Это черновик. Он точно описывает, что приложение делает с данными
сегодня. Его не проверял юрист, и это нужно сделать до публикации.
SOSI управляется издателем, указанным в карточке магазина приложений. Вопросы по этой политике — на адрес поддержки, опубликованный там же.
При создании аккаунта. Твой адрес почты и пароль, который мы никогда не видим: Firebase Authentication хранит только хеш. Если ты входишь через Google или Apple, мы получаем адрес почты и отображаемое имя, которые они нам передают.
С чем ты согласился. Какую версию этих документов ты принял, когда и каким из трёх способов регистрации пришёл. Мы храним это, потому что должны иметь возможность показать, что тебя спросили, и потому что только так мы знаем, кто ещё не видел более новую версию. Прочитать это можешь только ты, и оно удаляется вместе с аккаунтом.
Твой профиль. Имя, необязательное имя пользователя, необязательное краткое описание, необязательное фото, город и район, которые ты вводишь, и выбранные интересы. Это видно всем, кто вошёл в приложение, — в этом и смысл.
Где ты примерно находишься. Если разрешишь, мы один раз берём твоё местоположение и округляем его перед сохранением. Сохранённое значение точно примерно до километра. Оно нужно только для сортировки планов по расстоянию и никому не показывается. Это можно полностью пропустить и вписать район; приложение работает и так.
Планы, которые ты создаёшь или к которым присоединяешься. Название, описание, место, время и число мест. Точка на карте, публикуемая вместе с планом, округлена примерно до 110 метров. Точный адрес, если организатор его указал, хранится отдельно и доступен только присоединившимся.
Сообщения. То, что ты пишешь в групповом чате плана, и то, что пишешь ассистенту.
Твоё устройство. Один push-токен на устройство, чтобы до него дойти. Никакой рекламный идентификатор не собирается.
Подтверждение, что вы человек. При регистрации вы проходите короткую проверку через камеру: помещаете лицо в овал, и видео передаётся в Amazon Web Services в Ирландии, где отвечают на один вопрос — перед камерой живой человек? Нам возвращается оценка, и больше ничего. Ни мы, ни AWS не храним фото или видео вашего лица. Лицо — биометрические данные, поэтому это происходит только с вашего явного согласия, которое вы даёте на том экране. Обойти это нельзя: все в SOSI прошли ту же проверку, и только это делает обещание чего-то стоящим.
Мы не отслеживаем тебя в других приложениях и на сайтах. В этом приложении нет ни рекламного SDK, ни аналитического. Мы не продаём данные — и продавать некому: кроме перечисленных ниже обработчиков, действующих по нашим указаниям, твои данные не получает ни одна третья сторона.
Та часть ассистента, которая находит планы, работает целиком на наших серверах: ранжирование, которое учитывает твои интересы, расстояние до плана, время начала и заполненность. Для этого ничего о тебе за пределы проекта не уходит.
Наружу что-то отправляет только Premium-чат. Когда ты пишешь там сообщение, мы отправляем Anthropic твоё сообщение, недавнюю переписку, твой город и интересы, а также короткий список планов, которые ты и так вправе видеть. Мы не отправляем твоё имя, почту или координаты. Anthropic обрабатывает это, чтобы сформировать ответ, и не использует для обучения моделей. Если ты никогда не пользуешься Premium-чатом, в Anthropic о тебе не уходит ничего. Переписка хранится в твоём аккаунте, пока ты её не очистишь.
| Кто | Для чего | Где |
|---|---|---|
| Google (Firebase) | Аккаунты, база данных, файлы, push | ЕС (eur3, europe-west3) |
| Anthropic | Чат с ассистентом в Premium | США |
| Amazon Web Services | Разовая проверка живости | ЕС (Ирландия) |
За пределы ЕЭЗ передаётся только сообщение из Premium-чата. Эта передача основана на стандартных договорных условиях обработчика. Бесплатный ассистент не передаёт ничего.
Данные аккаунта хранятся, пока существует аккаунт. Планы и их сообщения сохраняются, чтобы те, кто там был, могли их видеть.
Аккаунт можно удалить самостоятельно, в приложении: Настройки → Удалить аккаунт. Периода ожидания нет. Профиль, адрес почты, настройки, загруженные изображения, сообщения в групповых чатах и результат проверки живости удаляются, и войти в аккаунт больше нельзя.
Две вещи переживают аккаунт, и обе — запись других людей, а не ваша. Прошедшие планы остаются для тех, кто там был, — без имени и фото. Жалобы на безопасность от аккаунта или о нём остаются у модерации; иначе удаление аккаунта было бы способом отменить жалобу.
Для аккаунта, который остаётся открытым, автоматического предельного срока хранения по-прежнему нет.
Проверка живости не оставляет изображения. Мы храним факт прохождения, дату и оценку уверенности — пока существует ваш аккаунт.
Журналы модерации работают отдельно. Решения модератора — предупреждение, приостановка, удалённый контент — хранятся два года вместе с тем, кто принял решение, когда и почему; поиск сотрудником учётной записи по адресу почты хранится девяносто дней. По истечении срока запись удаляется сама.
Текст сообщения, удалённого модерацией, копируется в этот журнал, чтобы решение можно было пересмотреть. Если ты удалишь свою учётную запись, этот текст тоже изымается, и остаётся только решение: кто, когда, почему. Это запись о том, что сделали сотрудники, а не о том, что написал ты; иначе удаление учётной записи было бы способом стереть след того, что тебя модерировали.
По GDPR ты можешь запросить копию своих данных, потребовать их исправления или удаления, возразить против обработки или подать жалобу в надзорный орган по защите данных. Напиши на адрес поддержки; отвечаем в течение месяца.
SOSI не предназначено для людей младше 18 лет. Продукт построен вокруг личных встреч с незнакомыми людьми, и это не услуга, которую мы предлагаем несовершеннолетним.
Трафик шифруется при передаче. Правила на стороне сервера решают, что может читать каждая учётная запись: телефон другого человека не может прочитать твои координаты, твою почту или твои настройки уведомлений, и ничто, несущее доверие — число участников, статус премиума, решения модерации — вообще не может быть записано с телефона.
Ограниченное число уполномоченных сотрудников может обращаться к этим данным для модерации: чтобы разобрать жалобу, решить апелляцию или ответить на твой запрос. Каждое такое обращение требует письменной причины и заносится в журнал, который мы храним. По умолчанию эти данные сотрудникам не показываются; они остаются скрытыми, пока кто-то не откроет их намеренно.
Если эта политика существенно изменится, мы скажем об этом в приложении до вступления изменений в силу.