Політика конфіденційності Cartdock

1. Хто відповідає за дані

Контролер даних: Siarhei Mishchanka, фізична особа, Koposche aviatsonyaya 13, 247, Білорусь, електронна пошта: support@cartdock.app. Слова «ми» і «наш» у цій політиці означають контролера.

Запитання та запити щодо ваших даних: privacy@cartdock.app.

2. Коротко

• Без вашої згоди на читання чеків за допомогою ШІ фотографії чеків ніколи не залишають ваш пристрій.
• Фотографії чеків видаляються із сервісу через 30 днів після їх прочитання.
• У застосунку немає реклами. Статистика використання (Google Analytics for Firebase) надсилається лише з вашої згоди; звіти про збої (Firebase Crashlytics) надсилаються, доки ви їх не вимкнете (розділ 3.11).
• Експорт даних, видалення облікового запису та згоди — у застосунку: Профіль → Дані, екран «Мої дані».

3. Які дані ми обробляємо

3.1. Встановлення та обліковий запис

• Під час першого запуску застосунок створює випадковий ідентифікатор встановлення і надсилає його до сервісу разом із платформою (Android або iOS). Так створюється анонімний обліковий запис без імені та без електронної пошти. Токени доступу зберігаються на пристрої в захищеному сховищі системи, а на сервісі — лише у вигляді хешів.
• Якщо ви входите через Google або за допомогою електронної пошти та пароля, вхід виконує Firebase Authentication (Google). Ми зберігаємо спосіб входу, ваш ідентифікатор Firebase і вашу адресу електронної пошти. Коли ви входите через Google, ми отримуємо і зберігаємо ім’я з вашого профілю Google; його фото та інші дані профілю ми не зберігаємо. На екрані облікового запису ви можете самі ввести ім’я та прізвище для спільних списків; це необов’язково. Ваш пароль проходить через наш сервіс до Firebase Authentication, і ми його не зберігаємо.
• Листи, які підтверджують вашу адресу або скидають пароль, надсилає Firebase.
• Коли ви входите, дані, створені на пристрої до входу, переходять до вашого облікового запису.
• Щоб захистити облікові записи від підбору паролів, ми рахуємо спроби входу; адреса електронної пошти для цього зберігається лише у вигляді хешу, а записи видаляються через один день.

3.2. Списки покупок

• Списки зберігаються на вашому пристрої. Коли ви ділитеся списком (для цього потрібен обліковий запис), він також зберігається на сервісі: його назва, рядки (назва, кількість, одиниця, примітка, відділ, позначка «куплено», хто додав) і його учасники та їхні ролі.
• Учасники бачать одне одного за ім’ям: за ім’ям і прізвищем, які ви ввели самі, інакше за ім’ям із вашого профілю Google, інакше за частиною адреси електронної пошти до «@». Повна адреса ніколи не показується. Гості відображаються під псевдонімом (назвою тварини).
• Видалені рядки спільного списку остаточно видаляються із сервісу через 30 днів.
• Якщо власник видаляє спільний список або свій обліковий запис, список видаляється із сервісу разом із рядками, які додали учасники. Коли учасник втрачає доступ до списку (наприклад, власник видалив список або свій обліковий запис чи видалив цього учасника), на пристрої учасника залишається копія списку: вона більше не оновлюється і на сервісі не зберігається. Видалити копію учасник може сам.

3.3. Посилання на списки

• Посилання містить випадковий ключ; сервіс зберігає лише його хеш. Будь-хто, у кого є посилання, може переглядати список, поки посилання дійсне.
• Посилання буває «Лише переглядати» або «Брати участь» (брати участь можна в застосунку). Воно діє 24 години, 30 днів (за замовчуванням) або не має дати завершення.
• За посиланням можна побачити назву списку, ім’я власника (обирається так само, як для учасників; його бачить будь-хто, у кого є посилання), рядки (назва, кількість, одиниця, відділ, позначка «куплено»), рівень посилання, час останньої зміни і коли посилання спливає. Примітки до рядків, учасники, чеки та витрати не видно.
• Відкликання посилання одразу закриває його і прибирає гостей і глядачів, які приєдналися через нього.

