Політика приватності

1. Хто обробляє ваші дані

Володілець і контролер: ФОП Іцексон Олексій Володимирович, Україна. Зв’язатися з нами можна через форму зворотного зв’язку на сайті finlad.site — це основний канал для будь-яких питань щодо цієї політики та ваших прав.

Обробка здійснюється відповідно до Загального регламенту про захист даних (GDPR, ЄС 2016/679) та Закону України «Про захист персональних даних» № 2297-VI.

2. Які дані ми обробляємо

Календар — це виняток, який іде в інший бік. Якщо ви увімкнете відповідне налаштування, застосунок додаватиме ваші регулярні платежі як події до календаря самого пристрою. Він просить доступ до календаря, і на обох системах потрібен повний: подія мусить вказати, до якого календаря вона потрапляє, а щоб прибрати її, треба її знайти — ні того, ні того не зробити, не маючи змоги дивитися. Але робить застосунок рівно одне: створює й видаляє власні події, ваших записів не читає і нічого з календаря нікуди не передає. Вимкнення налаштування прибирає всі створені ним події, а видалення платежу прибирає його подію.

Чого ми не збираємо: рекламного ідентифікатора, даних про вашу поведінку в інших застосунках, контактів, точного місцезнаходження, а також будь-яких платіжних реквізитів — оплата відбувається лише через магазини застосунків (Google Play, а на iOS — App Store), і ми не отримуємо номерів ваших карток.

Акаунт можна створити, не повідомивши про себе нічого. Основний спосіб реєстрації — один дотик: застосунок створює ключ доступу (passkey) на вашому пристрої, а ми зберігаємо лише випадковий ідентифікатор акаунта, публічний ключ, згенероване коротке ім’я на кшталт «FL-7F3A-K2M9» і ваш тариф. Ні адреси, ні імені, ні номера телефона ми при цьому не запитуємо й не отримуємо. Скажемо чесно й про межу цієї анонімності: кожен вхід у будь-який акаунт потрапляє до журналу входів разом з IP-адресою (див. рядок вище) — це потрібно, щоб ви могли дізнатися про чужий вхід, а ми — розпізнати підбір. Ця адреса не називає вас на ім’я, але за законом є персональними даними, тому ми її не приховуємо в загальному рядку про технічні журнали й видаляємо через 90 днів. Рядок «Дані акаунта» вище стосується тих, хто обрав вхід через Google або, на iOS, через Apple: тоді ми отримуємо ідентифікатор і адресу з відповідного акаунта. Apple при цьому дозволяє приховати справжню адресу — тоді ми отримуємо псевдонім вигляду @privaterelay.appleid.com і не бачимо вашої. Це ваш вибір, а не умова користування — і його можна зробити пізніше або не робити ніколи.

Якщо ви самі вкажете адресу електронної пошти — наприклад, у зверненні через форму зв’язку — ми не можемо її перевірити, тому й не використовуємо її як спосіб входу чи відновлення доступу та не поєднуємо за нею різні акаунти. Вона залишається тим, чим ви її зробили: способом зв’язатися з вами щодо цього звернення.

Якщо ви надсилаєте звіт про проблему із застосунку або з веб-порталу («Повідомити про проблему»), разом із вашим текстом ми отримуємо версію застосунку та рядок user agent — той самий, який браузер і застосунок надсилають із кожним запитом, — а з нього платформу, версію операційної системи, модель пристрою та мову інтерфейсу. У застосунку цей перелік показано на екрані перед надсиланням, і його можна не надсилати одним перемикачем; у веб-порталі ці дані йдуть разом зі звітом, і форма каже про це прямо. Ви можете додати до звіту знімки екрана (до трьох); вони зберігаються разом зі зверненням і видаляються разом із ним. Якщо на той момент ви увійшли в акаунт, звернення пов’язується з ним; ім’я та пошту ми однаково запитуємо окремо й залишаємо необов’язковими, бо ідентифікатор акаунта каже, хто ви, і не каже, куди вам відповісти. Звернення, які наші перевірки визначають як спам, ми зберігаємо з такою позначкою й не надсилаємо на пошту підтримки; у неоднозначних випадках текст звернення може бути показаний мовній моделі для такої перевірки (див. розділ «Як працює AI і що він бачить»).

