Read in English ↓

1. Data yang TIDAK kami kumpulkan

Berikut ini tidak pernah meninggalkan perangkatmu:

• Seluruh catatan keuangan: transaksi, kategori, anggaran, saldo, nama buku kas (ledger), komposisi kas, portofolio investasi, hutang & piutang.
• Foto yang kamu lampirkan ke catatan, termasuk foto struk yang kamu pindai.
• Suaramu saat mencatat dengan suara. Rekamannya tidak disimpan; yang dipakai hanya teks hasil pengenalannya, untuk mengisi form pencatatan.
• Kata sandi berkas cadangan dan passphrase vault. Berkas cadangan sendiri hanya keluar dari perangkat bila kamu mengirimnya sendiri, atau lewat Vault Google Drive (§5) dalam bentuk terenkripsi.
• PIN aplikasi dan data biometrik. Biometrik diverifikasi oleh sistem operasi; aplikasi hanya menerima jawaban berhasil/gagal.
• Lokasi, kontak, kalender, SMS, dan riwayat panggilan. Aplikasi tidak pernah meminta izin untuk itu. Galeri foto juga tidak dibaca: aplikasi hanya menerima satu foto yang kamu pilih sendiri lewat pemilih foto atau kamera bawaan sistem.

2. Izin yang diminta aplikasi

Beberapa izin teknis ditambahkan oleh pustaka yang dipakai aplikasi dan tidak mengakses data pribadi: ACCESS_NETWORK_STATE, WAKE_LOCK, VIBRATE, FOREGROUND_SERVICE, dan READ_GSERVICES (layanan Google Play).

Notifikasi dijadwalkan dan dikirim di dalam perangkat. Tidak ada push dari server kami.

3. Pindai struk & catat dengan suara

Kedua fitur ini membantumu mengisi form pencatatan. Hasilnya selalu berupa usulan yang kamu periksa dan simpan sendiri; aplikasi tidak pernah mencatat apa pun tanpa kamu menekan Simpan.

• Pindai struk memakai Google ML Kit Text Recognition dengan model yang dipasang di dalam aplikasi. Gambar struk dibaca di perangkatmu dan tidak dikirim ke kami maupun ke Google. Foto struk disimpan di perangkat sebagai lampiran catatan, dan dihapus bila tidak ada teks yang terbaca atau bila kamu tidak menyimpan catatannya.
• Catat dengan suara memakai pengenal ucapan di perangkat milik Android. Aplikasi memeriksa lebih dulu apakah pengenalan di perangkat tersedia, dan menolak mendengarkan bila tidak (misalnya di Android versi lama), alih-alih memakai pengenal yang mengirim suara ke server. Rekaman suara tidak disimpan oleh aplikasi.
• Google ML Kit mengirim metrik diagnostik ke Google: informasi perangkat dan aplikasi (model, versi sistem operasi, nama paket, versi aplikasi), ID per-pemasangan yang tidak dimaksudkan untuk mengenali pengguna, latensi, konfigurasi dan ukuran gambar, jenis kejadian, serta kode kesalahan. Isi struk tidak termasuk. Menurut Google, data ini dikirim lewat HTTPS dan tidak diteruskan ke pihak ketiga. Lihat pengungkapan data ML Kit.

4. Data yang dikumpulkan, hanya jika kamu masuk dengan Google

Masuk dengan akun Google bersifat opsional. Seluruh fitur pencatatan dapat dipakai tanpa akun. Akun hanya dibutuhkan untuk membeli Nodira Premium dan memulihkan pembelian di perangkat baru.

Jika, dan hanya jika, kamu masuk, data berikut disimpan di Google Firebase (Firestore):

Tidak ada satu pun angka keuangan yang ikut. Yang tersimpan di sana hanya identitas akun, persetujuan, status pembelian, dan hitungan pemakaian di atas.

5. Vault Google Drive (opsional)

Vault menyimpan cadanganmu di Google Drive milikmu sendiri, supaya bisa dipulihkan di HP lain. Fitur ini mati sampai kamu menyalakannya dari halaman Backup & Restore. Cadangan diunggah saat kamu menekan Backup sekarang, dan, bila kamu menyalakan Sinkron otomatis, juga secara otomatis setiap kali ada transaksi baru dan perangkat sedang online.

