Політика конфіденційності

Оновлено: 3 жовтня 2026 р.

Ця сторінка — переклад, зроблений для того, щоб документ можна було прочитати своєю мовою. Оригінал — англійська версія; за розбіжностей переважну силу має англійський текст.

Whisprompt збудовано з приватністю на першому місці. Ця політика пояснює, що ми робимо і — що не менш важливо — чого ми не збираємо. Вона стосується кожного застосунку Whisprompt — на телефоні, планшеті, годиннику, телевізорі та Mac — і цього сайту. Там, де щось стосується лише одного з них, це сказано прямо.

1. Хто відповідальний (контролер даних)

Leonid Kabanov (autónomo), Іспанія. Контакт: support@whisprompt.app. Повні ідентифікаційні дані — у розділі Імпринт. Ми зареєстровані в Іспанії, а отже в межах Європейського Союзу, тож стаття 27 GDPR — яка вимагає представника в Союзі — до нас не застосовується. Ми не призначали уповноваженого із захисту даних і не зобов’язані цього робити: Whisprompt не є публічним органом, він не здійснює регулярного і систематичного моніторингу людей у великому масштабі, і жодна особлива категорія даних до нас узагалі не потрапляє. Наглядовий орган за місцем нашої реєстрації — Agencia Española de Protección de Datos (AEPD), aepd.es.

2. Дані, які обробляються на вашому пристрої

• Звук із мікрофона. Захоплюється наживо для голосового стеження і (коли ви записуєте) для відео. Він передається рушієві розпізнавання мовлення, вбудованому у ваш телефон — від Apple на iOS, від Google на Android, — який, залежно від пристрою, мови та ваших налаштувань, може обробляти його на серверах цієї платформи за її власними умовами приватності. Встановіть офлайн-пакет мови — і розпізнавання відбувається цілком на пристрої, без жодної участі мережі. В обох випадках звук до нас не доходить: ми не тримаємо серверів розпізнавання мовлення, і жоден запис не зберігається на жодному нашому сервері. Відеофайли, які ви самі вирішили зберегти, залишаються на вашому пристрої або у вашому власному хмарному сховищі.
• Ваші тексти й налаштування. Зберігаються локально на вашому пристрої (а якщо ви це увімкнете — і у вашому особистому хмарному сховищі, на яке поширюються умови приватності відповідного постачальника). Якщо ви транслюєте суфлер на інші свої пристрої, текст мандрує між ними зашифрованим — див. розділ 5.
• Завантажені мовні моделі. Зберігаються на вашому пристрої. Завантаження моделі — це прямий запит до сервера, що роздає модель; жодного ідентифікатора ми до нього не додаємо.

3. Дані, які обробляють під’єднані вами служби

Деякі необов’язкові функції під’єднуються до служб, які ви авторизуєте. Ми виступаємо лише вашим клієнтом; кожен постачальник є самостійним контролером за власною політикою:

• Notion і документи, які ви відкриваєте. Якщо ви під’єднаєте Notion, Whisprompt читає вибрані вами сторінки як дзеркало лише на читання, користуючись наданим вами доступом. Якщо ви відкриваєте файл із пристрою або з хмарної служби, він читається, щоб показати текст. Копії цих облікових даних не потрапляють на жоден наш сервер.
• Асистент зі штучним інтелектом на станції оператора для Mac. Асистент не робить нічого, доки ви не дасте йому власний ключ до постачальника ШІ. Щойно ви це зробили, кожен запит несе весь відкритий текст, вибраний вами фрагмент, вашу вказівку і всю розмову доти — просто з вашого Mac до цього постачальника, Anthropic або OpenAI залежно від ключа, під вашим ключем і вашим власним обліковим записом у них, на їхніх умовах і з їхніми строками зберігання. Він не проходить через жоден наш сервер: ми не бачимо ні ключа, ні тексту. Ключ зберігається в macOS Keychain, не синхронізується і на інші ваші пристрої не переноситься. У застосунках для телефона й планшета асистента немає.
• Apple та Google (магазини застосунків і підписки). Покупки, будь-який безкоштовний пробний період і списання за підпискою опрацьовують Apple або Google. Ваших платіжних даних ми не бачимо ніколи; усе, що надходить до нас, — це статус підписки; як саме, пояснює розділ 4.

4. Підписка і Pro

У Whisprompt немає облікових записів. Немає куди входити і нема чого створювати, у жодного постачальника ніколи не запитують вашу електронну адресу, і ми не тримаємо ні вашого імені, ні вашої адреси. Суфлер, запис і трансляція працюють як є, а підписка купується і відновлюється без облікового запису. Код для необов’язкового облікового запису в застосунку таки лежить — «Вхід з Apple», із Supabase як обробником, — і він неживий: його вмикають ключі, з якими застосунок не збирається, тож екрана входу немає, до Supabase нічого не доходить і жодна електронна адреса не збирається. Якщо обліковий запис колись з’явиться, ця сторінка опише, що він обробляє, до випуску, який його принесе, а не після.

