политика конфиденциальности

Этот перевод предоставлен для удобства. Юридическую силу имеет только английская версия.

Последнее обновление: 7 октября 2026 г.

Короткая версия: мы собираем то, что необходимо для работы продукта, шифруем ту часть, утечка которой причинила бы вам наибольший вред, не продаём её, не обучаем модели на ваших беседах, и в этом приложении нет ни рекламы, ни слежки в каком бы то ни было виде. Далее следует длинная версия, и в ней названы имена.

1. Что мы собираем

Вы предоставляете нам:

адрес электронной почты и пароль — либо учётную запись Google или Apple, если вы входите таким способом. В случае Google мы храним данные, которые несёт токен входа Google: вашу почту, полное имя, имя и фамилию по отдельности, URL вашей фотографии профиля Google и собственный идентификатор Google для вас, — и этот URL фотографии становится вашим аватаром, пока вы его не смените. В случае Apple мы храним идентификатор Apple для вас, адрес почты, которым вы решили поделиться, — он может оказаться одним из приватных ретранслирующих адресов Apple, — и запечатанный refresh-токен Apple, который хранится ровно с одной целью: чтобы мы могли отозвать его, когда вы удалите аккаунт. Если вы когда-либо входили через Discord, ваш аккаунт по-прежнему несёт идентификатор Discord для вас, возвращённый им адрес почты и стоящий за ним проверенный набор данных, включая имя пользователя, — хотя ни одна сборка приложения или сайта, которую мы выпускаем сегодня, такой кнопки не предлагает,
отображаемое имя, а по желанию — псевдоним, описание, аватар и обложку,
ваш часовой пояс и язык приложения — часовой пояс здесь несущая конструкция, потому что «40 сообщений в день» означает ваш день,
ваши сообщения — в личных чатах и в групповых комнатах, — а также ваши персоны, персонажей, сцены, лорбуки и закреплённые воспоминания. Персона включает всё, что вы в неё вложили: имя, возраст, пол, внешность, что нравится и что не нравится,
фотографии, которые вы загружаете: изображения профиля и обложки, портреты персон и персонажей, скриншоты, приложенные к обращению в поддержку,
то, что вы выбираете при первичной настройке, — ваши вкусовые предпочтения и каналы интересов, на которые вы подписались,
обращения в поддержку, которые вы нам отправляете, и ваши ответы, если мы вам когда-нибудь напишем, — они попадают в приложение только тогда, когда отвечающий человек сам вносит их в переписку (§4),
ответ на единственный необязательный вопрос, который мы задаём, когда вы удаляете аккаунт в приложении или в веб-приложении, — что привело вас к этому решению, выбранное из короткого списка, и одна строка от себя, если вы её добавите. Он хранится без вашего аккаунта (§8),
адрес электронной почты, который вы вводили в форму листа ожидания, когда-то стоявшую на нашем сайте, — форма была убрана в сентябре 2026 года, и ни одна страница этого сайта больше таких адресов не собирает, — вместе с кодом того, кто вас туда привёл, и вашим собственным реферальным кодом. Записи, сделанные до этого, по-прежнему хранятся. Эта запись не является аккаунтом и никогда им не становится, даже если позже вы зарегистрируетесь, — а значит, удаление из §8 до неё никогда не доходит.

Продукт генерирует:

структурированные Факты, которые персонаж извлёк о вас из ваших бесед, — все они вам видны, все можно отредактировать, все можно удалить,
Моменты, незакрытые линии, поводы напомнить о себе и уровни привязанности — короткие тексты и состояния, которые персонаж хранит о ваших отношениях,
сгенерированные изображения, которые хранятся вместе с породившим их промптом, и голосовые фрагменты реплик персонажей,
прогресс историй и игр,
счётчики использования (сообщения, изображения, минуты голоса) и ваш журнал Sparks, чтобы мы могли применять лимиты вашего тарифа,
покупки и подписки: что вы купили, сумму и валюту, идентификатор чека магазина — идентификатор транзакции Apple или идентификатор заказа Google, — а также webhook-чеки, которые платёжный провайдер присылает нам в ответ; они сохраняются дословно, ровно в том виде, в каком приходят. Веб-чек несёт всё, что вложил в него Razorpay, а это обычно адрес электронной почты, номер телефона и UPI-идентификатор, которые вы указали Razorpay при оплате. Если вы попросите выплатить вам заработок создателя, мы храним также реквизиты выплаты, которые вы нам дали, и статус проверки KYC, при котором она была произведена,
запись о каждой попытке покупки: каждый раз, когда вы нажимаете кнопку покупки, в приложении или в вебе, — какой пакет или тариф, на какой платформе и в какой версии приложения, сумма и валюта, когда мы их знаем, с какого экрана вы пришли и чем всё закончилось: открылась ли оплата, прошла ли, была ли отменена, сорвалась или получила отказ, — с собственной причиной платёжного провайдера, если он отказал, укороченной и очищенной от адресов почты и длинных номеров. Она хранится, пока у вас есть аккаунт. В ней никогда нет номера телефона, и мы никогда его у вас не просим: когда вы покупаете Sparks в вебе за пределами Индии — в долларах или евро, — номер телефона и карту у вас спрашивает собственная платёжная форма Razorpay; вы вводите их в поля Razorpay, и они уходят в Razorpay, а не нам. Единственная копия, которая до нас доходит, лежит внутри чека, который Razorpay присылает нам потом, — как сказано строкой выше,
реферальные ссылки,
продуктовые события: фиксированный список действий — появилась карточка в ленте, был открыт чат, было нажато уведомление, был опубликован персонаж и так далее. Восемнадцать из них может отправить приложение; ещё три — не может: первый чат, который мы открываем для вас в день регистрации и который записывает наш собственный сервер, и две кнопки «поделиться», существующие только на сайте. Каждая строка фиксирует действие, поверхность, на которой оно произошло, — лента, поиск, подборка, экран персонажа, ссылка и ещё несколько, — персонажа, если действие было о нём, и время. Без текста сообщений,
показы и нажатия промо: какое из наших собственных промо вам показали и где, идентификатор сессии, который приложение создаёт само, версию вашего приложения и платформу,
сигналы модерации и безопасности,
записи о кризисных перенаправлениях (см. §7).