• Apa yang diunggah: salinan cadangan yang sama isinya dengan berkas cadangan biasa (seluruh catatan keuangan dan foto lampiran dalam batas ukurannya), ditambah ID perangkat acak yang dibuat aplikasi untuk membedakan cadangan dari tiap HP. Semuanya dienkripsi di perangkatmu sebelum diunggah. Kuncinya diturunkan dari passphrase vault memakai Argon2id, tiap berkas punya kuncinya sendiri, dan nama berkas di Drive disamarkan.
• Ke mana: folder Nodira Vault di Google Drive akunmu. Tidak ke server kami.
• Izin yang diminta: drive.file. Dengan izin ini aplikasi hanya bisa melihat dan mengubah berkas yang ia buat sendiri, tidak bisa membaca berkas lain di Google Drive-mu.
• Sinkron otomatis (opsional): agar tidak perlu memasukkan passphrase tiap membuka aplikasi, kunci vault disimpan di penyimpanan aman perangkat ini (Android Keystore), terikat pada akun yang sedang masuk. Kunci itu tidak pernah dikirim ke mana pun; HP lain tetap harus memakai passphrase. Kunci dihapus dari perangkat saat kamu mematikan sinkron otomatis, menekan Kunci, keluar dari akun, atau menghapus semua data.
• Siapa yang bisa membacanya: tanpa passphrase, tidak ada. Google hanya menyimpan data terenkripsi, dan kami tidak menyimpan passphrase-mu serta tidak punya cara memulihkannya. Bila lupa, isi vault tidak bisa dibuka oleh siapa pun, termasuk kami.
• Menghapus & mencabut: tekan Reset vault di aplikasi untuk menghapus seluruh isi vault, atau hapus folder Nodira Vault dari Google Drive kapan saja. Akses aplikasi ke Drive dapat dicabut di pengaturan akun Google.

6. Pembelian

Pembelian diproses sepenuhnya oleh Google Play Billing. Kami tidak pernah menerima, melihat, atau menyimpan nomor kartu maupun data pembayaranmu. Aplikasi hanya menerima tanda dari Google Play bahwa sebuah pembelian sah.

Saat membeli, aplikasi menyertakan penanda akun yang disamarkan (hash dari ID akun Nodira-mu, bukan email atau nama) ke Google Play, supaya pembelian terikat ke akun yang membelinya dan tidak bisa diklaim akun lain di perangkat yang sama.

7. Iklan & analitik

Nodira tidak memuat iklan dan tidak memakai SDK analitik maupun pelaporan kerusakan (tidak ada Google Analytics, Firebase Analytics, Crashlytics, atau sejenisnya). Satu-satunya data pemakaian yang kami simpan adalah jumlah sesi dan tanggal aktif untuk akun yang masuk (§4). Kami tidak merekam apa yang kamu lakukan di dalam aplikasi. Metrik diagnostik ML Kit dijelaskan di §3.

8. Berbagi data dengan pihak ketiga

Kami tidak menjual dan tidak membagikan datamu kepada pihak ketiga untuk tujuan pemasaran. Penyedia layanan yang terlibat hanya:

• Google Firebase (Authentication & Firestore): menyimpan data di §4 sebagai pemroses data atas nama kami.
• Google Play Billing: memproses pembelian.
• Google ML Kit: membaca struk di perangkat; metrik diagnostiknya dijelaskan di §3.
• Google Drive: hanya bila kamu menyalakan vault, menyimpan cadangan terenkripsi di akun Drive-mu sendiri (§5).

Semuanya tunduk pada Kebijakan Privasi Google.

9. Keamanan

• Data di perangkat dapat dikunci dengan PIN dan biometrik.
• Berkas cadangan, termasuk foto yang dilampirkan ke catatan, dienkripsi dengan AES-256-GCM, kuncinya diturunkan dari kata sandimu memakai PBKDF2 200.000 iterasi. Kami tidak menyimpan kata sandi itu dan tidak memiliki cara memulihkannya. Jika kamu lupa, berkas cadangan itu tidak dapat dibuka oleh siapa pun, termasuk kami.
• Cadangan di Vault Google Drive dienkripsi di perangkat sebelum diunggah, dengan kunci dari passphrase vault memakai Argon2id (§5).
• Cadangan otomatis Android ke Google Drive dimatikan, jadi basis data aplikasi tidak disalin ke cloud di luar kendalimu.
• Data yang dikirim ke Firebase berjalan melalui koneksi terenkripsi (HTTPS/TLS).

10. Penyimpanan & penghapusan data

• Data di perangkat tersimpan sampai kamu menghapusnya. Aplikasi menyediakan Hapus semua data di Pengaturan, yang mengosongkan seluruh basis data lokal beserta foto lampiran. Menghapus (uninstall) aplikasi juga menghapusnya, kecuali berkas cadangan yang sudah kamu simpan sendiri.
• Cadangan di Vault Google Drive tersimpan di Drive-mu sampai kamu menekan Reset vault atau menghapus folder Nodira Vault. Menghapus akun Nodira tidak menghapusnya, sebab folder itu milikmu dan kami tidak punya akses ke sana.
• Data akun di Firebase tersimpan selama akunmu ada. Kamu berhak meminta penghapusannya kapan saja; permintaan itu juga menghapus catatan klaim pembelian dan hitungan pemakaian.