• RevenueCat (керування підписками). Наш обробник, який визначає, чи підписка активна, — байдуже, купили ви її в App Store чи в Google Play. Він отримує історію ваших покупок у цьому застосунку, ідентифікатор клієнта і той ідентифікатор пристрою або встановлення, що його операційна система видає застосунку (на пристроях Apple — IDFV), а разом із ними технічні відомості про пристрій і версію ОС. Ідентифікатор клієнта не виводиться ні з чого, що стосується вас: до вашої першої покупки це ідентифікатор, який RevenueCat створює сам для себе, а від тієї покупки й далі — випадковий, який створює і зберігає ваш пристрій; той самий несуть інші ваші пристрої, і саме так одна підписка покриває їх усі (розділ 5). Це те, що відкриває Pro і відновлює вашу покупку на всіх ваших пристроях. Ми не збираємо рекламних ідентифікаторів і не вмикаємо в RevenueCat жодних рекламних чи атрибуційних інтеграцій; ці дані не використовуються для відстеження і не поєднуються з даними інших компаній.
• Видалення того, що зберігаємо ми. Облікового запису, який можна було б видалити, немає, і кнопки для цього в застосунку теж немає. На власному сервері ми тримаємо список пристроїв, які покриває ваша підписка, і ви будь-коли можете видалити його в застосунку — Налаштування → Дані на наших серверах (розділ 11). Це не скасовує вашої підписки: вона належить вашому обліковому запису App Store або Google Play і скасовується там, де ви її купили. Тексти й записи в обох випадках залишаються на вашому пристрої; про те, як очистити сам пристрій, — розділ 7.

5. Трансляція на інші ваші пристрої

Whisprompt уміє вести суфлер одразу на кількох ваших власних пристроях. В одній локальній мережі вони з’єднуються напряму. Коли спільної мережі немає, з’єднання йде через наш ретранслятор на Cloudflare Workers:

• Спільна бібліотека між вашими власними пристроями. Пристрої, які ви зв’язали як власні, дзеркалять бібліотеки одне одного: текст, написаний на одному, з’являється на решті, а правка, зроблена на одному, доходить до них. Копії живуть на ваших пристроях і мандрують між ними так само зашифровано, як і все інше тут, — жоден наш сервер копії не тримає, і ніхто поза вашими власними пристроями її не отримує, якщо ви навмисно не поділитеся текстом.
• Кожен кадр сеансу шифрується на пристрої, який його надсилає (ChaCha20-Poly1305), а ключ мандрує лише всередині запрошення — QR-коду або коду приєднання. Ретранслятор бачить самі лише зашифровані кадри: прочитати ваш текст, звук чи відео він не може.
• Ретранслятор не зберігає вмісту сеансів. Кімната живе щонайбільше чотири години, після чого видаляється. Поштова скринька, через яку ваші пристрої знаходять одне одного, тримає тільки службовий ключ і позначку часу останньої появи — не довше ніж 30 днів і без жодного вмісту.
• Якщо ви користуєтеся Pro більш ніж на одному пристрої, ретранслятор також тримає список цих пристроїв, щоб одна підписка могла покривати до шести з них. У ньому лежить ідентифікатор, який застосунок створює для кожного пристрою, ім’я, яке цей пристрій про себе повідомляє, і дати, коли його додали та коли бачили востаннє, — ні текстів, ні звуку, ні відео. Увесь запис видаляється, щойно мине рік, у якому жоден із ваших пристроїв до нього не звертався, і ви самі будь-коли можете видалити його із застосунку.
• Як і будь-яка вебслужба, ретранслятор бачить IP-адресу під час з’єднання. Вона використовується мимохідь — щоб обмежувати частоту запитів і запобігати зловживанням — і не пов’язується ні з вашою підпискою, ні зі списком пристроїв, які вона покриває.

6. Дані про використання

Whisprompt уміє вимірювати, наскільки добре він працює, і надсилати нам ці заміри — кількості, тривалості та коди, і жодного слова з того, що ви пишете чи говорите. Нічого з цього не відбувається, доки ви не дасте згоди. Доки ви її не дали, немає ні вимірювання, ні ідентифікатора, ні чогось збереженого задля цього на вашому пристрої. Застосунок запитує один раз — і ніколи в ту мить, коли ви щойно його відкрили, бо запитання, поставлене до того, як застосунок хоч щось зробив, — це запитання, на яке вам нема як відповісти. Воно з’являється після того, як ваше перше читання кудись дійшло, — або, якщо ви зв’яжете другий пристрій раніше, ніж це станеться, наприкінці зв’язування, на одній картці поруч із наведеним нижче запитанням про підрахунок ваших пристроїв. На тій картці дві відповіді й жодного третього виходу: вона не закривається, якщо торкнутися повз неї чи натиснути «назад», бо картка, закрита випадковим дотиком, зафіксувала б відмову, якої ви не давали. Доки ви не відповіли, нічого не записується, тож якщо щось інше прибере її з екрана раніше — застосунок закриється, її змінить інший екран, — запитання просто лишається відкритим і повертається після вашого наступного читання. Щойно ви відповіли — байдуже як, — воно не повертається зовсім. Ваша відповідь поширюється на пристрої, які ви зв’язуєте як власні, і на картці, де ви її даєте, про це сказано: пристрій, зв’язаний пізніше, переймає цю відповідь під час наступного з’єднання і прямо каже вам, що перейняв, а не ставить те саме запитання вдруге. Це працює в обидва боки: вимкніть вимірювання на одному зі своїх пристроїв — і решта теж припинить. Відповідь, дану на пристрої, ніколи не перезаписує та, що прийшла з іншого, тож вимкнення тут не може скасувати пристрій, який іще не почув. Скажіть «ні» — і в застосунку більше нічого не зміниться, а цей пристрій більше не запитає. Скажіть «так» — і перемикач лежить у налаштуваннях застосунку, у розділі «Дані про використання», тож ви будь-якої миті можете вимкнути його назад, не пояснюючи причини. На чому це ґрунтується юридично, викладено в розділі 9; способи відкликати згоду — наприкінці цього розділу. Вимкнення зупиняє саме вимірювання, а не лише надсилання, і видаляє з пристрою наведений нижче ідентифікатор, усе, що ще чекало на відправлення, і запис про читання в процесі, описаний у пункті «Що вимірюється».