Мы собираем автоматически:

ваш IP-адрес и user agent — они сохраняются вместе с каждой сессией входа, чтобы и вы, и мы видели, откуда выполнен вход в аккаунт. Вы можете просмотреть эти сессии и завершить любую из них прямо в приложении,
ваш IP-адрес, user agent и адрес каждого запроса в журналах наших серверов, включая строку запроса, — поэтому набранный вами поисковый запрос может попасть в строку журнала,
страну, определённую по вашему IP-адресу на пограничном узле нашей сети. Саму страну мы не храним. Мы сопоставляем её с одним из трёх ценовых регионов — Индия, США или ЕС — и этот регион закрепляется за аккаунтом. Предыдущие версии этой политики утверждали, что регион сообщаете нам вы. Это не так: мы его вывели сами,
ваш push-токен и запись об устройстве — платформа, версия приложения, язык, последняя активность и то, что ваш телефон последним сообщил приложению об уведомлениях (разрешены, запрещены или ещё не спрашивали), с датой, когда этот ответ в последний раз менялся. Запись создаётся, разрешите вы уведомления или нет, потому что push-токен у телефона есть в любом случае,
откуда пришёл ваш аккаунт — записывается один раз при регистрации и больше не меняется: платформа и версия приложения, на которых вы зарегистрировались, и то, что ссылка, которая вас привела, сообщала о себе, — метка кампании, хост сайта, с которого вы пришли (никогда не его полный адрес), первая страница, на которую вы попали, без её query, какую из наших кнопок вы нажали, а на Android — install referrer из Play, в котором любой идентификатор рекламного клика заменён заглушкой. На нашем сайте и в веб-приложении этот след хранится во вкладке вашего браузера и покидает её только в ссылке, по которой вы переходите в веб-приложение или в Google Play, или вместе с вашей регистрацией. В нём никогда нет вашего IP-адреса, вашего user agent или адреса электронной почты,
версию вашего приложения и версию ОС, которые приложение указывает в своём user agent.

Мы не собираем точное местоположение, ваши контакты, звук с микрофона, историю ваших действий в других приложениях, фотографии, которые вы не загружали, данные о здоровье с вашего телефона и рекламный идентификатор. Фотографии, которые вы всё же загружаете, перед сохранением перекодируются, поэтому GPS-координаты, которые камера записывает в файл изображения, не сохраняются.

Голосовой ввод. Когда вы нажимаете на микрофон в чате, служба распознавания речи вашего устройства превращает сказанное в текст в поле сообщения — на iPhone и в Safari это служба Apple, на Android и в Chrome и Edge — Google. Эта служба может обрабатывать звук на вашем устройстве или на серверах Apple или Google по их условиям. Только ради этого приложение запрашивает доступ к микрофону, и микрофон открыт только пока вы диктуете. Звук мы не получаем: только текст, и только когда вы его отправляете.

2. Ваши сообщения зашифрованы при хранении, и вот куда уходит открытый текст

Тела сообщений и их варианты, краткие пересказы чатов и групп, сообщения в группах, значения Фактов памяти, ваши дневниковые Моменты и ответы под ними, ежедневный вопрос и ваш ответ на него, однострочные заметки, которые персонаж хранит о незавершённой теме и о вашей привязанности, постоянные указания, которые вы пишете о том, как следует играть персонажа, и реплики, которыми персонажи обмениваются о вас в групповых комнатах, — всё это зашифровано в нашей базе данных (AES-256-GCM) ключом, которого в самой базе нет.

Это осознанная защита от одной конкретной, реальной катастрофы: в 2024 году сервис ИИ-компаньонов Muah.ai был взломан, и утечка связала 1,9 миллиона адресов электронной почты с запросами, которые писали эти люди. Эти пары затем использовались для вымогательства. В этой категории вред причиняет именно связка.

Ни в одной части нашего стека нет ни консольного запроса, ни панели управления, ни отчёта, ни аналитической задачи, которые возвращали бы тексты сообщений массово, и нет эндпоинта пакетной расшифровки — так задумано, и мы намерены это сохранить. Но предыдущая версия этой политики утверждала, что путь к расшифрованному сообщению ровно один. Это было неправдой. Ниже — каждый путь, который мы нашли, названный настолько конкретно, насколько мы можем: удлинять этот список нам пришлось уже дважды, поэтому читайте его как текущее состояние аудита, который мы продолжаем вести, а не как закрытый перечень, — и напишите нам, если найдёте путь, который мы упустили.

