Как мы защищаем ваши данные
Коротко. Ваши операции хранятся на нашем сервере в России. Почта и имя зашифрованы, ключ шифрования хранится отдельно от базы данных. Если хотите, чтобы Моня вообще не знала, кто вы, включите скрытый режим: без почты и имени, вход по отпечатку пальца или Face ID и паролю.
Что зашифровано
- почта и имя;
- привязки входа через Google, Apple, Яндекс и VK;
- имя в Telegram;
- почта получателя и текст подарка;
- адреса для писем от Мони и обращений в поддержку.
Ключ шифрования хранится в настройках сервера, а не в базе данных, а в резервной копии — отдельно и тоже зашифрованным. Если базу данных или её копию украдут, ваши операции нельзя будет связать с вашей почтой.
Что хранится без шифрования и почему
Суммы, категории, описания и метки операций, счета, последние 4 цифры карт, страна. Иначе не работали бы отчёты, бюджеты, поиск и разбор фраз. В обычном режиме эти данные связаны с вашим аккаунтом, а он — с зашифрованной почтой.
Чего мы не храним
- записей голоса — звук распознаётся и сразу удаляется;
- текстов SMS, уведомлений и писем банка — только отметку, что сообщение уже обработано;
- полных номеров карт и паролей — пароль хранится только в виде необратимого хеша;
- адреса входа и модели телефона дольше 30 дней с последнего использования сеанса.
Перед отправкой фразы модели ИИ мы убираем из неё почту, номера карт, счетов и телефонов.
Как защищён сервер
- соединение с приложением и сайтом — только по HTTPS;
- база данных закрыта от интернета: к ней обращается только само приложение на сервере;
- резервные копии зашифрованы;
- в приложении видно, где выполнен вход, и любой сеанс можно завершить (Настройки → Безопасность).
Скрытый режим
Регистрация без почты и имени: вы получаете имя для входа вида monya-k7q2-x9fd и задаёте пароль, а на телефоне входите по отпечатку пальца или Face ID. В базе нет ни почты, ни имени, ни аккаунта Google, Apple или Telegram. Даже если данные когда-нибудь утекут, их нельзя будет связать с вами.
Учтите: мы всё равно храним операции с описаниями, метки, последние 4 цифры карт и страну — без них Моня не работает. По ним теоретически можно догадаться, кто вы, поэтому то, что вы пишете в описаниях и метках, остаётся на вашей стороне. Имена людей из SMS и писем банка в скрытом режиме мы сами сокращаем до инициалов. Данные о покупке подписки хранятся у Apple, Google или платёжной системы, а не у нас.
Забудете пароль и потеряете телефон — восстановить доступ нельзя: у нас нет вашей почты, и мы не знаем, чей это аккаунт. В скрытом режиме не работают Telegram-бот, письма от Мони и вход через Google и Apple. Включить и выключить режим можно в любой момент: Ещё → Настройки → Приватность.
От чего это не защищает
Если злоумышленник захватит сервер целиком вместе с ключом шифрования, он сможет прочитать почту обычных аккаунтов. Скрытый режим защищает и в этом случае: почты в нём нет.
Удаление
Аккаунт и все данные удаляются в приложении (Ещё → Настройки → Удалить аккаунт) или на странице удаления аккаунта. Из резервных копий данные исчезают в течение 30 дней. Подробнее о том, какие данные мы обрабатываем, — в политике конфиденциальности.