Веб-портал app.finlad.site — це той самий акаунт у браузері, а не окремий сервіс: нових категорій даних він не створює й нічого додаткового про вас не питає. Зберігає він при цьому менше за телефон, і це навмисно: маркер сеансу живе у сховищі вкладки й зникає разом із нею, а самі фінансові записи за замовчуванням тримаються лише в пам’яті сторінки — закрили вкладку, і в браузері їх не лишилося. Якщо ви ввімкнете «Пам’ятати реєстр у цьому браузері», копія бази запишеться у сховище браузера на цьому комп’ютері; портал питає про це окремо й одразу пояснює, що це означає: копія в браузері захищена гірше, ніж на телефоні, тож на спільному чи робочому комп’ютері краще відповісти «ні». Вибір за вами — за вас його ніхто не робить. Створити акаунт у браузері не можна взагалі: акаунт створюється лише в застосунку на телефоні, а браузер входить до вже наявного.

3. Навіщо і на якій підставі

4. Кому ми передаємо дані

Ми не продаємо ваші дані та не передаємо їх рекламним мережам. Дані отримують лише постачальники, без яких сервіс не працює, і лише в обсязі, потрібному для їхньої функції:

Спільний сімейний доступ, якщо ви ним користуєтесь, — це не постачальник, а інші люди. Коли ви створюєте сім’ю і надаєте спільний доступ до рахунку, об’єкта чи спільного плану, усе, що містять ці записи, стає доступним кожному учаснику: суми, залишки, назви, дати й будь-які додані знімки. Ми не обираємо цих людей і не можемо забрати назад те, що вони вже прочитали. Учасник також отримує платний тариф на весь час перебування в сім’ї. Спільні записи передаються зашифрованими під ключем, який зберігають пристрої самої сім’ї, а не ми. Коли учасника вилучають, ключ змінюється: усе, що буде зашифроване після цього, він уже не відкриє — але того, що людина побачила раніше, це не скасовує. Вихід із сім’ї або її розпуск припиняє спільний доступ із цієї миті.

Передавання за межі ЄС стосується лише AI-функцій (Google і Anthropic, США) та входу через Google чи Apple і відбувається на підставі стандартних договірних положень (SCC) відповідних постачальників; для користувачів з ЄС стороною за даними Apple є її ірландська компанія. Обидва постачальники моделей використовуються на платних тарифах, умови яких прямо забороняють навчання моделей на надісланому. Якщо ви вимкнете AI у налаштуваннях, передавання до них не відбувається взагалі.

5. Де зберігаються дані

Сервер і база даних розміщені в Європейському Союзі (Німеччина). Резервні копії сервера зашифровані ще до того, як їх кудись записано, і зберігаються у сховищі в ЄС; ключ для їх прочитання зберігається окремо від сервера, тому копія, яка потрапила до чужих рук разом із сервером, залишається зашифрованою — прочитати її без того ключа неможливо. Зображення чеків не зберігаються на сервері після розпізнавання — вони обробляються транзитом, а те, що ви вирішили залишити, зберігається у вашому застосунку.

На безкоштовному тарифі синхронізація вимкнена за задумом: ваші фінансові записи залишаються тільки на вашому пристрої й не потрапляють на сервер узагалі. Те саме доступне й на платному тарифі — синхронізацію можна вимкнути в налаштуваннях будь-коли, і застосунок працюватиме як локальний: нові записи залишаться на пристрої.

