Да змесціва
01Што ніколі не пакідае ваш тэлефон
Гук з мікрафона трымаецца ў памяці некалькі секунд, разбіраецца і адкідаецца. Ён ніколі не пішацца на дыск і не перадаецца. Вашу ўласную мову тэлефон ператварае ў тэкст толькі каб палічыць словы; гэты тэкст ніколі не захоўваецца і не пакідае тэлефон. Ваш галасавы профіль — лічбавае ўяўленне голасу, якім вас адрозніваюць ад іншых, — ствараецца на прыладзе і застаецца там. У нас няма ні яго копіі, ні спосабу яе атрымаць.
02Галасавы профіль і біяметрычныя даныя
Галасавы профіль, які служыць распазнаванню канкрэтнага чалавека, — гэта біяметрычныя даныя паводле артыкула 9 GDPR. Kyndsy стварае яго толькі пасля вашай згоды на асобным экране і толькі дзеля адной мэты: адрозніваць вашу мову ад чужой, каб лічыльнікі нешта значылі. Вы можаце выдаліць яго ў Наладах у любы момант; выдаленне адразу спыняе ўсё распазнаванне. Ён выключаны з рэзервовых копій прылады і не перадаецца на іншую.
03Людзі вакол вас
Мікрафон чуе ўсіх, таму гэты пункт мы бярэм найсур’ёзней. Мова, якая не супадае з вашым галасавым профілем, адкідаецца адразу. Ні для кога іншага профіль не ствараецца, іх словы ніколі не распазнаюцца, не захоўваюцца і не паказваюцца, і няма рэжыму — схаванага ці не — які дазволіў бы накіраваць праграму на іншага чалавека.
04Што захоўваецца на прыладзе
Лічыльнікі і падзеі: від (грубы выраз, ветлівы выраз, паразіт, рэзкі тон), час, значэнне ўпэўненасці, распазнаная мова і нумар запісу ўбудаванага слоўніка, які супаў, — індэкс ва ўласным спісе слоў праграмы, ніколі не вольны тэкст. Гэты нумар існуе дзеля аднаго: без яго кнопка «Не так?» не змагла б заглушыць слова, якое ўвесь час лічыцца памылкова. Запісы дзённіка, якія вы пішаце самі. Вашы налады. Усё гэта жыве ва ўласнай памяці праграмы і сціраецца, калі вы выдаляеце праграму або націскаеце «Выдаліць усю гісторыю». Правераныя вамі тэксты — свае чарнавікі і чужыя паведамленні — разам з іх ацэнкамі, вашы адказы на тэсты, падыходы трэнажора і спробы практыкаванняў разам з атрыманымі разборамі ШІ. Гэта патрэбна, каб вы маглі вярнуцца да таго, за што ўжо заплацілі; кожны запіс можна выдаліць асобна.