11. Hak kamu

Kamu berhak mengakses, memperbaiki, dan menghapus data akunmu, serta menarik persetujuan yang pernah kamu berikan. Pilihan persetujuan (notifikasi, masukan, email) dapat diubah kapan saja dari Pengaturan → Privasi di dalam aplikasi, bahkan saat sedang luring. Izin mikrofon dapat dicabut kapan saja dari pengaturan Android. Untuk permintaan lain, hubungi kami lewat email di atas.

12. Anak-anak

Nodira ditujukan untuk pengguna berusia 18 tahun ke atas dan tidak dirancang untuk anak-anak. Kami tidak dengan sengaja mengumpulkan data dari anak di bawah 13 tahun. Bila kami mengetahui hal itu terjadi, datanya akan kami hapus.

13. Perubahan kebijakan

Bila kebijakan ini berubah secara berarti, versinya dinaikkan dan aplikasi akan menanyakan persetujuanmu kembali saat kamu membukanya. Tanggal berlaku di atas selalu menunjukkan versi terkini.

Perubahan 2.3 (25 September 2026): vault kini bisa mengunggah cadangan secara otomatis tiap ada transaksi baru bila kamu menyalakan Sinkron otomatis; untuk itu kunci vault disimpan di penyimpanan aman perangkat (§5). Menambahkan Reset vault di aplikasi sebagai cara menghapus isi vault (§5, §10).

Perubahan 2.2 (25 September 2026): menambahkan Vault Google Drive opsional (§5): cadangan terenkripsi di perangkat, disimpan di Google Drive milikmu dengan izin drive.file; menyesuaikan ringkasan serta bagian 1, 8, 9, dan 10. Nomor bagian sesudah §4 bergeser satu.

Perubahan 2.1 (24 September 2026): menambahkan pindai struk & catat dengan suara (§3), izin mikrofon, klaim pembelian per akun, dan penanda akun yang disamarkan untuk Google Play; melengkapi daftar data akun dengan ID perangkat acak, jumlah sesi, dan tanggal aktif yang sebelumnya sudah dikirim tetapi belum tercantum di sini.

14. Kontak

Pertanyaan atau permintaan terkait privasi: arileif.soft@gmail.com

1. Data we never collect

The following never leaves your device: all financial records (transactions, categories, budgets, balances, ledger names, cash composition, investment portfolio, debts and receivables); photos you attach to records, including scanned receipts; your voice when recording by voice (the audio is not stored, only the recognised text is used to fill the entry form); backup passwords and your vault passphrase (backup files themselves leave the device only when you send them yourself, or in encrypted form through the Google Drive Vault, §5); your app PIN and biometric data (biometrics are verified by the operating system, and the app only receives a success/failure result); location, contacts, calendar, SMS and call history (the app never requests these permissions). Your photo library is not read either: the app only receives the single photo you choose through the system photo picker or camera.

2. Permissions the app requests

A few technical permissions are added by libraries the app uses and give no access to personal data: ACCESS_NETWORK_STATE, WAKE_LOCK, VIBRATE, FOREGROUND_SERVICE, and READ_GSERVICES (Google Play services).

Notifications are scheduled and delivered on the device. We operate no push server.

3. Receipt scanning & voice entry

Both features help you fill in the entry form. The result is always a suggestion you review and save yourself; the app never records anything without you tapping Save.

• Receipt scanning uses Google ML Kit Text Recognition with a model bundled inside the app. The receipt image is read on your device and is not sent to us or to Google. The photo is kept on the device as an attachment to the record, and is deleted if no text is recognised or if you don't save the record.
• Voice entry uses Android's on-device speech recogniser. The app first checks that on-device recognition is available and refuses to listen if it isn't (for example on older Android versions), rather than falling back to a recogniser that sends audio to a server. The app does not store the audio.
• Google ML Kit sends diagnostic metrics to Google: device and app information (model, OS version, package name, app version), a per-installation ID not intended to identify a user, latency, image configuration and size, event types, and error codes. Receipt contents are not included. According to Google, this data is sent over HTTPS and not transferred to third parties. See the ML Kit data disclosure.

4. Data collected only if you sign in with Google

Signing in is optional; every recording feature works without an account. An account is needed only to purchase Nodira Premium and to restore purchases on a new device. If you do sign in, the following is stored in Google Firebase (Firestore):

No financial figures are included. Only account identity, consent, purchase status, and the usage counts above are stored there.

5. Google Drive Vault (optional)

The vault stores your backups in your own Google Drive so you can restore them on another phone. It stays off until you turn it on from the Backup & Restore page. A backup is uploaded when you tap Back up now and, if you turn on Auto sync, also automatically whenever a new transaction is recorded and the device is online.

