Политика конфиденциальности

1. Кто отвечает за ваши данные

Контролёром персональных данных, описанных в настоящем уведомлении, является TNV NextGen, индивидуальный предприниматель (eenmanszaak), Hollywoodlaan 58, 1325 HS Almere, Нидерланды, зарегистрированный в Торговой палате Нидерландов (KVK) под номером 98216260, номер плательщика НДС NL005316081B12 («MySharedXP», «мы», «нас»). Связаться с нами можно по адресу privacy@tnvnextgendigital.com.

Контролёр учреждён в Нидерландах, поэтому представитель в ЕС согласно ст. 27 GDPR не требуется. По любым вопросам о ваших персональных данных пишите на privacy@tnvnextgendigital.com.

2. На что распространяется настоящее уведомление

Настоящее уведомление распространяется на приложения MySharedXP для iOS и Android, веб-приложение MySharedXP по адресу app.mysharedxp.com и сайт mysharedxp.com. Оно составлено в соответствии со статьями 13 и 14 Общего регламента по защите данных (GDPR).

3. Какие данные мы обрабатываем

В зависимости от того, как вы пользуетесь MySharedXP, мы обрабатываем следующие категории персональных данных:

• Данные аккаунта и идентификационные данные: адрес e-mail (ваш логин), имя, фамилия, отображаемое имя, номер телефона по желанию (используется, только если вы включите двухфакторную аутентификацию по SMS), фото профиля, краткое описание, часовой пояс, валюта по умолчанию, статус подтверждения и время последнего входа. Если вы входите через Apple или Google, мы получаем токен идентификации, а также имя и адрес e-mail, которые передаёт нам провайдер.
• Финансовые данные и данные групп: расходы, которые вы записываете (сумма, валюта, категория, название, заметки, дата), способ их разделения, расчёты и платежи, бюджеты, регулярные расходы и группы, в которых вы состоите. В совокупности это запись ваших трат и того, кто кому должен.
• Платёжные реквизиты (по желанию): чтобы упростить расчёт, вы можете добавить до 10 способов получения оплаты в разделе Настройки > Платёжные реквизиты: банковский счёт (IBAN, имя владельца счёта и, за пределами зоны евро, BIC), название платёжного приложения или ссылку на него (например, PayPal.me) или номер телефона, используемый платёжным приложением. Включённые вами реквизиты видит только участник, который должен вам деньги по плану расчёта, — наш сервер готовит их в виде перевода для копирования, QR-кода или ссылки; администратор группы также видит их, когда записывает платёж этого участника за него. Вы также можете прикрепить разовую ссылку на запрос оплаты (например, Tikkie или Payconiq) к сумме, которую вам кто-то должен; её видите только вы двое. Когда платёж записывается, мы сохраняем способ его совершения (например, банковский перевод, наличные или платёжное приложение). MySharedXP никогда не переводит деньги и никогда не получает данные для входа в банк или данные карт. Для изменения платёжных реквизитов нужен недавний вход, и приложение сообщает вам об их изменении.
• Чеки: изображения, которые вы прикрепляете к расходам. Чек часто содержит больше, чем сам расход, например адрес продавца или последние цифры платёжной карты. Прикрепляйте только те чеки, хранение которых вас устраивает. Перед загрузкой фото перекодируются, при этом удаляются метаданные камеры, например GPS-координаты.
• Сканирование чеков (Pro): текст на фото чека считывается на вашем устройстве, и на наш сервер отправляется только распознанный текст, чтобы выделить магазин, сумму и дату. Если ваше устройство не может прочитать фото или результат неверен, вы можете выбрать чтение фото ИИ-сервисом распознавания нашего облачного провайдера в ЕС; фото никогда не отправляется туда без вашего выбора. Этот сервис не хранит фото и не использует его для обучения своих моделей. Если вы сообщаете, что чек прочитан неверно, мы записываем, какие поля были неверны, кто прочитал чек (ваше устройство или ИИ-сервис), каким приложением вы пользовались и что приложение заметило в фото (например, что оно было тёмным или его пришлось выпрямлять). Когда вы сообщаете о неверной итоговой сумме при чтении на устройстве, мы также записываем слова, напечатанные рядом с суммами в чеке, без цифр (например, «TOTAL» или «SUMA PLN»), чтобы научить распознавание словам, которых оно ещё не знает. Эти слова хранятся отдельно от вашего аккаунта и проверяются нами перед использованием.