• Що вимірюється. Кількості, тривалості та коди — і те, що йде далі, це всі вони, а не вибірка. Про читання: чи йшло воно на стеженні за голосом, чи на автопрокрутці, скільки тривало, скільки слів було в тексті, як далеко ви ним просунулися у відсотках, скільки разів вам довелося вручну брати керування текстом на себе, код мови, який рушій мовлення працював, чи був пристрій офлайн, чи показувалося це читання водночас на другому екрані, чи керували якоюсь його частиною з годинника і чи керували якоюсь його частиною з фізичного пульта — байдуже, чи то Bluetooth-клікер, чи перегортач сторінок, чи звичайна клавіатура, бо система повідомляє нам усі три як ті самі натискання клавіш і не дає жодного способу відрізнити одне від одного; ні перше, ні друге не каже, яку кнопку натиснули і скільки разів, — лише те, що читанням узагалі так керували, скільки чутного входу встигла набрати описана нижче перевірка на зламаний розпізнавач — одна з чотирьох категорій (зовсім нічого, менш ніж десять секунд, менше хвилини, хвилина або більше), ніколи не кількість секунд, і тільки тоді, коли розпізнавання мовлення взагалі працювало: це власний накопичений підсумок тієї перевірки, а не вимір того, скільки ви говорили, бо звук, тихіший за рівень, який вона слухає, не додає до нього нічого, кожен показник гучності, що його надсилає рушій, додає щонайбільше півсекунди, а перший показник після кожного запуску не додає нічого зовсім — тож на рушії, який повідомляє свій рівень раз на секунду, виходить частка того часу, який ви насправді говорили; вона каже нам, чи могла та перевірка спрацювати на вашому пристрої, і нічого не каже про те, що було сказано, — і чим воно скінчилося: тим, що нічого не пішло не так, тим, що читання взагалі нікуди не дійшло, або тим, що розпізнавання мовлення зламалося, — а якщо зламалося, то яким із чотирьох наведених нижче способів. Якщо читання так і не дістає кінця — система закриває застосунок, поки той у фоні, сідає батарея, застосунок падає або ви змахуєте його геть посеред читання, — нічого з цього виміряти не можна, бо та частина застосунку, яка це вимірювала б, зникає разом з усім іншим. Тож поки читання триває, на вашому пристрої тримається короткий запис про те, що було відомо на його початку, і не більше: голосове стеження чи автопрокрутка, код мови, скільки слів було в тексті і який рушій мовлення працював. Запис прибирається тієї ж миті, коли читання закінчується нормально. Якщо застосунок під час наступного запуску знаходить його на місці, він надсилає ці чотири факти, видаляє запис і більше ніколи їх не надсилає — про одне перерване читання повідомляється один раз. Нічого іншого про таке читання не повідомляється: ні скільки воно тривало, ні як далеко ви ним просунулися, ні чим воно скінчилося, бо не лишилося нічого, чим це можна було б виміряти. Запис пишеться, лише поки вимірювання ввімкнене, не містить нічого поза тими чотирма фактами і видаляється разом з усім іншим, коли ви його вимикаєте. Коли голосове стеження вас губить: код мови, рушій, чи наздогнало воно вас узагалі і скільки це забрало, якщо наздогнало. Коли ламається саме розпізнавання мовлення: код мови, рушій, скільки секунд цей рушій до того пропрацював, чи запустила його зміна мови посеред тексту, а не ваше натискання «грати», і яка з чотирьох речей сталася — він і далі чув звук, але перестав повертати будь-які слова; він перестав казати бодай щось, так що зник навіть показник мікрофона; він відмовив, і його місце заступив інший рушій; або він відмовив, і заступати місце не було кому. Коли застосунок просить у вас те, що охороняє система, — мікрофон або камеру, — що саме з цих двох він попросив і яка з трьох відповідей повернулася: ви дозволили, ви відмовили або система вже владнала відмову раніше й діалогу вам узагалі не показала. А коли він вирушає шукати Bluetooth-пульт — чи відмовили йому в дозволі знаходити пристрої поблизу; там лише відмова, бо система, яка погодилася, просто починає шукати і не каже нічого, що ми могли б записати. Тільки там, де він запитує. Перечитування того, що ви вже відповіли, відбувається постійно і виміром не є; нічого з цього не надсилається. Один раз на встановлення: чи перейшло ваше перше читання за половину протягом години після встановлення, протягом дня, тижня, місяця — чи пізніше за це; категорія, а не час. Про завантаження мовної моделі: код мови, розмір у байтах і чи воно почалося, завершилося чи зірвалося. Про з’єднання з іншим пристроєм: чим воно скінчилося і як ці два пристрої знайшли одне одного. Про трансляцію: на який різновид екрана вона пішла (телефон, планшет, комп’ютер, телевізор, годинник — або різновид, якого застосунок не впізнав), скільки тривала і чи скінчилася через розрив з’єднання. Про спробу вивести текст на екран — вдалу чи ні: на який різновид екрана вона була націлена, наскільки цей пристрій знав про нього до спроби, а часто не знав нічого, — і яка з шести речей сталася: екран текст прийняв; прийняв, але один із двох застосунків на версію відстає, тож новіші частини працюють вимкненими; на жодному з двох шляхів ніхто не відповів; екран відхилив код заявки; ці двоє надто далеко розійшлися у версіях, щоб узагалі розмовляти; або цей пристрій не зміг зробити спробу від самого початку. Нічого про текст і жодної адреси котрогось із двох пристроїв. Про сповіщення, яке з’являється, коли в тексті більш ніж одна мова: чи закрили ви його, чи перейшли з нього на екран підписки. Нічого про сам текст і нічого про те, які мови в ньому були. Про екран підписки: біля якої із закритих функцій ви стояли, коли він з’явився, або що ви відкрили його з налаштувань самі, а не тому, що вас щось спинило, або що ви торкнулися рядка під власними зверненнями, де сказано, що передплатникові відповідають першому. Про спробу купити: який із чотирьох різновидів плану це був — місячний, річний, довічний або такий, чийого періоду застосунок не впізнав, — і чи вона завершилася, чи ви її скасували, чи магазин лишив її в очікуванні, чи вона була недоступна, чи зірвалася. Про відновлення: чи щось відновилося, чи відновлювати не було чого, чи його скасували або воно зірвалося. Поруч із наведеним нижче ідентифікатором зберігаються також два факти про підписку, які оновлюються, коли змінюються: чи активний Whisprompt Pro на цьому пристрої зараз і чи