3.4. Чеки та фотографії

• Фотографії чеків залишаються на вашому пристрої, доки їх не надіслано, і надсилаються лише тоді, коли ви дозволили «обробку ШІ».
• Надіслані фотографії зберігаються в приватному Supabase Storage (регіон eu-central-1, ЄС).
• Збережений чек зберігається на сервісі: магазин, дата покупки, валюта, сума, рядки з кількостями, цінами та категоріями, а також результат розпізнавання. Якщо ви прив’язали чек до списку, сервіс зберігає також ідентифікатор цього списку (без його назви та рядків).
• Якщо ви записуєте, скільки коштував список без чека, сервіс зберігає цю суму у вашому обліковому записі: суму, валюту, день та ідентифікатор списку. Інші учасники списку її не бачать.
• Щоб помітити чек, надісланий двічі, ми порівнюємо хеші фотографій у межах вашого облікового запису.
• На Android краї чека на фотографії знаходить модель Google ML Kit на самому пристрої. Фотографія нікуди не надсилається, але після першого пошуку країв бібліотека надсилає Google технічні відомості про свою роботу.
• Якщо ви повідомляєте про проблему з чеком, ми отримуємо тип проблеми, ваш коментар і посилання на завдання розпізнавання. Фотографії до повідомлення не додаються.
• Ми рахуємо, скільки чеків ви відсканували і скільки запитань поставили асистентові за місяць, для місячних лімітів.
• Логотипи магазинів у списку чеків застосунок зіставляє на пристрої. Не частіше ніж раз на добу, коли відкрито список чеків, він завантажує з нашого сайту спільний каталог логотипів і всі його файли — однаковий набір для всіх встановлень. Запит не містить назв магазинів, даних чеків і облікового запису, тому з журналу сайту не можна зрозуміти, де ви купуєте. Сайт бачить IP-адресу та час запиту.
• Логотипи магазинів належать їхнім власникам. Щоб прибрати логотип, напишіть на privacy@cartdock.app.

3.5. Читання чеків за допомогою ШІ

• Чеки читає OpenAI. OpenAI отримує зображення сторінок чека та наші інструкції. Ми не додаємо до цього запиту ваш ідентифікатор, електронну пошту чи інші дані облікового запису. Запит надсилається з вимкненим зберіганням відповідей в OpenAI (store=false). Якщо позиції чека написані не мовою застосунку і переклад увімкнено в Профіль → Дані → Обробка даних, OpenAI в тому самому запиті перекладає їхні назви мовою застосунку. Ми зберігаємо і переклад, і назву, як вона надрукована на чеку.
• Якщо OpenAI недоступний, чек замість нього читає Anthropic. Anthropic отримує ті самі зображення та інструкції, теж без вашого ідентифікатора, електронної пошти чи інших даних облікового запису, і так само перекладає назви позицій. Налаштування, подібного до store=false, в Anthropic немає; скільки він зберігає запити — у розділі 6.
• Для кожного виклику ми зберігаємо службові записи без тексту чека: модель, тривалість, розмір, вартість і показники якості розпізнавання.
• Без згоди фотографії не надсилаються. Після відкликання згоди нові фотографії не надсилаються, а вже зроблені фотографії чекають на пристрої.

3.6. Асистент

• У застосунку асистент називається Рінка. Рінка — це ШІ, а не людина: відповіді пише мовна модель OpenAI або Anthropic. Яку з них використовувати, обираємо ми в налаштуваннях сервісу, і друга може замінити першу, коли та недоступна.
• Коли відповідь пише Anthropic, він отримує ті самі дані, що й OpenAI за пунктами нижче, теж без вашої пошти й імені.
• Коли ви ставите асистентові запитання, OpenAI отримує текст запитання, ідентифікатори ваших списків (не їхній вміст), кількість останніх чеків і технічний ідентифікатор вашого облікового запису в нас (без електронної пошти та імені).
• Модель не отримує вмісту ваших списків і чеків, а також ваших витрат. Щоб розуміти продовження розмови, OpenAI разом із запитанням отримує до 6 попередніх запитань і відповідей цієї самої розмови — не більше 6 000 знаків і лише за останні 48 годин. У попередніх відповідях можуть бути назви позицій, які запропонувала сама Рінка. Запитання з інших розмов не надсилаються. Запит надсилається з вимкненим зберіганням відповідей в OpenAI (store=false).
• Запитання і відповідь зберігаються на сервісі 48 годин, потім їхній текст видаляється. Запис про те, що запитання було поставлено, залишається для місячного ліміту.
• Для кожної відповіді ми зберігаємо службові записи без тексту запитання і відповіді: модель, тривалість, розмір відповіді і вартість.
• Асистент працює лише зі згодою на «обробку ШІ» — тією самою, що й для чеків: без неї або після її відкликання запитання не надсилається, а відповідь, яка ще пишеться, зупиняється. Дані надсилаються лише тоді, коли ви ставите запитання.
• Під кожною відповіддю Рінки є кнопка «Поскаржитися». Якщо ви поскаржитеся на відповідь, наш сервіс отримує цю відповідь, ваше запитання до неї, список, який Рінка в ній запропонувала (якщо був), обрану причину і ваш коментар (до 500 знаків); скарга пов’язана з вашим обліковим записом. Поки сервіс має власну копію запитання і відповіді (48 годин), він зберігає її замість копії з пристрою. Сервіс додає до скарги модель, версію інструкцій, тариф і платформу (Android або iOS), з якими було написано відповідь, і те, як відповідь завершилася (повністю, обірвалася чи з помилкою). Вміст ваших списків і чеків до скарги не входить; ні OpenAI, ні Anthropic скаргу не отримують.
• Скарги потрібні, щоб перевіряти відповіді й покращувати Рінку. Тексти скарги — запитання, відповідь, запропонований список і коментар — видаляються через 30 днів після того, як ми її отримали; причина і відомості про відповідь зберігаються до видалення облікового запису, щоб рахувати скарги. Без зв’язку скарга чекає на пристрої й надсилається пізніше; після відповіді сервісу на пристрої залишається лише її статус. Згода на «обробку ШІ» для скарги не потрібна. Заперечити проти цієї обробки можна листом на privacy@cartdock.app — тоді ми видалимо скаргу.