У браузері діє те саме правило, лише суворіше: з ваших записів там не залишається нічого, доки ви самі про це не попросите. Поки «Пам’ятати реєстр у цьому браузері» вимкнено, реєстр живе тільки в пам’яті вкладки й зникає, щойно ви її закриєте. Коли ввімкнено — копія лежить у сховищі браузера на цьому комп’ютері, доки ви не вийдете з акаунта або не натиснете «Видалити дані з цього браузера»: обидві дії прибирають і копію, і ключ до неї. На сервері від цього вибору не змінюється нічого — там лежить те саме, що й для телефона.

6. Скільки ми їх зберігаємо

• Дані акаунта й фінансові записи — доки існує ваш акаунт. Після запиту на видалення вони зберігаються ще 7 днів, щоб ви могли передумати, і потім видаляються остаточно.
• Резервні копії — одна щоночі; зберігаються 14 днів на сервері та 90 днів у зовнішньому сховищі. Дані, які ви видалили, зникають із копій у міру їх ротації — щонайбільше за 90 днів.
• Журнали запитів до сервера — обмежений технічний строк, потрібний для діагностики.
• Журнал входів — 90 днів, після чого записи видаляються автоматично. Видалення акаунта видаляє його журнал разом із ним.
• Звіти про збої — за строками зберігання сервісу Sentry.
• Звернення через форму та звіти про проблему із застосунку, разом із доданими знімками екрана й відомостями про пристрій, — доки ми не завершимо листування, і розумний строк після цього. Знімки й відомості про пристрій видаляються разом зі зверненням, а не окремо.

7. Ваші права

Ви маєте право на доступ до своїх даних, їх виправлення, видалення, обмеження обробки, заперечення проти обробки та на перенесення даних. Реалізувати їх можна так:

• Виправлення — безпосередньо в застосунку: усі ваші записи редагуються вами.
• Видалення — кнопка «Видалити акаунт і всі дані» в налаштуваннях. Негайно й безповоротно стирається копія на цьому пристрої, завершуються всі сеанси та відключається банк. Дані на сервері видаляються через 7 днів: увесь цей час ви можете увійти й скасувати видалення — або завершити його одразу, не чекаючи строку. Повертається саме серверна копія; якщо ваш тариф не має синхронізації, її не існує, тож повертати нічого. Після закінчення строку ми навмисно не залишаємо «тіньової» копії, тож відновити дані вже неможливо. Якщо застосунку у вас уже немає — надішліть запит на сторінці finlad.site/delete-account, і ми виконаємо видалення протягом 30 днів.
• Доступ і перенесення даних — у застосунку: «Ще → Дані → Експорт даних». Операції вивантажуються таблицею CSV, а всі дані — файлом JSON у машинозчитуваному форматі. Фото чеків у JSON лише перелічені, бо вклали б файл на сотні мегабайтів, — самі зображення забираються окремою дією на тому ж екрані, кнопкою «Усі зображення — архів». Якщо потрібна копія в іншому вигляді, надішліть запит через форму зв’язку.
• Відкликання згоди — вимкніть AI у налаштуваннях або відключіть банк; це не впливає на законність обробки до відкликання.

Ви також маєте право звернутися зі скаргою до наглядового органу: в Україні — до Уповноваженого Верховної Ради України з прав людини, у ЄС — до наглядового органу за місцем вашого проживання.

8. Як працює AI і що він бачить

Застосунок звертається до зовнішньої моделі лише у трьох випадках: коли ви надсилаєте на розпізнавання фото чека, лічильника або рахунка; коли опис операції не вдалося категоризувати власними правилами; і коли рядок, який ви ввели вручну, не вдалося розібрати на самому пристрої.

• До моделі не надсилаються суми, дати, залишки, назви ваших рахунків і ваш ідентифікатор.
• Опис, у якому впізнано ім’я людини, а не магазину (наприклад, переказ на картку), не надсилається взагалі й залишається для ручної категоризації.
• Відповідь моделі одразу перетворюється на локальне правило, тому наступного разу той самий магазин розпізнається без жодного звернення назовні.
• Постачальники моделей — Google (Gemini) і, коли він недоступний, Anthropic — використовуються на платних тарифах: за їхніми умовами надіслане не використовується для навчання моделей.
• Один перемикач у налаштуваннях вимикає всі AI-функції. Застосунок після цього залишається повністю робочим.

