Политика конфиденциальности

Коротко

1Кто мы

Cartie управляет Banuel Dogayman, Harav Goren, Israel («мы»). Эта политика относится к приложению Cartie для iPhone и Android и к этому сайту. Сейчас приложение доступно в Израиле.

По любым вопросам о конфиденциальности: banueldogayman@gmail.com.

2Что мы храним и зачем

Как любой интернет-сервис, серверы ненадолго записывают технические данные каждого запроса, например время и IP-адрес, чтобы сервис работал и был защищён. То, что написано в списках, в эти записи не попадает.

3Кто что видит

То, что находится в общем аккаунте, видно людям в этом аккаунте, согласно настройке «Кто видит» у каждого списка и купона: «Весь аккаунт», «Выбранные люди» или «Только я». Список или купон с настройкой «Только я» остаётся личным. Между аккаунтами ничего не видно.

Кто видит купон, видит и его код. Стоит выбирать «Кто видит» с учётом этого.

4Анонимный подсчёт использования

Приложение считает несколько заранее заданных действий, чтобы мы понимали, какие части работают. В подсчёт никогда не попадает то, что написано в приложении.

Что считается. Постоянный перечень, записанный в коде приложения: открытие приложения; вход (через Apple или Google) и создание аккаунта; отправка приглашения и вход в аккаунт по приглашению; создание списка (продукты или общий); добавление позиций (сколько, и были ли они набраны, выбраны из подсказки, взяты из шаблона или вставлены); начало покупок, их завершение (сколько куплено, сколько звёзд получено и достигнут ли дневной предел) и отмена завершения; открытие шкафа, примерка, покупка и надевание образа (какой образ и его цена в звёздах) и выбор персонажа; открытие и отправка «Года в Cartie»; создание купона; установка напоминания (для списка, позиции или купона). Ничего не добавляется в этот перечень без обновления приложения, и тогда обновляется и эта политика.

Что никогда не считается. То, что написано: ни названия списков, позиций или магазинов, ни коды купонов, ни заметки. Ни имена людей, ни адрес почты, ни идентификатор пользователя, аккаунта, списка или позиции. В перечне действий нет места для свободного текста. Приложение не записывает экраны и само не считает нажатия или экраны.

Без имени. Для каждой установки на телефоне создаётся случайный идентификатор. Это не имя, не почта, не аккаунт Apple или Google и не пользователь Cartie, и связать его с человеком мы не можем. Вместе с каждым действием передаются версия приложения, операционная система и её версия и случайный идентификатор сеанса; не модель телефона, не язык и не местоположение. IP-адрес не сохраняется, и местоположение по нему не определяется.

Кто получает и где. PostHog, сервис аналитики, работающий по нашему поручению, на серверах в Евросоюзе (Франкфурт, Германия). Подсчёт хранится до 12 месяцев, затем удаляется. Политика конфиденциальности PostHog.

Переключателя пока нет: в приложении нельзя выключить подсчёт. Его основание: наш законный интерес понимать, что работает в приложении, с учётом того, что подсчёт анонимный и в нём нет ничего написанного. Поскольку подсчёт хранится только со случайным идентификатором, мы не можем понять, какие действия принадлежат конкретному человеку, поэтому удалить их по отдельности нельзя; они удаляются сами через 12 месяцев.

5Проверка обновлений

Обновление экранов и текстов. При каждом открытии приложение спрашивает Expo, сервис, через который оно публикуется, есть ли новая версия экранов и текстов. Если есть, она загружается в фоне и начинает работать при следующем открытии. Проверка передаёт случайный идентификатор, созданный на телефоне (не тот, что в разделе 4), тип телефона, версию приложения и текущее обновление; если обновление не запустилось, ещё и сообщение об ошибке. IP-адрес попадает в Expo, как при любом подключении к интернету. Expo находится в США. Политика конфиденциальности Expo.