3.7. Голосове введення

• Ви можете продиктувати асистентові запитання. Мовлення розпізнає служба розпізнавання мовлення Android або iOS. Залежно від пристрою це відбувається на самому пристрої або на серверах постачальника системи (Google, Apple) на його умовах.
• Застосунок отримує лише розпізнаний текст і не зберігає запис. Мікрофон увімкнено, поки на екрані написано «Слухаємо»; зупинити запис можна кнопкою.

3.8. Що залишається на пристрої

• Підсумки витрат і планування покупок обчислюються на пристрої з ваших чеків, списків і сум без чека. Сервіс зберігає лише чеки та суми, описані в розділі 3.4.
• Нагадування — це локальні сповіщення пристрою, без сервера і без розсилок.
• Ваші відповіді щодо згод зберігаються на пристрої.
• Після виходу з облікового запису особисті списки цього облікового запису, копії спільних списків, до яких ви більше не маєте доступу, і чеки цього облікового запису разом із їхніми фотографіями не видаляються з телефону, а приховуються: застосунок зберігає їх лише з ідентифікатором облікового запису (без адреси електронної пошти) і повертає, коли ви знову входите в той самий обліковий запис на цьому телефоні. Чеки, ще не збережені в обліковому записі, потраплять туди лише після цього входу. Гість та інші облікові записи на цьому телефоні їх не бачать. Видалення облікового запису в застосунку на цьому телефоні стирає їх; приховані списки й чеки інших облікових записів на цьому телефоні залишаються.
• На Android резервну копію даних застосунку робить система, і лише у двох випадках. Перший — хмарна копія у вашому обліковому записі Google: лише якщо резервне копіювання ввімкнено й Android може зашифрувати копію на телефоні; для цього потрібне блокування екрана (PIN-код, графічний ключ або пароль). Якщо копію не можна зашифрувати, дані застосунку не потрапляють до хмарної копії. Другий — перенесення даних зі старого телефону на новий під час зміни телефону. Android 7 і 8 не перевіряють шифрування копії, тому на них ми не обіцяємо, що хмарна копія зашифрована.
• Копія містить списки, чеки без фотографій, розмови з Рінкою, мову застосунку й налаштування, зокрема ваші відповіді щодо згод, а якщо ви ввійшли — адресу електронної пошти та ім’я облікового запису. Резервна копія містить також списки й чеки (без фотографій), приховані на цьому телефоні після виходу з облікового запису, зокрема списки й чеки інших облікових записів: з ідентифікатором облікового запису, без адреси електронної пошти. Копія не містить токенів доступу, ідентифікатора встановлення, фотографій чеків і нагадувань. Після відновлення ввійдіть знову та знову ввімкніть нагадування.

3.9. Журнали сервісу

• Щоразу, коли застосунок звертається до сервісу, зберігається запис журналу: IP-адреса, метод і адреса запиту без параметрів, а також код відповіді. Ключі посилань і тимчасові адреси завантаження в нашому журналі замінюються позначкою.
• Платформа Google Cloud Run також веде власний журнал запитів. У ньому адреса запиту зберігається повністю — зокрема ключ посилання, коли застосунок відкриває список за посиланням. Ці журнали можуть бачити лише ті, хто має доступ до журналів проєкту. Строк зберігання журналів: 30 днів.
• Сервіс також позначає, у які дні ваш обліковий запис звертався до нього і з якої платформи (Android або iOS), щоб рахувати кількість активних користувачів. Ці позначки видаляються через 35 днів; у звітах залишаються лише загальні числа без облікових записів. Останній такий день зберігається також у записі пристрою, доки пристрій не видалено. Ці позначки не залежать від вибору щодо статистики використання (розділ 7).

3.10. Сторінка спільного списку в браузері

• Сторінка працює на сайті Cartdock (Google Cloud Run, регіон europe-west1) і завантажує список із Supabase (регіон eu-central-1): ключ посилання передається в тілі запиту, а не в адресі. Зміни надходять через Supabase Realtime як сигнал без даних списку. Запити до сторінок /s/ виключено з журналу запитів платформи. Якщо сторінка не відображається через помилку, журнал помилок контейнера може зберігати повну адресу, зокрема ключ посилання в шляху /s/, протягом 30 днів.
• Дані списку не зберігаються в браузері.
• Статистика відвідувань (Google Analytics 4) вмикається, лише якщо ви натиснете «Так» у запитанні на сторінці. До цього сторінка не звертається до Google. Після «Так» Google отримує події — відкриття сторінки, натискання кнопки «Відкрити в Cartdock» і кнопок Google Play та App Store, збереження списку у TXT або CSV, недійсне посилання — із типом платформи, форматом файлу або причиною. Ключ посилання, назва і рядки списку та ім’я власника до статистики не потрапляють, а адреса сторінки замінюється загальною /s/. Google Signals і рекламні функції вимкнено.
• Ця сторінка політики не використовує аналітику і запити до сторонніх сайтів; єдиний cookie сайту описано в розділі 9.

