Privacy policy
Updated on 20 October 2026
WebWallet is a personal noncommercial project for tracking finances, investments and taxes. This page explains what data we keep, why, where and for how long, and what you can do with it.
What data we keep
- Account data: email address, first name, last name (if given), language and base currency. The password is stored only as a cryptographic hash.
- If you sign in with Google: the id of your Google account, its email address and name. We never see your Google password.
- Finance data you enter or import: accounts, transactions, categories, budget, goals, investments, tax settings.
- Your Monobank token, if you connect the bank. It is stored encrypted and used only to load your transactions.
- For two-factor authentication: the encrypted secret of the authenticator app and the hashes of the recovery codes.
- Technical data: the IP address at sign-in is kept in server memory for a while to stop password guessing; server logs contain the time and address of requests.
Why
The data is used only to run the service: show your accounts and reports, calculate the budget, taxes and goals, send service emails (email confirmation, password reset, account deletion) and protect the account.
We do not sell data, show ads, use analytics or third-party trackers, or give data to anyone for their own purposes.
Where the data is stored
The server and the database run in Google Cloud in the europe-central2 region (Warsaw, Poland). Service emails are sent with Amazon Simple Email Service in a European Union region.
Data we receive from Google
If you sign in with Google or connect Google in the settings, we ask only for the basic openid, email and profile permissions. From Google we receive the id of your Google account, your email address, whether it is verified, and your first and last name.
This data is used only to create your WebWallet account or sign you in to it, to find an account with the same verified email, and to show the connected email in the settings. We get no access to Gmail, Google Drive, contacts or any other data of your Google account.
We do not sell data received from Google, do not use it for advertising or to train artificial intelligence models, and do not give it to third parties except where the law requires. It is stored in our database (Google Cloud, Poland) and deleted when you disconnect Google in the settings or delete your account.
WebWallet’s use and transfer of information received from Google APIs adheres to the Google API Services User Data Policy, including the Limited Use requirements.
Third-party services
- Monobank — with your token, to load the transactions of your accounts.
- Google — for sign-in with Google, only if you use it.
- The National Bank of Ukraine — official exchange rates (no data of yours).
- Market data providers — prices and dividends of securities by ticker (no data of yours).
- Amazon Simple Email Service — your email address and the text of a service email.
Cookies and browser storage
We use only strictly necessary cookies: refresh_token keeps you signed in (up to 30 days), trusted_device marks a device where the 2FA code is not asked (up to 90 days), oauth_state lives 10 minutes during a Google sign-in. The language, the theme and similar preferences are kept in your browser storage. There are no advertising or analytics cookies.
How long the data is kept
The data is kept while the account exists. After you ask to delete the account, it is blocked and deleted with all its data after 14 days. Database backups are kept for up to 14 days, so the data leaves them within that time too.
Your rights
- Get a copy of all your data: Settings → Data → Export data.
- Correct your data in the settings and the pages of the app.
- Delete all finance data ("Start over") or the whole account: Settings → Data.
- Disconnect the bank or Google sign-in at any time.
- For any question about your data write to support@andrew-dev.org.
Security
The site works only over HTTPS. Passwords are stored as hashes, bank tokens and 2FA secrets encrypted. You can turn on two-factor authentication in the security settings.
Changes
If this policy changes, we will update the date at the top, and tell you about significant changes by email.
Політика конфіденційності
Оновлено 20 жовтня 2026 року
WebWallet — особистий некомерційний проєкт для обліку фінансів, інвестицій і податків. Тут пояснено, які дані ми зберігаємо, навіщо, де і як довго, і що ви можете з ними зробити.
Які дані ми зберігаємо
- Дані акаунта: адреса пошти, ім’я, прізвище (якщо вказали), мова, базова валюта. Пароль зберігається лише як криптографічний хеш.
- Якщо ви входите через Google — ідентифікатор вашого акаунта Google, його адресу пошти та ім’я. Пароля від Google ми не бачимо.
- Фінансові дані, які ви вносите або імпортуєте: рахунки, операції, категорії, бюджет, цілі, інвестиції, податкові налаштування.