• Данные подписки: уровень вашей подписки, дата окончания, идентификатор продукта и идентификатор транзакции магазина, как их сообщают Apple, Google или Stripe. Мы никогда не получаем и не храним данные платёжных карт; оплату обрабатывают магазины приложений.
• Подаренные планы и купоны: если мы предоставляем вам план без покупки (например, как раннему тестировщику или через партнёра) или использованный вами код приглашения даёт бесплатные месяцы, мы храним, какой план предоставлен, кем, почему и до какой даты, чтобы и вам, и нам были известны действующий план и дата его окончания.
• Поддержка и отзывы: тема и текст обращений в поддержку и отзывов, которые вы нам отправляете, ваша оценка, если вы её оставляете, и то, что вы решите приложить: снимки экрана и, если вы отметите «Приложить журналы устройства», журнал с версией приложения, операционной системой, моделью устройства, языком и последними техническими сообщениями приложения. Журнал не содержит ваших расходов, чеков или паролей.
• Активность и уведомления: журнал активности и уведомления, связанные с вами (например, «вы добавили расход»).
• Друзья и рефералы: люди, с которыми вы дружите в приложении, отправленные или полученные вами запросы в друзья и, если вы используете реферальный код, кто кого и когда пригласил. Другие люди могут найти вас, чтобы отправить запрос в друзья, только в пределах вашей настройки видимости профиля: «Все» — по имени или адресу e-mail, «Только друзья» — только по точному адресу e-mail, «Приватный» — никак. В результатах поиска показывается ваш публичный профиль, но никогда не ваш адрес e-mail.
• Приглашения: когда вы приглашаете по e-mail человека, которого ещё нет в MySharedXP, мы храним этот адрес e-mail вместе с вашим приглашением, чтобы связать этого человека с вами, если он зарегистрируется. Мы не связываемся с приглашённым; вы сами передаёте ему приглашение. Приглашая кого-то, убедитесь, что этот человек не против получить от вас весточку.
• Гости, ссылки-приглашения и заглушки: в приложениях можно начать без аккаунта. Гостевой аккаунт содержит случайный ключ, хранящийся на вашем телефоне, односторонний хеш этого ключа на нашем сервере и платформу, на которой он создан; перед его созданием приложение подтверждает нам через Google Play Integrity или Apple App Attest, что это подлинная, неизменённая копия, и мы храним только этот результат проверки. Ссылки-приглашения в группу содержат случайный токен и срок его действия. Люди, добавленные в группу по имени до того, как они присоединились (заглушки), хранятся с введённым именем и балансом, который они получат при присоединении.
• Токены push-уведомлений: если вы разрешаете уведомления, токен устройства, выданный Apple или Google, хранится вместе с вашим аккаунтом, чтобы мы могли доставлять уведомления на это устройство. Когда на том же устройстве входит другой человек, токен переходит к его аккаунту. Он удаляется, когда вы выходите из аккаунта или удаляете его.
• Записи о согласии: версия Условий и настоящего уведомления, которую вы приняли, ваше подтверждение того, что вам 16 лет или больше (в Индии — 18), а также каждое включение или выключение статистики использования, с отметкой времени. Мы храним их, чтобы подтвердить согласие (ст. 7(1) GDPR).
• Статистика использования (только с согласия): в Настройках есть переключатель «Делиться данными об использовании», по умолчанию выключенный. Когда он включён, приложение записывает анонимные события, например какие экраны вы открываете, какими функциями пользуетесь (например, сканированием чеков или экспортом), когда функция Pro была показана как заблокированная, какие сообщения об ошибках вы видели и разрешили ли вы уведомления. Каждое событие содержит только фиксированное название и фиксированное значение из списка, который проверяет наш сервер, а также случайный идентификатор установки, но никогда не ваш аккаунт. События не содержат имён, названий, заметок, сумм или произвольного текста. Они автоматически удаляются через 13 месяцев; поскольку они не связаны с вашим аккаунтом, удаление аккаунта на них не влияет, и мы не можем найти или предоставить их вам.