3.11. Звіти про збої і статистика використання

• Android та iOS надсилають звіти про збої. Статистику використання надсилає лише Android. Збірки Debug нічого не надсилають.
• Звіти про збої увімкнені, доки ви їх не вимкнете: позначка «Надсилати звіти про збої» під час першого запуску або пізніше Профіль → Дані → Обробка даних → «Звіти про збої». Якщо застосунок аварійно завершується, звіт надходить до Firebase Crashlytics (Google): місце в коді, де стався збій, тип і текст помилки, час збою, версія застосунку, модель пристрою, версія системи, обсяг пам’яті й сховища, ознака root-доступу і випадковий ідентифікатор встановлення Crashlytics. Щоб рахувати сеанси, Firebase також отримує випадковий ідентифікатор встановлення Firebase і час, коли застосунок був на екрані.
• У звіті про збій немає ідентифікатора облікового запису, адреси пошти, вмісту списків і чеків та запитань до Рінки. Тексти помилок нашого коду таких даних не містять.
• Без зв’язку звіт чекає на пристрої і надсилається під час наступного запуску. Якщо ви вимкнете звіти про збої, ненадіслані звіти видаляються з пристрою під час наступного запуску.
• Статистика використання (Google Analytics for Firebase) вимкнена, доки ви її не дозволите: позначка «Дозволити аналітику використання» під час першого запуску або пізніше Профіль → Дані → Обробка даних → «Статистика використання». З вашої згоди Google отримує події, які бібліотека записує сама, — перший запуск, початок і тривалість сеансів, оновлення застосунку і системи — з версією застосунку, моделлю пристрою, версією системи, приблизним регіоном і випадковим ідентифікатором екземпляра застосунку. Власних подій, назв екранів, ідентифікатора облікового запису і рекламного ідентифікатора ми не надсилаємо; рекламні функції вимкнені.
• Після відкликання згоди статистика одразу припиняється, і застосунок скидає свій ідентифікатор статистики. Звіти про збої і статистика не пов’язані з обліковим записом: їх немає в архіві даних, і вони не видаляються разом з обліковим записом; Google видаляє їх за строками з розділу 6.

3.12. Підписки

• Тарифи Lite і Plus купуються в застосунку як підписки через Google Play або App Store і лише після входу. Ви платите магазину: він обробляє платіж за власними умовами і політикою конфіденційності, а даних вашої картки та інших платіжних даних ми не отримуємо.
• Для перевірки покупок ми використовуємо RevenueCat. Застосунок і магазин передають RevenueCat ідентифікатор вашого облікового запису в нас (без пошти й імені), продукт, магазин, валюту й регіональні налаштування магазину та запис про покупку. RevenueCat зберігає історію покупок, продовжень, скасувань і повернень коштів вашого облікового запису. RevenueCat отримує цей ідентифікатор облікового запису під час запиту пропозицій підписки після входу, ще до покупки. Історію покупок у RevenueCat ми також використовуємо для перегляду статистики підписок.
• Наш сервіс запитує в RevenueCat відомості про вашу підписку і зберігає тариф, продукт, магазин, дату покупки, початок і кінець поточного періоду, ознаку продовження, проблему з оплатою і повернення коштів. За цими відомостями сервіс надає обліковому запису його тариф.
• Видалення облікового запису або застосунку не скасовує підписку в магазині. Як її скасувати, описано на сторінці видалення облікового запису.
• Ціну, продовження, скасування, відмову від договору й повернення коштів за підписки описано в умовах використання. Коли ви просите Apple повернути кошти за підписку, придбану в App Store, наш сервіс через RevenueCat повідомляє Apple, чи було надано підписку; нічого з ваших списків, чеків або запитань він не передає. Підстава — наш законний інтерес у правильному рішенні про повернення коштів (ст. 6(1)(f) GDPR); заперечити можна на privacy@cartdock.app до звернення до Apple (умови використання, розділ 6).