- Токен Monobank, якщо ви підключили банк. Він зберігається зашифрованим і використовується лише для завантаження ваших операцій.
- Для двофакторної автентифікації — зашифрований секрет застосунку-автентифікатора та хеші резервних кодів.
- Технічні дані: IP-адреса під час входу тимчасово зберігається в пам’яті сервера для захисту від підбору пароля; журнали сервера містять час і адресу запитів.
Навіщо
Дані використовуються лише для того, щоб сервіс працював: показувати ваші рахунки й звіти, рахувати бюджет, податки й цілі, надсилати службові листи (підтвердження пошти, скидання пароля, видалення акаунта) і захищати акаунт.
Ми не продаємо дані, не показуємо рекламу, не використовуємо аналітику чи сторонні трекери і не передаємо дані нікому для їхніх власних цілей.
Де зберігаються дані
Сервер і база даних розміщені в Google Cloud у регіоні europe-central2 (Варшава, Польща). Службові листи надсилаються через Amazon Simple Email Service у регіоні Європейського Союзу.
Дані, які ми отримуємо від Google
Якщо ви входите через Google або підключаєте Google у налаштуваннях, ми запитуємо лише базові дозволи openid, email і profile. Від Google ми отримуємо ідентифікатор вашого акаунта Google, адресу пошти, позначку про її підтвердження, ім’я та прізвище.
Ці дані використовуються лише для того, щоб створити ваш акаунт WebWallet або увійти в нього, знайти акаунт із тією самою підтвердженою поштою і показати підключену пошту в налаштуваннях. Ми не отримуємо доступу до Gmail, Google Диска, контактів чи інших даних вашого акаунта Google.
Ми не продаємо дані від Google, не використовуємо їх для реклами чи навчання моделей штучного інтелекту і не передаємо їх третім особам, окрім випадків, коли цього вимагає закон. Вони зберігаються в нашій базі даних (Google Cloud, Польща) і видаляються, коли ви відключаєте Google у налаштуваннях або видаляєте акаунт.
Використання й передача WebWallet інформації, отриманої від API Google, відповідають Правилам використання даних користувачів сервісів Google API (Google API Services User Data Policy), зокрема вимогам щодо обмеженого використання (Limited Use).
Сторонні сервіси
- Monobank — за вашим токеном, щоб отримувати операції ваших рахунків.
- Google — для входу через Google, лише якщо ви ним користуєтеся.
- Національний банк України — офіційні курси валют (без ваших даних).
- Постачальники ринкових даних — ціни й дивіденди цінних паперів за тікерами (без ваших даних).
- Amazon Simple Email Service — адреса пошти й текст службового листа.
Cookie та сховище браузера
Ми використовуємо лише технічно необхідні cookie: refresh_token — щоб ви залишалися в акаунті (до 30 днів), trusted_device — довірений пристрій, на якому не питаємо код 2FA (до 90 днів), oauth_state — на 10 хвилин під час входу через Google. Мова, тема й подібні налаштування зберігаються в сховищі вашого браузера. Рекламних чи аналітичних cookie немає.
Як довго зберігаються дані
Дані зберігаються, доки існує акаунт. Після запиту на видалення акаунт блокується, а через 14 днів видаляється разом з усіма даними. Резервні копії бази даних зберігаються до 14 днів, тож за цей час дані зникають і з них.
Ваші права
- Отримати копію всіх своїх даних: Налаштування → Дані → Експорт даних.
- Виправити дані в налаштуваннях і на сторінках застосунку.
- Видалити всі фінансові дані («Почати спочатку») або весь акаунт: Налаштування → Дані.
- Відключити банк чи вхід через Google у будь-який момент.
- З будь-яким питанням щодо ваших даних пишіть на support@andrew-dev.org.
Безпека
Сайт працює лише через HTTPS. Паролі зберігаються як хеші, токени банків і секрети 2FA — зашифрованими. Ви можете увімкнути двофакторну автентифікацію в налаштуваннях безпеки.
Зміни політики
Якщо ця політика зміниться, ми оновимо дату вгорі сторінки, а про суттєві зміни повідомимо листом.