05Што трапляе на наш сервер
Запыт налад і палітыкі версій праграмы. Аднаразовая загрузка мадэляў распазнавання. Калі вы пішаце ў падтрымку — ваша паведамленне (гл. раздзел 10). Калі афармляеце падпіску — чэк пакупкі, які мы перадаём Apple ці Google на праверку. Запыты нясуць IP-адрас, як усе інтэрнэт-запыты; журналы сервера мы трымаем да 35 дзён дзеля бяспекі і потым выдаляем. У праграме няма ўліковага запісу, рэгістрацыі, пошты і ніякага рэкламнага ці аналітычнага SDK. Калі вы просіце разбор ад ШІ, адпраўленае вамі таксама праходзіць праз наш сервер — гл. раздзел 14. Калі вы дазволілі паведамленні — токен вашай прылады: доўгі нумар, які выдае праграме служба паведамленняў тэлефона: на iPhone гэта служба Apple, на Android — Firebase Cloud Messaging, служба Google. Само паведамленне ідзе праз гэтую службу: Apple або Google бачыць, што паведамленне адпраўлена, і яго кароткі тэкст — і больш нічога: ні гуку, ні вашых слоў, ні гісторыі. Іншага спосабу сказаць нешта закрытай праграме на Android не існуе. Ён патрэбны роўна для аднаго: сказаць вам, што заказаны ШІ-разбор гатовы, калі праграма закрытая. Ні імя, ні пошты ў нас няма зусім; у самім паведамленні — толькі «разбор гатовы», без ніводнага вашага слова. Токен выдаляецца разам з праграмай і кнопкай «Выдаліць усю гісторыю». Некалькі разоў на суткі праграма дасылае і ўласныя лічыльнікі: сумы кшталту «колькі было сесій» і «колькі разбораў» за гэтыя суткі, разам з версіяй праграмы, платформай і мовай інтэрфейсу. Ён нясе таксама тыдзень усталёўкі праграмы і колькі дзён мінула з таго часу — каб лічыць утрыманне без ідэнтыфікатара. Ні ананімнага нумара, ні токена, ні ніводнага вашага слова ў ім няма; лікі складаюцца ў сумы сутак у момант прыёму, а сам запыт не захоўваецца, таму звязаць двое сутак няма чым. Гэта выключаецца ў наладах. Калі выдаліць праграму, сервер выдаліць токен апавяшчэнняў не пазней чым праз 60 дзён пасля яе апошняга запуску.
06Падпіскі
Аплату праводзяць Apple ці Google, ніколі мы. Даных вашай карты мы не бачым ніколі. Мы захоўваем ідэнтыфікатар чэка і стан падпіскі, каб праграма ведала, на што вы маеце права.
07Вашы правы
Паколькі, апрача чэкаў і кароткачасовых журналаў, асабістых даных пра вас у нас няма, найхутчэйшы шлях да выдалення — сама праграма: «Выдаліць галасавы профіль» і «Выдаліць усю гісторыю» прыбіраюць усё лакальна і адразу. Па ўсім астатнім — доступ, выпраўленне, выдаленне, абмежаванне, пярэчанне, перанос або скарга наглядчаму органу — напішыце нам, і мы адкажам на працягу 30 дзён.
08Дзеці
Kyndsy прызначаны для тых, каму 13 гадоў і больш, і ў крамах мае рэйтынг 13+. Праграма не адрасавана дзецям да 13 гадоў, і мы свядома не апрацоўваем іх даныя. На тэлефоне падлетка бацькі могуць уключыць бацькоўскі рэжым (раздзел 13).
09Змены
Калі гэтая палітыка зменіцца так, што закране тое, што мы робім з вашымі данымі, праграма пакажа змену да таго, як яна пачне дзейнічаць. Дата ўверсе заўсёды адпавядае дзейнай версіі.
10Ваш ананімны ідэнтыфікатар і падтрымка
Пры першым запуску праграма стварае на вашым тэлефоне два выпадковыя лікі: ідэнтыфікатар, які можна нам назваць, і ключ, які ідзе разам з кожным запытам як доказ, што ён прыйшоў з вашага тэлефона, — у нас захоўваецца толькі яго незваротны адбітак. Гэтая пара — усё, што мы пра вас ведаем. Калі вы пішаце ў падтрымку, мы захоўваем ваша паведамленне, наш адказ, ідэнтыфікатар, версію праграмы, платформу і мову — і больш нічога. Без пошты, бо яе ў нас няма; адказ з’яўляецца ўнутры праграмы. Паведамленні выдаляюцца праз 90 дзён пасля заканчэння размовы задачай, якая сапраўды працуе. Новы ідэнтыфікатар можна стварыць у Наладах у любы момант — старыя размовы стануць недаступныя вам і бязгаспадарнымі для нас.
