — до 180 дней. Сервис не принимает от аккаунта изменений — в общих списках, чеках, ссылках и имени аккаунта, — Ринка и распознавание чеков не работают. Вы по-прежнему видите свои данные, можете скачать архив, удалить списки, отозвать ссылки, удалить аккаунт и выйти из него. Списки на телефоне, которыми вы не делились, работают как раньше. Ссылки на ваши общие списки продолжают открываться; если сообщение о незаконном содержимом подтвердится, мы можем их отозвать.
• Блок регистрации — до 6 месяцев с момента решения. С адресом почты нельзя зарегистрировать новый аккаунт; вход в уже существующий аккаунт работает. Если вы удаляете аккаунт, пока он приостановлен за нарушение правил, его адреса почты блокируются без нового решения — в силу нашего решения о приостановке — на 6 месяцев после удаления или до конца приостановки, если она кончается позже. Адрес хранится только как код (HMAC с секретным ключом).

Как мы решаем и что вы можете сделать:

• Паузу AI, приостановку и блок регистрации назначает человек — Siarhei Mishchanka, который ведёт сервис, — после проверки фактов, а не программа. Каждое решение называет причину и дату окончания; продлить меру можно только новым решением. Когда срок кончается, ограничение снимается само. Гостевой аккаунт (без входа) так не ограничивается: для него действуют месячные лимиты и замедление.
• Чтобы заметить злоупотребление, мы смотрим на показатели из данных, которые уже храним: расходы на AI по аккаунту, число новых ссылок, срабатывания лимитов, повторные регистрации с тем же адресом почты после удаления, число жалоб на ответы Ринки. Содержимое списков и чеков для этого не используется, новых данных мы не собираем.
• О паузе AI, приостановке или блоке регистрации мы пишем на адрес почты аккаунта не позже, чем оно начинает действовать: что ограничено и до какой даты, какое правило нарушено и какие факты это показывают, как мы это обнаружили и как обжаловать решение.
• Данные при ограничении не удаляются. Ограничение и наши решения о вашем аккаунте есть в архиве данных (раздел 8); записи о наших решениях хранятся 12 месяцев (раздел 6).
• Обжаловать такое решение можно в течение 6 месяцев после уведомления: ответьте на наше письмо или напишите на privacy@cartdock.app. Решение пересматривает человек; мы отвечаем не позже чем через 14 дней после получения обжалования и, если согласны, снимаем ограничение в день ответа. Вы также можете возразить против обработки данных для поиска злоупотреблений и ограничений (ст. 21 GDPR), подать жалобу в надзорный орган по защите данных (ст. 77 GDPR, раздел 8) и обратиться в суд.
• Если вы просите ограничить обработку ваших данных (ст. 18 GDPR), мы приостанавливаем аккаунт с этой причиной на время, пока решается ваш вопрос (одно решение — до 180 дней, при необходимости мы его продлеваем): данные только хранятся, а вы по-прежнему видите и выгружаете их. Ссылки на ваши общие списки при этом продолжают работать — мы спросим, отозвать ли их; отозвать их можете и вы сами. Такая приостановка — не мера за нарушение правил: если во время неё вы удалите аккаунт, блок регистрации не ставится, и с тем же адресом почты можно снова зарегистрироваться. Прежде чем снять ограничение обработки, мы вам сообщим.
• Сообщить о незаконном содержимом в общем списке можно ссылкой «Сообщить о нарушении» на странице списка или письмом на privacy@cartdock.app. Укажите номер ссылки (его показывает страница списка), что нарушает закон и почему, ваше имя и адрес почты и подтвердите, что сведения точны и полны. Мы подтвердим получение и сообщим о решении.

13. Для людей в США и Канаде

• Do Not Track. Мы не отслеживаем людей на других сайтах и в других сервисах, поэтому приложение и сайт работают одинаково с сигналом браузера «Do Not Track» и без него. На странице общего списка Google Analytics работает только после вашего «Да» (раздел 3.10), а приложение отправляет Google статистику использования только с вашего согласия (раздел 3.11); в обоих случаях рекламные функции выключены. Кроме этого, третьи лица не собирают через Cartdock данные о ваших действиях.
• Мы не продаём персональные данные и не передаём их для рекламы.
• Канада. Наш сервис и его обработчики хранят и обрабатывают данные за пределами Канады — в Европейском союзе и в США (раздел 4). Там к данным могут получить доступ суды, правоохранительные и другие органы этих стран по их законам.
• Квебек. Ответственный за защиту персональных данных — оператор, Siarhei Mishchanka; пишите на privacy@cartdock.app. Перед передачей данных людей из Квебека за его пределы мы оценили влияние этой передачи на частную жизнь (статья 17 Закона Квебека о защите персональных данных в частном секторе).

14. Изменения политики

Действующая редакция всегда опубликована по этому адресу; дата вступления в силу указана вверху страницы.