И прежде всего — самый обыкновенный путь: показать вам то, что написали вы сами. Сервер открывает написанное вами, чтобы отрисовать ваш чат, ваш дневник и ваши закреплённые воспоминания обратно в вашем же приложении, по зашифрованному соединению. Всё, что ниже, — это открытый текст, уходящий не обратно к вам, а куда-то ещё.

Всё, о чём вы просите прямо сейчас. Чтобы вам ответить, мы расшифровываем нужную часть беседы и отправляем её ИИ-провайдеру (§3) — и то же делает всё остальное, о чём вы можете попросить в моменте, и каждое из этого расшифровывает написанное вами: ваши последние реплики — для картинки, снятой внутри чата; то единственное сообщение, которое вы попросили проиллюстрировать, — для изображения сцены; страницу дневника вместе с ответами под ней — для ответа на Момент; и снова ваши последние реплики — для трёх готовых ответов, которые чат предлагает отправить в одно касание. Это основной путь, и в нём весь смысл продукта.
Работа, которая идёт, когда вас нет. Фоновые процессы открывают что-то ваше, когда никакого запроса от вас не поступало: ночное сообщение, которое вам отправляет персонаж, реплики в ваших групповых комнатах, память, которую мы извлекаем, краткие пересказы, в которые мы её сворачиваем, ваши дневниковые Моменты, ваш ежедневный вопрос, незакрытые линии, за которыми следит персонаж, и тихий проход истории между главами. Каждый из них расшифровывает то, что ему нужно, — ваши последние реплики, сохранённые персонажем Факты, пересказ незавершённой темы — и отправляет это ИИ-провайдеру, и каждый при каждом запуске проверяет ваше разрешение, прежде чем хоть что-то будет открыто (§3).
Чтение реплики вслух. Ответ персонажа отправляется текстом провайдеру синтеза речи, чтобы тот его произнёс, — как правило, на наш собственный голосовой сервер, а это отдельная машина, и связь с ней идёт по незашифрованному соединению (§3). Вслух читается не только ответ: первые предложения дневникового Момента и ежедневный вопрос, который задал вам персонаж, произносятся из того же расшифрованного текста. Эти два случая уходят только на наш собственный голосовой сервер и никогда — во внешнюю компанию синтеза речи.
Уведомления. Если уведомления о сообщениях персонажей включены, ответ дословно показывается на вашем экране блокировки — а значит, проходит через push-службы Google и Apple.
Ваш собственный экспорт. Когда вы экспортируете свои данные, мы расшифровываем ваши чаты, записываем их в файл в нашем хранилище и отправляем вам на почту подписанную ссылку, срок действия которой истекает через 72 часа. Истекает ссылка, а не файл. Архив экспорта не удаляется автоматически ничем, и на него не указывает ни одна строка базы данных — освободить его может только та же ручная консоль из §8.
Одно аудируемое обращение администратора к одному сообщению. Оно требует прав супер-администратора, расшифровывает одно сообщение за запрос, обязательно требует письменно указанной причины и записывает строку аудита с указанием администратора, сообщения и причины. Массовой версии не существует.
Два аудируемых обращения администратора к незакрытым линиям — коротким пересказам незавершённых тем, которые хранит персонаж. Одно показывает линии конкретного названного человека; второе — это пробный прогон ночного сообщения, который расшифровывает по одной линии для целой страницы кандидатов, до двухсот сразу. Оба доступны только супер-администратору, и оба записывают строку аудита с указанием администратора и того, чьи линии были прочитаны. Ни одно из них не копирует в эту строку содержание самих линий.
Поля, которые изначально никогда и не шифровались. Из написанного вами запечатано то, что перечислено в начале этого раздела; остальное хранится в открытом виде, и вот что здесь стоит назвать вслух: названия чатов, подпись Факта памяти (само значение зашифровано), промпты изображений — включая промпт, который изображение в чате собирает из беседы, — заметка, которую вы пишете к закреплённому сообщению, заглушённые слова, которые вы попросили нас никогда вам не показывать, ваше описание, заголовок и текст каждого уведомления, лежащего во входящих внутри приложения (они написаны из ваших же миров и бесед: «Luna оставила кое-что для вас», с названием самого мира внутри), написанные вами тексты персонажей, персон, сцен и лорбуков, тексты отзывов, обращения в поддержку и каждое сообщение в них, ваши ответы на отправленное нами письмо и подробности, которые вы пишете, когда на что-то жалуетесь.

3. Кто обрабатывает ваши данные и что именно получает

Прежде чем отправить что-либо стороннему ИИ-провайдеру, мы спрашиваем ваше явное разрешение — при регистрации. Пока вы его не дали, сервер отклоняет любой запрос к ИИ: ни чата, ни изображений, ни голоса. Вы можете отозвать его в любой момент в Настройках, и чат снова перестанет работать, потому что отправлять будет нечего. Отзыв не удаляет ни ваш аккаунт, ни что-либо в нём.

