Політика приватності

Bonlo

Тут описано, які дані обробляє застосунок Bonlo і навіщо. Відповідальна особа — Денис Василюк, Ессен, Німеччина (повна адреса — в Impressum). Контакт: hi@moonage.me.

У разі розбіжностей чинна німецька версія.

Коротко

Обліковий запис не потрібен. Без реклами, без стеження, без інструментів аналітики й звітів про збої, дані не продаємо.
Твої чеки, їхні фото, список покупок, бюджет і статистика лишаються на твоєму iPhone.
Щоб прочитати чек, застосунок надсилає його зображення моделі ШІ. Результат повертається на пристрій; ні зображення, ні чека ми не зберігаємо.

1. Що лишається лише на пристрої

Чеки та їхні позиції, фото, з яких їх розібрано, список покупок, твій словник категорій і цін, бюджет і налаштування зберігаються лише на пристрої й нам не передаються.

Віджети отримують копію потрібних чисел (бюджет, список покупок) через спільне сховище на пристрої. В інтернет вони нічого не надсилають.
Face ID / код-пароль: блокування — функція iOS. Застосунок не отримує біометричних даних, лише відповідь «розблоковано» чи «ні».
Сповіщення (бюджет, нагадування перед закупами) плануються й показуються на пристрої.
Експорт (CSV, JSON) створюється лише на твою дію і йде туди, куди ти його надішлеш.
Siri й Команди працюють у застосунку на пристрої.

2. Що надсилається, щоб прочитати чек

Коли ти фотографуєш чек або вибираєш фото, скріншот чи PDF, із нього робиться зменшене зображення й через наш сервер (розділ 3) надсилається в Anthropic (модель Claude). Зображення перекодовується: місце зйомки та інші метадані фото не надсилаються. Повертаються магазин, дата, позиції й суми. Якщо сума не сходиться, наш сервер надсилає те саме зображення вдруге з поясненням, що саме не зійшлося. «Розпізнати заново» надсилає збережене фото чека ще раз.

Щоб назви товарів були твоєю мовою, а рядки списку потрапляли у правильний відділ, через наш сервер у OpenAI (а якщо він недоступний — в Anthropic) надсилаються лише назви текстом — із чека й із твого списку. Ціни, магазин і дата при цьому не йдуть.

У налаштуваннях замість цього можна вибрати розпізнавання на пристрої (Apple Intelligence). Тоді жодне зображення й жодна назва не покидають пристрій.

3. Наш сервер

Запити до Anthropic і OpenAI йдуть через наш сервер у Cloudflare. Він тримає зображення й назви лише, поки триває запит, передає їх далі й не зберігає. Щоб працювали безплатні скани й підписка і щоб захистити сервіс від зловживань, він зберігає:

випадковий ключ твоєї установки застосунку, який Apple підтверджує через App Attest, разом із цим підтвердженням — з нього не видно ні імені, ні Apple ID; після перевстановлення застосунку з'являється новий;
скільки з 10 безплатних сканів використано;
скільки запитів надійшло за поточну годину й поточну добу (захист від зловживань);
чи активна підписка і яка (розділ 4).

Щоб 10 безплатних сканів не починалися знову після перевстановлення застосунку, ми використовуємо Apple DeviceCheck: застосунок створює одноразовий токен і надсилає його на наш сервер разом зі сканом і з запитом, скільки сканів лишилось, а сервер із ним читає й записує в Apple два біти про твій пристрій — приблизно, скільки безплатних сканів уже використано. Apple зберігає ці два біти за пристроєм; ми не отримуємо жодного ідентифікатора пристрою, і в бітах немає нічого про тебе, крім цього числа.

Як будь-який сервер в інтернеті, Cloudflare отримує IP-адресу пристрою, щоб доставити запит і відбивати атаки. Наш сервер її не зберігає. У його робочому журналі лише числа й результати — вид запиту, розмір, тривалість, вартість, чи пройшла перевірка чека — без ключа установки, IP-адреси, зображення й назв товарів.

4. Підписка

Підписку купують і керують нею в App Store. Оплату проводить Apple; платіжних даних ми не отримуємо, лише підтвердження, яка підписка активна.

Після покупки й під час запуску застосунок надсилає нашому серверу підтвердження покупки, підписане Apple. Крім того, Apple сама повідомляє наш сервер про продовження, скасування, зміну тарифу й повернення коштів (App Store Server Notifications). Сервер перевіряє підпис Apple і зберігає про підписку:

номери транзакцій, які Apple дає підписці, — з них не видно ні імені, ні Apple ID;
тариф (Базовий чи Плюс), початок і кінець оплаченого періоду, чи підписка продовжиться і чи за неї повернули гроші;
скільки сканів використано в поточному місяці підписки;
які установки (розділ 3) нею користуються.

5. Мета й правові підстави

Розбір чеків, переклад назв, підписка й кількість сканів — для виконання нашого договору з тобою (ст. 6(1)(b) GDPR).
Захист сервісу від зловживань (App Attest, DeviceCheck, обмеження частоти) — наш законний інтерес у безпечній і доступній роботі (ст. 6(1)(f) GDPR).
Відповіді на листи й запити підтримки — ст. 6(1)(b) або (f) GDPR.

6. Постачальники послуг і передача в треті країни

Постачальник	Навіщо	Де
Anthropic PBC	розбір зображення чека, запасний переклад	США
OpenAI, L.L.C.	переклад назв товарів, відділи списку	США
Cloudflare, Inc.	наш сервер (розділ 3)	США
Apple	App Store, підписка, App Attest, DeviceCheck	Ірландія / США

Anthropic, OpenAI і Cloudflare обробляють дані за нашим дорученням на підставі договору про обробку даних. Передачу в США покриває EU-US Data Privacy Framework і/або Стандартні договірні положення ЄС. За їхніми умовами Anthropic і OpenAI не навчають моделі на даних, надісланих через API; зберігають їх лише обмежений час для виявлення зловживань і потім видаляють.

7. Строк зберігання й видалення

Дані на пристрої лишаються, доки ти їх не видалиш: один чек разом із фото — у самому чеку, усе одразу — в Налаштуваннях → Дані, або видаливши застосунок.

На нашому сервері ми видаляємо автоматично, раз на добу:

ключ установки, її лічильник безплатних сканів і прив'язку до підписки — через 12 місяців після її останнього запиту;
дані підписки (розділ 4) — через 12 місяців після того, як вона скінчилась і ні застосунок, ні Apple про неї не повідомляли;
лічильники запитів за годину й добу — через дві доби.

Робочий журнал сервера Cloudflare видаляє через 7 днів.

Два біти DeviceCheck в Apple лишаються й після видалення застосунку — саме для цього вони й потрібні. Вони кажуть лише, скільки приблизно безплатних сканів використано на пристрої.

8. Твої права

Ти маєш право на доступ до даних, виправлення, видалення, обмеження обробки, заперечення й перенесення даних. Пиши на hi@moonage.me. Також можна поскаржитись до наглядового органу із захисту даних, наприклад до Уповноваженої із захисту даних землі Північний Рейн — Вестфалія.

9. Безпека

Уся взаємодія із сервісами зашифрована (HTTPS). Дані на пристрої захищає iOS; застосунок можна додатково блокувати Face ID або кодом-паролем.

10. Зміни

Якщо застосунок або поводження з даними зміниться, ми оновимо цю сторінку й дату вгорі.

11. Контакт

Денис Василюк, Ессен, Німеччина — hi@moonage.me