11Уліковых запісаў няма, а пераезд — гэта файл
У Kyndsy няма ўліковых запісаў зусім: ні рэгістрацыі, ні ўваходу, ні ўваходу праз Apple ці Google. Уваходзіць няма куды, і захоўваць пад вашым імем нам няма чаго. Пераезд на новы тэлефон — гэта файл, які вы робіце і адкрываеце самі: праграма шыфруе гісторыю паролем, які прыдумалі вы, і файл ідзе туды, куды вы яго адправіце, — праз нас ён не праходзіць. Падпіску вяртае сам крама кнопкай «Аднавіць пакупкі», і ўваходу для гэтага ніколі не патрабавалася.
12Гэты сайт
Усё вышэй — пра дадатак. Сайт — асобная рэч, і наведванні ён лічыць: сваёй аналітыкай, на сваіх серверах, а не чужымі. Ён захоўвае ідэнтыфікатар браўзера, у якім вы гэта чытаеце, каб паўторны заход не палічыўся двойчы. Гэты ідэнтыфікатар нічога не кажа пра тое, хто вы, і ніколі не сустракаецца ні з чым з дадатка: ні з вашым ананімным ІД, ні з галасавым профілем, ні з адным лічыльнікам — дадатак з аналітыкай сайта не размаўляе зусім. Ідэнтыфікатар захоўваецца адразу, як толькі адкрываецца старонка, — банер згоды яго не спыняе, а выдаліць яго можна ў наладах браўзера; а калі браўзер дасылае Do Not Track або Global Privacy Control, мы не лічым вас зусім. На тое, што робіць дадатак, гэта не ўплывае: гук не захоўваецца, расшыфровак няма, уліковага запісу няма.
13Бацькоўскі рэжым
Бацькі могуць замкнуць пад кодам налады, гісторыю, выгрузку і галасавы профіль на тэлефоне свайго дзіцяці. Гэта мяняе, хто можа нешта мяняць; што вымяраецца і куды ідзе — не мяняецца: разбіраецца толькі голас уладальніка тэлефона, маўленне, якое з ім не супала, адкідаецца да таго, як стане словамі, гук і расшыфроўка не захоўваюцца, і пра дзіця нам не прыходзіць нічога. Зводка, якую чытаюць бацькі, — тыя ж лічбы, што бачыць дзіця, і адкрываецца яна на тым жа тэлефоне. Дзіцяці на экране сказана, што рэжым уключаны, і спыніць сесію яно можа ў любы момант без кода; што яна спынена датэрмінова, бацькі ўбачаць. Уключэнне патрабуе пацвердзіць, што вы бацька, маці ці законны прадстаўнік і што дзіця пра гэта ведае.
14Разбор ад ШІ (толькі па вашай просьбе)
Kyndsy можа растлумачыць вынік тэсту самаацэнкі, промахі ў трэнажоры, ваш вячэрні вынік, спробу практыкавання, замеры голасу, баланс вашых размоў, а таксама напісаць ліст пра месяц ці карту маўлення за квартал. Сама яна не спрацоўвае ніколі: кожны запыт патрабуе асобнага націскання на экране, дзе сказана, што менавіта паедзе. Едзе зводка — лічбы гэтай спробы, месяца ці квартала і вашы ўласныя нататкі там, дзе вы іх напісалі. Ні імя, ні гуку, ні расшыфровак; з лістом пра месяц ці картай квартала едуць яшчэ восем найчасцейшых слоў-паразітаў. Наш сервер перадае тэкст пастаўшчыку ШІ (OpenAI, а калі ён недаступны — Anthropic), які апрацоўвае яго толькі каб скласці адказ і не выкарыстоўвае для навучання. Гатовы тэкст захоўваецца 30 дзён, каб праграма паказала яго зноў пасля абрыву сувязі, разам з ідэнтыфікатарам чэка, якім