Что хранится, чего нет и как забрать всё обратно. Написано по коду, а не по шаблону, — каждую фразу здесь можно сверить с файлом.
2026-10-12
4 Envelopes — сервис личного бюджета: четыре недельных конверта, счета в нескольких валютах, плановые и разовые платежи, цели. Его ведёт человек, который его написал, и адрес по любому вопросу с этой страницы — вопрос, исправление, просьба что-то удалить — info@4envelopes.app.
Другого способа связаться нет. Отвечает человек, а не очередь.
Ваш адрес почты, имя, которое вы указали (или часть адреса до @, если не указали), язык, на котором вы читаете, валюта, в которой считаются итоги, и порядок, в котором вам удобны списки.
Деньги, которые вы вводите сами: счета и их остатки, платежи и поступления, переводы, плановые платежи, цели и заметки к ним. В этом весь смысл сервиса, и это хранится, пока вы это не удалите.
Пароль не хранится никогда. Хранится его scrypt-хеш, из которого пароль обратно не прочитать. При входе через Google или Apple пароля не хранится вовсе — мы его не видим. Открытая сессия — это случайный токен; ссылки, отправленные письмом, лежат в виде SHA-256-хеша, так что копия той таблицы — список хешей, а не набор работающих ссылок.
Сфотографированный чек распознаётся на устройстве. Фотография никогда не загружается, не хранится и нами не видна — уходит только распознанный текст, и только чтобы стать черновиком платежа, который подтверждаете вы.
Вставленное сообщение банка читается и забывается в том же запросе. Его не держит ни одна колонка и не несёт ни одна строка журнала. Уведомление банка называет магазин, карту и остаток, и ничто из этого нам не принадлежит.
Голосовой ввод необязателен и работает только в приложении на телефоне, только после нажатия на микрофон и только пока это окно открыто. Системный сервис распознавания речи на телефоне превращает сказанное в текст, и нам отправляется только этот текст — чтобы сделать из него черновик платежа, который вы подтверждаете сами. Текст читается и забывается в том же запросе: его не хранит ни одна колонка и не содержит ни одна строка журнала. Саму запись мы не получаем никогда.
Где работает сервис распознавания, решает платформа, а не мы. На iPhone распознавание Apple остаётся на телефоне для языков, которые iPhone умеет распознавать сам; для остальных Apple обрабатывает запись на своих серверах по своей политике конфиденциальности. На Android системный сервис распознавания — почти на всех телефонах это сервис Google — может обрабатывать запись на серверах Google по политике конфиденциальности Google.
Чтобы ему было проще их узнать, на iPhone сервис распознавания вместе с записью получает названия ваших счетов. Больше ничего о ваших деньгах.
Бот необязателен. Ничего не попадает в Telegram, пока вы сами не подключите его в настройках приложения на телефоне.
После подключения всё, что вы пишете боту, и его ответы — записи, остатки, конверты, последние платежи — проходят через серверы Telegram, и на них распространяется собственная политика конфиденциальности Telegram. Бот отвечает только в личном чате.
Мы храним номер чата, связанный с вашей учётной записью, выбранные для ввода счёт и валюту и — пока вы не подтвердите, не отмените или не замените запись — сумму, примечание и дату из вашей последней строки. Текст ваших сообщений не сохраняется. Одноразовая ссылка для подключения чата хранится в виде хеша и действует пятнадцать минут.
Отключение — /unlink в чате или карточка Telegram в настройках — удаляет связь. Удаление учётной записи удаляет её вместе со всем остальным.
С нашей стороны — ни аналитики, ни слежения, ни рекламных идентификаторов, ни профилирования. Не «обезличенная» аналитика — никакой вообще. Единственные диагностические данные, которые покидают телефон, — данные ML Kit на Android, и уходят они Google, а не нам — см. выше.
Ни геопозиции, ни контактов, ни фотоплёнки, и никакой идентификатор устройства к нам не попадает. Камера используется, только когда вы наводите её на чек.
Этот сайт не ставит куки и не делает ни одного обращения к третьим сторонам — ни шрифтов, ни скриптов, ни счётчиков. Приложение держит токен вашей сессии в браузере или на телефоне — этим вы и остаётесь внутри, — и больше ничего.
Всё хранится, пока вы это не удалите. Само по себе ничего не истекает: бюджет тем ценнее, чем дольше он ведётся.
Удаление аккаунта убирает всё разом — счета, платежи, плановые платежи, цели, настройки, сессии и запись о подписке — и отменить это нельзя. Оно в настройках, и в приложении, и в браузере, и работает даже когда пробный период закончился.
Две вещи переживают удаление и не в нашей власти: то, что Apple или Google хранит о покупке, и то, что ваш почтовый провайдер сохранил из отправленных нами писем. Подписку отменяют в магазине — удаление аккаунта здесь её не отменяет.
Выгрузки данных пока нет. Если перед удалением нужна копия ваших записей, напишите — пришлём.
Эта страница меняется, когда меняется код, и дата вверху говорит, когда это было в последний раз. Архива прежних версий нет; история лежит в репозитории, из которого собирается этот сайт.