• Статистика сервиса: раз в неделю мы подсчитываем на наших серверах в ЕС, как используется сервис в целом, например сколько аккаунтов создано, сколько групп записали расчёт, сколько приглашений принято и сколько обращений в поддержку открыто. Из этого подсчёта выходят только итоговые цифры; никакой список людей не создаётся и не хранится.
• Реклама: рекламу предоставляет Google AdMob (Google Ireland Limited для ЕЭЗ и Великобритании). Бесплатные аккаунты видят баннер на экранах Обзор и Группы, время от времени встроенный баннер и полноэкранную рекламу после записи расчёта или после каждого десятого добавленного вами расхода (в сумме не чаще одного раза в 30 минут и не более двух раз в день). Для показа и измерения рекламы Google Mobile Ads SDK обрабатывает идентификатор поставщика вашего устройства, ваше примерное местоположение, определённое по IP-адресу, рекламу, которую вы видите и нажимаете, и техническую диагностику. На iPhone и iPad приложение один раз спрашивает вас через запрос Apple App Tracking Transparency, может ли реклама использовать рекламный идентификатор вашего устройства (IDFA); если вы разрешите, Google может использовать его, чтобы показывать вам более релевантную рекламу, и вы можете отозвать это в любой момент в Настройках iOS > Конфиденциальность и безопасность > Трекинг. Если вы откажетесь, а также на Android, где приложение вообще не запрашивает рекламный идентификатор, реклама с его помощью не персонализируется. В ЕЭЗ и Великобритании перед первой рекламой показывается форма согласия Google, и ваш выбор можно изменить в любой момент в разделе Настройки > Настройки конфиденциальности рекламы. Подписчики Coffee и Pro не видят рекламы; рекламный SDK запускается для них, только если они сами решат посмотреть рекламу с вознаграждением. Реклама с вознаграждением необязательна: аккаунт без Pro может посмотреть её, чтобы получить одно сканирование чека или один экспорт группы, действительные 30 дней. Если вы решите её посмотреть, мы передаём идентификатор вашего аккаунта MySharedXP в Google AdMob, чтобы Google мог подтвердить нам, что реклама просмотрена, и мы могли начислить вознаграждение на ваш аккаунт.
• Siri и Быстрые команды (Pro, iPhone и iPad): когда вы обращаетесь к Siri или запускаете Быструю команду, Apple превращает ваш запрос в параметры действия, например сумму и группу, согласно собственным условиям конфиденциальности Apple. MySharedXP получает только эти параметры, но никогда не ваш голос, и обрабатывает их так же, как то же действие в приложении. Для участников Pro названия ваших групп и имена людей в них также добавляются в собственный поиск вашего устройства (Spotlight), который остаётся на устройстве и очищается при выходе из аккаунта.
• Данные на устройстве: настройки, например настройки уведомлений и флаги функций, хранятся на вашем устройстве и не отправляются нам. Разблокировка с Face ID / Touch ID / отпечатком пальца использует операционную систему; биометрические данные к нам не попадают.
• Веб-приложение: веб-приложение хранит в локальном хранилище вашего браузера сеанс входа, ваши настройки отображения (тема, размер текста, язык), последний использованный способ разделения и то, приняли ли вы эти документы. Это необходимо для работы веб-приложения и не используется для отслеживания; выход из аккаунта удаляет сеанс.
• Сайт: с вашего согласия (баннер cookie) сайт использует Google Analytics 4, чтобы считать посещения и видеть, какие страницы и языки читают и откуда приходят посетители. Пока вы не дадите согласие, скрипт аналитики не загружается и ничего не отправляется в Google; отказ оставляет сайт без изменений. Наш хостинг-провайдер (AWS) записывает IP-адрес и запрошенный URL каждого посещения в недолго хранящиеся журналы сервера для работы сервиса.