куплений він саме тут, а не на іншому з ваших пристроїв. Разом з усіма ними: мить, коли це сталося, версія застосунку, платформа і скільки часу це встановлення вимірює — категорія, ніколи не дата і ніколи не кількість днів: перший день, перший тиждень, перший місяць, від одного до трьох місяців, від трьох до шести, від шести до дванадцяти, від одного до двох років або довше. Ця категорія рахується від дня, коли ви дозволили вимірювання, бо доти задля цього нічого не зберігається, і, на відміну від наведеної вище категорії першого читання, вона мандрує з кожним заміром, а не один раз. І — про пристрій, на якому зроблено замір: якого він різновиду — телефон, планшет, комп’ютер, телевізор чи годинник, і нічого конкретнішого за це, — яка операційна система на ньому працює, старший номер версії цієї системи і тільки він («18», ніколи «18.3.1»), якою мовою власний інтерфейс застосунку і на яку країну налаштований ваш пристрій. Про дві з цих речей варто сказати точно. Країна читається з власного налаштування регіону на вашому пристрої: це країна, яку ви обрали у своїх налаштуваннях, а не вирахувана з мережевої адреси, через яку ви випадково під’єднані, — див. «Хто це обробляє» нижче. А версія — це самий лише старший номер, бо саме він каже нам, чи можна відмовитися від старої системи; решта сказала б більше про ваш конкретний пристрій, ніж про систему. Ще про читання. Звідки взявся його текст — одна із семи відповідей: стартовий текст, який ми пишемо вам при першому запуску; той самий стартовий після того, як ви його відредагували; ваш власний — набраний тут, продиктований тут, вставлений сюди або синхронізований з іншим пристроєм, який ви з’єднали як свій, і це одна відповідь, бо це все однаково написали ви; файл; або документ, синхронізований з Notion, з Google Docs чи з iCloud. Ніколи ні його назви, ні імені файлу, ні адреси, ні слова з нього. Який із п’яти стилів читання був на екрані і на якій парі кольорів його читали: на одній із шести, що їх дає застосунок, або — якщо пару ви склали самі в редакторі тем — лише те, що вона одна з ваших власних. Ніколи ні її назви, ні ідентифікатора, що його дав їй застосунок. Пара, названа на честь людини чи події, написана вами так само, як і назва тексту, а ідентифікатор — це та сама назва, лише на крок далі. І чи був заданий цільовий час для цього тексту до того, як читання почалося, — тільки те, що він був, і ніколи сам цей час, бо тривалість поруч із кількістю слів у тому самому рядку описувала б один конкретний документ. Про текст, що потрапляє до вашої бібліотеки, хоч би яким шляхом він туди дістався: звідки він — ті самі сім відповідей і ще восьма: що ви його надиктували, — код мови, який він про себе оголошує, і скільки в ньому слів. Восьма відповідь відома лише в мить збереження і разом із текстом не зберігається: коли ви читаєте надиктований текст, він рахується одним із ваших власних, як сказано вище. Ніколи ні назви, ні слова з нього. Стартовий текст, який ми пишемо вам при першому запуску, не рахується, бо рахувати його означало б рахувати встановлення, а це не вимірюється. Про дубль: звук це був чи відео, скільки цілих секунд він тривав і яким із трьох способів він скінчився — він зберігся; він повернувся порожнім, бо до файлу нічого не дійшло; або він зірвався. Нічого про файл: ні імені, ні розміру, ні роздільності, ні того, який це був мікрофон чи який об’єктив, і ні секунди того, що записано. Дубль, якого не сталося, бо ви відмовили застосунку в мікрофоні або камері, рахується лише тією відмовою вище, а не дублем. І про промокод — саме наш, введений на власному екрані погашення Whisprompt: що код було погашено, і яка з дев’яти відповідей повернулася. Він спрацював; такого коду немає; його вже використано; його термін дії минув; партію, до якої він належить, вичерпано; ця копія застосунку узагалі не приймала наших кодів, бо цей шлях ще не побудований або його вимкнено; з цього пристрою поспіль спробували забагато; з нами взагалі не вдалося зв’язатися; або він зірвався — з причини, якої не називає жоден із них. Ніколи ні сам код, ні жодного його знака — промокод є секретом на пред’явника, вартим підписки, а той, що опиняється в замірі, опиняється і в записах третьої сторони. Якщо ви натомість відкриваєте власний екран погашення магазину — той, яким керує Apple або Google, — то лише те, що його відкрили, і нічого більше, бо жоден із магазинів не повідомляє застосунку ні що було введено на його екрані, ні чим це скінчилося. І коли ви звужуєте набір мов, між якими може вибирати визначник мови, — у меню «Мова» самого тексту або в налаштуваннях для кожного нового тексту, — скільки мов було в цьому наборі до зміни і скільки після, і чи повернули ви його до «Авто», тобто до вибору з усіх мов, що їх дає застосунок. А якщо ви попросили нас додати мову, якої застосунок поки не знає: яка це була мова, за її кодом, і з якого з трьох місць ви попросили — з меню «Мова» тексту, з набору за замовчуванням у налаштуваннях чи з вибору мови застосунку. Це і є замір; сам запит доходить до нас незалежно від того, чи дозволили ви якісь заміри, а що він несе, сказано в розділі 6b. А коли ця версія застосунку застаріла і її потрібно оновити: що з чотирьох сталося зі сповіщенням про це — його показали; його притримали, бо ви були посеред читання; його відклали, бо ви вибрали «Пізніше»; або його скасували, перш ніж воно будь-коли з’явилося, бо ми знову знизили мінімальну версію — і кількість цілих секунд: для відкладеного сповіщення — скільки воно пробуло на екрані, в усіх інших випадках — скільки минуло відтоді, як цей пристрій під час цього запуску застосунку вперше дізнався, що потрібне оновлення.
• Що не вимірюється ніколи. Ваші тексти, їхні назви, імена файлів, які ви відкриваєте, звук, записи, розшифровки, імена ваших пристроїв, ваші контакти. Код мови мандрує; назва тексту — ні. Із наведених вище замірів про підписку: ні ціни, ні валюти, ні чека, ні номера замовлення чи транзакції, ні ідентифікатора товару в магазині, ні жодної платіжної подробиці, ні тексту помилки з магазину — мандрує те, яка з восьми названих функцій відкрила екран, який із чотирьох різновидів плану і який із фіксованого набору результатів. Так само й не те, на скількох пристроях ви користуєтеся своєю підпискою. Кожен замір — це фіксований набір чисел, тривалостей і кодів, тож нічому з того, що ви написали, назвали чи оплатили, там просто нема де з’явитися.
