Назад на Whisprompt

Политика конфиденциальности

Обновлено: 5 ноября 2026 г.

Эта страница — перевод, сделанный для того, чтобы документ можно было прочитать на своём языке. Оригинал — английская версия; при расхождении преимущественную силу имеет английский текст.

Whisprompt построен по принципу privacy-first. Эта политика объясняет, что мы делаем и, что не менее важно, чего мы не собираем. Она распространяется на все приложения Whisprompt — на телефоне, планшете, часах, телевизоре и компьютере, будь то Mac или Windows, — и на этот сайт. Если что-то относится только к одному из них, это сказано прямо.

Коротко: ваши скрипты остаются на ваших устройствах и до нас не доходят; никуда больше они не уходят, если вы сами не подключите сторонний сервис (раздел 3). Распознавание речи выполняет сам телефон, и для этого он может обращаться к серверам Apple или Google; установите офлайн-пакет языка — и звук не покидает устройство вовсе. До нас он не доходит ни в том, ни в другом случае. Аккаунт не обязателен, данные мы не продаём. Приложение может измерять, насколько хорошо оно работает, — счётчики и длительности, ни слова из того, что вы пишете или говорите, — но только если вы согласитесь: до вашего «да» не измеряется ничего, вопрос приходит только после того, как вы приложением воспользуетесь, и ваш ответ распространяется на устройства, которые вы связали как свои (раздел 6).

1. Кто отвечает (контролёр данных)

Leonid Kabanov (autónomo), Испания. Контакт: support@whisprompt.app. Полные реквизиты — в разделе Импринт. Мы учреждены в Испании, то есть в Европейском союзе, поэтому статья 27 GDPR, требующая назначить представителя в Союзе, к нам не применяется. Специалиста по защите данных мы не назначали и не обязаны: Whisprompt — не государственный орган, он не ведёт регулярного и систематического наблюдения за людьми в больших масштабах, и ни одна специальная категория данных до нас не доходит. Надзорный орган по месту нашего учреждения — Agencia Española de Protección de Datos (AEPD), aepd.es.

2. Данные, обрабатываемые на устройстве

3. Данные, обрабатываемые подключёнными вами сервисами

Некоторые опциональные функции подключаются к сервисам, которые вы авторизуете. Мы выступаем лишь как ваш клиент; каждый провайдер — самостоятельный контролёр со своей политикой:

4. Подписка и Pro

Аккаунтов в Whisprompt нет. Входить некуда и создавать нечего, адрес почты мы не запрашиваем ни у одного провайдера, и ни имени, ни адреса у нас для вас нет. Суфлёр, запись и трансляция работают и так, а подписка покупается и восстанавливается без аккаунта. Код необязательного аккаунта в приложении остаётся — вход через Apple, обработчик Supabase, — но он мёртв: включают его ключи, с которыми приложение не собирается, поэтому экрана входа нет, в Supabase ничего не уходит и адрес почты не собирается. Если аккаунт появится, эта страница опишет, что он обрабатывает, — до выпуска, который его принесёт, а не после.

5. Трансляция на ваши другие устройства

Whisprompt умеет вести суфлёр сразу на нескольких ваших устройствах. В одной локальной сети они соединяются напрямую. Если общей сети нет, соединение идёт через наш ретранслятор на Cloudflare Workers:

6. Данные об использовании

Whisprompt может измерять, насколько хорошо он работает, и присылать нам эти замеры — счётчики, длительности и коды, ни слова из того, что вы пишете или говорите. Ничего из этого не происходит, пока вы не согласитесь. До вашего «да» нет ни замеров, ни идентификатора, ни каких-либо записей об этом на устройстве. Приложение спрашивает один раз и никогда — в момент, когда вы его только открыли: на вопрос, заданный до того, как приложение хоть что-то сделало, ответить не из чего. Вопрос приходит после того, как ваше первое чтение куда-то дошло, — или, если раньше этого вы подключаете второе устройство, в конце подключения, на одной карточке вместе с вопросом ниже о том, считать ли ваши устройства одним человеком. У этой карточки два ответа и никакого третьего выхода: она не закрывается ни от нажатия рядом с ней, ни по кнопке «назад», — карточка, закрытая случайным касанием, записала бы отказ, которого вы не давали. Пока вы не ответили, не записывается ничего: если карточку убрало с экрана что-то другое — приложение закрылось, его сменил другой экран, — вопрос просто остаётся открытым и вернётся после следующего чтения. А после вашего ответа, любого из двух, он не возвращается вовсе. Ваш ответ распространяется на устройства, которые вы связали как свои, и карточка говорит об этом там, где вы его даёте: устройство, связанное позже, примет этот ответ при следующем соединении и прямо сообщит вам об этом, вместо того чтобы задавать тот же вопрос второй раз. Работает это в обе стороны: выключите замеры на одном из ваших устройств — остальные тоже перестанут. Единственное отличие — компьютер: выключение замеров на телефоне или планшете выключает их и на связанном компьютере, но ответ, данный на компьютере, будь то «да» или «нет», остаётся на этом компьютере; как измеряет приложение для компьютера, сказано в конце пункта «Что измеряется» ниже. Ответ, данный на устройстве, никогда не перезаписывается пришедшим с другого, поэтому выключение здесь нельзя отменить устройством, которое об этом ещё не слышало. Скажете «нет» — больше ничего в приложении не изменится, и это устройство больше не спросит. Скажете «да» — переключатель останется в настройках приложения, в разделе «Данные об использовании», и выключить его можно в любой момент, не объясняя причин. На чём это держится юридически — в разделе 9; способы отозвать согласие — в конце этого раздела. Выключение останавливает сами замеры, а не только отправку, и удаляет с устройства идентификатор из пункта ниже, всё, что ещё не было отправлено, и заметку о начатом чтении, описанную в пункте «Что измеряется».