4. Хто отримує дані і де вони обробляються

• Google Cloud Run — наш сервіс, регіон europe-west1 (ЄС).
• Google Cloud Run — сайт Cartdock: головна сторінка, сторінка спільного списку і ця сторінка.
• Supabase — база даних, сховище фотографій і архівів експорту, оновлення вебсторінки; регіон eu-central-1 (ЄС).
• Firebase (Google) — Authentication: вхід і листи; дані обробляються лише в США. Підстава передачі — сертифікація Google LLC за EU-U.S. Data Privacy Framework (рішення про належний рівень захисту, ст. 45 GDPR); якщо вона перестане діяти — стандартні договірні умови Європейської комісії (ст. 46(2)(c) GDPR) з умов обробки даних Google.
• OpenAI Ireland Ltd. (Ірландія) — розпорядник даних, який діє за нашим дорученням: читання і переклад чеків, відповіді Рінки. OpenAI може передавати дані своїм афілійованим особам та іншим розпорядникам, яких вона залучає, за межі ЄЕЗ, зокрема до США, на підставі стандартних договірних умов Європейської комісії (ст. 46(2)(c) GDPR) або рішення про належний рівень захисту (ст. 45 GDPR). Копію цих умов можна запросити за адресою privacy@cartdock.app. OpenAI не використовує ці дані для навчання моделей і зберігає їх до 30 днів у журналах захисту від зловживань; параметр store=false цей строк не змінює.
• Anthropic Ireland, Limited (Ірландія) — розпорядник даних, який діє за нашим дорученням: читання і переклад чеків, коли OpenAI недоступний, відповіді Рінки. Anthropic може обробляти дані за межами ЄЕЗ, зокрема в США, на підставі стандартних договірних умов Європейської комісії (ст. 46(2)(c) GDPR) у своїй угоді про обробку даних, яка є частиною Commercial Terms Anthropic. Anthropic не використовує ці дані для навчання моделей.
• Firebase Crashlytics (Google) — звіти про збої застосунків для Android та iOS; Google обробляє їх у своїй глобальній інфраструктурі, зокрема в США. Підстава передачі — як для Firebase Authentication: EU-U.S. Data Privacy Framework, інакше стандартні договірні умови.
• Google Analytics for Firebase (Google) — статистика використання застосунку для Android, лише після вашої згоди; підстава передачі — та сама.
• RevenueCat, Inc. (США) — розпорядник даних, який діє за нашим дорученням: перевірка покупок підписок і зберігання їхньої історії. Підстава передачі — стандартні договірні умови Європейської комісії (ст. 46(2)(c) GDPR) в угоді RevenueCat про обробку даних.
• Google Play, App Store — продаж підписок і прийняття оплати за умовами й політиками конфіденційності Google і Apple.
• Google Analytics — лише на сторінці спільного списку і лише після вашої згоди.
• Google або Apple — розпізнавання мовлення системою пристрою, лише під час диктування.

Інших зовнішніх сервісів наш сервіс не викликає.

Люди у Швейцарії: одержувачі й країни ті самі. Швейцарія визнає належним рівень захисту даних у країнах ЄС і ЄЕЗ, а у США — лише в компаній, сертифікованих за Swiss-U.S. Data Privacy Framework, наприклад Google LLC. Передача даних компанії RevenueCat у США та передача даних компаніями OpenAI і Anthropic за межі ЄЕЗ ґрунтуються на стандартних договірних умовах Європейської комісії з поправками для швейцарського права (ст. 16(2)(d) Федерального закону Швейцарії про захист даних, FADP).

5. Правові підстави

• Згода (ст. 6(1)(a) GDPR) — читання і переклад чеків за допомогою ШІ, відповіді Рінки і пам’ять розмови, статистика відвідувань на сторінці спільного списку.
• Виконання договору (ст. 6(1)(b) GDPR) — обліковий запис і вхід, синхронізація та спільні списки, зберігання чеків, експорт і видалення.
• Законний інтерес (ст. 6(1)(f) GDPR) — журнали, захист від підбору паролів і зловживань, місячні ліміти, підрахунок активних користувачів, скарги на відповіді Рінки. Наш інтерес — безпека сервісу, чесний розподіл безплатних лімітів, знання того, скільки людей користується сервісом, а також пошук і виправлення шкідливих або неправильних відповідей Рінки.
• Законний інтерес (ст. 6(1)(f) GDPR) — також виявлення зловживань, обмеження облікового запису, записи про наші рішення і код адреси пошти після видалення облікового запису (розділ 6, розділ 12). Наш інтерес — щоб безплатні ліміти і ШІ не витрачала одна людина чи програма і щоб видалення облікового запису не знімало лімітів і обмежень. Для виявлення ми використовуємо лише дані, які вже зберігаємо, а адресу пошти зберігаємо лише як код.
• Згода (ст. 6(1)(a) GDPR) — також статистика використання в застосунку (розділ 3.11).
• Законний інтерес (ст. 6(1)(f) GDPR) — звіти про збої застосунку. Наш інтерес — знаходити й виправляти збої застосунку. У звіті немає даних облікового запису, і вимкнути звіти можна будь-коли (розділ 3.11); вимкнення — це ваше заперечення (ст. 21 GDPR).
• Виконання договору (ст. 6(1)(b) GDPR) — також підписки: перевірка покупки і надання тарифу обліковому запису (розділ 3.12).

