Кратко
Эта Политика конфиденциальности объясняет, какие данные собирает Manilo («мы», «нас») при использовании приложения Manilo для iOS (включая приложение для Apple Watch), веб-дашборда Manilo по адресу dashboard.manilo.app, Telegram-бота Manilo, наших интеграций с ИИ-ассистентами (ChatGPT, Claude и другие MCP-совместимые клиенты) и любых связанных сервисов (далее совместно — «Сервис»). Часть служебных адресов по-прежнему работает на нашем прежнем домене ledgy.app. Политика написана простым языком и приведена в соответствие с GDPR (ЕС 2016/679) и требованиями Apple App Store.
Какие данные мы собираем
Данные аккаунта (когда вы оформляете Cloud)
- Адрес электронной почты — идентифицирует ваш аккаунт, на него же приходят сервисные письма. Если вы входите через Apple или Google, мы получаем адрес и базовые данные профиля, которыми они делятся; если вы регистрируетесь по почте и паролю, мы храним ваш адрес и хеш пароля (сам пароль — никогда).
- Данные аутентификации — токены входа, выданные Apple, Google или нашим собственным механизмом авторизации. Персональные токены доступа, которые вы создаёте для доступа к API/MCP, хранятся только в виде хешей SHA-256.
- Статус подписки — есть ли у вас активный доступ или пробный период; сведения поступают от RevenueCat и Apple. Платежи обрабатывает Apple (внутри приложения) или платёжная страница RevenueCat (в вебе); данные карты никогда не попадают на наши серверы.
Данные приложения (когда вы пользуетесь Cloud)
- Ваш учёт — транзакции (сумма, валюта, дата, категория, счёт, произвольные заметки, продавец/получатель), счета и балансы, категории, теги, бюджеты, правила повторяющихся платежей, группы расходов (включая отображаемые имена людей, с которыми вы делитесь доступом) и настройки профиля (основная валюта, язык, формат даты и чисел, часовой пояс, начало недели).
- Файлы чеков, которые вы прикрепляете, — фотографии или PDF.
- Голосовой ввод. Диктовка в приложении для iPhone распознаётся на вашем устройстве речевым фреймворком Apple — к нам попадает только полученный текст. Голосовые записи с Apple Watch и голосовые сообщения, отправленные Telegram-боту, распознаются на наших серверах нашим ИИ-провайдером (Groq); аудио обрабатывается кратковременно и у нас не сохраняется.
- Для пользователей Telegram: ваш Telegram user ID (ключ привязки к вашему аккаунту Manilo), а также сообщения, фотографии и голосовые сообщения, которые вы отправляете боту.
- Для пользователей Apple Wallet: уведомления о транзакциях, которые вы решили переслать, — продавец, сумма, валюта и время. Номера карт мы не получаем никогда.
- Содержимое, которое вы передаёте подключённому ИИ-ассистенту для импорта (например, банковскую выписку или чек), — сначала его обрабатывает платформа этого ассистента, а затем оно сохраняется в вашем учёте как любая другая запись.
Диагностические данные и данные об использовании
- Отчёты о сбоях — анонимизированные, передаются через стандартную систему отчётов о сбоях Apple (её можно отключить в настройках iOS).
- Аналитика использования — в приложении, на сайте и в нашем API мы используем Google Analytics (Firebase), чтобы измерять использование функций: просмотренные экраны, задействованные возможности, вызовы инструментов подключёнными ассистентами и тайминги. Для пользователей, вошедших в аккаунт, эти события связаны с идентификатором аккаунта, а копия «сырых» событий выгружается в Google BigQuery в нашем собственном проекте, чтобы мы могли анализировать использование продукта в разрезе аккаунтов. Мы не отправляем в аналитику суммы транзакций, названия продавцов, заметки и содержимое чеков. На наших сайтах Google Analytics устанавливает cookie только после того, как вы примете их в баннере; если вы откажетесь, сайт продолжит работать полностью.
- Атрибуция установок — если вы установили Manilo по рекламе в Apple Search Ads, фреймворк Apple AdServices, не нарушающий приватность, предоставляет токен атрибуции, который наш провайдер подписок RevenueCat обменивает на данные о кампании, группе объявлений и ключевом слове, приведших к установке. Идентификатор устройства (IDFA) при этом не используется, а разрешение на отслеживание не запрашивается; эти данные нужны нам только для того, чтобы понимать, какая реклама работает.
- Данные безопасности — IP-адреса обрабатываются кратковременно для ограничения частоты запросов и защиты от злоупотреблений. Серверные логи (в них есть идентификатор вашего аккаунта и выполненные действия, но никогда — ваш адрес электронной почты) хранятся не более 30 дней.