9. Cookie та статистика сайту

Цей сайт не ставить відстежувальних cookie й не показує банера згоди, тому що йому нема про що вас питати: статистика відвідувань збирається знеособлено, без cookie й без ідентифікаторів, за якими вас можна впізнати або відстежити на інших сайтах. Єдиний cookie, який він ставить, — обрана вами мова, щоб наступна сторінка відкрилася нею. Це строго необхідне технічне налаштування, і згоди на нього GDPR не вимагає.

Усе інше, що зберігається у вашому браузері, — ваші ж налаштування: тема оформлення (світла чи темна) у локальному сховищі та мова у згаданому cookie. Ні те, ні інше нікуди, крім цього сайту, не надсилається й нічого про вас не каже.

Веб-портал app.finlad.site не ставить cookie взагалі й не має аналітики на жодній сторінці, зокрема на сторінці входу. У сховищі браузера він тримає ваші налаштування — тему, мову, відповідь на запитання «пам’ятати реєстр», — а маркер сеансу тримає у сховищі вкладки.

10. Діти

Сервіс не призначений для осіб віком до 16 років, і ми свідомо не збираємо їхніх даних. Якщо ви вважаєте, що дитина створила акаунт, напишіть нам — ми його видалимо.

11. Безпека

• З’єднання із сервером — лише через HTTPS.
• Банківські токени та одноразові коди двофакторної автентифікації зберігаються зашифрованими.
• Вхід — через Google, а на iOS і через Apple, за бажанням із passkey; у самому застосунку можна ввімкнути PIN або біометрію.
• Двофакторну автентифікацію (2FA) можна ввімкнути в налаштуваннях: тоді для входу, крім акаунта Google чи Apple, потрібен одноразовий код із застосунку-автентифікатора.
• Звіти про збої очищаються від вмісту запитів, заголовків авторизації та зображень до того, як вони залишать пристрій чи сервер.

Паролів у сервісі немає взагалі — ми їх не створюємо, не приймаємо й не зберігаємо. Способів увійти три: ключ доступу (passkey) на вашому пристрої, вхід через Google або Apple, якщо ви його обрали, і код відновлення. Код відновлення застосунок показує один раз одразу після реєстрації; на сервері зберігається лише його односторонній хеш, тож відновити з нього сам код неможливо, а кількість спроб введення обмежена. Код показується один раз — у момент створення — і більше ніколи: жоден пристрій не зберігає його у придатному до читання вигляді. У налаштуваннях можна лише згенерувати новий (тоді старий перестає діяти) або видалити код, якщо до акаунта прив’язано Google чи Apple; після видалення відв’язати провайдера вже не можна, щоб спосіб входу лишався завжди. Зворотний бік цієї побудови ми називаємо прямо: якщо втратити і ключ доступу, і код відновлення, доступ до акаунта не відновить ніхто, зокрема й ми — саме тому в застосунку є резервна копія, яка не залежить від сервера.

Зображення — фото чеків, фото лічильників, комунальні рахунки та документи до майна — шифруються наскрізно, і це не налаштування, яке треба вмикати: зображення шифруються на вашому пристрої ключем, який належить вашому акаунту, і на сервер потрапляють вже зашифрованими: там зберігаються лише сам зашифрований файл, його тип і розмір. Ключа сервер не має у придатному до використання вигляді, тож ані ми як власник сервісу, ані будь-хто з доступом до сервера чи бази даних не може ці зображення переглянути.

Ключ можна перенести на інший ваш пристрій двома способами: спарюванням з уже налаштованого пристрою (ключ показується на вашому ж екрані й не проходить через мережу) або кодом відновлення, який застосунок показує один раз, коли акаунт створено. Копію ключа, зашифровану цим кодом, можна зберігати на сервері — без коду вона не відкривається. Зворотний бік такої побудови ми називаємо прямо: якщо втратити і всі пристрої, і код відновлення, зображення не зможе відновити ніхто, зокрема й ми.

