TALLY
TALLY — Shared expenses · Last updated: 8 November 2026
TALLY collects nothing. There is no account, no server and no cloud: your expenses stay on the devices of the people in your group.
None. TALLY does not collect any personal data and does not share it with anyone outside the group, including:
There is no sign-up because there is nothing to sign up to. The username you choose is stored only on your device and shared only with the groups you join.
By default TALLY does not contact any server on the internet: the only network activity is the direct exchange of group data between devices that are near one another, over the local Wi-Fi network, using Apple's Multipeer Connectivity framework.
That exchange happens only between devices belonging to the same group, and only for groups you have joined. Every payload is encrypted with the group's own key before it leaves the device, so a device that is not in the group cannot read it even if it intercepts the traffic.
Three exceptions, all handled by Apple and not by us: opening an App Store link leaves the app, a voluntary Tip Jar purchase goes through Apple's in-app purchase system, and if the group turns on remote sync, expenses pass encrypted through the iCloud of whoever hosts it. We never see your payment details.
If someone in the group turns on remote sync, expenses also pass through the iCloud of whoever hosts it, and stay there for at most 30 days. They leave already encrypted: neither Apple nor we can read them. Apple only sees that a message passed through, and when.
Everything you enter — groups, members, expenses, settlements, categories, your personal ledger and any receipt photos — is stored in the app's own container on your device, protected by iOS Data Protection.
Each group's encryption key is held in the iOS Keychain, marked as available on this device only. It is therefore not included in iTunes or iCloud backups: after restoring a backup you re-join your groups by scanning their QR code again.
Settings offers a permanent delete for your data — personal movements only, group data only, or both.
Anyone in the group receives that group's expenses, settlements, categories and activity, along with the name and picture you chose for the group itself. That is what a shared ledger is.
Your personal ledger is never part of it. It is not handed to the sync engine at all, so there is no code path that could put it on the network — even the movements you mirrored there from a group stay on your device.
If you leave a group, the expenses you already recorded stay where they are, under your name: they were the group's data, and past accounts have to keep adding up. What changes is that you stop syncing and the others see you as gone.
The widgets read the same local database through a shared app container. They make no network connections of their own.
Only Apple's own services: the in-app purchase system for the optional Tip Jar, and iCloud if the group turns on remote sync. There are no SDKs for analytics, advertising or crash reporting in the app.
Crash reports are the one thing Apple may pass on, and only if you allow it: if you have turned on Share With App Developers in iOS Settings → Privacy & Security → Analytics & Improvements, Apple sends the developer a report when the app crashes. It describes the crash — the device model, the iOS version, the point in the code that failed — and contains none of your expenses. You can turn it off there at any time.
TALLY is not directed at children under 13. Since no data is collected, none can be collected from them either.
Any change will be published on this page with a new date. Substantial changes will also be noted in the App Store release notes.
For privacy questions, contact Sergio Ferraresi at .
TALLY — Spese condivise · Ultimo aggiornamento: 8 novembre 2026
TALLY non raccoglie nulla. Non c'è un account, non c'è un server, non c'è un cloud: le vostre spese restano sui dispositivi di chi è nel gruppo.
Nessuno. TALLY non raccoglie alcun dato personale e non lo condivide con nessuno fuori dal gruppo, in particolare:
Non c'è registrazione perché non c'è nulla a cui registrarsi. Il nome utente che scegli resta sul tuo dispositivo ed è condiviso solo con i gruppi a cui ti unisci.
Di base TALLY non contatta alcun server su internet: l'unica attività di rete è lo scambio diretto dei dati di gruppo fra dispositivi vicini, sulla rete Wi-Fi locale, tramite il framework Multipeer Connectivity di Apple.
Lo scambio avviene solo fra dispositivi dello stesso gruppo, e solo per i gruppi a cui ti sei unito. Ogni pacchetto viene cifrato con la chiave del gruppo prima di lasciare il dispositivo: un dispositivo che non è nel gruppo non può leggerlo nemmeno intercettando il traffico.
Tre eccezioni, tutte gestite da Apple e non da noi: aprire un link all'App Store porta fuori dall'app, un'offerta volontaria nel Tip Jar passa dal sistema di acquisti in-app di Apple, e se il gruppo accende la sincronizzazione a distanza le spese passano cifrate dall'iCloud di chi la ospita. I tuoi dati di pagamento non li vediamo mai.
Se qualcuno nel gruppo accende la sincronizzazione a distanza, le spese passano anche dall'iCloud di chi la ospita, e ci restano al massimo 30 giorni. Partono già cifrate: né Apple né noi possiamo leggerle. Apple vede solo che un messaggio è passato, e quando.
Tutto ciò che inserisci — gruppi, membri, spese, regolamenti, categorie, il tuo registro personale e le eventuali foto degli scontrini — è salvato nel contenitore dell'app sul tuo dispositivo, protetto da iOS Data Protection.
La chiave di cifratura di ogni gruppo è custodita nel Portachiavi di iOS, contrassegnata come disponibile solo su questo dispositivo. Per questo non finisce nei backup iTunes o iCloud: dopo un ripristino ti riunisci ai gruppi inquadrando di nuovo il loro QR.
Nelle impostazioni puoi eliminare definitivamente i dati: solo i movimenti personali, solo quelli dei gruppi, oppure entrambi.
Chi è nel gruppo riceve spese, regolamenti, categorie e attività di quel gruppo, insieme al nome e all'immagine che hai scelto per il gruppo stesso. È il senso di un registro condiviso.
Il tuo registro personale non ne fa mai parte. Non viene proprio consegnato al motore di sincronizzazione, quindi non esiste un percorso di codice che possa metterlo in rete — anche i movimenti che vi hai rispecchiato da un gruppo restano sul tuo dispositivo.
Se abbandoni un gruppo, le spese che hai già registrato restano dove sono, con il tuo nome: erano dati del gruppo, e i conti passati devono continuare a tornare. Quello che cambia è che smetti di sincronizzarti e gli altri ti vedono come uscito.
I widget leggono lo stesso database locale attraverso un contenitore condiviso. Non effettuano connessioni di rete proprie.
Solo servizi di Apple: il sistema di acquisti in-app per il Tip Jar facoltativo, e iCloud se il gruppo accende la sincronizzazione a distanza. Nell'app non c'è alcun SDK di analitica, pubblicità o segnalazione crash.
L'unica cosa che Apple può inoltrare sono i report degli arresti anomali, e solo se lo consenti: se in Impostazioni di iOS → Privacy e sicurezza → Analisi e miglioramenti hai attivato Condividi con gli sviluppatori di app, quando l'app si chiude per un errore Apple ne manda un report allo sviluppatore. Descrive l'arresto — il modello del dispositivo, la versione di iOS, il punto del codice che ha ceduto — e non contiene nessuna delle tue spese. Puoi disattivarlo lì in qualsiasi momento.
TALLY non è rivolta a minori di 13 anni. Non essendo raccolto alcun dato, non può esserne raccolto nemmeno da loro.
Ogni modifica verrà pubblicata su questa pagina con una nuova data. I cambiamenti sostanziali saranno indicati anche nelle note di rilascio sull'App Store.
Per domande sulla privacy, scrivi a Sergio Ferraresi all'indirizzo .