• Це не анонімно, і ми радше скажемо про це прямо. Заміри з цього пристрою несуть один тривкий випадковий ідентифікатор. Він належить цьому встановленню застосунку і більш нічому: його створює сам вимірювальний компонент — того дня, коли ви дозволяєте вимірювання, і ні на мить раніше, — він не використовується ні для чого, крім цих замірів, і це не той ідентифікатор, яким користується ваша підписка: той із заміром не надсилається ніколи, тож два записи тримаються нарізно і жоден не несе ідентифікатора другого. Ніщо в замірі не каже, який із ваших пристроїв із яким пов’язаний: доки ви не дасте окремого дозволу, описаного нижче, ваш телефон і ваш планшет приходять як два непов’язані встановлення і рахуються за два. Ідентифікатор замінюється щонайпізніше через тринадцять місяців після того, як його створено, байдуже, користувалися ви застосунком у цей час чи ні, і заміна не змикається з попередником — тож запис про одне встановлення не може стати довшим за це. Вимкнення вимірювання видаляє ідентифікатор із пристрою. Хоч який він випадковий, це все одно ідентифікатор — саме тому тут стоїть цей абзац, а не твердження, що заміри анонімні.
• Рахувати ваші пристрої як одну людину — окремий дозвіл, вимкнений, доки ви його не дасте. Якщо ви користуєтеся Whisprompt більш ніж на одному пристрої, застосунок може один раз запитати вас, чи мають заміри з них усіх нести один спільний ідентифікатор, щоб телефон і планшет рахувалися за одну людину, а не за дві. Це запитання змінює лише ідентифікатор і нічого з того, що вимірюється: той самий перелік вище, ті самі властивості, жодної додаткової події і жодного нового отримувача. Він вимкнений, доки ви не скажете «так»; якщо скажете «ні», у застосунку більше нічого не зміниться, а ввімкнути чи вимкнути його згодом можна в тому самому розділі налаштувань. Як і про вимірювання вище, про це запитують один раз, а не на кожному пристрої: скажіть «так» — і решта пристроїв на вашій підписці перейме цю відповідь під час наступного з’єднання; спільний ідентифікатор доходить до них тим самим зашифрованим каналом, яким ваші пристрої вже користуються між собою, і нічого іншого про вимірювання разом із ним не мандрує. Він доходить лише до пристрою, на якому ви дозволили вимірювання, бо на будь-якому іншому йому нема чого рахувати. «Ні» нікуди не переноситься, тож пристрій, зв’язаний пізніше, може поставити запитання про підрахунок сам; повторна відмова коштує одного дотику і запам’ятовується. На тій картці теж дві відповіді й жодного третього виходу, і, доки ви не дасте одну з них, нічого не записується. Коли ви його вмикаєте, він діє від тієї миті вперед — уже зібрані заміри не перепозначаються, а ідентифікатор, яким це встановлення користувалося раніше, не надсилається і зі спільним не пов’язується. Один випадок варто назвати окремо. Якщо це встановлення вже несе спільний ідентифікатор і потім переймає інший — а саме так буває, коли ви зв’язуєте його з пристроями, які вже мають власний спільний ідентифікатор, — наступний замір один раз несе попередній спільний ідентифікатор, щоб записи про одну людину не прочиталися як записи про двох: одну, що перестає існувати, і другу, що виникає нізвідки. Так мандрує тільки спільний ідентифікатор; наведений вище ідентифікатор окремого встановлення в цьому полі не надсилається ніколи, за жодного переходу. Коли ви його вимикаєте, це встановлення повертається до власного ідентифікатора — і це новий ідентифікатор, а не той, що був раніше. Він не може бути ввімкненим, поки вимірювання вимкнене, бо рахувати було б нічого: якщо ви вимкнете вимірювання, спільний ідентифікатор видаляється з пристрою разом з іншим. А якщо ви зв’яжете другий пристрій ще до того, як запитання про вимірювання вам узагалі поставили, застосунок може поставити обидва разом — один раз за все життя застосунку, на одній картці, де сказано, що кожне з них означає. Ця картка і є тією, що питає про вимірювання, а не додатковою: на тому пристрої жодне з двох запитань більше не ставиться. «Так» там — це «так» обом, бо на ній названо обидва; «ні» відмовляє обом. Ваші пристрої зв’язуються в будь-якому разі, і жодну з відповідей ніколи не беруть за іншу.
• Хто це обробляє. Amplitude, наш обробник, на своїй європейській кінцевій точці. Кожен запит просить Amplitude нічого не виводити з адреси, з якої той надійшов, тож ні місто, ні регіон, ні будь-яке інше місцеперебування з місця вашого з’єднання не вираховується. Країна з наведеного вище переліку не є винятком із цього: це та, що встановлена на вашому пристрої, надіслана тому, що ми її туди поклали, і вона була б тією самою країною, у якій би мережі ви не були.
• Як відкликати згоду і що тоді станеться. Два способи, і будь-якого досить. У застосунку: Налаштування → Дані про використання → вимкнути перемикач. Або напишіть на support@whisprompt.app і скажіть про це — і ми припинимо. Відкликання коштує не більше дотиків, ніж коштувала згода, причини наводити не треба, і ми її не питаємо. Вимкнення сприймається як ваше заперечення, а не як налаштування окремого апарата: іншим вашим зв’язаним пристроям про це повідомляють тим самим зашифрованим каналом, який вони вже поділяють із цим, і вони теж припиняють вимірювати під час наступного з’єднання, — а тому, що спить, повідомляють, коли він повернеться, бо сповіщення повторюється, доки не дійде. Зворотне ввімкнення мандрує не так далеко: воно доходить до пристрою, який ви зв’язали, але на якому вас ніколи не питали, — той переймає відповідь і каже вам, що перейняв, — і воно ніколи не витісняє відповіді, яку пристрій дав сам за себе: тож пристрій, який ви вимкнули тут, лишається вимкненим, доки ви не ввімкнете його там. Ця асиметрія навмисна. Заперечення проти вимірювання висловлює людина, і ми радше нехай воно сягне задалеко, ніж недостатньо далеко; а дозвіл не повинен мати змоги скасувати відповідь, яку хтось уже дав на пристрої у своїх руках. Ваша відповідь пам’ятається на пристрої попри перезапуски й оновлення застосунку і переживає тринадцятимісячну заміну ідентифікатора — новий ідентифікатор не перезапускає вимірювання для того, хто його вимкнув. Якщо ви хочете, щоб уже надіслані заміри теж було видалено, попросіть нас: розділ 11.