Слишком старая версия. При открытии и при каждом возвращении в приложение оно спрашивает у сервера Cartie, какая самая низкая версия ещё работает и какая последняя. Каждый запрос к серверу передаёт номер версии и тип телефона. Если версия слишком старая, приложение просит обновиться; если есть более новая, появляется сообщение. «Обновить» открывает страницу приложения в магазине, только по нажатию. Само приложение не обращается к Apple или Google.

Ни одна из этих проверок не передаёт ничего написанного в приложении.

6Уведомления

• Напоминания о списке, о позиции и о купоне перед окончанием его срока, в выбранное время. Они устанавливаются на самом телефоне.
• Оповещения о списке («Получать оповещения» в списке): когда кто-то другой добавляет позиции и когда покупки заканчиваются. Сервер отправляет их через сервис уведомлений Expo, который передаёт их Apple или Google, а оттуда на телефон. Для этого им передаются адрес уведомлений телефона и текст уведомления.

Что видно на экране блокировки. Уведомления Cartie показывают то, что написано: название списка, названия добавленных позиций и имя того, кто их добавил, или магазин купона и когда истекает его срок. Их видит любой, кто видит экран блокировки. Код купона никогда не появляется в уведомлении. Показ содержимого уведомлений можно скрыть в настройках телефона.

Уведомления не обязательны: их можно не разрешать, выключить оповещения и напоминания в приложении или выключить уведомления Cartie в настройках телефона.

7Копия на телефоне

Чтобы приложение быстро открывалось и работало без связи, телефон хранит копию последних загруженных данных: списки и позиции, шаблоны, напоминания и купоны вместе с кодами. Каждая копия хранится до 30 дней с последней загрузки.

• Выход из приложения и удаление пользователя стирают всю копию с телефона.
• Выход из аккаунта или потеря доступа к нему стирают копию этого аккаунта.
• Удалённый купон или купон, которым больше не делятся, стирается из копии вместе с кодом.

Данные входа хранятся в защищённом хранилище телефона. Резервная копия телефона (iCloud, Google или компьютер) может включать эту копию. Её создают и хранят Apple или Google по своим условиям, и у нас нет к ней доступа.

8Разрешения на телефоне

• Уведомления: единственное разрешение, которое запрашивает приложение, и только после нажатия.
• Скопированное: приложение читает его только по нажатию: «Вставить» в новом купоне и «У меня есть ссылка-приглашение» при входе и при смене аккаунта. Телефон может спросить, прежде чем его передать.
• Окно «Поделиться» телефона: чтобы отправить ссылку-приглашение, список или «Год в Cartie», только по нажатию.

Приложение не запрашивает местоположение, контакты, камеру, микрофон, фотографии или календарь.

9Ссылки, ведущие из приложения

• Ссылка купона открывается в браузере. Сохраняются только ссылки на сайты (http или https).
• Отправка: ссылка-приглашение, список или «Год в Cartie» уходят в приложение, выбранное в окне «Поделиться», например в WhatsApp.
• Письмо в поддержку: «Связаться с нами» в настройках открывает новое письмо с версией приложения, моделью телефона и языком, которое можно посмотреть и изменить до отправки.
• Магазин: «Обновить» открывает страницу приложения в App Store или Google Play.
• Настройки телефона, чтобы включить уведомления, и эти документы, которые открываются в браузере.

С момента перехода действует политика открытого сервиса. Приложение не знает, что там происходит.

10Тестовые версии и диагностика от Apple и Google

Для тестовой версии, установленной через TestFlight, Apple может передавать нам отчёты о сбоях и, если они отправлены, отзывы вместе с приложенным снимком экрана, по условиям TestFlight. Передачу отчётов о сбоях можно выключить в настройках телефона: «Конфиденциальность и безопасность», затем «Аналитика и улучшения». Отзывы о тестовой версии через Google Play подчиняются условиям Google.

Отдельно: если телефон настроен делиться данными с разработчиками, Apple или Google могут передавать нам сводную анонимную статистику сбоев и производительности. Мы не добавляем код, который собирал бы её сам.

11Кто нам помогает

• Supabase: база данных, вход и сервер Cartie, на серверах во Франкфурте, Германия.
• Apple и Google: сам вход и доставка уведомлений на телефон. При входе они передают Cartie идентификатор и почту и не видят списков.
• Expo: передаёт оповещения о списках Apple и Google и публикует обновления приложения (раздел 5).
• PostHog: подсчёт из раздела 4, на серверах в Евросоюзе.
• Cloudflare: размещает этот сайт (раздел 18).

Никто из них не получает написанное в списках для своих целей.

Их политики: Supabase, Apple, Google, Expo, PostHog, Cloudflare.

12Данные за пределами Израиля

База данных и подсчёт хранятся в Евросоюзе, законы которого о защите данных Израиль признаёт. Expo, Apple и Google находятся в США: через них проходят вход, уведомления (вместе с их текстом) и проверка обновлений.

13Без рекламы и без отслеживания

Мы не продаём данные и не передаём их для рекламы. В приложении нет рекламы и нет инструментов рекламы или атрибуции установок, оно не использует рекламный идентификатор телефона и ни за кем не следит между приложениями и сайтами. Поэтому на iPhone оно и не спрашивает разрешения на отслеживание: спрашивать не о чем.

14Сколько хранится

• Данные хранятся, пока существует пользователь. Удаление пользователя в приложении стирает их сразу (как удалить). Удаление по просьбе в письме выполняется в течение недели.
• В общих списках, которыми продолжают пользоваться другие люди, позиции остаются у них, без имени того, кто их добавил.
• Мы не храним резервных копий базы данных, поэтому удаление окончательное.
• Анонимный подсчёт хранится до 12 месяцев. Копия на телефоне хранится до 30 дней (раздел 7).

15Права

Можно попросить показать данные, исправить или удалить их, написав на banueldogayman@gmail.com. Мы отвечаем в течение 30 дней. Большую часть можно сделать прямо в приложении: посмотреть и изменить всё созданное, изменить имя и персонажа, выйти из аккаунта и удалить пользователя.

Можно также подать жалобу в Управление по защите частной жизни при Министерстве юстиции Израиля.

16Дети

Cartie предназначено для тех, кому 13 лет и больше. Младше 13 лет пользоваться приложением нельзя, а до 18 лет нужно разрешение родителя или опекуна (условия использования). Мы сознательно не собираем данные детей младше 13 лет. Если мы узнаем, что пользователю меньше 13 лет, мы удалим пользователя и его данные. Об этом можно написать нам на почту.

17Безопасность

• Все данные передаются между телефоном и сервером в зашифрованном виде, серверы находятся во Франкфурте.
• К базе данных обращается только сервер Cartie, и при каждом запросе он проверяет, кому что можно видеть.
• Тот, кого удалили из аккаунта, сразу теряет доступ к его купонам и напоминаниям, а к спискам не позже чем через 10 минут.
• Пока приложение в фоне, экран купона закрыт, чтобы код не попал в снимок переключателя приложений. На iPhone всегда; на Android, насколько позволяет телефон.
• Копию на телефоне защищает блокировка телефона. Рекомендуем блокировать телефон кодом, отпечатком пальца или распознаванием лица: кто может открыть телефон, может открыть и Cartie.

18Этот сайт

Сайт размещён на Cloudflare Pages. Он не ставит собственных файлов cookie и не использует аналитику. Cloudflare получает запрос браузера, включая IP-адрес, чтобы показать страницу. Шрифт загружается из Google Fonts, поэтому браузер обращается и к Google.

19Изменения политики

Если изменение касается того, что хранится или кто что видит, оно появится здесь с новой датой до того, как вступит в силу. Предыдущие версии доступны по запросу.

20Контакты

Banuel Dogayman
Harav Goren, Israel
banueldogayman@gmail.com