6. Як довго ми зберігаємо дані

• Фотографії чеків — 30 днів після прочитання або менше, щойно видалений чек більше не можна відновити.
• Видалений чек можна відновити протягом 7 днів; через 30 днів після цього він видаляється остаточно.
• Запитання і відповіді асистента — 48 годин.
• Запити в Anthropic — видаляються протягом 30 днів; якщо запит позначено як такий, що порушує правила використання Anthropic, він зберігається до 2 років, а оцінки його перевірок безпеки — до 7 років.
• Службові записи про виклики ШІ для чеків і Рінки, без тексту — до видалення облікового запису.
• Лічильники сканувань і запитань для місячного бюджету кожного тарифу, без зв’язку з обліковим записом — поточний і попередній місяць.
• Звіти про збої — 90 днів у Google (Firebase Crashlytics); ненадісланий звіт видаляється з пристрою, коли ви вимикаєте звіти.
• Події статистики використання — 2 місяці в Google (Google Analytics for Firebase); у звітах залишаються лише підсумкові числа.
• Відомості про підписку на нашому сервісі та в RevenueCat — до видалення облікового запису; під час видалення облікового запису наш сервіс видаляє і ваш запис у RevenueCat. Магазин зберігає власні записи про покупки за своїми умовами.
• Скарги на відповіді Рінки — тексти 30 днів після отримання скарги; причина і відомості про відповідь — до видалення облікового запису.
• Видалені рядки спільних списків — 30 днів.
• Архів експорту — 3 дні; посилання для завантаження діє 15 хвилин і видається повторно на запит.
• Токени входу — до 90 днів; їхні записи видаляються через 30 днів після закінчення строку дії.
• Лічильники спроб входу — один день.
• Журнали — 30 днів.
• Позначки днів активності — 35 днів.
• Запис про виконане або скасоване видалення облікового запису (ідентифікатори облікового запису й пристрою, стан запиту та час) — 12 місяців після виконання або скасування; якщо сервіс сам видалив дані гостя, — 35 днів.
• Дані без облікового запису (гість) — поки застосунок звертається до сервісу; через 14 днів без звернень сервіс видаляє їх так само, як під час видалення на ваше прохання. Дані на пристрої залишаються.
• Після видалення облікового запису з адресою пошти — до кінця місяця і ще 1 день: код цієї адреси (HMAC із секретним ключем; саму адресу не зберігаємо) і кількість сканувань та запитань асистенту за цей місяць, щоб нова реєстрація з тією самою адресою в цьому місяці не починала місячні ліміти заново.
• Обмеження облікового запису (розділ 12) — поки воно діє і ще 30 днів після закінчення строку; якщо ми знімаємо його раніше або обліковий запис видаляється, запис видаляється одразу.
• Записи про наші рішення щодо обмежень — 12 місяців від рішення; після видалення облікового запису вони залишаються без його ідентифікатора; для блокування реєстрації запис містить перші 8 символів коду адреси.
• Блокування реєстрації — код адреси пошти (HMAC із секретним ключем) — до 6 місяців від нашого рішення; після видалення облікового запису, призупиненого за порушення правил, — 6 місяців від видалення або до кінця призупинення, якщо воно закінчується пізніше.
• Обліковий запис, чеки, списки та повідомлення про проблеми — доки ви їх не видалите або не видалите обліковий запис.
• Суми без чека — до видалення облікового запису. Видалена вами сума позначається як видалена і не потрапляє до архіву, але її запис зберігається до видалення облікового запису, щоб старіша зміна з іншого пристрою не повернула її.

Строки вище визначають, коли дані належить видалити. Потім їх видаляє службове завдання сервісу, яке запускається кожні 10 хвилин, поки сервіс працює. Коли сервісом ніхто не користується, він зупиняється, і завдання запускається під час наступного старту сервісу, тому дані можуть бути видалені пізніше, ніж закінчується строк. Журнали видаляє сама платформа Google Cloud Run.

7. Згоди

• Під час першого запуску ви обираєте, чи дозволити обробку ШІ (читання чеків і відповіді асистента) та статистику використання і чи надсилати звіти про збої, і підтверджуєте, що вам виповнилося 16 років.
• Позначка «Дозволити обробку ШІ» спочатку не стоїть. Без згоди на ШІ списки працюють; розпізнавання чеків і Рінка вимкнені.
• Статистика використання вимкнена, доки ви її не дозволите. Звіти про збої увімкнені, доки ви їх не вимкнете: вони ґрунтуються не на згоді, а на нашому законному інтересі (розділ 5), і вимкнення зупиняє їх так само. Позначки днів активності на сервісі (розділ 3.9) — окрема обробка і від цих виборів не залежать.
• Ви можете змінити або відкликати згоду в будь-який час: Профіль → Дані → Обробка даних. Відкликання діє одразу і не впливає на те, що було надіслано раніше.
• На сторінці спільного списку вибір змінюється за посиланням «Змінити» внизу сторінки.

8. Ваші права

Ви маєте право на доступ до своїх даних і отримання їх копії, на виправлення, видалення, обмеження обробки, перенесення даних, на заперечення проти обробки та на відкликання згоди.