ён аплачаны; потым выдаляецца. Калі ў вас гадавая падпіска, за кожнае атрыманае дасягненне налічваецца разбор: праграма паведамляе серверу толькі назву дасягнення — напрыклад, «серыя, трэцяя ступень», — і сервер захоўвае яе побач з нумарам падпіскі, каб не налічыць двойчы. Лічбы вашай гісторыі пры гэтым не пакідаюць тэлефон. Каб тыдзень разбораў пачынаўся ў вашу поўнач, сервер захоўвае побач з нумарам падпіскі часавы пояс тэлефона — адна лічба. Калі на iPhone вы адключыце аўтападаўжэнне, мы адзін раз дашлём прапанову: для гэтага побач з нумарам падпіскі захоўваюцца ананімны нумар тэлефона і гатовы тэкст апавяшчэння на вашай мове. Падарунак з пункта «Перад выдаленнем» выдаецца адзін раз: сервер памятае гэта па нумары падпіскі, а без падпіскі — па ананімным нумары тэлефона. Тыдзень асабістай праграмы разбіраецца гэтак жа: ідуць толькі яе лічбы — як часта на 1000 слоў здараўся кожны від зрыву і колькі разоў прагучала замена, — і ніводнага вашага слова. Каб адна пакупка не аплаціла другі разбор, сервер тры гады захоўвае незваротны адбітак кожнага выкарыстанага разавага чэка — без тэксту і без вашага ідэнтыфікатара. Ананімны нумар тэлефона з тэкстам прапановы і часавы пояс выдаляюцца праз 400 дзён пасля апошняга абнаўлення. Першы разбор у падарунак выдаецца толькі праграме, сапраўднасць якой пацвердзілі Apple (App Attest) або Google (Play Integrity): праграма перадае аднаразовы адказ гэтай службы, наш сервер правярае яго і захоўвае толькі адбітак аднаразовага запыту — не даўжэй за суткі і без звестак пра прыладу.
15Партнёрская праграма
У прыкладанні няма поля для ўводу партнёрскага кода. Калі вы перайшлі па асабістай спасылцы партнёра, магчымыя два варыянты. Пры адкрыцці спасылкі наш сервер захоўвае не больш за два дні аднабаковы хэш вашага сеткавага адраса (ніколі не сам адрас), вашу платформу (iPhone або Android) і код партнёра, пасля чаго перанакіроўвае вас у краму. Калі вы ўпершыню адкрываеце прыкладанне, яно робіць адзін запыт; сервер прывяжа вас да гэтага партнёра толькі калі з вашай сеткі за апошнія дзве гадзіны была адкрыта роўна адна партнёрская спасылка, і пасля гэтага выдаліць запіс. У Google Play крама таксама перадае код знутры спасылкі, і прыкладанне замест гэтага адзін раз дасылае гэты код. Больш нічога пра вас або вашу прыладу не супастаўляецца. Партнёр бачыць толькі лічбы — колькі людзей прыйшло па яго спасылцы і колькі купіла, — але не хто гэта. Партнёры — асобная тэма: партнёр рэгіструецца на гэтым сайце з сацыяльным уліковым запісам праз Astrina ID або з электроннай поштай і паролем, і дадае адрас кашалька, бо нам трэба мець магчымасць дазваляць ім уваходзіць і плаціць ім. Пры ўваходзе праз сацыяльны ўліковы запіс мы захоўваем толькі ананімны ідэнтыфікатар ад правайдара — не вашу электронную пошту і не імя. Той уліковы запіс не звязаны ні з якімі данымі прыкладання, і ў прыкладання ўвогуле няма ўліковага запісу.