6a. Отчёты о сбоях — отдельное разрешение, выключенное, пока вы его не дадите

Если приложение перестало работать, оно может прислать нам отчёт об этом. Это не часть замеров из раздела 6: другая цель, другой получатель и свой отдельный переключатель. Вопрос задаётся на отдельной карточке, прямо перед вопросом о замерах, и отвечается отдельно — «да» одному не является «да» другому ни в одну сторону. Эта карточка устроена так же, как карточка о замерах: два ответа, никакого третьего выхода и ничего не записывается, пока вы не ответите.

Он выключен, пока вы его не включите. До этого для него ничего не устанавливается и ничего не отправляется — из этого правила исключений нет вовсе. Исключения есть из хранения, и их ниже два. Оба существуют, чтобы задать вам вопрос, а не чтобы что-то собрать; оба про сбой, который уже с вами случился; и ни один ничего не отправляет, пока вы не ответите.

Первое — сбой при запуске. Если Whisprompt не запускается вовсе, задать вам вопрос позже уже негде, поэтому экран ошибки задаёт его прямо там. Если отчёты о сбоях у вас уже включены, один отчёт об этом сбое отправляется, и экран сообщает, что отправил. Если вы их уже выключили, ничего не предлагается и ничего не отправляется. Если вас никогда не спрашивали, экран спрашивает — отправить этот отчёт, не отправлять или отправлять и впредь, — и до вашего выбора с устройства не уходит ничего. Отчёт, отправленный так, меньше описанного ниже: он не несёт никакого идентификатора вовсе и говорит, где приложение остановилось, какой оно было версии и какая это операционная система, — ничего больше об устройстве, ни языка интерфейса, ни того, что происходило перед этим. Получатель тот же — Sentry, те же серверы в Европе; сказанное ниже про интернет-адрес, с которого приходит отчёт, относится и к нему. Ответ «отправлять и впредь» — тот же ответ, что и переключатель в настройках, и выключается он там же. Тот же экран с теми же тремя ответами появляется и тогда, когда отказывает отдельная часть приложения на ходу, а не при запуске. Это касается только приложения для телефона и планшета: у приложений для Mac и телевизора такого экрана нет.

Второе — сбой, о котором мы не смогли спросить вовремя: приложение исчезло раньше, чем вы успели ответить, или вы закрыли его вместо ответа. Если вас никогда не спрашивали, один отчёт об этом остаётся на вашем устройстве, и при следующем нормальном запуске приложение скажет об этом внизу экрана и задаст вопрос. Это ровно один отчёт, а не очередь: второй сбой его не заменяет. Ничего из него не уходит, пока вы там не согласитесь. Он удаляется, когда вы ответили любым образом, когда вы велели той полоске его удалить, когда отчёты о сбоях выключены — и в любом случае через семь дней после того, как был сохранён. Это единственное, что хранится на вашем устройстве ради отчётов о сбоях до того, как вы на что-либо согласились, и мы предпочитаем назвать это прямо, а не позволить абзацу выше подразумевать, что там пусто: оно существует ради того, чтобы вопрос вообще можно было задать. Так возвращаются те сбои, которых мы иначе не увидели бы никогда, — первые запуски совсем новой установки, самые тяжёлые из всех, и принадлежали они ровно тем людям, до кого вопрос ещё не дошёл. Чего так не вернуть — сбой, который обрабатывает сама операционная система, ниже приложения: для них отчёты по-прежнему нужно включить заранее.

