Как пазим парите и данните ти

1.При пренос и при съхранение

Накратко: всичко пътува криптирано, съхранява се криптирано, а ключът винаги стои далеч от данните.

• При пренос. Всяка връзка между устройството ти и нашия сървър е криптирана (TLS). Браузърът получава защитни заглавки, които позволяват в страницата да се зарежда само наш код.
• При съхранение. Личните полета — основания и търговци в транзакциите, имена на сметки, дългове и цели — се криптират поотделно, а не само дискът като цяло. Копие на базата данни в чужди ръце без ключа е нечетим низ от символи.
• Ключът отделно. Ключът за криптиране винаги се пази на друго място, а не при резервните копия на базата данни. Самите копия също са криптирани.
• Сървър в Европейския съюз. Данните са в център за данни в Германия. До базата данни се стига само от собствения сървър на приложението, който работи без администраторски права; от интернет тя е затворена.

2.Твоят профил

Накратко: парола, която никой не може да прочете, втори фактор и всяко устройство пред очите ти, със собствен изход.

• Парола. Пазим само еднопосочния ѝ отпечатък (bcrypt). Дори ние не можем да научим паролата ти, само да я проверим.
• Вход в две стъпки. Включи в Настройки еднократните кодове от приложение за удостоверяване (TOTP) и само с парола никой вече не влиза.
• Ново устройство иска потвърждение. За вход от непознато устройство е нужен код, който идва на имейла ти.
• Сесии по устройства. В Настройки виждаш всички устройства с активен вход и можеш да излезеш от всяко с едно кликване.
• На телефона — Face ID. Приложението за iPhone иска Face ID или Touch ID след пауза, така че който вземе телефона ти, не взема и парите ти.
• Без налучкване. Входът, регистрацията и смяната на паролата имат ограничен брой опити и нито едно съобщение за грешка не издава дали даден имейл е регистриран.

3.Достъп до банката само за четене

Накратко: паролата ти за банката остава в банката ти, достъпът е само за четене и го оттегляш с едно кликване.

• Лицензиран път. Връзката с банката работи чрез лицензиран доставчик на услуги по предоставяне на информация за сметки (PSD2) — същия път, който собствената ти банка предлага на трети страни.
• Само четене. Получаваме списъка с транзакции и салдото. Плащания, преводи или промени в банката ти са извън нашия обхват: самото разрешение за достъп не дава такова право.
• Паролата ти за банката остава в банката ти. Даваш съгласието в собствената си банка със собствените си средства, точно както при потвърждаване на плащане.
• Срок и оттегляне. Съгласието важи до 180 дни; след това банката те моли да го потвърдиш отново. Можеш да го оттеглиш по всяко време с едно кликване тук или в банката си.
• Синхронизацията следва плана ти. Ако абонаментът приключи, изтеглянето на нови данни спира веднага. Вече изтеглените транзакции остават твои.

4.Без тракери, изтриване с едно кликване

Накратко: без анализи и рекламни тракери на трети страни, данните ти никога не се продават и можеш да изтриеш всичко с едно кликване.

• Без тракери на трети страни. Без Google Analytics, без Meta Pixel, без рекламни инструменти. Броим посещенията сами, на собствения си сървър, без бисквитки, и тази статистика не съдържа никакви твои финансови данни.
• Никога не се продават, без реклами. Данните ти не са наш продукт.
• Изтриване с едно кликване. При изтриване на профила се премахва всичко, което пазим за теб: транзакции, сметки, цели и връзки с банки.
• Всяко действие на администратор се записва.
• Данните на картата ти отиват директно при партньора за плащания. Плащанията се обработват от лицензиран партньор за плащания; до нас стига само потвърждение, че плащането е извършено.

5.В твоите ръце

Накратко: всичко, което въвеждаш, можеш да вземеш обратно — като копие или като изтриване, по всяко време и без въпроси.

• Експорт. В Настройки с едно кликване получаваш пълно копие на данните си в отворен формат (JSON): цели, категории, транзакции, дългове и лимити.
• Изтриване с едно кликване. Изтриването на профила в Настройки премахва всичко наведнъж и завинаги: без обаждания, без имейли, без чакане. Резервните копия следват графика, описан в политиката за поверителност.
• Безплатен път без банка. Ако предпочиташ да не свързваш банка, всичко работи с ръчно въвеждане и импорт на извлечения, без срок и без такса.

6.Сравнение с най-големите приложения за бюджет

Накратко: стандартът в бранша е нашата отправна точка, а на няколко места отиваме по-далеч.

Най-големите приложения за бюджет в света, с милиони потребители, пазят данните по една и съща рецепта: криптиране при пренос и на диска, достъп до банката само за четене чрез лицензиран посредник, вход в две стъпки и изтриване при поискване. Нито едно от тях не криптира данните така, че самото приложение да не може да ги чете, защото тогава нямаше да работят нито синхронизацията с банката, нито отчетите, нито възстановяването на паролата. Таблицата показва къде сме на същото ниво и къде отиваме по-далеч.

7.Ако откриеш уязвимост

Пиши на support@groworth.xyz с „сигурност“ в темата. Отговаряме на всеки, който съобщи добросъвестно, и му казваме кога поправката е публикувана.

• Администратор на лични данни: SIA Appmeway, рег. № 40103588483, Mēness iela 16-8, Рига, LV-1013, Латвия
• Повече за обработката на данни: Политика за поверителност