Own Ledger — Privacy Policy

Last updated: 14 October 2026

Own Ledger ("the app", "we") is a personal finance tracker. This policy explains what data the app handles and how. The short version: your financial data stays on your device and in your own cloud — we do not run servers that store your ledger, and we never sell it. Optional services are used only for the functions described below.

1. Who we are

Own Ledger is developed and operated by DRAVEX LLC. For any privacy question, contact us at: dravexllcgroup@gmail.com.

2. What data the app handles

• Your finance data (transactions, categories, accounts, budgets, goals, notes and receipt files you attach) — stored encrypted locally on supported iOS and Android devices. Web browser storage is not encrypted by the app. We never receive it.
• Optional cloud backup — if you enable backup, the app can save a backup to a private folder in your own Google Drive (the hidden appDataFolder). Only the app can read that folder; the app cannot see your other Drive files. The backup lives in your Google account, not on our servers. Before upload, the ledger and attached files are encrypted on your device before upload with XChaCha20-Poly1305. To support automatic restore on another device, a separate recovery credential is stored in the same private Drive app folder. We do not receive or store the backup or its recovery credential on our servers.
• Optional Google account info — no account is required to use the app. If you choose to connect Google Drive, we use your email, name, profile picture and Google account identifier to show which Drive is connected and access your private backup folder. This is processed on your device; we do not store it on our servers.
• Optional AI import key — if you paste your own Anthropic API key to help parse bank statements, it is stored locally (encrypted on supported iOS/Android), excluded from manual and Drive backups, and sent directly from your device to Anthropic only when you run an AI-assisted import. Each request sends the exact preview you approve: headers and up to three shortened, partially redacted rows, at most 16 KiB. Review the preview for remaining personal information. It never reaches us.
• Optional usage counters — disabled by default, stored only on your device for 90 days. They contain daily counts of predefined actions, without amounts, descriptions or identifiers. They are not sent automatically; exporting requires a separate action. Disabling counters deletes them.
• Reminders — daily reminder notifications are scheduled locally on your device. No notification data leaves the device.
• Optional subscriptions — when paid features are enabled, RevenueCat receives a pseudonymous app user identifier. It is anonymous by default and may be derived on-device from your Google account ID if you connect Google Drive, together with purchase history, subscription status and basic technical information required to validate and restore purchases. Your raw Google ID, email, ledger, transactions and receipt files are not sent to RevenueCat.

Optional Google Analytics (from version 1.0.1)

Google Analytics for Firebase is disabled by default and uses a separate opt-in in Settings → Data. Enabling local usage counters does not enable Google Analytics. If you opt in, predefined app and subscription interactions, basic device/app information, approximate location derived by Google from network information, and a pseudonymous app installation identifier are processed by Google and shown in our analytics reports. Your ledger, transaction amounts, account/category names, notes, files, Google email and raw Google account ID are not sent to Analytics. We disable advertising identifiers and personalized advertising. Subscription entitlement changes and restored access are not recorded as paid revenue. With your Analytics consent, the Firebase app installation identifier is also shared with RevenueCat to connect subscription lifecycle events with app analytics. Turning Analytics off clears this association for future events.

Turning Analytics off stops collection and resets the local analytics identifier. It does not delete reports already sent to Google. Previously collected information remains subject to the configured Google Analytics retention settings; aggregated reports may remain longer. Google's Privacy Policy applies. Contact us with privacy requests at the address above.

3. What we do NOT do

• We do not run a backend that stores your financial data.
• We do not sell or rent your data.
• We do not display third-party ads in the app or enable personalized advertising. Optional product analytics is described above.

4. Third-party services

• Google Sign-In & Google Drive — used only when you choose to connect your personal backup. Governed by Google's Privacy Policy (policies.google.com/privacy).
• Anthropic — only if you opt in with your own API key for AI-assisted import. Governed by Anthropic's policies (anthropic.com/legal/privacy).
• RevenueCat — only when subscriptions are configured, to validate purchases and subscription access. Governed by RevenueCat's Privacy Policy (revenuecat.com/privacy-policy).

5. Permissions

• Internet — for optional Google Drive backup, purchases, optional Anthropic import and Google Analytics when you enable it.
• Notifications — to send the reminders you enable.
• Google Drive (app data scope) — access limited to the app's own hidden folder.

6. Deleting your data

• Settings → Data → Clear all local data removes the ledger, attachments, local recovery copies, keys and local preferences, and disconnects Google. Uninstall behavior may depend on operating-system backups.
• You can disconnect Google Drive at any time in Settings → Google Drive.
• Settings → Data offers a separate confirmed action to delete all app backups in the connected Google Drive. Clearing local data does not delete cloud backups or cancel a store subscription. You can also revoke the app's access at myaccount.google.com/permissions.
• We do not operate servers that hold your ledger. If subscriptions are enabled, you may request deletion of the pseudonymous RevenueCat customer record by emailing dravexllcgroup@gmail.com.

7. Children

Own Ledger is not directed to children under 13 and we do not knowingly collect data from them.

8. Changes

If this policy changes, we will update the date above and post the new version at this URL.

Own Ledger — Политика конфиденциальности

Обновлено: 14 октября 2026

Own Ledger («приложение», «мы») — личный трекер финансов. Кратко: твои финансовые данные остаются на твоём устройстве и в твоём облаке — у нас нет серверов, которые хранят твой журнал, и мы никогда его не продаём. Опциональные сервисы используются только для описанных ниже функций.

1. Кто мы

Own Ledger разрабатывает DRAVEX LLC. По вопросам конфиденциальности пиши: dravexllcgroup@gmail.com.