Мы не кладём ключ обработчика в выпуск, пока не действует соглашение об обработке данных с ним. Что есть у Sentry помимо присланных людьми отчётов — это наши собственные тестовые отчёты с машины разработчика, отправленные, чтобы проверить, что имена, пути и адреса действительно вычищаются. Они наши, а не ваши, и мы их удаляем.

6b. То, что вы отправляете нам сами

В приложении есть экран «Отправить отзыв». Этот экран — в приложении для телефона и планшета. На компьютере «Отправить отзыв» открывает вашу собственную почтовую программу с письмом нам, последние строки которого, под разделителем, называют версию и номер сборки приложения, марку и модель компьютера, его операционную систему и её версию, тип процессора и то, работает ли приложение через эмуляцию, какой это компьютер и держали ли его в тот момент как планшет, есть ли у него сенсорный экран или перо, а также язык приложения. Они вписаны в само письмо, где вы можете их прочитать и удалить любую из них до отправки; отправляете вы обычное письмо нам, и с ним не уходит ничего, чего в нём нет. Пока вы не нажали «Отправить», к нам не уходит ничего; когда нажали — уходит то, что вы написали, плюс то из необязательного, что вы решили приложить. Это не замер и не отчёт о сбое: текст пишете вы, что приложить — решаете вы, и используется он только чтобы вам ответить и починить то, о чём вы сообщили.

После отправки приложение справляется о судьбе обращения. Пока какое-либо из ваших обращений ещё открыто — ожидает рассмотрения, принято в работу или ожидает вашего ответа на вопрос, который мы задали, — или было закрыто либо дописано вами не больше тридцати дней назад, приложение спрашивает у нашего сервера, в каком оно сейчас состоянии, вместе со всем, что мы о нём написали: при запуске приложения, когда вы в него возвращаетесь, и раз в час, пока оно открыто, но не чаще одного раза в пятнадцать минут. Когда вы открываете «Мои обращения» и когда пишете там в переписке, приложение спрашивает о том же по всем обращениям, отправленным с этого устройства, включая уже выполненные и те, что мы не планируем делать; а пока переписка открыта на экране, оно спрашивает снова каждые двадцать секунд и досылает то ваше, что ещё ждало связи. В этом вопросе нет ничего, кроме идентификаторов ваших же обращений, которые приложение сохранило при отправке: ничего нового о вас при этом не собирается, и, кроме уведомлений, о которых ниже, это единственное здесь, что происходит без вашего нажатия. Ответы хранятся на устройстве, чтобы экран читался и без сети, и исчезают вместе с приложением. Каждое отправленное обращение — это переписка с нами: всё, что вы в ней напишете, спросили мы вас о чём-то или нет, уходит новым сообщением — по тем же правилам и с тем же, что уходит всегда. В одну переписку можно написать до тридцати сообщений в день; следующее подождёт на устройстве и уйдёт позже само.

Когда мы отвечаем, приложение может сообщить вам об этом. После того как ваше первое обращение отправлено, приложение один раз спрашивает, можно ли показывать вам уведомления. Вопрос задаёт ваша система, и ответ тоже остаётся за вами: его можно в любой момент изменить в настройках устройства. До вашего разрешения ничто, связанное с уведомлениями, никуда не уходит. Если вы разрешите, служба уведомлений устройства выдаст приложению адрес этой установки — служба Apple на iPhone или iPad, Firebase Cloud Messaging от Google на Android, которая для этого хранит и собственный идентификатор этой установки, — и приложение отправит этот адрес на наш сервер вместе с идентификаторами ваших же обращений, а повторно — только когда что-то из этого изменится. Когда мы пишем что-то о вашем обращении, наш сервер передаёт этот адрес Apple или Google с одной фразой для показа: что мы ответили, и код обращения. Того, что мы написали, в ней нет — это вы читаете в приложении. Пока приложение открыто, уведомление не показывается вовсе, просто обновляются «Мои обращения». Apple и Google доставляют уведомления на своих условиях, как и для любого приложения, которое ими пользуется, и видят адрес, код обращения и эту фразу — больше ничего. Адрес хранится в Cloudflare рядом с обращениями, для которых он выдан, и удаляется вместе с ними или раньше: когда приложение его заменит, когда приложение сообщит нашему серверу, что вы выключили уведомления, или когда Apple или Google сообщат нам, что он больше не работает. На Android без сервисов Google ничего нигде не регистрируется: вместо этого раз в несколько часов приложение само задаёт нашему серверу вопрос, описанный выше, — с теми же идентификаторами и ничем больше — и показывает уведомление само.