Что мы не собираем никогда
- Данные для входа в ваш банк, номера карт и банковские сессии. Manilo не подключается к банковским счетам.
- Ваши контакты, календарь, медиатеку и местоположение. Мы получаем только те фотографии, которые вы прикрепили сами.
- Рекламный идентификатор (IDFA). Manilo не показывает рекламу.
- Сохранённые голосовые записи. Аудио распознаётся и удаляется, а диктовка на iPhone вообще не покидает ваше устройство.
- Всё, что не является строго необходимым для перечисленных выше возможностей.
Как мы используем данные
Перечисленные выше данные мы используем только для того, чтобы:
- Синхронизировать ваш учёт между вашими устройствами и с людьми, которых вы сами пригласили в общие группы или к общим счетам.
- Разбирать ваш текст, фотографии, распознанную речь и пересланные уведомления в транзакции (обработка ИИ).
- Отвечать на вопросы и выполнять действия, о которых вы просите подключённого ИИ-ассистента.
- Управлять вашей подпиской и пробным периодом.
- Отправлять сервисные, ознакомительные письма и письма с предложениями — коды для входа, уведомления о безопасности и об изменениях аккаунта, советы для начала работы и отдельные сообщения о вашем пробном периоде или тарифе. В каждом необязательном письме есть ссылка для отписки.
- Доставлять push-уведомления, которые вы включили. Их текст может содержать суммы и названия продавцов, отображается на экране блокировки и проходит через push-сервисы Apple и Google.
- Диагностировать сбои, измерять использование и предотвращать злоупотребления.
- Измерять, какая реклама в App Store приводит людей в Manilo (см. атрибуцию установок выше).
Мы не продаём ваши данные, не передаём их для рекламы и не используем для обучения ни собственных, ни сторонних ИИ-моделей.
Правовые основания (ст. 6 GDPR)
- Исполнение договора с вами (ст. 6(1)(b)) — синхронизация вашего учёта, разбор ваших записей с помощью ИИ, работа подключённых ассистентов, управление подпиской и отправка сервисных писем.
- Наши законные интересы (ст. 6(1)(f)) — аналитика использования, атрибуция установок, защита от злоупотреблений и безопасность, а также ознакомительные письма и письма с предложениями. Вы можете возразить в любой момент: отписаться от писем по ссылке в каждом сообщении и написать нам, чтобы отключить аналитику для вашего аккаунта.
- Ваше согласие (ст. 6(1)(a)) — cookie на наших сайтах и необязательные функции, которые вы включаете сами (Cloud, Telegram-бот, пересылка уведомлений Apple Wallet, подключение ИИ-ассистента). Отозвать согласие можно, выключив функцию или отказавшись от cookie.
ИИ-ассистенты и Model Context Protocol (MCP)
Если вы подключаете Manilo к ИИ-ассистенту (ChatGPT от OpenAI, Claude от Anthropic или любому другому MCP-совместимому клиенту) через нашу страницу интеграций — этот ассистент может по вашему указанию читать и изменять ваши данные через инструменты Manilo. При подключении мы не выгружаем ассистенту ваш учёт: данные передаются только тогда, когда ассистент вызывает инструмент от вашего имени.
Что ассистент может читать: ваши транзакции (включая заметки и названия продавцов), счета и балансы (включая разбивку по доходам, расходам и переводам), бюджеты, категории, теги, правила повторяющихся платежей, группы расходов вместе с отображаемыми именами участников, настройки вашего профиля, агрегированные итоги, а также файлы чеков — по кратковременным подписанным ссылкам на скачивание, в URL которых содержится идентификатор вашего аккаунта. В ответах инструментов также передаются идентификаторы записей (чтобы ассистент мог ссылаться на них в последующих действиях) и служебные сведения — например, статус вашего пробного периода или подписки и отдельные подсказки по использованию.
Что ассистент может изменять: создавать, обновлять и удалять транзакции, переводы, корректировки баланса, счета, категории, теги, бюджеты, правила повторяющихся платежей и группы; менять настройки вашего профиля; прикреплять файлы чеков к транзакциям.
Данные, которые возвращают инструменты, передаются на платформу ассистента и обрабатываются там на её собственных условиях конфиденциальности (OpenAI — для ChatGPT, Anthropic — для Claude). Содержимое, которое вы загружаете ассистенту, обрабатывается его платформой ещё до того, как Manilo получит то, что вы попросили импортировать. Отключить ассистента можно в любой момент в его настройках, а персональные токены доступа — отозвать в дашборде; доступ на стороне сервера прекращается немедленно.
Субобработчики
Для работы Сервиса мы пользуемся услугами следующих поставщиков. Каждый из них обрабатывает данные только по нашим инструкциям и на основании соглашения об обработке данных.