6a. Звіти про збої — окремий дозвіл, вимкнений, доки ви його не дасте

Якщо застосунок перестає працювати, він може надіслати нам звіт про цю відмову. Це не частина вимірювання з розділу 6: це інша мета, інший отримувач і власний перемикач. Запитання ставиться на окремій картці, просто перед запитанням про вимірювання, і відповідають на нього окремо — «так» одному не є «так» другому, у жодному з напрямків. Ця картка працює так само, як картка про вимірювання: дві відповіді, жодного третього виходу, і, доки ви не дасте одну з них, нічого не записується.

Він вимкнений, доки ви його не ввімкнете. Доки ви цього не зробили, задля нього нічого не встановлюється і нічого не надсилається — це правило не має жодних винятків. Винятки має зберігання, і нижче їх два. Обидва існують, щоб поставити вам запитання, а не щоб щось зібрати, обидва стосуються збою, який із вами вже стався, і жоден нічого не надсилає, доки ви не відповісте.

Перший — це невдалий запуск. Якщо Whisprompt узагалі не може запуститися, пізнішої миті, коли можна було б поставити запитання, не буде, тож його ставить екран помилки. Якщо ви вже ввімкнули звіти про збої, один звіт про цю відмову надсилається, і екран каже вам, що надіслав. Якщо ви їх уже вимкнули, нічого не пропонується і нічого не надсилається. Якщо вас ніколи не питали, екран питає — надіслати цей один звіт, не надсилати або надсилати їх віднині — і, доки ви не оберете, з пристрою нічого не йде. Звіт, надісланий у такий спосіб, менший за описаний нижче: він не несе жодного ідентифікатора і каже, де застосунок зупинився, яка версія застосунку і яка це операційна система, — нічого більше про пристрій, ніякої мови інтерфейсу і жодного з кроків, які були перед тим. Він іде до Sentry, того самого обробника і на ті самі європейські сервери, і сказане нижче про інтернет-адресу, з якої надходить звіт, стосується і його. Вибір «надсилати їх віднині» — це та сама відповідь, що й перемикач у налаштуваннях, і вимикається вона в тому самому місці. Той самий екран із тими самими трьома відповідями з’являється й тоді, коли відмовляє окрема частина застосунку під час роботи, а не на запуску. Це стосується лише застосунку для телефона й планшета: у застосунках для Mac і телевізора такого екрана немає.