Отзыв останавливает не только разговор, но и фоновую работу. Ночное сообщение, которое отправил бы вам персонаж, реплики, которыми персонажи обмениваются о ваших групповых комнатах, память, которую мы извлекаем из ваших бесед, краткие пересказы, в которые мы её сворачиваем, ваш дневник и ваш ежедневный вопрос, незакрытые линии, за которыми мы следим, и тихие проходы истории между главами — каждое из этого проверяет ваше разрешение при каждом запуске, прежде чем что-либо ваше будет открыто, а не только когда вы нажимаете «отправить». Если вы отзовёте разрешение, они остановятся; они не встанут в очередь, чтобы отработать позже. Это связывает и нас: если мы пишем вам лично (§4), а такого разрешения вы не дали, никто здесь не может попросить модель помочь с черновиком — ни для первого письма, ни для ответа на то, что вы написали в ответ. Его пишет человек.

ИИ, который пишет — направления, работающие сегодня: ответы и сообщения, которые персонаж начинает сам, названия чатов, варианты ответа, краткие пересказы бесед и групп, извлечение и укрупнение памяти, ваши дневниковые Моменты, ваш ежедневный вопрос, незакрытые линии, реплики в группах, ключевые точки истории и её фоновые проходы, перевод, промпты изображений, подсказки тегов, вычитка карточки персонажа, которую вы импортируете, модерационная проверка контента, кризисный классификатор и черновик письма, которое мы вам отправляем. Направление, которое мы добавим позже, добавляется и в этот список, и оно закрыто тем же разрешением, что и остальные. Они получают текст беседы, вашу персону (включая её возраст, пол, внешность, что ей нравится и что не нравится) и Факты, которые персонаж помнит о вас. Они не получают ни идентификатор вашего аккаунта, ни ваш адрес электронной почты; имя в промпте — это имя вашей персоны, которое приложение предлагает подставить из вашего отображаемого имени, — кроме того самого черновика письма, который несёт ваше отображаемое имя, потому что письмо адресовано вам.

DeepSeek — сегодня первый в очереди на ответы в чате и на перевод.
Anthropic — следующий в очереди для чата и первый для кризисного классификатора, извлечения памяти и модерации ввода.
OpenAI — следующий.
Google (Gemini) — следующий.
xAI (Grok) — подключён к тому же шлюзу и доступен из той же таблицы маршрутизации, поэтому направление, нацеленное на него, получает то же самое, что получают четыре компании выше.

ИИ, который рисует. Промпты изображений уходят к пяти провайдерам: Tensor.Art, Sogni, OpenAI, Google (Gemini) и NovelAI. Кто именно рисует конкретную картинку, определяет собственная настройка арт-направления персонажа, а остальные стоят за ним как запасные — в порядке, который мы можем изменить из своей консоли, не выпуская новую сборку.

Проверка изображений. Каждое сгенерированное изображение и каждую загруженную вами фотографию — изображения профиля и обложки, портреты персон и персонажей — проверяет Google Cloud Vision на содержимое, которое мы не допускаем. Изображения, отклонённые этой проверкой, может дополнительно пересмотреть Google (Gemini). Есть одно исключение, и оно сделано намеренно: скриншот, приложенный к обращению в поддержку, перекодируется и хранится для того, чтобы на него посмотрел человек, который занимается вашим обращением, и проверяющему сервису он не отправляется.

ИИ, который говорит. Большая часть голосовых фрагментов создаётся на голосовом сервере, который мы держим сами. Это вторая арендованная нами машина, с собственным публичным адресом, которую мы делим с посторонним продуктом — поэтому реплика, которую нужно произнести, расшифровывается здесь и уходит к ней через интернет. Этот запрос несёт секретный токен, и межсетевой экран машины принимает его от нашего сервера приложения и больше ни от кого, но само соединение не зашифровано при передаче, и мы предпочитаем сказать об этом прямо, а не позволить вам думать иначе. Остальные фрагменты уходят в Google Cloud Text-to-Speech или Google (Gemini), которые получают ту же реплику по HTTPS. В продукт встроены ещё две компании синтеза речи, и обе сегодня не задействованы. Cartesia мы можем включить из своей консоли, без новой сборки. ElevenLabs — платный голосовой путь, вокруг которого эта функция и проектировалась, — не можем: он читает свой ключ из окружения самого сервера, поэтому его включение требует деплоя, а вписанный для него в консоль ключ не даёт ничего. Бэкенд без установленного ключа не задействован, и персонаж, нацеленный на него, откатывается к бесплатному голосу на нашем собственном сервере; а когда ключ на месте, эта компания получает расшифрованную реплику ровно так же, как две названные выше. Мы называем все четыре компании, а не перечисляем только те, на которые маршрутизация приходится в конкретный день.

Push-уведомления. Google Firebase Cloud Messaging, а для iPhone — push-служба Apple (APNs). Они получают токен вашего устройства и текст уведомления — а для ответа персонажа это и есть сам ответ. Библиотека сообщений Firebase, кроме того, регистрирует в Google идентификатор установки и передаёт диагностику доставки; это цена отправки push через Firebase. Ни Firebase Analytics, ни Crashlytics в этом приложении нет.