• Копія ваших даних — Профіль → Дані → Архів → Підготувати архів. Архів містить дані вашого облікового запису (ім’я та прізвище, які ви ввели, якщо ввели, ім’я з вашого профілю Google, адресу електронної пошти, способи входу, тариф і дні активності з розділу 3.9), пристрої, спільні списки, які ви створили або до яких приєдналися, з рядками, збережені чеки, суми без чека, завдання розпізнавання, повідомлення про проблеми, запитання до асистента і відповіді, скарги на відповіді Рінки, обмеження облікового запису і наші рішення щодо нього, фотографії. Списки, якими ви не ділилися, копії спільних списків, до яких ви більше не маєте доступу, і чеки, які ви ще не зберегли, є лише на пристрої і до архіву не входять. Усе інше, що ми зберігаємо про вас, можна запитати за адресою privacy@cartdock.app.
• В архіві є і ваші підписки — у тому вигляді, у якому їх зберігає наш сервіс (розділ 3.12).
• Видалення — Профіль → Дані → Видалення → «Видалити обліковий запис і всі дані». Протягом 24 годин видалення можна скасувати; потім сервіс видаляє обліковий запис Firebase, чеки, фотографії, суми без чека, позначки днів активності, вашу участь у чужих списках і ваші пристрої, а застосунок видаляє дані облікового запису з пристрою; приховані списки й чеки інших облікових записів на цьому телефоні залишаються (розділ 3.8). Спільні списки, які ви створили, видаляються із сервісу разом із рядками, які додали учасники; в учасників на їхніх пристроях залишається копія, яка більше не оновлюється. Рядки, які ви додали до чужих списків, залишаються там без автора. Залишаються запис про те, що видалення виконано, і — якщо в облікового запису була адреса пошти — код цієї адреси з числами місяця (розділ 6), а якщо обліковий запис було призупинено за порушення правил, — блокування реєстрації з цим кодом (розділ 12). Видалити обліковий запис без застосунку можна листом; як це зробити і що ще залишається, описано на сторінці «Видалення облікового запису».
• Виправлення — чеки та списки можна редагувати в застосунку.
• З будь-яким іншим запитом пишіть на privacy@cartdock.app.
• Ви можете подати скаргу до наглядового органу із захисту даних своєї країни; у Польщі це Голова Управління захисту персональних даних (UODO, uodo.gov.pl); у Швейцарії — Федеральний уповноважений із захисту даних та інформації (FDPIC, edoeb.admin.ch), якому можна повідомити про порушення правил захисту даних.

9. Cookies і сховище браузера

• Сторінка спільного списку зберігає в localStorage лише вашу відповідь на запитання про статистику.
• Cookies Google Analytics (_ga, _ga_…) з’являються лише після «Так» і видаляються, якщо ви згодом відмовитеся.
• Сайт встановлює один cookie lang із кодом вибраної мови на 1 рік — лише тоді, коли ви самі обираєте мову в перемикачі мов. Головна сторінка і ця сторінка більше нічого не зберігають у браузері.

10. Вік

Застосунок призначений для людей від 16 років: під час першого запуску ви підтверджуєте свій вік. Сторінка спільного списку вік не запитує.

Якщо ви в Туреччині і вам менше 18 років, користуйтеся застосунком за згодою батьків або законного представника.

11. Як захищено дані

• Застосунок і сторінка обмінюються даними із сервісами через HTTPS.
• Токени доступу та ключі посилань зберігаються на сервісі лише у вигляді хешів.
• Фотографії та архіви зберігаються в закритому сховищі; завантажити їх туди і звідти можна лише за тимчасовою підписаною адресою, яка діє 15 хвилин.
• На пристрої дані входу зберігаються в захищеному сховищі системи (Keychain на iOS, Keystore на Android).

12. Правила й обмеження облікового запису

Безплатні ліміти, Рінка і розпізнавання чеків призначені для особистого користування. Користуючись сервісом, дотримуйтеся чотирьох правил:

1. Користуйтеся сервісом через застосунок і сайт; не надсилайте запити програмою чи скриптом.
2. Не обходьте місячні ліміти — наприклад, не видаляйте обліковий запис і не реєструйтеся знову заради нових лімітів.
3. Не розсилайте посилання на списки масово і тим, хто не погодився їх отримувати.
4. Не зберігайте в спільних списках і не показуйте за посиланням незаконний вміст.