Суми теж шифруються наскрізно, а не лише зображення. Кожна цифра, яка щось каже про ваші гроші — сума операції, баланс рахунку, бюджет, графік кредиту, ціль, оцінка майна, показник лічильника й нарахована за ним сума — шифрується на вашому пристрої ключем вашого акаунта й потрапляє на сервер уже зашифрованою. Так само шифруються й назви: ім’я рахунку, кредиту, цілі, накопичення, майна, інвестиції разом із її тікером і брокером, комунальної послуги разом із постачальником і номером особового рахунку, регулярного платежу, а також ваші власні нотатки й теги. Назва каже не менше за число — «іпотека» не потребує суми поруч, — тож вона шифрується разом із нею. Поруч сервер зберігає лише те, без чого запис не перенести: до якого рахунку й категорії належить рядок, його дату, код валюти, опис і продавця. Це не шифрується, бо саме за цим застосунок розкладає витрати — зокрема й назви ваших категорій, за якими він розкладає банківську операцію, коли телефон не в мережі; усе інше — ні. Ані ми як власник сервісу, ані будь-хто з доступом до сервера чи бази даних не може прочитати баланс чи з’ясувати, скільки ви заробляєте й витрачаєте.

Один код відкриває і акаунт, і цифри. Застосунок показує його під час налаштування, і пристрій, який має ключ, може показати його знову будь-коли — сам код зберігається лише зашифрованим під тим же ключем, який він відкриває, тож на сервері лежить блок, який він не відкриє. Новий ваш пристрій отримує ключ одним із трьох шляхів: запитом до пристрою, на якому ви вже увійшли — він підтверджує його за біометрією вашого телефона й передає ключ уже зашифрованим, тож сервер передає те, чого не може прочитати; скануванням QR-коду на вашому ж екрані; або кодом відновлення. Зворотний бік цієї побудови ми називаємо прямо: якщо втратити і всі пристрої, і код, дані не зможе повернути ніхто, зокрема й ми.

Чого це не покриває: імпорту з банку. Коли ви підключаєте банк або імпортуєте виписку, наш сервер читає суми, щоб зіставити перекази й обчислити баланси, і записує їх у відкритому вигляді; перший із ваших пристроїв, який має ключ, зашифровує їх на місці. Між цими двома моментами ці цифри на сервері відкриті. Розпізнавання працює так само і з тієї ж причини (розділ 8). Шифрування також починається лише тоді, коли кожен пристрій, що увійшов у ваш акаунт, має версію, здатну читати зашифровані записи — доті цифри йдуть відкритими, щоб старіший ваш телефон не записав помилковий баланс.

Чого шифрування не покриває: коли ви надсилаєте фото на розпізнавання, кадр проходить через наш сервер до зовнішньої моделі (розділ 8) — він там не зберігається, але в цей момент він не зашифрований вашим ключем.

Браузер слабший за телефон, і ми це називаємо, а не обходимо. На телефоні ключ шифрування зберігає апаратне сховище системи (Keystore на Android, Keychain на iOS), і заблокований телефон його не віддає. У браузері такого сховища немає взагалі: ключ лежить у сховищі вкладки, зникає разом із нею, і будь-який код, що виконується на цій сторінці, може його прочитати. Тому веб-портал ключа ніколи не створює — він отримує його від вашого телефона або з коду відновлення, — а вихід з акаунта прибирає з цього браузера і ключ, і збережену копію реєстру — самі записи при цьому лишаються на вашому телефоні й на сервері. З того ж випливає наша порада: на спільному чи робочому комп’ютері не вмикайте «Пам’ятати реєстр у цьому браузері».

12. Зміни до політики

Якщо політика зміниться, ми оновимо номер версії й дату на цій сторінці. Про суттєві зміни — такі, що розширюють обробку або додають отримувача даних, — ми повідомимо в застосунку до того, як вони наберуть чинності.