Політика конфіденційності
Оновлено:
Fam108 («застосунок», «ми») — застосунок для обліку сімейних витрат. Ця політика пояснює, які дані застосунок обробляє і як. Якщо ви вмикаєте сімейну синхронізацію, дані вашої сім’ї залишають пристрій і йдуть на наш сервер (або той, що ви обрали самі) — розділ 2 пояснює, що це означає. Якщо ви створюєте особистий обліковий запис, розділ 3 описує, що ми зберігаємо для цього.
1. Дані, які застосунок зберігає на вашому пристрої
Коли ви користуєтеся Fam108, ви створюєте дані, що зберігаються на вашому пристрої:
- Назва сім’ї та профілі учасників (ім’я, колір, роль), які ви створили.
- Рахунки (картки та готівка) і їхні залишки.
- Операції (сума, категорія, рахунок, платник, дата, необов’язкова нотатка, позначка «особисте»).
- Бюджети та простори, які ви завели.
- Налаштування застосунку (тема, мова, валюта).
Ми не продаємо ці дані. У застосунку немає SDK аналітики й немає жодної іншої аналітики, крім описаної в розділі 7.
2. Сімейна синхронізація — що залишає ваш пристрій
Сімейна синхронізація дозволяє всій сім’ї бачити ті самі дані на кожному телефоні. Fam108 постачається зі стандартним сервером синхронізації, який тримаємо ми (api.fam108.com) — синхронізація вимкнена, доки ви її не увімкнете, але увімкнення не вимагає тримати власний сервер: за замовчуванням використовується наш. Ви можете вказати застосунку інший сервер, який тримаєте ви або ваша сім’я, якщо надаєте перевагу цьому (у налаштуваннях).
Поки сімейна синхронізація увімкнена, сервер, до якого ви підключені (за замовчуванням наш), зберігає:
- Дані вашої сім’ї (перелік із розділу 1 вище), щоб кожен пристрій сім’ї міг їх отримати.
- Шифрування під час передавання (HTTPS). На самому сервері ці дані не захищені наскрізним шифруванням — сервер може їх прочитати, так само як це може серверна частина більшості хмарних застосунків. Це свідомий компроміс, пояснений у наших публічних інженерних рішеннях (ADR-006): він дозволяє тримати застосунок простим і швидко розвивати, ціною того, що оператор сервера технічно може прочитати ваші дані (ми цього не робимо, але архітектура не забороняє це криптографічно так, як, скажімо, у Signal).
Якщо ви спрямовуєте застосунок на сервер, який тримаєте самі, ми не експлуатуємо, не контролюємо цей сервер і не отримуємо копію його даних — абзац вище описує лише наш сервер за замовчуванням.
3. Облікові записи (пошта й пароль, Apple, Google)
Якщо ви створюєте особистий обліковий запис (а не просто користуєтеся кодом запрошення в сім’ю як гість), ми збираємо і зберігаємо на своєму сервері:
- Вашу адресу електронної пошти, якщо ви реєструєтеся за поштою та паролем.
- Криптографічний хеш вашого пароля (Argon2id) — ніколи сам пароль. Ми не можемо побачити чи відновити ваш пароль.
- Якщо ви входите через Apple або Google, — непрозорий ідентифікатор від цього провайдера (не сам ваш Apple ID чи обліковий запис Google) і, якщо провайдер його передає, вашу пошту.
- Сесії входу: з яких пристроїв і коли виконано вхід, щоб ви могли їх переглядати й відкликати.
- У яких сім’ях ви перебуваєте і яка у вас роль у кожній з них.
Обліковий запис дозволяє входити у свою сім’ю з будь-якого пристрою без повторного введення коду запрошення і відновлювати доступ, якщо ви забули пароль. Якщо ви ніколи не створюєте обліковий запис — просто користуєтеся кодом запрошення в сім’ю як гостьовий пристрій, — жодне з переліченого вище вас не стосується.