Отслеживание ошибок. Sentry, только для серверных ошибок и только тогда, когда отказал сам сервер (ошибка 5xx). Наш собственный код отправляет туда само исключение — его сообщение и стек — плюс код ошибки и HTTP-статус. Тело запроса ему не передаётся никогда, и мы никогда не прикрепляем к отчёту вашу личность. Сверх того, мы не отключили контекст, который библиотека самого Sentry собирает по умолчанию, — на какой машине и в каком процессе произошла ошибка и последние строки из журнала нашего сервера, — так что исходите из того, что это едет вместе с отчётом. Опция Sentry для отправки персональных данных оставлена выключенной, поэтому ваш IP-адрес ему не передаётся. Внутри приложения нет ни SDK для сбора сбоев, ни аналитического SDK. Зато приложение отправляет собственные отчёты о сбоях — на наш собственный сервер и больше никуда. Когда опубликованное приложение на телефоне натыкается на ошибку, которой не ожидало, или закрывается, пока открыто на экране, оно отправляет вид ошибки и её сообщение, очищенное от адресов, ссылок, идентификаторов и длинных номеров, строки кода приложения, в которых она произошла, шаблон маршрута экрана (никогда не адрес с идентификатором внутри), версию приложения, платформу, версию ОС и язык, а также дневной код, который телефон вычисляет из случайного секрета, никогда им не отправляемого, — так телефон можно посчитать в пределах дня, но нельзя отследить от одного дня к другому. Отчёт отправляется без вашего входа и не несёт ни аккаунта, ни идентификатора устройства, ни текста сообщений. Счётчик каждого дня хранится 90 дней, а сама ошибка — до 90 дней после того, как о ней в последний раз кто-то сообщил.

Почта. Hostinger — наш почтовый хост, и через него проходит каждое письмо в обе стороны: коды подтверждения, сбросы пароля, ваша ссылка на экспорт, уведомления об удалении и любая переписка с поддержкой.

Хранение, доставка и хостинг. Cloudflare стоит перед каждым запросом, поэтому видит ваш IP-адрес и сообщает нам страну, из которой мы выводим ваш регион; в его объектном хранилище лежат ваши изображения, голосовые фрагменты, аватары, вложения к обращениям, файлы экспорта и наши ночные резервные копии базы данных. Hostinger сдаёт нам в аренду серверы, на которых работают приложение, база данных и кеш, и держит наш почтовый ящик; голосовой сервер, о котором сказано выше, — это отдельная арендованная машина, и мы называем её здесь, чтобы этот абзац не читался как всё наше хозяйство целиком.

Платежи. На iPhone — Apple, на Android — Google Play. Вашу карту мы не видим никогда. Мы получаем идентификатор чека и проверяем его на серверах Apple и Google, а в Apple передаём непрозрачный токен аккаунта, чтобы покупка попала на нужный аккаунт. В веб-версии платёж принимает Razorpay; он получает ваш адрес электронной почты, ваш тариф и идентификатор вашего аккаунта, чтобы правильно привязать подписку, а чеки, которые он присылает нам в ответ, хранятся дословно, без изъятий — а значит, в остающейся у нас копии есть адрес электронной почты, номер телефона и UPI-идентификатор, которые вы дали Razorpay. Сколько это длится, см. в §8, потому что честный ответ — «бессрочно».

Вход. Apple — когда вы пользуетесь Sign in with Apple: мы обмениваемся с Apple кодом и храним полученный refresh-токен запечатанным, чтобы отозвать его при удалении. В случае Google наши серверы не отправляют Google ничего: токен Google мы проверяем локально по опубликованным Google ключам. Сам вход происходит между вами и Google, иначе и быть не может, поэтому Google знает, что вы вошли здесь, — а фотография профиля, которую он нам передаёт, так и остаётся адресом на стороне Google, откуда ваше приложение её и загружает, пока вы не смените аватар.

Мы требуем от каждой из этих компаний по договору защищать ваши данные по тому же стандарту, который задаёт эта политика, использовать их только для той задачи, ради которой мы их передали, и не обучать на них свои модели. Никто из них не вправе продавать их, передавать дальше или использовать в собственных целях. Мы не раздуваем этот список, а там, где провайдер подключён, но сегодня вас не обслуживает, мы так и пишем, а не убираем его отсюда. Это состав на дату, указанную в начале этой страницы; когда компания в него входит или из него выходит, записано это будет именно в этом разделе.

4. Промо-материалы и то, чего мы не делаем

Мы продвигаем собственный продукт внутри собственного приложения. Вы увидите наши предложения карточкой при открытии приложения, карточками, вплетёнными в «Обзор», и отдельным экраном, когда упрётесь в лимит. Всё это наше: тарифы oomfy ai, Sparks и наши собственные персонажи. Какое именно предложение вы увидите, мы решаем по языку приложения и вашему ценовому региону, и мы записываем, что вы его видели и нажали ли на него: кампанию, место показа, созданный приложением идентификатор сессии, версию приложения и платформу. Эти записи существуют, чтобы ограничивать, как часто вас отвлекают, и чтобы понимать, стоило ли конкретное промо того, чтобы его показывать.

Мы отправляем продуктовые новости — вышла функция, изменилась политика, идут работы — через push и иногда по почте. По умолчанию это включено, а выключается в «Настройки → Уведомления». Иногда мы также пишем лично тому, кто зарегистрировался и так и не вернулся, чтобы спросить почему. Если вы ответите, ответ придёт в человеческий почтовый ящик: сегодня ничто в приложении не подхватывает ответы автоматически, поэтому ваш ответ попадает в переписку только тогда, когда занимающийся ею человек вставит его туда, — и дальше он хранится там, пока вы не удалите аккаунт. Тот, кто отвечает, может попросить модель набросать черновик ответа: ей передаются последние несколько сообщений переписки, включая ваши собственные слова, а также ваше имя и ваш язык. Так бывает, только если вы дали разрешение на ИИ из §3; без него составитель черновика отказывает, и письмо пишется вручную.

«Обзор» персонализирован. Мы ранжируем для вас персонажей по тому, с кем вы общаетесь, что вам нравится, что вы оцениваете и на кого подписываетесь, и по выбранным вами каналам. Он строится на этом поведении, а не на тексте ваших сообщений.

Сторонней рекламы в этом продукте нет нигде. Ни рекламной сети, ни рекламного SDK, ни рекламного идентификатора — нет IDFA, а значит, нет и запроса App Tracking Transparency, потому что спрашивать вас не о чем. Нет ни пикселя, ни стороннего инструмента атрибуции, ни сторонней аналитики: откуда пришёл ваш аккаунт (§1), записывает наш собственный сервер, один раз, и никому это не передаётся. Ничто из того, что вы здесь делаете, никому не передаётся для рекламы и не объединяется с тем, что вы делаете в приложениях и на сайтах других компаний. Мы вас не отслеживаем — ни в том смысле, который вкладывает в это слово Apple, ни в каком-либо ином.

И, как и прежде:

Мы не продаём ваши данные. Ни рекламодателям, ни брокерам данных, ни кому-либо ещё.
Мы не обучаем модели на ваших беседах и не позволяем этого никому другому.
Мы не строим ваш профиль ни для кого, кроме вас самих.

5. Почему мы вправе это обрабатывать (GDPR, ст. 6)

Договор — чтобы предоставить вам услугу, на которую вы подписались: ваш аккаунт, ваши чаты, вашу память, ваши покупки.
Правовое обязательство — отчётность о безопасности, налоговые записи и подсчёт кризисных перенаправлений по SB 243.
Законные интересы — безопасность, предотвращение мошенничества, выявление злоупотреблений, поддержание работы сервиса, персонализация рекомендаций и продвижение нашего собственного продукта нашим же пользователям. Мы сопоставили их с вашими правами и задокументировали это. Вы можете возразить, и вы можете отключить продуктовые новости, никуда не уходя.
Согласие — на отправку вашего контента стороннему ИИ-провайдеру: и в самом разговоре, и в фоновой работе за ним. Вы можете отозвать его в любой момент (§3).

6. Ваши права и как ими реально воспользоваться

Вы можете, не спрашивая разрешения и ни с кем не общаясь:

Просмотреть каждый Факт, который персонаж сохранил о вас, и отредактировать или удалить любой из них — прямо в приложении.
Увидеть каждую сессию входа с IP-адресом и устройством, с которых она создана, и завершить любую из них.
Отозвать согласие на ИИ — в Настройках.
Отключить продуктовые новости и уведомления от персонажей — в Настройках.
Экспортировать свои данные — запись вашего аккаунта, ваши личные чаты и каждое сообщение в них (групповых комнат в архиве сегодня нет), ваши Факты памяти, каждого созданного вами персонажа с его лорбуком, ваши собственные лорбуки, ваши персоны, ваш журнал Sparks и ваши подписки — одним файлом JSON, из Настроек или через GET /me/export. Мы отправим вам на почту подписанную ссылку для скачивания.
Удалить свой аккаунт — в приложении.

Веб-форма на oomfyapp.com/delete-account — исключение из заголовка выше, и мы предпочитаем сказать об этом, а не позволить ей выглядеть второй такой же кнопкой. Она существует для того, кто не может попасть в приложение, и это запрос, который выполняет человек: она создаёт обращение в поддержку, и мы по почте подтверждаем, что запрос пришёл действительно от вас, прежде чем что-либо будет уничтожено, — потому что посторонний, знающий ваш адрес, не должен иметь возможности стереть ваш аккаунт через публичную форму. Отсюда два следствия, о которых стоит знать. Это медленнее, и это требует общения с человеком. И поскольку в момент отправки вы не авторизованы, введённый вами адрес сохраняется в этом обращении в поддержку, куда очистка при удалении не доберётся никогда, потому что оно никогда и не было привязано к аккаунту. Удаление изнутри приложения избавляет и от того, и от другого.

У вас также есть право на исправление, ограничение обработки, возражение и подачу жалобы в ваш орган по защите данных. Напишите на [email protected], и мы ответим в течение 30 дней.

7. Кризисные перенаправления

Если наш классификатор обнаруживает кризис в отправленном вами сообщении, персонаж немедленно выходит из роли, и мы показываем вам реальные, человеческие ресурсы кризисной помощи (полный протокол здесь). Сообщение, которое это вызвало, классифицирует ИИ-провайдер — на тех же основаниях, что и всё остальное в §3.

Мы фиксируем факт перенаправления. Закон Калифорнии SB 243 требует, чтобы операторы сообщали количество выданных кризисных перенаправлений в Управление по предотвращению самоубийств начиная с июля 2027 года, а мы не можем сообщить число, которого не вели.

Предыдущая версия этой политики описывала эту запись как «отметку времени и счётчик». На самом деле в ней больше, и мы предпочитаем исправиться сами, а не дать вам обнаружить это позже. Запись содержит: когда это произошло, какая модель-классификатор приняла решение и насколько была в нём уверена, что сделали мы, какие ресурсы вам показали, нажали ли вы на карточку, ваш регион на тот момент, отчётный год и ссылки на ваш аккаунт, чат и сообщение. Текста сообщения в ней нет. В отличие почти от всего остального, она переживает удаление аккаунта — со снятыми с неё ссылками на ваш аккаунт, ваш чат и ваше сообщение, так что остаётся событие, а не вы, потому что уничтоженный счётчик — это счётчик, который мы не сможем сообщить.