2. Какие данные обрабатывает приложение

• Твои финансовые данные (операции, категории, счета, бюджеты, цели, заметки и прикреплённые файлы чеков) — хранятся локально в зашифрованном виде на поддерживаемых iOS и Android устройствах. Хранилище веб-браузера приложение не шифрует. Мы их не получаем.
• Опциональный облачный бэкап — если ты включил резервное копирование, приложение может сохранять копию в приватную папку твоего Google Drive (скрытый appDataFolder). Доступ к этой папке есть только у приложения; другие твои файлы в Drive оно не видит. Бэкап лежит в твоём аккаунте Google, не на наших серверах. Перед загрузкой журнал и прикреплённые файлы шифруются на устройстве до отправки с помощью XChaCha20-Poly1305. Для автоматического восстановления на другом устройстве отдельный recovery credential хранится в той же закрытой папке приложения в Drive. Мы не получаем и не храним бэкап или его recovery credential на своих серверах.
• Опциональные данные Google-аккаунта — для работы приложения аккаунт не нужен. Если ты сам подключаешь Google Drive, email, имя, фото профиля и Google ID используются на устройстве, чтобы показать подключённый Drive и получить доступ к приватной папке бэкапа. На наших серверах эти данные не хранятся.
• Опциональный ключ AI-импорта — если ты вставляешь свой ключ Anthropic для разбора выписок, он хранится локально (с шифрованием на поддерживаемых iOS/Android), не включается в ручные и Drive-бэкапы и отправляется напрямую с устройства в Anthropic только при AI-импорте. Каждый запрос передаёт подтверждённый тобой предпросмотр: заголовки и до трёх сокращённых строк с частичным скрытием персональных данных, до 16 КиБ. Проверь текст на оставшиеся личные сведения. К нам он не попадает.
• Опциональные счётчики использования — выключены по умолчанию, хранятся только на устройстве за 90 дней. Содержат дневные количества заранее определённых действий без сумм, описаний и идентификаторов. Автоматически не отправляются; экспорт требует отдельного действия. Выключение удаляет счётчики.
• Напоминания — ежедневные уведомления планируются локально на устройстве. Никакие данные уведомлений не уходят с устройства.
• Опциональные подписки — когда платные функции включены, RevenueCat получает псевдонимный идентификатор. По умолчанию он анонимный, а после добровольного подключения Drive может вычисляться на устройстве из Google ID. RevenueCat также получает историю покупок, статус подписки и базовую техническую информацию для проверки и восстановления покупки. Исходный Google ID, email, финансовый журнал, операции и чеки в RevenueCat не передаются.

Опциональная Google Analytics (с версии 1.0.1)

Google Analytics for Firebase выключена по умолчанию и включается отдельным согласием в Настройки → Данные. Локальные счётчики её не включают. После согласия Google получает заранее определённые действия в приложении и с подпиской, технические сведения о приложении и устройстве, приблизительное местоположение на основе сетевых данных и псевдонимный идентификатор установки. Эти сведения доступны нам в отчётах. Журнал, суммы операций, названия счетов и категорий, заметки, файлы, email и исходный Google ID в Analytics не передаются. Рекламные идентификаторы и персонализация рекламы отключены. Активация доступа и восстановление подписки не записываются как оплаченная выручка. При согласии на аналитику идентификатор установки Firebase также передаётся RevenueCat для сопоставления событий жизненного цикла подписки с аналитикой приложения. Выключение аналитики убирает эту связь для будущих событий.

Выключение прекращает сбор и сбрасывает локальный идентификатор аналитики, но не удаляет ранее отправленные отчёты. Ранее собранные сведения хранятся согласно настройкам срока хранения Google Analytics; агрегированные отчёты могут храниться дольше. Применяется политика Google. По вопросам конфиденциальности можно обратиться по адресу выше.

3. Чего мы НЕ делаем

• Не держим бэкенд, который хранит твои финансовые данные.
• Не продаём и не сдаём твои данные.
• Не показываем стороннюю рекламу и не используем персонализированную рекламу. Опциональная аналитика описана выше.

4. Сторонние сервисы

• Google Sign-In и Google Drive — только если ты подключаешь личный бэкап. Регулируется политикой Google (policies.google.com/privacy).
• Anthropic — только если ты сам подключил свой ключ для AI-импорта. Регулируется политикой Anthropic (anthropic.com/legal/privacy).
• RevenueCat — только когда настроены подписки, для проверки покупок и доступа к платным функциям. Регулируется политикой RevenueCat (revenuecat.com/privacy-policy).

5. Разрешения

• Интернет — опциональный бэкап в Drive, покупки, опциональный вызов Anthropic и Google Analytics после включения.
• Уведомления — чтобы слать напоминания, которые ты включил.
• Google Drive (app data scope) — доступ только к собственной скрытой папке приложения.

6. Удаление данных

• Настройки → Данные → Удалить все локальные данные очищает журнал, вложения, локальные копии восстановления, ключи и настройки, а также отключает Google. Результат удаления самого приложения может зависеть от резервного копирования операционной системы.
• Отключить Google Drive можно в любой момент: Настройки → Google Drive.
• В Настройки → Данные есть отдельное действие с подтверждением для удаления всех копий приложения в подключённом Google Drive. Локальная очистка не удаляет облачные копии и не отменяет подписку магазина. Также можно отозвать доступ приложения на myaccount.google.com/permissions.
• У нас нет серверов, которые хранят твой финансовый журнал. Если подписки включены, удалить псевдонимную запись пользователя RevenueCat можно по запросу на dravexllcgroup@gmail.com.

7. Дети

Own Ledger не предназначен для детей младше 13 лет, и мы сознательно не собираем их данные.

8. Изменения

При изменении политики мы обновим дату выше и опубликуем новую версию по этому адресу.