Другий — це збій, про який ми не могли запитати вас тієї миті: бо застосунку не стало раніше, ніж ви встигли відповісти, або бо ви закрили його замість того, щоб відповісти. Якщо вас ніколи не питали, один звіт про нього зберігається на вашому пристрої, і під час наступного нормального запуску застосунок каже про це внизу екрана і пропонує вам запитання. Це один-єдиний звіт, а не черга; другий збій його не заміняє. Нічого з нього не надсилається, доки ви не скажете там «так». Він видаляється, коли ви відповідаєте — байдуже як, — коли ви велите тому сповіщенню його видалити, коли звіти про збої вимикають, і в будь-якому разі через сім днів після того, як його збережено. Цей файл — єдине, що зберігається на вашому пристрої задля звітування про збої до того, як ви на щось погодилися, і ми радше назвемо його, ніж дозволимо абзацу вище натякати, що там немає нічого: він існує для того, щоб запитання взагалі можна було поставити. Збої, які він рятує, — це ті, яких ми інакше ніколи б не побачили: перші запуски цілком нового встановлення, найгірші збої з усіх, що бувають, і належали вони саме тим людям, до яких запитання ніколи не доходило. Чого він не рятує — це збою, який операційна система обробляє сама, нижче за застосунок: для таких звітування все одно має бути ввімкнене заздалегідь.

• Що містить звіт. Де застосунок зупинився — технічну трасу відмови, — різновид пристрою, операційну систему та її версію, версію застосунку, мову інтерфейсу і короткий перелік того, що застосунок робив перед тим: які екрани відкривалися, попередження про брак пам’яті, перехід застосунку у фон.
• А коли відмова сталася в суфлері — і те, що робив суфлер. Розпізнавач, який перестає працювати, робить це наприкінці ланцюжка подій, і одного рядка про те, що він зупинився, замало, щоб це полагодити, — тож звіт про сеанс читання несе коротку стрічку подій цього сеансу: запуски та зупинки рушія мовлення і їхні причини, мову абзацу, до якого ви дійшли, переходи з однієї мови на іншу і чи вдалися вони, чи виконувалося розпізнавання на пристрої, чи через сервери платформи, скільки часу воно віддавало свої перші слова, коли голосове стеження загубило ваше місце і коли знайшло його знову, переходи екрана між очікуванням, слуханням, паузою і зупинкою, скільки встигло завантажитися мовної моделі, якщо якась завантажувалася, і мить, коли відмову було оголошено. Він також несе ФОРМУ того, що ви читали, і те, де в ньому ви були: скільки в тексті було слів і абзаців, скільки мов він змішував, до якого номера слова ви дійшли і в які моменти ви вручну брали керування текстом на себе — перемоткою чи перетягуванням. Саме вони й надають решті стрічки бодай якогось сенсу: позиція, яку нема чим виміряти, не каже нічого, а стрибок, якого розпізнавач не спричиняв, читається як несправність, доки сторінка не скаже, що його зробила рука. Кожен рядок — це кількість, код, код мови або тривалість. Поруч із ними їде ще одне число: скільки пам’яті займав сам застосунок тієї миті, у цілих мегабайтах — це ймовірна причина відмови, і побачити її інакше нема як, а про вас чи про те, що ще є на вашому пристрої, воно не каже нічого. Жодного слова з тексту, ніколи — ні його назви, ні рядка з нього, ні того, що розпізнавачеві почулося, і жодного вашого імені чи імені ваших пристроїв. Час у ній подано як проміжки — «за чотири секунди до відмови», — а не як показання годинника, бо показання годинника несе часовий пояс, а часовий пояс — це грубе місцеперебування.
• Що вилучається перед надсиланням. Звіт про збій складає компонент звітування, а не пишемо ми, тож ми розбираємо його і зчищаємо: імена файлів і шляхи, вебадреси далі за назву служби, електронні адреси, мережеві адреси, ім’я вашого пристрою і ваш часовий пояс. Ні знімка екрана, ні копії екрана до нього не додається ніколи — на тому екрані ваш текст, — і жоден звіт не несе жодного вашого ідентифікатора з тих, що є в нас. Лишається трасування стека, різновид відмови і різновид пристрою.
• Єдине, чого наш застосунок зчистити не може. Sentry вираховує приблизне місцеперебування — країну і місто — з інтернет-адреси, з якої надходить звіт. Це відбувається на їхньому боці, після всього, що наш застосунок може відредагувати, тож, на відміну від вимірювання вище, вимкнути це для кожного окремого звіту ми не можемо. За це відповідають два налаштування проєкту: одне зупиняє збереження самої адреси, друге прибирає вирахуване з неї місцеперебування. Перше встановлено. Там, де друге не встановлено, країна і місто лишаються при звіті стільки, скільки зберігається сам звіт, — а це щонайбільше 90 днів. Ми називаємо це тут, а не дозволяємо реченню вище натякати, ніби ми вилучили щось, чого не вилучали.
• Ідентифікатор. Звіти з одного встановлення несуть випадковий ідентифікатор, який компонент звітування створює сам для себе, щоб десять збоїв з одного пристрою можна було впізнати як один пристрій, а не як десять. Це не той ідентифікатор, яким користуються заміри, і не той, яким користується ваша підписка.
• Хто це обробляє. Sentry, наш обробник, на своїх європейських серверах.
• Як відкликати згоду і що тоді станеться. Налаштування → Звіти про збої → вимкнути перемикач. Звітування припиняється, а те, що ще чекає на відправлення, видаляється з пристрою. Ваша відповідь на це запитання мандрує так само, як ваша відповідь про вимірювання: зв’язаний пристрій, якого ніколи не питали, переймає вже дану вами відповідь і каже вам, що перейняв; пристрій, який відповів сам за себе, лишається при власній відповіді; а вимкнення звітування доходить до ваших зв’язаних пристроїв навіть там, де вони вже відповіли. На чому це ґрунтується юридично і що відкликання скасовує, а чого ні, викладено в розділі 9.