4. Зачем мы обрабатываем данные и на каком правовом основании

• Предоставление сервиса, на который вы зарегистрировались (аккаунты, группы, расходы, разделения, расчёты, чеки, подписки, поддержка): исполнение договора, ст. 6(1)(b) GDPR.
• Расчёт с использованием ваших платёжных реквизитов (показ их участнику, который вам должен, ссылки на запрос оплаты, запись способа совершения платежа): исполнение договора, ст. 6(1)(b) GDPR, и только в отношении реквизитов, которые вы решили добавить.
• Обеспечение безопасности сервиса (вход, коды подтверждения, необязательная двухфакторная аутентификация, предотвращение злоупотреблений, журналы сервера): наш законный интерес в безопасном сервисе, ст. 6(1)(f) GDPR.
• Чтение чеков с помощью оптического распознавания символов (функция Pro): исполнение договора, ст. 6(1)(b), запускается, только когда вы нажимаете «сканировать».
• Анонимная статистика использования: ваше согласие, ст. 6(1)(a) GDPR, которое даётся включением переключателя и может быть отозвано в любой момент его выключением.
• Статистика сервиса (еженедельные итоги, рассчитанные по указанным выше данным): наш законный интерес в понимании и улучшении сервиса, ст. 6(1)(f) GDPR. Вы можете возразить, см. ваши права ниже.
• Реклама в бесплатных аккаунтах: в ЕЭЗ и Великобритании — ваше согласие, данное через форму согласия Google, ст. 6(1)(a) GDPR, которое можно отозвать в разделе Настройки > Настройки конфиденциальности рекламы; в других странах — наш законный интерес в финансировании бесплатного плана, ст. 6(1)(f) GDPR. Оформление подписки полностью убирает рекламу.
• Выполнение юридических обязанностей, например налоговых и бухгалтерских правил в отношении доходов от подписок: ст. 6(1)(c) GDPR.
• Предоставление ваших данных не требуется по закону. Без адреса e-mail и данных, необходимых для записи расходов, мы не можем предоставлять сервис.

5. Кто получает ваши данные

Другие участники ваших групп видят ваше отображаемое имя, фото профиля, расходы, которые вы записываете в этой группе, и ваш баланс в ней. В этом и состоит назначение приложения; пожалуйста, помните об этом, прежде чем добавлять кого-то в группу.

Мы пользуемся услугами поставщиков («субобработчиков»), перечисленных в таблице ниже. Мы не продаём персональные данные. Единственная рекламная сеть — Google AdMob, которая используется только для бесплатных аккаунтов, как описано в разделе 3. Приложения для iOS и Android не содержат сторонних SDK для аналитики или отчётов о сбоях; отчёты о сбоях поступают к нам только через собственные добровольные механизмы Apple и Google (App Store Connect и Android vitals в Play Console). Push-уведомления на Android, функция платных планов, доставляются через Google Firebase Cloud Messaging. Сайт использует Google Analytics только после того, как вы примете cookie (раздел 12).

Каждый поставщик обрабатывает персональные данные на основании соглашения об обработке данных или, если он действует от своего имени (например, Apple и Google при входе и оплате в магазинах), согласно собственным условиям защиты данных. Приложения содержат код второго провайдера входа, который отключён и не получает никаких данных.

6. Международные передачи

Все данные аккаунтов, финансовые данные и данные чеков хранятся в центрах обработки данных AWS во Франкфурте, Германия (eu-central-1). У некоторых поставщиков есть материнские компании в США, и они могут получать доступ к данным оттуда для поддержки или эксплуатации. Для таких передач мы опираемся на Рамочное соглашение о конфиденциальности данных ЕС–США (EU-US Data Privacy Framework), по которому эти поставщики сертифицированы, и на Стандартные договорные условия Европейской комиссии. Европейский центральный банк получает только коды валют и даты, но никогда не персональные данные.

7. Как долго мы храним данные

Мы храним персональные данные только столько, сколько это необходимо для указанных выше целей:

• Данные аккаунта и профиля: до удаления вами аккаунта. Удаление вступает в силу сразу: вы больше не можете войти, а в течение нескольких минут ваши данные стираются, данные для входа удаляются, а профиль заменяется анонимной заглушкой.
• Платёжные реквизиты: пока вы не удалите их в разделе Настройки > Платёжные реквизиты или не удалите аккаунт; они удаляются вместе с ним. Ссылки на запрос оплаты: 30 дней, после чего они удаляются автоматически, или раньше, если вы удалите аккаунт.
• Приглашения людям, которых нет в MySharedXP: 90 дней, после чего они удаляются автоматически, или раньше, если человек зарегистрируется или вы удалите аккаунт.
• Неактивные аккаунты: если вы не входили более 24 месяцев, мы можем удалить ваш аккаунт, как описано выше, предупредив вас по e-mail не менее чем за 30 дней.
• Удалённые вами расходы: они сразу исчезают из приложения и окончательно стираются через 30 дней (время, необходимое другим устройствам, чтобы узнать об удалении); изображение чека удаляется сразу. Рассчитанные расходы: когда все в группе находятся в расчёте в течение 30 дней, а владелец группы пользуется планом Бесплатно, рассчитанные расходы, изображения их чеков и платежи, записанные между участниками, удаляются тем же способом (группа показывает дату, когда она пришла к расчёту); если владелец пользуется платным планом (Без рекламы или Pro), удаляются только изображения чеков, а расходы остаются историей группы до её удаления. Группа заранее показывает дату этой очистки, и любой новый расход или платёж запускает отсчёт 30 дней заново.
• Расходы, разделения и расчёты, общие с другими людьми: при удалении аккаунта они анонимизируются (ваше имя удаляется без возможности восстановления), чтобы записи других участников оставались верными. Записи в активности группы, сделанные, пока вы были участником (например, «Добавил(а) Алекса в группу»), остаются видны участникам этой группы.
• Изображения чеков: удаляются вместе с расходом, к которому они относятся, или вместе с вашим аккаунтом — в зависимости от того, что произойдёт раньше.
• Сообщения о неверно прочитанных чеках: 90 дней, после чего они удаляются автоматически, или раньше, если вы удалите аккаунт.
• Обращения в поддержку, вложения к ним и отзывы: до удаления вами аккаунта; они удаляются вместе с ним.
• Уведомления и ваш личный журнал активности: до удаления вами аккаунта; они удаляются вместе с ним. Активность в группе остаётся в этой группе для её участников.
• Анонимные события использования: не более 13 месяцев. Они не связаны с вашим аккаунтом.
• Записи о подписках: наша копия удаляется вместе с вашим аккаунтом. Apple, Google и Stripe хранят собственные записи о платежах, как того требует налоговое законодательство; для покупок в веб-версии Stripe хранит счета, которые мы обязаны хранить семь лет согласно налоговому законодательству Нидерландов.
• Токены push-уведомлений: пока вы не выйдете из аккаунта или не удалите его.
• Записи о согласии: после удаления аккаунта — в анонимизированном виде (связаны только с внутренним идентификатором, а не с вашим именем или e-mail) столько, сколько нам может понадобиться, чтобы подтвердить достигнутые договорённости, но не более пяти лет (срок исковой давности в Нидерландах).
• Резервные копии: не более 35 дней, после чего удалённые данные исчезают и из резервных копий.

8. Ваши права

Согласно GDPR вы имеете право:

• получить доступ к персональным данным, которые мы о вас храним (ст. 15);
• исправить неточные данные (ст. 16);
• потребовать удаления ваших данных (ст. 17);
• ограничить обработку в определённых случаях (ст. 18);
• получить свои данные в переносимом машиночитаемом формате (ст. 20);
• возразить против обработки на основании законных интересов (ст. 21);
• отозвать согласие в любой момент, что не влияет на обработку, проведённую до отзыва (ст. 7(3));
• подать жалобу в надзорный орган, в частности в стране ЕС, где вы живёте или работаете. Наш ведущий надзорный орган — Управление по защите данных Нидерландов (Autoriteit Persoonsgegevens, autoriteitpersoonsgegevens.nl).

9. Как воспользоваться своими правами

• Экспорт данных: в приложении откройте Настройки > Аккаунт > Экспорт данных, чтобы скачать JSON-файл с введёнными вами данными: профиль и настройки, группы с их расходами и участниками, друзья, бюджеты, регулярные расходы, ваши сообщения в поддержку и ваш выбор в отношении согласий, с людьми и группами по имени. Чтобы получить полную копию всех персональных данных, которые мы о вас храним, включая записи, которые приложение ведёт само (активность, уведомления, история покупок), напишите на privacy@tnvnextgendigital.com.
• Удаление аккаунта: в приложении откройте Настройки > Опасная зона > Удалить аккаунт; в веб-приложении — Настройки > Опасная зона > Удалить аккаунт. Это удаляет ваш аккаунт и персональные данные, как описано в разделе 7.
• Исправление данных: измените свой профиль в Настройках.
• Отзыв согласия на статистику использования: выключите «Делиться данными об использовании» в Настройках.
• Всё остальное или если у вас нет доступа к приложению: напишите на privacy@tnvnextgendigital.com. Мы отвечаем в течение одного месяца; сначала мы можем попросить вас подтвердить свою личность.

Как удалить аккаунт — с приложением или без него

10. Автоматизированное принятие решений

Оптимизатор расчётов предлагает наименьший набор платежей, который закрывает балансы группы. Это расчёт, который вы можете проигнорировать или изменить; он не имеет для вас юридических или аналогично значимых последствий, и мы не составляем профили пользователей. Решения в смысле ст. 22 GDPR не принимаются.

11. Дети

MySharedXP не предназначен для детей. Чтобы создать аккаунт, вам должно быть не менее 16 лет. В Индии вам должно быть не менее 18 лет, поскольку индийское законодательство считает детьми лиц младше 18 лет. Если вы считаете, что аккаунт создал ребёнок младше 16 лет, свяжитесь с privacy@tnvnextgendigital.com, и мы его удалим.

12. Cookie, локальное хранилище и отслеживание

Сайт устанавливает аналитические cookie (Google Analytics 4, Google Ireland Limited) только после того, как вы выберете «Принять» в баннере cookie. «Отклонить» ничего не устанавливает, и сайт работает так же. Ваш выбор хранится в локальном хранилище браузера 12 месяцев и может быть изменён в любой момент через «Настройки cookie» в нижней части страницы. С вашего согласия Google получает сокращённый IP-адрес, просматриваемые вами страницы, ваше примерное местоположение и сведения об устройстве; Google Signals и рекламные функции отключены, а данные хранятся 2 месяца. Сайт не загружает никаких других сторонних скриптов или шрифтов.

Веб-приложение хранит в вашем браузере только то, что ему необходимо для работы (см. раздел 3, «Веб-приложение»). Хранение, строго необходимое для запрошенного вами сервиса, не требует согласия согласно Закону Нидерландов о телекоммуникациях (ст. 11.7a); мы не используем хранилище для отслеживания или рекламы.

13. Безопасность

Данные шифруются при передаче (TLS) и при хранении на AWS. Доступ к производственным системам ограничен и протоколируется. Вы можете добавить к аккаунту двухфакторную аутентификацию и блокировать приложение с помощью Face ID, Touch ID или отпечатка пальца.

14. Дополнительная информация для лиц в США, Канаде и Индии

Остальная часть настоящего уведомления применяется ко всем. Этот раздел добавляет то, чего требуют законы этих стран. Если что-либо здесь противоречит остальной части уведомления, к лицам в соответствующей стране применяется этот раздел.

15. Изменения настоящего уведомления

Когда мы изменяем настоящее уведомление, мы обновляем дату в верхней части этой страницы. Если изменение существенно влияет на то, как мы используем ваши данные, мы также сообщим вам об этом в приложении или по e-mail до вступления изменения в силу.

Настоящее уведомление доступно и на других языках. Эти версии являются переводами, выполненными ИИ; в случае расхождений с текстом на английском языке преимущественную силу имеет текст на английском языке.