Ваші картки лишаються в телефоні.

Cardfold — застосунок для карток лояльності для Android; він опублікований у Google Play. За ним немає компанії з відділом підтримки: його пише й веде один розробник, і адреса внизу сторінки веде напряму до нього.

Усе, що ви вносите в картку, лишається у сховищі телефона: назва магазину, номер і формат коду, колір або обрана обкладинка, категорія, термін дії, якщо ви його задали, і — якщо ви прив’язали картку до магазину — пара координат. Поруч лежать налаштування: мова, схема, тема.

• Дані карток і налаштування — локальне сховище пристрою, закрите для інших застосунків

• Обкладинки з фото — тека самого застосунку, яку інші застосунки не читають

• І більше нічого — копій ваших карток ніде не робиться, а видалення застосунку забирає їх із собою

• Жодних акаунтів — реєструватися не треба, пошту ніхто не питає, профілю немає

• Жодної реклами — ні рекламного SDK; рекламний ідентифікатор не збирається, і ніщо не використовується для персоналізації реклами

• Жодної передачі карток — ваші картки не продаються, не здаються і нікому не передаються в жодному вигляді; у статистику вони теж не потрапляють

• Жодного стеження у фоні — коли застосунок закритий, він не стежить ні за геопозицією, ні за вашими діями; може спрацювати лише локальне нагадування, про яке ви попросили самі, і піти вже зібрана статистика, коли з’явиться зв’язок

Android питає кожен із них окремо, а застосунок просить лише тоді, коли дозвіл справді потрібен. Відмовите — решта працюватиме далі.

• Камера — читає штрихкод, коли ви додаєте картку. Кадр не зберігається й нікуди не надсилається. Без дозволу номер вводиться вручну.

• Фотографії — запитуються лише тоді, коли ви обираєте обкладинку. Обране фото копіюється в теку застосунку; більше нічого в галереї він не бачить.

• Геопозиція — запитується, тільки якщо ви прив’язуєте картку до місця. Замір робиться, поки відкритий список карток, щоб підняти нагору картку магазину, в якому ви стоїте. Збережені координати не залишають пристрій.

• Сповіщення — потрібні для нагадування про картку, у якої спливає термін. Нагадування планує сам телефон — ні push-сервера, ні токена пристрою немає.

• Відбиток або обличчя — потрібні для замка на застосунок. Перевірку робить операційна система й повідомляє застосунку «так» або «ні»; вашої біометрії він не бачить.

Чотири моменти, і всі їх можна перелічити:

• Мапа — екран з мапою — той, де ви обираєте місце, і шторка картки, у якої місце вже є, — завантажує бібліотеку Leaflet з cdnjs.cloudflare.com і тайли з tile.openstreetmap.org. Ці сервери бачать вашу IP-адресу й той шматок мапи, який малюється, — як будь-який сайт. Ваших карток вони не отримують, а запити припиняються, коли ви йдете з екрана.

• Покупка — під час кожного запуску застосунок питає в Google Play, чи є покупка Pro: так вона повертається сама після перевстановлення, а платіж, перерваний на півдорозі, доводиться до кінця. Сама покупка йде там же. Google приймає платіж і повідомляє застосунку одне: покупка є чи немає. Платіжних даних застосунок не бачить.

• Сторінка в магазині — кнопка відгуку відкриває Google Play, де діють уже їхні правила. Застосунок може й сам запропонувати оцінити його — системним вікном Google Play поверх екрана; ні оцінку, ні відмову магазин йому не повідомляє.

• Статистика — статистика використання та звіти про збої йдуть у Google Firebase — сервіс Google; що саме в них є, описано в наступному розділі. Без зв’язку вони чекають у телефоні й ідуть, коли він з’явиться.

Це весь список. Додавання, показ, редагування та сортування карток працюють у режимі польоту.

Застосунок використовує два сервіси Google Firebase — щоб знаходити й виправляти збої, а наступну версію будувати навколо того, чим справді користуються. Google обробляє ці дані за нашим дорученням, на умовах Google Analytics і Firebase. Це частина роботи застосунку, і вимкнути її всередині нього не можна.

• Google Analytics for Firebase — екрани, які ви відкриваєте, і кілька дій: додавання картки (відсканована вона чи введена вручну і формат штрихкоду — але не номер), відкриття екрана Pro, експорт та імпорт резервної копії, покупка Pro. Разом із ними — версія застосунку, мова, модель пристрою, версія Android, випадковий ідентифікатор, що створюється під час встановлення, і країна чи регіон, які Google визначає за IP-адресою; саму адресу Google Analytics не зберігає.

• Firebase Crashlytics — коли застосунок падає або натрапляє на серйозну помилку: місце в коді, стан застосунку в цей момент, модель пристрою, версія Android, вільна пам’ять і місце на диску, випадковий ідентифікатор встановлення.

• Не надсилається ніколи — назви магазинів, номери карток і штрихкоди, обкладинки, збережені місця, категорії, терміни дії, ваша резервна копія, ім’я чи пошта, рекламний ідентифікатор.

• Скільки зберігається — події статистики — до 14 місяців, звіти про збої — 90 днів; потім Google їх видаляє.

• Навіщо — щоб застосунок працював і ставав кращим — це наш законний інтерес. Для реклами ці дані не використовуються, не продаються й не поєднуються з іншими даними про вас.

Експорт записує картки, категорії та обкладинки в один JSON-файл і віддає його системному вікну «Поділитися». Відтоді це звичайний документ: куди він потрапить і хто зможе його відкрити — вирішуєте тільки ви. Файл не зашифрований, тож ставтеся до нього як до фотографії своїх карток.

Cardfold Pro — разова покупка, яку проводить Google Play. Сам застосунок зберігає один прапорець: розблоковано чи ні. Відновлення на іншому пристрої — питання до магазину, а не до нас: запису про те, хто що купив, у нас немає, бо немає й «нас» у вигляді сервера.

Видалення застосунку забирає картки, обкладинки й налаштування разом із ним. Копії ваших карток більше ніде немає. Уже надіслані статистика та звіти про збої прив’язані лише до випадкового ідентифікатора, а не до вас, тому виокремити ваші серед інших не можна; Google видаляє їх після спливу строку вище, а після перевстановлення ідентифікатор буде новим. Просити нас щось видалити не треба. Єдине, що переживає видалення, — покупка Pro: вона належить акаунту Google, який її зробив, і повертається при відновленні.

Якщо політика зміниться, разом з нею зміниться дата вгорі сторінки, а все, що справді вас стосується, потрапить в опис оновлення в Google Play. Питання про приватність — і про все інше в застосунку — можна поставити за адресою нижче.