Ми не кладемо ключ обробника у випуск, доки не набула чинності угода про обробку даних із цим обробником. Крім звітів, які надсилають нам люди, Sentry тримає тестові звіти, що їх ми надіслали самі собі з машини розробника, аби перевірити, що імена, шляхи й адреси справді зчищаються. Ті звіти наші, а не ваші, і ми їх видаляємо.

6b. Те, що ви надсилаєте нам самі

У застосунку є екран «Надіслати відгук». Нічого з нього до нас не доходить, доки ви не торкнетеся кнопки надсилання, а доходить тоді те, що ви написали, плюс ті з необов’язкових речей, які ви вирішили додати. Це не замір і не звіт про збій: ви це пишете, ви вирішуєте, що піде разом із ним, і слугує воно для того, щоб відповісти вам і полагодити те, про що ви розповіли.

Щойно ви щось надіслали, застосунок довідується про його долю. Поки хоч одне з ваших звернень залишається відкритим — чекає на прочитання, у роботі або чекає на вашу відповідь на запитання, яке ми поставили, — або було закрите протягом останніх тридцяти днів, застосунок питає наш сервер, у якому стані воно зараз, разом із будь-якою короткою нотаткою, яку ми про нього написали: під час запуску застосунку, коли ви повертаєтесь до нього і один раз на годину, поки він відкритий, але ніколи не частіше за один раз у п’ятнадцять хвилин. Коли ви відкриваєте Мої звернення і після додавання деталей, він питає те саме про кожне звернення, надіслане з цього пристрою, включно з тими, що виконані або не заплановані. Це запитання не несе нічого, крім ідентифікаторів, які застосунок зберіг для ваших власних звернень, коли їх надсилав: нічого нового про вас не збирається, і це єдине тут, що відбувається без вашого дотику до кнопки надсилання. Відповіді зберігаються на вашому пристрої, щоб екран читався і без з’єднання, і зникають разом із застосунком. Якщо ми запитаємо у вас подробиць, те, що ви напишете у відповідь, надсилається як нове звернення — за тими самими правилами і з тим самим долученим, що й будь-яке інше.

Що завжди йде разом зі зверненням, бо звернення, яке нема куди помістити, — це звернення, за яким нема як діяти: версія застосунку і номер збірки, операційна система та її версія, модель пристрою, мову і регіон, на які налаштований пристрій (наприклад, es_ES — це іспанська мова в тому вигляді, як нею користуються в Іспанії), і мову, якою показано сам застосунок. Так само йде і випадковий ідентифікатор підписки з розділу 4, якщо на цьому пристрої він є, — а він є з першої покупки, зробленої на цьому пристрої, або відколи його зв’язали з пристроєм, на якому таку покупку зробили, — для тієї єдиної перевірки, що описана нижче, після якої наш сервер його не зберігає. Екран називає кожне з цього перед надсиланням, щоб ви знали, що надсилаєте, поки пишете.

Що йде, лише якщо ви це додасте. Файли — щонайбільше три, знімки екрана або короткий запис екрана, вибрані вами з власної бібліотеки; ми отримуємо те, що ви долучили, і нічого з того, чого не долучали. Адреса для відповіді, якщо ви хочете відповідь; без неї ми однаково читаємо кожне слово, але тоді нам нема як дізнатися, хто це написав. І ідентифікатор замірів із розділу 6 — за перемикачем, який з’являється лише тоді, коли є що долучати: саме він дає нам подивитися, як поводився застосунок до того, як ви написали.

Єдине, що ми з’ясовуємо самі, — чи прийшло звернення від передплатника, щоб відповісти на нього першим. Ваш пристрій надсилає випадковий ідентифікатор підписки з розділу 4, наш сервер питає в RevenueCat, чи має він право, і записує саме цю відповідь — «так» або «ні», — а не сам ідентифікатор. Тож ніщо не поєднує сказаного вами з купленим вами.

Звернення зберігає для нас Cloudflare на серверах у Західній Європі: текст — у базі даних, файли — в об’єктному сховищі, і те, і те під кодом-посиланням, який застосунок показує вам після надсилання. Вони зберігаються два роки і тоді видаляються автоматично, а раніше — якщо попросите: назвіть цей код або скажіть нам будь-що інше, що дасть змогу знайти звернення. