Политика конфиденциальности
Обновлено:
Fam108 («приложение», «мы») — приложение для учёта семейных расходов. Эта политика объясняет, какие данные приложение обрабатывает и как. Если вы включаете семейную синхронизацию, данные вашей семьи покидают устройство и уходят на наш сервер (или тот, что вы выбрали сами) — раздел 2 объясняет, что это значит. Если вы создаёте личный аккаунт, раздел 3 описывает, что мы храним для этого.
1. Данные, которые приложение хранит на вашем устройстве
Когда вы пользуетесь Fam108, вы создаёте данные, которые сохраняются на вашем устройстве:
- Название семьи и профили участников (имя, цвет, роль), которые вы создали.
- Счета (карты и наличные) и их остатки.
- Операции (сумма, категория, счёт, плательщик, дата, необязательная заметка, отметка «личное»). Фото чеков, которые вы прикрепляете к операции, — снятые камерой или выбранные из ваших фото; к камере и фото приложение обращается только когда вы сами прикрепляете чек.
- Бюджеты и пространства, которые вы завели.
- Настройки приложения (тема, язык, валюта).
Мы не продаём эти данные. В приложении нет SDK аналитики и нет никакой другой аналитики, кроме описанной в разделе 7.
2. Семейная синхронизация — что покидает ваше устройство
Семейная синхронизация позволяет всей семье видеть одни и те же данные на каждом телефоне. Fam108 поставляется со стандартным сервером синхронизации, который держим мы (api.fam108.com) — синхронизация выключена, пока вы её не включите, но включение не требует держать собственный сервер: по умолчанию используется наш. Вы можете указать приложению другой сервер, который держите вы или ваша семья, если предпочитаете (в настройках).
Пока семейная синхронизация включена, сервер, к которому вы подключены (по умолчанию наш), хранит:
- Данные вашей семьи (список из раздела 1 выше), чтобы каждое устройство семьи могло их получить.
- Шифрование при передаче (HTTPS). На самом сервере эти данные не защищены сквозным шифрованием — сервер может их прочитать, так же как это может серверная часть большинства облачных приложений. Это осознанный компромисс, объяснённый в наших публичных инженерных решениях (ADR-006): он позволяет держать приложение простым и быстро развивать, ценой того, что оператор сервера технически может прочитать ваши данные (мы этого не делаем, но архитектура не запрещает это криптографически так, как, скажем, у Signal).
Если вы направляете приложение на сервер, который держите сами, мы не эксплуатируем, не контролируем этот сервер и не получаем копию его данных — абзац выше описывает только наш сервер по умолчанию.
3. Аккаунты (почта и пароль, Apple, Google)
Если вы создаёте личный аккаунт (а не просто пользуетесь кодом приглашения в семью как гость), мы собираем и храним на своём сервере:
- Ваш адрес электронной почты, если вы регистрируетесь по почте и паролю.
- Криптографический хэш вашего пароля (Argon2id) — никогда сам пароль. Мы не можем увидеть или восстановить ваш пароль.
- Если вы входите через Apple или Google, — непрозрачный идентификатор от этого провайдера (не сам ваш Apple ID или аккаунт Google) и, если провайдер его передаёт, вашу почту.
- Сессии входа: с каких устройств и когда выполнен вход, чтобы вы могли их просматривать и отзывать.
- В каких семьях вы состоите и какая у вас роль в каждой из них.
Аккаунт позволяет входить в свою семью с любого устройства без повторного ввода кода приглашения и восстанавливать доступ, если вы забыли пароль. Если вы никогда не создаёте аккаунт — просто пользуетесь кодом приглашения в семью как гостевое устройство, — ничего из перечисленного выше вас не касается.
4. Биометрический вход
Если вы включаете разблокировку по Face ID / Touch ID / отпечатку пальца, проверка целиком выполняется операционной системой вашего устройства. Биометрические данные никогда не покидают устройство и никогда не доступны ни приложению, ни нам.
5. Защищённое хранилище
Токены сессии, токены синхронизации и подобные секреты хранятся в защищённом хранилище платформы (Keychain на iOS, Keystore на Android) на вашем устройстве.
6. Выгрузка данных
Вы можете выгрузить свои данные в файл CSV через системное меню «Поделиться». Выгрузку начинаете вы, и куда она уйдёт (почта, файлы и так далее), выбираете тоже вы.
7. Дети
Есть два разных способа, которыми «ребёнок» появляется в Fam108, и у них разные последствия для конфиденциальности:
- Профиль участника-ребёнка внутри вашей семьи, который создаёт родитель для целей бюджета (какие категории он видит, что ему видно). Сам по себе это просто метка внутри данных вашей семьи — имя и цвет, — такая же, как у любого другого профиля участника, и отдельного аккаунта она не подразумевает.