16Рассылка
Рассылка — гэта адзінае месца, дзе мы захоўваем сапраўдны адрас электроннай пошты, і толькі калі вы самі ўвялі яго ў форму на гэтым сайце. Праграма ніколі не пытаецца пра яго і ніколі яго не адпраўляе. Мы захоўваем адрас, мову, на якой вы чыталі, дату і хэшаваную форму вашага IP-адраса — хэшаваную так, каб яе нельга было прачытаць у зваротным парадку, і захоўваем яе толькі для таго, каб адзін чалавек не мог падпісаць тысячы іншых. Мы пішам вам толькі пасля таго, як вы пацвердзіце гэта, націснуўшы на спасылку ў першым лісце; пакуль вы гэтага не зробіце, нічога іншага не адпраўляецца, а непацверджаны запіс выдаляецца праз два тыдні. Пасля пацверджання адрас таксама захоўваецца на нашай уласнай платформе рассылкі на yourtrend.online — гэта наш сэрвіс, на нашым уласным серверы, а не старонняга — бо менавіта яна адпраўляе лісты. Кожны ліст мае адпіску ў адно націсканне, і адпіска ў лісце ці на гэтым сайце спыняе лісты ў абодвух месцах. Напішыце нам, і мы выдалім адрас цалкам. Нішто з гэтага ніколі не сустракаецца з чым-небудзь з праграмы: ні з вашым ананімным ідэнтыфікатарам, ні з вашым голасавым профілем, ні з адным лічыльнікам.
17Пульс з гадзінніка
Толькі калі вы ўключыце гэта ў наладах, Kyndsy чытае пульс са «Здароўя» Apple (iPhone) або Health Connect (Android) — вымярэнні, якія гадзіннік ужо зрабіў. Праграма просіць адзін дазвол: чытаць пульс. Яна нічога не запісвае ў «Здароўе», не чытае іншых даных пра здароўе і не чытае ў фоне. Вымярэнні выкарыстоўваюцца на тэлефоне для аднаго — адзнакі каля рэзкага моманту дня, напрыклад «пульс 94, вышэйшы за звычайны на 24», — і не мяняюць ваш лік. Яны не захоўваюцца ў гісторыі праграмы, не трапляюць у ІІ-разборы і статыстыку, не адпраўляюцца на наш сервер і нікому не перадаюцца; даныя пра здароўе не выкарыстоўваюцца для рэкламы, а рэкламы ў праграме няма. Выключаны пераключальнік адразу спыняе чытанне; сам дазвол можна адклікаць у «Здароўі» або Health Connect.
18Агульны лік сям’і
Калі вы дзеліце сямейную падпіску, дадатак можа складаць, колькі дзён сям’я пратрымалася разам за тыдзень. Лік выключаны, пакуль вы не ўключыце яго самі — на экране, дзе напісана, што менавіта пойдзе. З тэлефона ідуць два цэлыя лікі: колькі дзён з апошніх сямі вы ўтрымалі і ў колькіх з іх наогул гаварылі. З імі ідзе адна дата — дзень, якім канчаецца тыдзень, каб састарэлы лік выпаў з сумы; іншых дат, ацэнак, падзей і ніводнага слова няма — па гэтых двух ліках нельга аднавіць ніводнага дня. Яны ляжаць побач з вашым ананімным ідэнтыфікатарам толькі дзеля таго, каб паўторная адпраўка замяняла ваш ранейшы лік, а не дадавалася да яго, і выдаляюцца, калі вы выходзіце з ліку або калі сканчаецца сямейны доступ. Іх не бачыць ніхто, уключна з тым, хто плаціў: назад прыходзіць сума па сям’і — і толькі калі лічаць прынамсі трое, бо з сумы двух чужы лік атрымліваецца адніманнем свайго.
19Запіс сеанса на сайце
Калі вы дазволілі аналітыку ў банеры згоды, сайт запісвае, як вы карыстаецеся старонкай: рухі паказальніка, націсканні, пракрутку і тое, што мяняецца на экране. Палі пароля, пошты, тэлефона і карткі не адпраўляюцца зусім — нават іх даўжыня, — а астатні набраны тэкст замяняецца кропкамі проста ў браўзеры, да адпраўкі. Гэта тычыцца толькі старонак сайта; праграмы гэта не закранае. Выбралі «Адхіліць неабавязковыя» або не выбралі нічога — запісу не адбываецца. Рашэнне мяняецца ў любы момант спасылкай «Налады cookie» унізе любой старонкі.
Пытанні пра прыватнасць: support@kyndsy.app