Что уходит с сообщением всегда — потому что обращение, которое не к чему привязать, нечем и отработать: версия и номер сборки приложения, операционная система и её версия, модель устройства, язык и регион, выставленные на устройстве (например, es_ES — это испанский язык в Испании), и язык, на котором показан интерфейс самого приложения. С ними уходит и случайный идентификатор подписки из раздела 4, если он на этом устройстве есть, — а есть он с первой покупки на этом устройстве или с того момента, как его связали с устройством, где такая покупка была, — для одной-единственной проверки, описанной ниже, после которой наш сервер его не хранит. Экран называет всё это до отправки, так что, пока вы пишете, вы уже знаете, что уйдёт.

Что уходит, только если вы это добавили. Файлы — до трёх, снимки экрана или короткая запись экрана, выбранные вами из вашей же галереи; мы получаем то, что вы приложили, и ничего сверх того. Адрес для ответа, если ответ вам нужен; без него мы всё равно прочитаем каждое слово — и просто не будем знать, кто написал. И идентификатор замеров из раздела 6, за переключателем, который появляется, только когда прикладывать есть что: именно он позволяет посмотреть, как приложение вело себя до того, как вы написали.

Единственное, что мы выясняем сами, — пришло ли сообщение от подписчика, чтобы ответить на него первым. Устройство отправляет случайный идентификатор подписки из раздела 4, наш сервер спрашивает у RevenueCat, действует ли подписка, и записывает только ответ — да или нет, — но не сам идентификатор. Поэтому связи между тем, что вы сказали, и тем, что вы купили, не возникает.

Обращения хранит для нас Cloudflare на серверах в Западной Европе: текст — в базе данных, файлы — в объектном хранилище, и то и другое под номером обращения, который приложение показывает вам после отправки. Они хранятся два года и затем удаляются автоматически, а по вашей просьбе — раньше: назовите этот номер или что-то ещё, по чему обращение можно найти. Их читаем мы — и модель, о которой речь дальше; ни для чего другого они не используются: ни для замеров, ни для профилирования, ни для обучения чьего-либо ИИ, ни для решений о вас.

Письмо нам по почте — то же самое. Письмо на support@whisprompt.app или privacy@whisprompt.app приходит к нам через Cloudflare, который без изменений пересылает его в наш ящик Gmail и сохраняет как обращение — в той же базе данных и том же файловом хранилище, под собственным номером обращения: что вы написали, тему, адрес, с которого вы писали, и приложенные файлы — в тех пределах, которые приложение устанавливает для своих вложений. Всё, что выходит за эти пределы, — файл, письмо, слишком большое для них, или больше десяти писем за час с одного адреса — попадает только в копию в Gmail и больше никуда. Никаких сведений о вашем устройстве с письмом не передаётся: письмо их не содержит. Письмо, отправленное автоматически, — автоответ об отсутствии, уведомление о доставке, рассылка — попадает только в ящик. Когда мы отвечаем, ответ приходит с того адреса, на который вы писали, с номером обращения в теме, и всё, что вы напишете в ответ, продолжает ту же переписку. Всё, что дальше в этом разделе сказано об обращении, — кто читает его первым, куда попадают его копии, сколько оно хранится и как добиться его удаления, — относится и к письму.

Первой их читает машина, и она не наша. Каждое новое обращение сначала читает модель ИИ — Claude компании Anthropic, — которой мы поручили одно дело: понять, о чём обращение, насколько оно важно и к какому месту приложения относится, перевести его для нас на русский и набросать, что мы могли бы ответить. Ничего из того, что видно вам, она не решает. Статус и пометка на экране «Мои обращения», письмо вам, задача в нашем трекере — всё это делается только по нашему слову, после того как кто-то из нас прочёл, что она предлагает. Для этой работы то, что вы отправили, целиком или частью получают четыре сервиса помимо Cloudflare:

Эти четыре — не наши обработчики из раздела 10: каждым из них мы пользуемся на его собственных условиях, как любой его пользователь, и никакое соглашение об обработке данных не связывает их с нами. Не доходит до них и ночное удаление. Оно охватывает нашу базу данных и файловое хранилище в Cloudflare — там же хранится и каждая сводка, отправленная в Telegram, два года со дня отправки, — и ничего за их пределами. То, что есть у этих четырёх, остаётся там, пока мы не удалим это вручную, и когда вы просите удалить ваше обращение, мы удаляем и это — во всех четырёх местах и в этих сводках. На каждой копии стоит номер обращения, по нему мы её и находим. После того как мы удалили прогон из своей учётной записи, у Anthropic по его условиям есть 30 дней, чтобы стереть его из своих систем.

Наши ответы по почте отправляет Brevo — компания во Франции и один из наших обработчиков (раздел 10), — пишете ли вы из приложения, указав адрес, или по почте. Она получает то, что нужно для отправки письма, — ваш адрес, тему и наш ответ, — отправляет его с нашего адреса и хранит запись об отправке — адрес, тему и время отправки — один месяц, после чего Brevo её удаляет. Сам ответ она не хранит.

Одно предупреждение про картинки: снимок экрана содержит всё, что было на экране в тот момент, включая текст, который вы читали. Прикладывайте только то, что готовы нам отдать, а мы удалим то, что нам не нужно.

Просьба добавить язык. Там, где приложение показывает язык, на котором оно пока не говорит, можно попросить нас его добавить. Нажатие «Попросить» отправляет нашему серверу две вещи и ничего сверх них: код языка и случайный ключ, который эта установка создаёт, когда вы просите впервые. Ключ нужен, чтобы просьба, ушедшая дважды из-за плохой связи, не посчиталась за две установки, которым нужен один и тот же язык. Просьба уходит независимо от того, разрешили ли вы замеры из раздела 6: это то, о чём вы нас попросили, а не то, что мы измерили. Она хранится в Cloudflare в Западной Европе, рядом с обращениями, два года со дня поступления и затем удаляется автоматически; кроме нас её никто не читает, и никуда больше она не уходит. Ключ нигде не показывается, даже вам, и ничто из того, что мы храним рядом с ним, не говорит, чей он, — поэтому же мы и не можем отыскать вашу просьбу, чтобы удалить её раньше. На устройстве ключ хранится, пока вы не сотрёте устройство или не удалите приложение.

6c. Вопросы к помощи ИИ

Поиск вверху Настроек может передать вопрос помощи ИИ. Ничего не отправляется, пока вы не нажмёте «Спросить ИИ», и тогда уходит только это: слова, которые вы набрали, язык приложения, настройки, которые встроенный поиск нашёл по этим словам, случайное число, которое приложение создаёт для этой установки, и то, какое приложение спрашивает: его версия и номер сборки, система, на которой оно работает (например, iOS или Android), и откуда оно установлено (App Store, TestFlight, Google Play, RuStore и т. п.). Эти четыре сведения используются только для того, чтобы сформулировать этот ответ: например, сказать, что то, о чём вы спросили, появилось в версии новее вашей. Они не записываются в журналы и не хранятся. Никогда — ваши тексты, записи или что-либо ещё с устройства.

На вопрос отвечает наш сервер в Cloudflare: открытая модель ИИ, которая работает по руководству самого приложения. Cloudflare не обучает на полученном никакие модели, а мы не храним ни вопрос, ни ответ: они существуют, только пока пишется ответ. Ответ показывается с пометкой, что его написал ИИ, потому что он может ошибаться.

Чтобы пресекать злоупотребления, сервер хранит под этим случайным числом счётчики — сколько раз устройство спрашивало за последнюю минуту и сколько раз за последний час спросило что-то не о Whisprompt, — а если такое повторяется, приостанавливает помощь ИИ для этого устройства: сначала на минуту, затем каждый раз вдвое дольше, но не больше суток. Сами вопросы не хранятся никогда. Счётчики удаляются через час после последнего такого вопроса или через сутки после последней приостановки. Ещё сервер считает вопросы, пришедшие с одного интернет-адреса (IP), чтобы одно место не могло израсходовать помощь, рассчитанную на всех: сверх установленного числа за час или за сутки с этого адреса придётся подождать. Сам адрес не хранится — только его необратимый отпечаток (хэш), который меняется каждые сутки, — а эти счётчики удаляются через сутки после последнего вопроса. Приостановка ничего не решает о вас — она касается только помощи ИИ на этом устройстве. Основание — ваше согласие (ст. 6(1)(a) GDPR), которое вы даёте каждый раз, нажимая «Спросить ИИ».

7. Стирание устройства перед тем, как оно уйдёт из ваших рук

В настройках приложения, в разделе «Данные об использовании», есть кнопка «Стереть это устройство». Её и следует нажать перед продажей, возвратом, сдачей в трейд-ин или передачей устройства другому человеку — Условия об этом просят.

Она удаляет с этого устройства: ваши тексты, ваши записи, скачанные голосовые модели, выданные вами подключения к сервисам вроде Notion, идентификатор замеров и все ответы про приватность, которые вы на нём дали. Ещё она выводит устройство из числа ваших связанных, так что оно перестаёт зеркалить библиотеку и делиться подпиской. На остальных ваших устройствах остаётся всё.

Подписки это не касается. Она принадлежит вашей учётной записи App Store или Google Play и восстановится на следующем устройстве.

Два ограничения, названные прямо. Если в момент стирания устройство было офлайн, локальная очистка всё равно доходит до конца, но остальным вашим устройствам об этом не сообщат; приложение так и скажет, а убрать его из списка устройств можно на любом из них. И замеры, отправленные до стирания, им не отзываются — для них есть запрос на удаление в разделе 11.

8. Чего мы НЕ собираем

Сайт не использует cookie. В браузере он хранит две настройки: тему, которую вы задаёте кнопкой с солнцем и луной в шапке, и язык — чтобы в следующий раз whisprompt.app открылся на том языке, на котором вы читали в прошлый раз. Обе доступны только этому сайту, ни одна вас не опознаёт, ни одна не передаётся ни нам, ни кому-либо ещё, и обе исчезают, когда вы очищаете данные этого сайта в браузере. Сайт обслуживается Cloudflare, который видит адрес, с которого вы подключились, — как любой веб-сервер, — и выводит из него только страну, чтобы показать цену вашего магазина.

Обработка звука и текстов для работы суфлёра выполняется для предоставления запрошенной вами функциональности (ст. 6(1)(b) — исполнение договора / по вашему запросу). Опциональные источники, права на подписку и восстановление покупок — на том же основании. Защита ретранслятора от злоупотреблений опирается на наш законный интерес (ст. 6(1)(f)).

Всё из раздела 6 держится на вашем согласии (ст. 6(1)(a)): и сами замеры, и счёт ваших устройств как одного человека под общим идентификатором. На вашем согласии держатся и отчёты о сбоях из раздела 6a — это третье разрешение, не входящее ни в одно из двух: сборщик отчётов хранит данные на вашем устройстве и для работы суфлёра не нужен, так что опереть его не на что, кроме вашего «да». Все три спрашиваются отдельно и отзываются отдельно в любой момент; отозвать не сложнее, чем дать, и не большим числом нажатий. Отзыв действует с этого момента: он не делает незаконным то, что было сделано, пока согласие действовало, и сам по себе не удаляет уже отправленное — об этом нужно попросить, и раздел 11 говорит как. Замеры и отчёты о сбоях отвечаются за человека, а не за аппарат: данный вами ответ доходит до устройства, которое вы связали и которое ещё не спрашивали, — оно прямо сообщает вам, что приняло его, — и никогда не вытесняет ответ, уже данный на устройстве. Счёт устройств спрашивают один раз по близкой причине: это факт о наборе устройств, а не о каком-то одном из них, и «да» на него передаётся остальным устройствам той же подписки. Отзыв едет дальше всех: он доходит до ваших устройств и там, где они уже ответили, — возражение исходит от человека, и между тем, чтобы оно дошло до одного устройства лишнего, и тем, чтобы одно продолжало измерять вопреки воле человека, мы выбираем первое. Мы спрашиваем, а не считаем это само собой разумеющимся, и причину стоит назвать прямо: измерять приложение, храня на вашем устройстве идентификатор, можно было бы без вопроса лишь в том случае, если бы наш обработчик замеров письменно обязался никогда не использовать эти данные в своих целях и сделал невозможным просмотр отдельного человека в собственном инструменте. Мы его об этом не просили — поэтому спрашиваем вас.

Что мы делаем с замерами, стоит назвать, а не описывать отвлечённо: Whisprompt ведёт вас по тексту голосом на всех поддерживаемых языках, качество этого ведения от языка к языку разное, и единственный способ узнать, что на каком-то языке слежение работает плохо, — считать, сколько раз человеку пришлось взять текст в свои руки, в разрезе языка и на достаточном числе установок, чтобы число что-то значило. Замеры об экране подписки отвечают на вопрос поменьше: в какую именно закрытую функцию люди упираются. И в том и в другом случае замеры не несут ничего из написанного или сказанного вами, адрес, с которого они приходят, в местоположение не превращается, идентификатор заменяется через тринадцать месяцев, и ничто не объединяется с данными откуда-либо ещё и не используется для решений о вас.

Ничего из перечисленного здесь от вас не требуется. Ни один закон не обязывает вас это нам предоставлять, и ничто из того, что мы продаём, этим не обусловлено: приложение ставится, суфлёр работает, а подписка покупается и восстанавливается без аккаунта. От разрешения зависит одна функция — слежение за голосом без микрофона невозможно, — и отказ оставляет суфлёр на автопрокрутке: это самостоятельный режим, а не запасной. Замеры из раздела 6 и отчёты о сбоях из раздела 6a не нужны вообще ни для чего: откажите любому из них или обоим — приложение будет вести себя ровно так же. Последствия отказа наступают для нас, а не для вас: у нас просто не будет замера.

Решений о вас автоматизированными средствами мы не принимаем и профилей не строим. Ничто из описанного здесь вас не оценивает, ничего о вас не предсказывает и не относит вас к какой-либо группе; никаких юридических или сопоставимых с ними последствий для вас отсюда не наступает. Автоматически решаются две вещи, и обе — про технику, а не про вас: ретранслятор отклоняет запросы, приходящие слишком часто, и не добавляет седьмое устройство к подписке, которая уже покрывает шесть. Ни то ни другое ничего в вас не взвешивает: одно считает запросы, другое — устройства. Модель, которая первой читает ваши обращения (раздел 6b), их сортирует — о чём каждое и насколько срочным оно выглядит, — но ничего не решает о вас: всё, что от неё доходит до вас, решил кто-то из нас.

То, что вы отправляете нам сами, — сообщение с экрана отзывов или просьба добавить язык (и то и другое — в разделе 6b) или что угодно, посланное письмом, — держится на вашем согласии (ст. 6(1)(a)). Пока вы не отправили, не собрано ничего, а что уйдёт вместе с сообщением, решаете вы, пока пишете. Ответить вам, починить то, о чём вы сообщили, и учесть, какие языки у нас просят, — это и есть исполнение того же самого вашего действия.

10. Обработчики и передача за пределы ЕЭЗ

Каждый обработчик, названный здесь, связан с нами письменным соглашением об обработке данных: оно обязывает его защищать ваши данные по стандарту настоящей политики, обрабатывать их только по нашим указаниям и только для названной здесь цели и никогда — в собственных целях. Наши обработчики — RevenueCat (подписки), Cloudflare (ретранслятор, сообщения, которые вы отправляете с экрана отзывов или по почте, и вопросы, которые вы задаёте помощи ИИ), Brevo (письма, которыми мы вам отвечаем), Amplitude (данные об использовании) и Sentry (отчёты о сбоях) — могут обрабатывать данные за пределами Европейской экономической зоны, в том числе в США. Amplitude принимает замеры на европейской точке приёма, а Sentry хранит отчёты о сбоях в европейском регионе, но обе компании американские, и эти передачи всё равно опираются на условия ниже. Каждая такая передача осуществляется на основании стандартных договорных условий ЕС, включённых в договор об обработке данных с каждым из этих обработчиков: дополнение Amplitude является частью его условий обслуживания и несёт в себе Условия 2021 года, а дополнение Sentry об обработке данных несёт те же Условия вместе с британским дополнением. Brevo — французская компания, её соглашение об обработке данных входит в её условия и точно так же охватывает любую передачу данных, которую Brevo осуществляет за пределы Европейской экономической зоны. Чтобы получить копию условий, на которых держится любая из этих передач, напишите на support@whisprompt.app и назовите обработчика, о котором спрашиваете, — мы пришлём относящиеся к нему условия. (Что у Amplitude есть помимо ваших замеров — это тестовые события, которые мы отправили сами, со своих устройств, чтобы проверить, что адрес, с которого приходит замер, не превращается в местоположение. Они наши, а не ваши, и мы их удаляем.) Соглашения и условия, о которых сказано выше, охватывают этих обработчиков и никого больше. Четыре сервиса, которые, как сказано в разделе 6b, читают, доставляют или хранят то, что вы отправляете с экрана отзывов, — Anthropic, Telegram, Google и GitHub — нашими обработчиками не являются: каждый из них находится за пределами Европейской экономической зоны или хранит полученное за её пределами, и каждый обращается с этим на своих собственных условиях. То же относится к Apple и Google как к службам, которые доставляют уведомления (раздел 6b): нашими обработчиками они тоже не являются. Ни у одного из наших обработчиков нет вашего имени, и лишь два из них могут держать адрес почты. Если вы указали его на экране отзывов, чтобы мы могли ответить, или написали нам по почте, он лежит внутри вашего сообщения в Cloudflare до тех пор, пока это сообщение не удалят; а когда мы отвечаем письмом, Brevo хранит адрес, на который отправила наш ответ, — один месяц (раздел 6b). Кроме этого у них есть случайный идентификатор подписки, идентификаторы устройств, идентификатор, который несут замеры, имя, которое каждое устройство сообщает о себе, и технические сведения о соединении. За их пределами этот адрес вместе с остальным сообщением читает модель у Anthropic, а если вы пишете нам по почте или мы отвечаем вам письмом, он есть и в нашем ящике Gmail — сколько он там хранится, сказано в разделе 6b.

11. Ваши права

По GDPR у вас есть право на доступ, исправление, удаление, ограничение и переносимость данных, а также право на возражение. Ни имени, ни адреса почты мы на вас не заводим: аккаунтов в Whisprompt не существует, а адрес, который вы даёте нам вместе с сообщением, остаётся при этом сообщении (раздел 6b). Но одна запись на нашем сервере есть: если вы пользуетесь Whisprompt Pro на нескольких своих устройствах, мы храним их список — идентификатор, который приложение выдаёт каждому устройству, имя, которое устройство сообщает о себе, и даты добавления и последнего обращения — под случайным идентификатором подписки. Эту запись можно удалить из приложения в любой момент («Настройки» → «Данные на наших серверах»), а всё остальное остаётся на устройстве: тексты, модели и само приложение вы удаляете когда захотите. Чтобы отозвать согласие на замеры использования, выключите их («Настройки» → «Данные об использовании») или напишите нам — оба способа описаны в разделе 6, и любой из них останавливает сбор и удаляет идентификатор с устройства. Чтобы удалить и уже отправленные замеры, попросите нас — мы их удалим: они хранятся под этим одним случайным идентификатором и ни под каким вашим именем. Удаление записи о подписке до них не достаёт, а выключение замеров не достаёт до неё: они намеренно хранятся под разными идентификаторами. Попросите нас удалить то, что нужно, — или и то и другое. Если вы писали нам с экрана отзывов и хотите, чтобы это сообщение и всё приложенное к нему удалили, назовите номер обращения, который показало приложение: по нему мы находим и само сообщение, и его копии, описанные в разделе 6b, а никакого вашего имени, по которому его можно было бы найти, рядом с ним не записано. Если вы писали нам по почте, напишите снова с того же адреса: по этому адресу мы и находим ваши письма. По любым запросам пишите на support@whisprompt.app. Вы также вправе подать жалобу в надзорный орган — по месту жительства, по месту работы или по месту, где, по-вашему, что-то пошло не так. Наш — испанский Agencia Española de Protección de Datos (aepd.es).

12. Сроки хранения

Локальные данные хранятся, пока вы их не удалите или не удалите приложение. Данные о подписке удаляются вместе с профилем клиента в RevenueCat, но обезличенные записи о транзакциях могут сохраняться у RevenueCat и в магазине приложений для целей отчётности. Комнаты ретранслятора живут не дольше четырёх часов, почтовый ящик подключения — до 30 дней, а список устройств вашей подписки — пока не пройдёт год без обращений от них, или пока вы не удалите его из приложения. На замерах использования не стоит даты: сколько они хранятся, решает то, ради чего они собраны. Они живут, пока ещё могут ответить на вопрос, ради которого сделаны, — работает ли та версия приложения, которой люди пользуются сейчас, так, как мы думаем, — и удаляются, когда отвечать на него перестают, либо раньше, если вы попросите удалить ваши. Ничего не хранится про запас. Идентификатор, под которым хранятся замеры, живёт по своим часам, и недолго: он заменяется не позже чем через тринадцать месяцев после создания — срок отсчитывается со дня создания и пользованием не продлевается, — так что запись под одним идентификатором не может охватить больше этого. Отчёты о сбоях хранятся в Sentry не дольше 90 дней. Сообщение, отправленное с экрана отзывов, вместе со всем приложенным хранится два года со дня поступления и затем удаляется автоматически — удаляет его та система, которая его хранит, каждую ночь, а не чья-то память; попросите — и ваше удалят раньше. До копий у Anthropic, Telegram, Google и GitHub, описанных в разделе 6b, это удаление не доходит: они остаются, пока мы не удалим их вручную, а удаляем мы их, когда вы об этом просите. Адрес для уведомлений из раздела 6b хранится вместе с обращениями, для которых он выдан, и удаляется вместе с ними или раньше — как сказано в том разделе. Письмо, отправленное вами на наши адреса, и наши ответы на него хранятся по тому же правилу и удаляются тем же ночным прогоном; их копии в нашем ящике Gmail остаются, пока мы не удалим их вручную, а удаляем мы их, когда вы об этом просите; запись Brevo об отправленном ею ответе удаляется через месяц. Просьба добавить язык хранится два года со дня поступления и затем удаляется тем же ночным прогоном.

13. Дети

Whisprompt не предназначен для детей младше 16 лет и не обрабатывает их данные осознанно.

14. Изменения

Мы обновим эту страницу при изменении практик и поправим дату выше. Если срок изменения зависит от нас, страница обновляется до выпуска, который это изменение приносит, а не после.