- Вход ребёнка, если родитель создаёт одноразовый код и ребёнок вводит его на своём устройстве. Это создаёт ограниченный аккаунт на нашем сервере, чтобы ребёнок мог входить самостоятельно, — он не требует и не собирает адрес электронной почты ребёнка, а сам аккаунт содержит не больше, чем любой другой аккаунт (раздел 3), с областью действия в пределах одной семьи и урезанными правами. Родитель может отозвать его в любой момент, удалив аккаунт ребёнка (Семья → участник → Удалить) или данные всей семьи (раздел 8).
Мы не собираем сознательно о ребёнке больше личных данных, чем перечислено выше, и не используем ничего, связанное с аккаунтом ребёнка, для рекламы или профилирования — в Fam108 нет рекламы и профилирования никого, ни взрослого, ни ребёнка.
8. Удаление ваших данных
Есть два разных действия, потому что они удаляют разные вещи:
- «Стереть все данные» (в настройках) безвозвратно удаляет данные вашей семьи — счета, операции, настройки — с того устройства, на котором это выполнено, а если семейная синхронизация включена, то и с сервера синхронизации тоже (только для владельца, поскольку это затрагивает всю семью).
- Удаление вашего аккаунта (если вы его создавали, раздел 3) безвозвратно удаляет вашу учётную запись — почту, хэш пароля, сессии и записи о членстве. В каждой семье, где вы состояли, ваш профиль участника становится «Удалённый участник» (без имени и инициала); ваши личные расходы, личные счета (вместе с переводами на них и с них), комментарии и фото чеков удаляются. Расходы, которые вы записали как общие, остаются в семье как часть её финансовых записей — сумма, дата, категория и счёт, без ваших заметок; так же остаются ваши заявки на возмещение, без их заметок. Чтобы убрать и их, попросите владельца семьи стереть данные семьи или напишите нам. Если вы владелец семьи, права владельца переходят другому взрослому участнику; семья без другого взрослого участника стирается. Веб-подписки, которые вы оплачиваете, отменяются; подписка из App Store или Google Play — нет, отмените её там. Удалить аккаунт можно в приложении или на странице fam108.com/delete-account из любого браузера, без переустановки приложения.
Удаление приложения убирает его локальные данные, но не удаляет серверные данные, которые покрывает любое из этих двух действий, — сначала выполните одно из них, если хотите удалить и их тоже.
9. Подписки и платежи
Мы не видим и не храним ваши платёжные данные. Подписки покупаются через App Store или Google Play либо на нашем сайте. Платежи в мобильном приложении обрабатывают Apple и Google, а веб-платежи от нашего имени обрабатывает Stripe как наш платёжный процессор. До нашего сервера синхронизации доходит минимум, нужный, чтобы открыть оплаченные возможности: идентификатор семьи, к которой относится подписка, какой тариф активен, пробный он или нет и когда он продлевается или заканчивается.
Ни вашего имени, ни карты, ни платёжного адреса, ни аккаунта в магазине мы отсюда не получаем. Мы не используем эти сведения для рекламы и никому их не передаём.
10. Отчёты о сбоях
Когда приложение или веб-версия даёт сбой (необработанная ошибка или экран, который не удалось отрисовать), оно отправляет отчёт на наш собственный сервер (api.fam108.com): тип ошибки, сообщение, трассировку стека, версию приложения и платформу. В нём нет идентификатора аккаунта, email, семьи или устройства, имени, сумм и заметок, и он не связан с вами. Перед сохранением сервер вычищает из сообщения и стека email, токены, числа, параметры URL и цитируемый текст и записывает одну строку в системный журнал на нашем собственном хосте — без отдельной базы, без передачи третьим лицам, без стороннего сервиса отчётов. Мы используем её только чтобы найти и исправить ошибку. IP-адрес используется для ограничения частоты запросов и вместе с отчётом не сохраняется. Если вы не в сети, до 10 отчётов ждут на устройстве и уходят при следующем запуске. В приложениях для телефона это можно отключить: Настройки → Правовое → «Отправлять отчёты о сбоях» (по умолчанию включено); в веб-версии такого переключателя нет.
11. Журналы сервера
Как и у любого сайта, наш веб-сервер ведёт стандартный журнал запросов к fam108.com, app.fam108.com и api.fam108.com: IP-адрес, дата и время, запрошенный адрес, код и размер ответа, страница, с которой пришёл переход, и строка браузера (user-agent). Мы используем его, чтобы сервис работал и был защищён (разбор злоупотреблений и ошибок), и чтобы считать посещения в целом — какие страницы, языки и сайты-источники — в ежедневном отчёте на нашем же сервере, где IP-адреса обезличены. Никаких cookie, следящих скриптов и сторонней аналитики. Журналы запросов ротируются ежедневно и удаляются примерно через 15 дней (14 ежедневных ротаций); журналы ошибок, где тоже есть IP-адреса, — через 30 дней.
12. Изменения
Мы можем обновлять эту политику. Существенные изменения будут отражены обновлением даты выше.
13. Связь с нами
Вопросы: support@fam108.com.