- Google Cloud Platform — хостинг и хранение: наш бэкенд работает на Google Cloud Run, база данных — Google Firestore, файлы чеков — Google Cloud Storage (всё в США); доставка push-уведомлений — через Firebase Cloud Messaging.
- Groq — основной разбор текста транзакций и изображений чеков с помощью ИИ, а также распознавание голосового ввода с Apple Watch и из Telegram. В запросах передаётся идентификатор вашего аккаунта — для защиты от злоупотреблений; согласно условиям их API, содержимое не используется для обучения их моделей.
- OpenAI — резервный разбор текста транзакций и изображений чеков с помощью ИИ — на тех же условиях API: с идентификатором аккаунта и без обучения на данных. OpenAI также выступает платформой ассистента, которая получает запрошенные данные, когда вы подключаете Manilo к ChatGPT.
- Anthropic — платформа ассистента, которая получает запрошенные данные, когда вы подключаете Manilo к Claude; согласно их условиям, данные из API не используются для обучения моделей.
- Apple — вход с Apple, оплата подписок внутри приложения, push-уведомления и отчёты о сбоях.
- Google — вход с Google, Google Analytics (Firebase) для измерения использования (устанавливает cookie на наших сайтах с вашего согласия) и Google BigQuery для выгрузки нашей аналитики.
- RevenueCat — состояние подписки, оплата в вебе и атрибуция установок; получает идентификатор вашего аккаунта и данные атрибуции Apple Search Ads, но никогда — ваш учёт.
- Microsoft 365 — доставка сервисных и ознакомительных писем.
- Upstash — зашифрованный кратковременный кеш на стороне сервера; записи выбывают в течение 24 часов.
- Telegram — ретрансляция сообщений для пользователей, выбравших Telegram-бота. Ваша переписка с ботом (включая подтверждения транзакций, которые он присылает) остаётся в вашей истории чатов Telegram и подчиняется собственной политике конфиденциальности Telegram.
Когда данные передаются за пределы ЕС или Великобритании, мы опираемся на признанные механизмы защиты наших поставщиков (EU-U.S. Data Privacy Framework или стандартные договорные положения). За копиями DPA или списком площадок размещения субобработчиков пишите на privacy@manilo.app.
Хранение и удаление
- Ваш учёт и чеки хранятся столько, сколько существует ваш аккаунт, — пока вы не удалите отдельные записи или аккаунт целиком.
- Если подписка Cloud закончится, синхронизированные данные продолжат храниться — чтобы они были на месте, если вы вернётесь; локальная копия остаётся на вашем устройстве. Удалить серверную копию можно в любой момент, удалив аккаунт.
- Удаление аккаунта: Настройки → Аккаунт → Удалить аккаунт. Ваши данные удаляются из нашей рабочей базы немедленно — это полное удаление, а не деактивация. В тот же момент файлы чеков становятся навсегда недоступны. Зашифрованные резервные копии базы данных выбывают в течение 30 дней, серверные кеши — в течение 24 часов, серверные логи — в течение 30 дней.
- ИИ-провайдеры (Groq, OpenAI, Anthropic) обрабатывают запросы на разбор и запросы ассистентов кратковременно — на условиях хранения данных их API — и не обучаются на них. Google Analytics хранит события использования не более 14 месяцев, а наша копия в BigQuery удаляется по тому же 14-месячному графику.
Ваши права
Если вы находитесь в ЕС, Великобритании или Калифорнии, у вас есть права на доступ к своим персональным данным, их исправление, перенос и удаление, а также право возразить против их обработки. Большинство из них можно реализовать прямо в продукте или письмом на privacy@manilo.app. Мы отвечаем в течение 30 дней.
- Удалить всё: Настройки → Аккаунт → Удалить аккаунт.
- Выгрузить свой учёт в CSV из приложения.
- Отключить ИИ-ассистента в его собственных настройках; отозвать персональные токены доступа в дашборде — и то и другое немедленно прекращает доступ на стороне сервера.
- Отписаться от необязательных писем по ссылке в каждом сообщении.
- Отказаться от отправки отчётов о сбоях в настройках iOS.
Вы также вправе подать жалобу в местный надзорный орган по защите персональных данных.
Дети
Manilo не адресован детям младше 13 лет (и младше 16 лет в ЕЭЗ). Мы осознанно не собираем данные несовершеннолетних. Если вы считаете, что аккаунт зарегистрировал ребёнок, свяжитесь с нами — мы удалим этот аккаунт.
Изменения
Если мы изменим эту политику так, что это затронет обращение с вашими данными, мы сообщим вам в приложении и по электронной почте не менее чем за 14 дней до вступления изменений в силу. Продолжение использования Сервиса после изменения означает согласие с ним.
Контакты
Электронная почта: privacy@manilo.app