• What is uploaded: a backup with the same content as a regular backup file (all financial records and attached photos within its size limit), plus a random device ID the app creates to tell backups from different phones apart. Everything is encrypted on your device before upload. The key is derived from your vault passphrase using Argon2id, each file has its own key, and file names in Drive are obfuscated.
• Where it goes: a Nodira Vault folder in your Google Drive. Not to our servers.
• Permission requested: drive.file. With this scope the app can only see and change files it created itself; it cannot read any other file in your Google Drive.
• Auto sync (optional): so you are not asked for the passphrase every time you open the app, the vault key is kept in this device's secure storage (Android Keystore), tied to the signed-in account. That key is never sent anywhere; other phones still need the passphrase. It is removed from the device when you turn auto sync off, tap Lock, sign out, or delete all data.
• Who can read it: nobody without the passphrase. Google only stores encrypted data, and we do not store your passphrase and have no way to recover it. If you forget it, the vault cannot be opened by anyone, including us.
• Deleting & revoking: tap Reset vault in the app to delete everything in the vault, or delete the Nodira Vault folder from Google Drive at any time. The app's Drive access can be revoked in your Google account settings.

6. Purchases

Purchases are handled entirely by Google Play Billing. We never receive, see, or store your card or payment details; the app only receives a signed confirmation from Google Play that a purchase is valid.

When you buy, the app attaches an obfuscated account identifier (a hash of your Nodira account ID, not your email or name) to the Google Play purchase, so the purchase is tied to the account that bought it and cannot be claimed by another account on the same device.

7. Ads & analytics

Nodira contains no advertising and uses no analytics or crash reporting SDKs (no Google Analytics, Firebase Analytics, Crashlytics, or similar). The only usage data we keep is the session count and active dates for signed-in accounts (§4). We do not record what you do inside the app. ML Kit's diagnostic metrics are described in §3.

8. Sharing with third parties

We do not sell or share your data with third parties for marketing. The only service providers involved are Google Firebase (Authentication and Firestore), which stores the data in §4 as a processor on our behalf; Google Play Billing, which processes purchases; and Google ML Kit, which reads receipts on the device (its diagnostic metrics are described in §3). If you turn on the vault, Google Drive stores your encrypted backups in your own Drive account (§5). All of them are governed by the Google Privacy Policy.

9. Security

On-device data can be locked with a PIN and biometrics. Backup files, including photos attached to records, are encrypted with AES-256-GCM, with the key derived from your password using PBKDF2 at 200,000 iterations. We do not store that password and have no way to recover it; if you forget it, that backup file cannot be opened by anyone, including us. Vault backups are encrypted on the device before upload, with a key derived from your vault passphrase using Argon2id (§5). Android's automatic backup to Google Drive is disabled, so the app's database is never copied to the cloud outside your control. Data sent to Firebase travels over encrypted connections (HTTPS/TLS).

10. Retention & deletion

On-device data is kept until you delete it; the app provides Delete all data in Settings (which also removes attached photos), and uninstalling the app also removes it (except backup files you saved yourself). Vault backups stay in your Google Drive until you tap Reset vault or delete the Nodira Vault folder; deleting your Nodira account does not remove them, because that folder is yours and we have no access to it. Account data in Firebase is kept for as long as your account exists, and you may request its deletion at any time; that request also deletes the purchase claim record and usage counts.

11. Your rights

You may access, correct, and delete your account data, and withdraw any consent you have given. Consent choices (notifications, feedback, email) can be changed at any time from Settings → Privacy inside the app, even while offline. Microphone access can be revoked at any time in Android settings. For other requests, contact us at the email above.

12. Children

Nodira is intended for users aged 18 and over and is not directed to children. We do not knowingly collect data from children under 13; if we learn that we have, we will delete it.

13. Changes

If this policy changes materially, its version is incremented and the app will ask for your consent again when you next open it. The effective date above always reflects the current version.

Changes in 2.3 (25 September 2026): the vault can now upload backups automatically whenever a new transaction is recorded, if you turn on Auto sync; for that, the vault key is kept in the device's secure storage (§5). Added Reset vault in the app as a way to delete the vault's contents (§5, §10).

Changes in 2.2 (25 September 2026): added the optional Google Drive Vault (§5): backups encrypted on the device and stored in your own Google Drive with the drive.file scope; updated the summary and sections 1, 8, 9, and 10. Sections after §4 are renumbered by one.

Changes in 2.1 (24 September 2026): added receipt scanning and voice entry (§3), the microphone permission, per-account purchase claims, and the obfuscated account identifier sent to Google Play; completed the account data list with the random device ID, session count, and active dates, which were already being sent but were not listed here.

14. Contact

arileif.soft@gmail.com