8. Хранение

Активный аккаунт: мы храним ваши данные, пока у вас есть аккаунт.
Деактивированный: 30 дней, затем данные считаются удалёнными. Повторный вход восстанавливает их.
Удалённый: ваш аккаунт становится недоступен немедленно, а ваша почта и псевдоним заменяются в тот же день в самой строке аккаунта — с одним исключением, которое мы предпочитаем назвать сами, а не дать вам его обнаружить (остальные места, где копия может уцелеть, перечислены ниже): если модератор когда-либо применял меру к вашему аккаунту, в журнале аудита администраторов хранится копия того, как этот аккаунт выглядел в тот момент, включая адрес почты, и её ничто не вычищает (см. ниже). Через тридцать дней запускается очистка, и она уничтожает строки, а не помечает их: ваши чаты и сообщения и всё, что из них написано, — краткие пересказы, Факты памяти, Моменты и ответы под ними, ежедневный вопрос и ваш ответ на него, незакрытые линии, заметки о привязанности, — ваши групповые комнаты и реплики в них, ваши персоны и лорбуки, записи об изображениях и голосе, ваш прогресс историй и игр, устройства и push-токены, уведомления и настройки уведомлений, ваши каналы просмотра и заглушённые слова, привязанные способы входа, сессии, вашу серию ежедневных отметок, лайки, отзывы, подписки на других, сделанные вами блокировки, ваши продуктовые события и показанные вам промо, ваши посуточные счётчики использования, ваш баланс Sparks, активации купонов, отправленные вами приглашения, запись о любом отклонённом нами персонаже, поданном на публикацию, тихие сигналы безопасности, которые говорили лишь о том, что в такой-то день вам, похоже, было тяжело, и любую переписку, которую мы с вами начали. Та же очистка удаляет запись о том, откуда пришёл ваш аккаунт (§1), и ваши попытки покупки.
Честные исключения внутри этой очистки. Созданных вами персонажей — всех до единого, а не только опубликованных — мы делаем приватными и выключаем, а не уничтожаем, потому что с опубликованными другие люди находятся посреди разговора. Ваши изображения — аватар и обложку, лица ваших персон и каждое изображение, которое вы сгенерировали или загрузили, — очистка сама удаляет из хранилища, как только её изменения в базе данных зафиксированы. Не удаляются файлы трёх видов: портрет или обложка, которыми всё ещё пользуется ваш сохраняющийся персонаж или сцена, потому что их по-прежнему видят другие люди; изображение, отклонённое нашей проверкой безопасности, — мы храним его как доказательство модерации; и голосовые фрагменты, общие для всех, кто слышал ту же реплику, поэтому очистка их только отвязывает. Такие файлы освобождаются вручную, из админ-консоли, которая показывает неиспользуемые объекты человеку на просмотр, прежде чем что-либо будет удалено, — автоматического прохода и фиксированного срока для них нет, поэтому они могут пережить указывавшие на них строки сколь угодно долго. (Бесплатные голосовые фрагменты — единственное исключение внутри исключения: аудио, которое создаёт наш собственный голосовой сервер, удаляется из хранилища, как только истечёт срок ссылки на него, тем же кодом, который его и создал.) И собранный для вас архив экспорта стоит на той же ручной опоре: отправленная вам ссылка перестаёт работать через 72 часа, а сам файл автоматически не удаляется ничем.
Что сохраняется намеренно, потому что это наша собственная запись. Это те уцелевшие записи, о которых нам известно, и список удлинялся каждый раз, когда мы шли проверять, — поэтому считайте его честным состоянием дел, а не обещанием, что это последнее слово: финансовые записи — столько, сколько требует налоговое законодательство, — покупки, подписки, заработок создателей и выплаты создателям, в которых названы реквизиты выплаты, которые вы нам дали, статус проверки KYC, при котором она была произведена, любая пометка из этой проверки и антифрод-оценка, по которой выплата была одобрена, — а она оценивает аккаунты, которые общались с этим создателем, и называет их по идентификатору аккаунта, так что ваш идентификатор может остаться в чужой строке выплаты и после вашего ухода, — и ваш журнал Sparks; привязки чеков магазинов (непрозрачный идентификатор чека, а не человек, — иначе схема «купи, удали, перерегистрируйся, повтори» была бы рабочей уязвимостью); webhook-чеки, которые присылает нам платёжный провайдер, хранимые дословно и без изъятий — для веб-платежа это означает адрес электронной почты, номер телефона и UPI-идентификатор, которые вы дали платёжному провайдеру, и до них не добирается ни очистка, ни какой бы то ни было срок хранения, потому что эта строка не привязана к вашему аккаунту и ничто в продукте её не удаляет; запись о кризисном перенаправлении из §7 — со снятыми с неё ссылками на аккаунт, чат и сообщение; поданное вами обращение в поддержку целиком — тема, ваше первое сообщение, всё, что вы написали в этой переписке потом, и любой присланный вами скриншот, причём сам сохранённый файл изображения, а не только строка, потому что автоматически его ничто не выметает, — с отвязанным от него вашим аккаунтом и с адресом почты на нём лишь в одном случае: обращение, поданное, когда вы были авторизованы, адреса не несло никогда, так и задумано, а вот поданное через веб-форму без авторизации сохраняет введённый вами адрес, и его ничто не убирает; поданные вами жалобы на чужой контент — с отвязанным от них вашим аккаунтом, но с оставленным на них текстом, который написали вы; взыскания и решения о применении мер, вынесенные по вашему аккаунту, с причиной, зафиксированной в тот момент; записи модерации о предпринятых нами действиях; журнал аудита администраторов — каждое действие администратора, в отношении кого и почему, — который, если такое действие когда-либо применялось к вашему аккаунту, хранит этот аккаунт таким, каким он выглядел в тот момент, включая тогдашние адрес почты, псевдоним, отображаемое имя и описание, — без всякой очистки и без срока; строки затрат на ИИ и счётчиков токенов, ни к какому аккаунту не привязанные; любая версия промпта, которую вы написали или продвинули через нашу консоль, — с убранным вашим именем; и урезанная строка аккаунта, в которой остаются ваш регион, часовой пояс, язык, даты принятия вами этих условий, даты создания и удаления аккаунта и токен аккаунта магазина. И ещё одно, только наше. Если ваш аккаунт был среди тех, что мы отметили как принадлежащие нашей собственной команде, тестировщику или проверяющему магазина приложений, эта отметка сохраняется, чтобы аккаунт не попадал в нашу статистику использования.
Что сохраняется потому, что принадлежит другим людям: опубликованные вами сцены остаются опубликованными и проходимыми, а ваше имя на них заменяется на «Deleted user», потому что другие люди прошли их до середины; помесячный счётчик того, сколько сообщений вы обменяли с каждым персонажем, остаётся в статистике создателя этого персонажа — привязанный к идентификатору вашего удалённого аккаунта и больше ни к чему из того, что было вами; принятое вами приглашение остаётся в аккаунте того, кто вас пригласил, — это его запись о приглашении, за которое ему заплатили, — и к тому моменту она называет ваш удалённый аккаунт и больше ничего о вас; и блокировки, которые другие люди поставили на вас, остаются, потому что это их решение, а не ваше.
Что хранится без вашего аккаунта: каждое удаление и каждая деактивация, которые вы делаете сами в приложении или веб-приложении, записывают одну строку, в которой никто не назван, — что это было из двух, показывался ли вопрос при закрытии аккаунта, ответ, если вы его дали, платформа, версия и язык приложения, сколько времени существовал аккаунт и сколько сообщений он отправил (диапазонами, никогда не точными числами) и неделя, когда это случилось. В ней нет идентификатора аккаунта, никакого другого идентификатора и времени суток. Из текста, который вы ввели, перед сохранением убираются адреса, ссылки, хэндлы и длинные номера, а через 26 недель он стирается; имя, которое вы напишете, убрать нельзя ничем, поэтому, пожалуйста, не пишите имён. У остальной части строки срока нет.
Фиксированные сроки, которые мы соблюдаем, независимо от того, уйдёте вы когда-нибудь или нет: сессии входа и их IP-адреса — 60 дней: ночной проход удаляет сами строки сессий, поэтому IP-адрес и устройство, записанные при входе, не живут дольше сессии, которая их записала; продуктовые события — 180 дней; ваш ящик уведомлений — 90 дней и не более 200 самых свежих; сигналы безопасности — 90 дней; журналы запросов веб-сервера — около 14 дней; журналы приложения ротируются по размеру, а не по дате; резервные копии базы данных — около 7 дней. Там, где эта политика не называет срока, считайте, что срока нет, а не что мы его тихо не указали.
Срока нет вовсе: адрес, введённый в форму листа ожидания, когда-то стоявшую на нашем сайте. Формы больше нет, а записи, которые она собрала, остались. Он не привязан ни к какому аккаунту, его не трогает ни один проход очистки и ничто в продукте его не удаляет — напишите нам, и мы уберём его вручную. Мы предпочитаем назвать этот пробел, а не оправдывать его.

9. Дети

oomfy ai предназначен для лиц 18+, и версии для несовершеннолетних не существует вовсе. Мы сознательно не собираем данные ни от кого младше 18 лет, а если обнаруживаем, что собрали, — удаляем их и прекращаем действие аккаунта. См. Стандарты безопасности детей.

10. Международная передача данных

Мы работаем по всему миру, и компании из §3 — тоже. Ваши данные могут обрабатываться в Индии, Европейском союзе, Соединённых Штатах и — поскольку DeepSeek является компанией из Китая и обрабатывает сегодня большую часть ответов в чате — в Китае, а также в любой другой стране, из которой вас обслуживает компания, названная в §3. Передача за пределы ЕЭЗ/Великобритании осуществляется на основании Стандартных договорных условий.

Если вы предпочли бы, чтобы ваши беседы вообще не уходили стороннему ИИ-провайдеру, отзыв согласия на ИИ (§3) — это тот самый выключатель, который это останавливает.

11. Контакты

Защита данных: [email protected]
Сотрудник по рассмотрению жалоб (Индия, IT Rules 2021): [email protected] — мы подтверждаем получение в течение 24 часов и решаем вопрос в течение 15 дней.