Якщо правило порушено, ми можемо обмежити обліковий запис. Заходи — від м’якого до суворого:

• Уповільнення. Якщо запитів забагато, сервіс на певний час (не довше 24 годин) відхиляє їх і просить повторити пізніше. Це єдиний захід, який програма застосовує без рішення людини.
• Пауза ШІ — до 90 днів. Рінка і розпізнавання чеків не працюють для вашого облікового запису; відхилене запитання чи сканування не списується з лімітів. Списки працюють.
• Призупинення — до 180 днів. Сервіс не приймає від облікового запису змін — у спільних списках, чеках, посиланнях та імені облікового запису, — Рінка і розпізнавання чеків не працюють. Ви й далі бачите свої дані, можете завантажити архів, видалити списки, відкликати посилання, видалити обліковий запис і вийти з нього. Списки на телефоні, якими ви не ділилися, працюють як раніше. Посилання на ваші спільні списки й далі відкриваються; якщо повідомлення про незаконний вміст підтвердиться, ми можемо їх відкликати.
• Блокування реєстрації — до 6 місяців від рішення. З адресою пошти не можна зареєструвати новий обліковий запис; вхід в уже наявний обліковий запис працює. Якщо ви видаляєте обліковий запис, поки його призупинено за порушення правил, його адреси пошти блокуються без нового рішення — на підставі нашого рішення про призупинення — на 6 місяців від видалення або до кінця призупинення, якщо воно закінчується пізніше. Адресу зберігаємо лише як код (HMAC із секретним ключем).

Як ми вирішуємо і що ви можете зробити:

• Паузу ШІ, призупинення і блокування реєстрації призначає людина — Siarhei Mishchanka, який веде сервіс, — після перевірки фактів, а не програма. Кожне рішення називає причину і дату закінчення; продовжити захід можна лише новим рішенням. Коли строк закінчується, обмеження знімається само. Гостьовий обліковий запис (без входу) так не обмежується: для нього діють місячні ліміти й уповільнення.
• Щоб помітити зловживання, ми дивимося на показники з даних, які вже зберігаємо: витрати на ШІ за обліковим записом, кількість нових посилань, спрацювання лімітів, повторні реєстрації з тією самою адресою пошти після видалення, кількість скарг на відповіді Рінки. Вміст списків і чеків для цього не використовується, нових даних ми не збираємо.
• Про паузу ШІ, призупинення або блокування реєстрації ми пишемо на адресу електронної пошти облікового запису не пізніше, ніж воно почне діяти: що обмежено і до якої дати, яке правило порушено і які факти це показують, як ми це виявили і як оскаржити рішення.
• Дані під час обмеження не видаляються. Обмеження і наші рішення щодо вашого облікового запису є в архіві даних (розділ 8); записи про наші рішення зберігаються 12 місяців (розділ 6).
• Оскаржити таке рішення можна протягом 6 місяців після повідомлення: дайте відповідь на наш лист або напишіть на privacy@cartdock.app. Рішення переглядає людина; ми відповідаємо не пізніше ніж через 14 днів після отримання оскарження і, якщо погоджуємося, знімаємо обмеження в день відповіді. Ви також можете заявити заперечення проти обробки даних для виявлення зловживань і обмежень (ст. 21 GDPR), подати скаргу до наглядового органу із захисту даних (ст. 77 GDPR, розділ 8) і звернутися до суду.
• Якщо ви просите обмежити обробку ваших даних (ст. 18 GDPR), ми призупиняємо обліковий запис із цієї причини на час розгляду вашого запиту (одне рішення — до 180 днів, за потреби ми його продовжуємо): дані лише зберігаються, а ви й далі бачите й експортуєте їх. Посилання на ваші спільні списки при цьому працюють — ми запитаємо, чи відкликати їх; відкликати їх можете й ви самі. Таке призупинення — не захід, що застосовується за порушення правил: якщо під час нього ви видалите обліковий запис, блокування реєстрації не виникає, і з тією самою адресою пошти можна знову зареєструватися. Перш ніж зняти обмеження обробки, ми вам повідомимо.
• Повідомити про незаконний вміст у спільному списку можна посиланням «Повідомити про порушення» на сторінці списку або листом на privacy@cartdock.app. Вкажіть номер посилання (його показує сторінка списку), що порушує закон і чому, ваше ім’я та адресу електронної пошти і підтвердьте, що відомості точні й повні. Ми підтвердимо отримання і повідомимо про рішення.

13. Для людей у США і Канаді

• Do Not Track. Ми не відстежуємо людей на інших сайтах і в інших сервісах, тому застосунок і сайт працюють однаково із сигналом браузера «Do Not Track» і без нього. На сторінці спільного списку Google Analytics працює лише після вашого «Так» (розділ 3.10), а застосунок надсилає Google статистику використання лише з вашої згоди (розділ 3.11); в обох випадках рекламні функції вимкнені. Крім цього, треті особи не збирають через Cartdock дані про ваші дії.
• Ми не продаємо персональні дані і не передаємо їх для реклами.
• Канада. Наш сервіс і його розпорядники даних зберігають і обробляють дані за межами Канади — у Європейському Союзі та в США (розділ 4). Там доступ до даних можуть отримати суди, правоохоронні та інші органи цих країн за їхніми законами.
• Квебек. Відповідальний за захист персональних даних — контролер даних, Siarhei Mishchanka; пишіть на privacy@cartdock.app. Перед передачею даних людей із Квебеку за його межі ми оцінили вплив цієї передачі на приватність (стаття 17 Закону Квебеку про захист персональних даних у приватному секторі).

14. Зміни цієї політики

Чинна редакція завжди опублікована за цією адресою; дата набрання нею чинності вказана вгорі сторінки.