К содержимому
01Что не покидает телефон
Звук с микрофона живёт в памяти несколько секунд, разбирается и стирается. Он не записывается на диск и не передаётся. Вашу собственную речь телефон превращает в текст только чтобы посчитать слова; этот текст никогда не сохраняется и не покидает телефон. Голосовой профиль — числовое представление вашего голоса, по которому вас отличают от других говорящих, — создаётся на устройстве и остаётся на нём. У нас нет его копии и нет способа её получить.
02Голосовой профиль и биометрия
Голосовой профиль, по которому узнают конкретного человека, — биометрические данные по статье 9 GDPR. Kyndsy создаёт его только после вашего согласия на отдельном экране и только ради одной цели: отличить вашу речь от чужой, чтобы счётчики что-то значили. Удалить его можно в настройках в любой момент; удаление немедленно прекращает всякое распознавание. Профиль исключён из резервных копий устройства и не переносится на другое устройство.
03Люди вокруг вас
Микрофон слышит всех, и к этому пункту мы относимся серьёзнее всего. Речь, не совпавшая с вашим голосовым профилем, отбрасывается сразу. Профиль другого человека не создаётся, его слова не распознаются, не сохраняются и не показываются вам, и нет режима — ни скрытого, ни какого-либо ещё, — который позволил бы направить приложение на другого человека.
04Что хранится на устройстве
Счётчики и события: категория (грубое выражение, вежливое выражение, слово-паразит, резкий тон), время, уверенность, определённый язык и номер записи встроенного словаря, по которой было совпадение, — это индекс в собственном списке приложения, а не свободный текст. Номер нужен ради одного: без него кнопка «ошибка» не смогла бы заглушить слово, которое считается ошибочно раз за разом. Записи дневника, которые вы делаете сами. Ваши настройки. Всё это лежит в собственном хранилище приложения и стирается при удалении приложения или по кнопке «Удалить всю историю». Проверенные вами тексты — свои черновики и чужие сообщения — вместе с их оценками, ваши ответы на тесты, подходы тренажёра и попытки упражнений вместе с полученными разборами ИИ. Это нужно, чтобы вы могли вернуться к тому, за что уже заплатили; каждую запись можно удалить по отдельности.
05Что доходит до нашего сервера
Запрос настроек приложения и политики версий. Разовая загрузка моделей распознавания. Если вы написали в поддержку — ваше обращение (см. раздел 10). Если вы оформили подписку — чек покупки, который мы передаём Apple или Google на проверку. У запросов есть IP-адрес, как у любого запроса в интернете; журналы сервера мы храним до 35 дней ради безопасности и затем удаляем. Учётной записи нет, регистрации нет, адреса почты нет, рекламных и аналитических SDK в приложении нет. Если вы просите разбор от ИИ, отправленное вами тоже проходит через наш сервер — см. раздел 14. Если вы разрешили уведомления — токен вашего устройства: длинный номер, который выдаёт приложению служба уведомлений телефона: на iPhone это служба Apple, на Android — Firebase Cloud Messaging, служба Google. Само уведомление идёт через эту службу: Apple или Google видит, что уведомление отправлено, и его короткий текст — и больше ничего: ни звука, ни ваших слов, ни истории. Другого способа сказать что-либо закрытому приложению на Android не существует. Он нужен ровно для одного: сказать вам, что заказанный ИИ-разбор готов, когда приложение закрыто. Ни имени, ни почты у нас нет вовсе; в самом уведомлении — только «разбор готов», без единого вашего слова. Токен удаляется вместе с приложением и по кнопке «Удалить всю историю». Несколько раз в сутки приложение отправляет и собственные счётчики: суммы вроде «сколько было сессий» и «сколько разборов» за эти сутки, вместе с версией приложения, платформой и языком интерфейса. Ещё в нём неделя установки приложения и сколько дней с неё прошло — чтобы считать возвращаемость без идентификатора. Ни анонимного номера, ни токена, ни одного вашего слова в нём нет; числа складываются в суммы суток в момент приёма, а сам запрос не хранится, поэтому связать двое суток между собой нечем. Это выключается в настройках. Если удалить приложение, сервер удалит токен уведомлений не позже чем через 60 дней после его последнего запуска.
06Подписки
Оплату проводит Apple или Google, но не мы. Данные вашей карты мы не видим никогда. Мы храним идентификатор чека и состояние подписки, чтобы приложение знало, что вам доступно.
07Ваши права
Поскольку персональных данных о вас, кроме чеков и недолговечных журналов, у нас нет, самый быстрый путь к удалению — само приложение: «Удалить голосовой профиль» и «Удалить всю историю» стирают всё локально и немедленно. По остальному — доступ, исправление, удаление, ограничение обработки, возражение, переносимость, жалоба в надзорный орган — напишите нам, и мы ответим в течение 30 дней.
08Дети
Kyndsy предназначен для тех, кому 13 лет и больше, и в магазинах у него рейтинг 13+. Приложение не адресовано детям младше 13 лет, и мы сознательно не обрабатываем их данные. На телефоне подростка родитель может включить родительский режим (раздел 13).