4. Біометричний вхід
Якщо ви вмикаєте розблокування за Face ID / Touch ID / відбитком пальця, перевірку цілком виконує операційна система вашого пристрою. Біометричні дані ніколи не залишають пристрій і ніколи не доступні ні застосунку, ні нам.
5. Захищене сховище
Токени сесії, токени синхронізації та подібні секрети зберігаються в захищеному сховищі платформи (Keychain на iOS, Keystore на Android) на вашому пристрої.
6. Вивантаження даних
Ви можете вивантажити свої дані у файл CSV через системне меню «Поділитися». Вивантаження починаєте ви, і куди воно піде (пошта, файли тощо), обираєте теж ви.
7. Діти
Є два різні способи, якими «дитина» з’являється в Fam108, і вони мають різні наслідки для конфіденційності:
- Профіль учасника-дитини всередині вашої сім’ї, який створює батько чи мати для цілей бюджету (які категорії їй видно, що їй показано). Сам собою це просто позначка всередині даних вашої сім’ї — ім’я і колір, — така сама, як у будь-якого іншого профілю учасника, і окремого облікового запису вона не передбачає.
- Вхід дитини, якщо батько чи мати створює одноразовий код і дитина вводить його на своєму пристрої. Це створює обмежений обліковий запис на нашому сервері, щоб дитина могла входити самостійно, — він не вимагає й не збирає адресу електронної пошти дитини, а сам обліковий запис містить не більше, ніж будь-який інший обліковий запис (розділ 3), з дією в межах однієї сім’ї та урізаними правами. Батько чи мати може відкликати його будь-коли, видаливши обліковий запис дитини (Сім’я → учасник → Видалити) або дані всієї сім’ї (розділ 8).
Ми свідомо не збираємо про дитину більше персональних даних, ніж перелічено вище, і не використовуємо нічого, пов’язаного з обліковим записом дитини, для реклами чи профілювання — у Fam108 немає реклами й профілювання нікого, ні дорослого, ні дитини.
8. Видалення ваших даних
Є дві різні дії, тому що вони видаляють різні речі:
- «Стерти всі дані» (у налаштуваннях) безповоротно видаляє дані вашої сім’ї — рахунки, операції, налаштування — з того пристрою, на якому це виконано, а якщо сімейна синхронізація увімкнена, то і з сервера синхронізації теж (лише для власника, оскільки це стосується всієї сім’ї).
- Видалення вашого облікового запису (якщо ви його створювали, розділ 3) безповоротно видаляє ваш обліковий запис — пошту, хеш пароля, сесії та записи про членство, — не зачіпаючи спільні дані вашої сім’ї, які лишаються в решти учасників. Зробити це можна в застосунку або на сторінці fam108.com/delete-account з будь-якого браузера, без перевстановлення застосунку.
Видалення застосунку прибирає його локальні дані, але не видаляє серверні дані, які покриває будь-яка з цих двох дій, — спершу виконайте одну з них, якщо хочете видалити і їх також.
9. Підписки та платежі
Ми не бачимо і не зберігаємо ваших платіжних даних. Підписки купуються через App Store або Google Play або на нашому вебсайті. Платежі в мобільному застосунку обробляють Apple і Google, а вебплатежі від нашого імені обробляє Stripe як наш платіжний процесор. До нашого сервера синхронізації доходить мінімум, потрібний, щоб відкрити оплачені можливості: ідентифікатор сім’ї, до якої належить підписка, який тариф активний, пробний він чи ні і коли він продовжується або закінчується.
Ні вашого імені, ні картки, ні платіжної адреси, ні облікового запису в магазині ми звідси не отримуємо. Ми не використовуємо ці відомості для реклами й нікому їх не передаємо.
10. Зміни
Ми можемо оновлювати цю політику. Суттєві зміни буде відображено оновленням дати вище.
11. Зв’язок із нами
Питання: support@fam108.com.