09Изменения
Если политика изменится так, что это затронет обращение с вашими данными, приложение покажет изменение до того, как оно вступит в силу. Дата вверху всегда соответствует текущей редакции.
10Ваш анонимный идентификатор и поддержка
При первом запуске приложение придумывает на вашем телефоне два случайных числа: идентификатор, который вы можете нам назвать, и ключ, который уходит вместе с каждым запросом как доказательство, что он пришёл с вашего телефона, — у нас хранится только его необратимый отпечаток. Эта пара — всё, что мы о вас знаем. Когда вы пишете в поддержку, мы храним ваше сообщение, наш ответ, идентификатор, версию приложения, платформу и язык — и больше ничего. Адреса почты нет, потому что его у нас нет вовсе; ответ приходит внутрь приложения. Переписка удаляется через 90 дней после окончания разговора — задачей, которая действительно выполняется. Идентификатор можно сменить в настройках в любой момент: прежние обращения станут недоступны вам и бесхозными для нас.
11Учётных записей нет, а переезд — это файл
В Kyndsy нет учётных записей вовсе: ни регистрации, ни входа, ни входа через Apple или Google. Входить некуда, и хранить под вашим именем нам нечего. Переезд на новый телефон — это файл, который вы делаете и открываете сами: приложение шифрует историю паролем, который придумали вы, и файл идёт туда, куда вы его отправите, — через нас он не проходит. Подписку возвращает сам магазин кнопкой «Восстановить покупки», и входа для этого никогда не требовалось.
12Этот сайт
Всё выше — про приложение. Сайт — отдельная вещь, и посещения он считает: своей аналитикой, на своих серверах, а не чужими. Он хранит идентификатор браузера, в котором вы это читаете, чтобы повторный заход не посчитался дважды. Этот идентификатор ничего не говорит о том, кто вы, и никогда не встречается ни с чем из приложения: ни с вашим анонимным ИД, ни с голосовым профилем, ни с одним счётчиком — приложение с аналитикой сайта не разговаривает вовсе. Идентификатор сохраняется сразу, как только открывается страница, — баннер согласия его не останавливает, а удалить его можно в настройках браузера; а если браузер присылает Do Not Track или Global Privacy Control, мы не считаем вас вовсе. На то, что делает приложение, это не влияет: звук не сохраняется, расшифровок нет, учётной записи нет.
13Родительский режим
Родитель может запереть под кодом настройки, историю, выгрузку и голосовой профиль на телефоне своего ребёнка. Это меняет, кто может что-то менять; что измеряется и куда уходит — не меняется: разбирается только голос владельца телефона, речь, не совпавшая с ним, отбрасывается до того, как станет словами, звук и расшифровка не сохраняются, и о ребёнке нам не уходит ничего. Сводка, которую читает родитель, — те же самые числа, что видит ребёнок, и открывается она на том же телефоне. Ребёнку на экране сказано, что режим включён, и остановить сессию он может в любой момент без кода; что она остановлена досрочно, родитель увидит. Включение требует подтвердить, что вы родитель или законный представитель и что ребёнок об этом знает.
14Разбор от ИИ (только по вашей просьбе)
Kyndsy может объяснить результат теста самооценки, промахи в тренажёре, ваш вечерний итог, попытку упражнения, замеры голоса, баланс ваших разговоров, а также написать письмо о месяце или карту речи за квартал. Сама она не срабатывает никогда: каждый запрос требует отдельного нажатия на экране, где сказано, что именно уедет. Уезжает сводка — числа этой попытки, месяца или квартала и ваши собственные заметки там, где вы их написали. Ни имени, ни звука, ни расшифровок; с письмом о месяце или картой квартала уезжают ещё восемь самых частых слов-паразитов. Наш сервер передаёт текст поставщику ИИ (OpenAI, а если он недоступен — Anthropic), который обрабатывает его только чтобы составить ответ и не использует для обучения. Готовый текст хранится 30 дней, чтобы приложение показало его снова после обрыва связи, вместе с идентификатором чека, которым он оплачен; затем удаляется. Если у вас годовая подписка, за каждое полученное достижение начисляется разбор: приложение сообщает серверу только имя достижения — например, «серия, третья ступень», — и сервер хранит его рядом с номером подписки, чтобы не начислить дважды. Числа вашей истории при этом с телефона не уходят. Чтобы неделя разборов начиналась в вашу полночь, сервер хранит рядом с номером подписки часовой пояс телефона — одно число. Если на iPhone вы отключите автопродление, мы один раз пришлём предложение: для этого рядом с номером подписки хранятся анонимный номер телефона и готовый текст уведомления на вашем языке. Подарок из пункта «Перед удалением» выдаётся один раз: сервер помнит это по номеру подписки, а без подписки — по анонимному номеру телефона. Неделя личной программы разбирается так же: уходят только её числа — как часто на 1000 слов случался каждый вид срыва и сколько раз прозвучала замена, — и ни одного вашего слова. Чтобы одна покупка не оплатила второй разбор, сервер три года хранит необратимый отпечаток каждого потраченного разового чека — без текста и без вашего идентификатора. Анонимный номер телефона с текстом предложения и часовой пояс удаляются через 400 дней после последнего обновления. Первый разбор в подарок выдаётся только приложению, подлинность которого подтвердили Apple (App Attest) или Google (Play Integrity): приложение передаёт одноразовый ответ этой службы, наш сервер проверяет его и хранит лишь отпечаток одноразового запроса — не дольше суток и без сведений об устройстве.
15Партнёрская программа
В приложении нет поля для партнёрского кода. Если вы пришли по личной ссылке партнёра, может произойти следующее. Когда вы открываете ссылку, наш сервер хранит не дольше двух суток необратимый хеш вашего сетевого адреса (но не сам адрес), платформу (iPhone или Android) и код партнёра и отправляет вас в магазин. При первом запуске приложение делает один запрос; сервер привязывает вас к партнёру, только если за последние два часа с вашей сети была открыта ссылка ровно одного партнёра, после чего запись удаляется. В Google Play магазин ещё и передаёт код внутри ссылки — тогда приложение отправляет этот код один раз. Больше ничего о вас и вашем устройстве не сравнивается. Партнёр видит цифры — сколько людей пришло по его ссылке и сколько купило, — а не кто они. Партнёры — отдельная история: партнёр регистрируется на этом сайте через соцсеть с помощью Astrina ID либо с помощью email и пароля и указывает адрес кошелька, потому что нам нужно уметь впускать его в кабинет и платить ему. При входе через соцсеть мы храним только анонимный идентификатор от провайдера — не вашу почту и не имя. Этот аккаунт никак не связан с данными приложения, а у самого приложения аккаунта вообще нет.
16Рассылка
Рассылка — единственное место, где мы храним настоящий адрес электронной почты, и только если вы сами ввели его в форму на этом сайте. Приложение никогда его не запрашивает и никогда его не отправляет. Мы храним адрес, язык, на котором вы читали, дату и хешированную форму вашего IP-адреса — хешированную так, что её нельзя прочитать обратно, и хранимую лишь для того, чтобы один человек не мог подписать тысячи других. Мы пишем вам только после того, как вы подтвердите подписку, нажав на ссылку в первом письме; пока вы этого не сделали, ничего больше не отправляется, а неподтверждённая запись удаляется через две недели. После подтверждения адрес также хранится на нашей собственной платформе рассылок на yourtrend.online — это наш сервис, на нашем собственном сервере, а не у стороннего поставщика — потому что именно она отправляет письма. Каждое письмо содержит ссылку для отписки в один клик, и отписка через письмо или через сайт останавливает рассылку в обоих местах. Напишите нам, и мы удалим адрес полностью. Ничто из этого никогда не соприкасается с данными приложения: ни с вашим анонимным ID, ни с голосовым профилем, ни с единым счётчиком.
17Пульс с часов
Только если вы включите это в настройках, Kyndsy читает пульс из «Здоровья» Apple (iPhone) или Health Connect (Android) — замеры, которые часы уже сделали. Приложение просит одно разрешение: читать пульс. Оно ничего не записывает в «Здоровье», не читает других данных о здоровье и не читает в фоне. Замеры используются на телефоне для одного — отметки у резкого момента дня, например «пульс 94, выше обычного на 24», — и не меняют ваш счёт. Они не сохраняются в истории приложения, не попадают в ИИ-разборы и статистику, не отправляются на наш сервер и никому не передаются; данные о здоровье не используются для рекламы, а рекламы в приложении нет. Выключенный переключатель сразу останавливает чтение; само разрешение можно отозвать в «Здоровье» или Health Connect.
18Общий счёт семьи
Если вы делите семейную подписку, приложение может складывать, сколько дней семья продержалась вместе за неделю. Счёт выключен, пока вы не включите его сами — на экране, где написано, что именно уйдёт. С телефона уходят два целых числа: сколько дней из последних семи вы удержали и в скольких из них вообще говорили. С ними уходит одна дата — день, которым кончается неделя, чтобы устаревшее число выпадало из суммы; других дат, оценок, событий и ни единого слова нет — по этим двум числам нельзя восстановить ни одного дня. Они лежат рядом с вашим анонимным идентификатором только затем, чтобы повторная отправка заменяла ваше прежнее число, а не прибавлялась к нему, и удаляются, когда вы выходите из счёта или когда кончается семейный доступ. Их не видит никто, включая того, кто платил: обратно приходит сумма по семье — и только когда считают хотя бы трое, потому что из суммы двоих чужое число получается вычитанием своего.
19Запись сеанса на сайте
Если вы разрешили аналитику в баннере согласия, сайт записывает, как вы пользуетесь страницей: движения указателя, нажатия, прокрутку и то, что меняется на экране. Поля пароля, почты, телефона и карты не отправляются вовсе — даже их длина, — а остальной набранный текст заменяется точками прямо в браузере, до отправки. Это касается только страниц сайта; приложения это не затрагивает. Выбрали «Отклонить необязательные» или не выбрали ничего — записи не происходит. Решение меняется в любой момент ссылкой «Настройки cookie» внизу любой страницы.
Вопросы о приватности: support@kyndsy.app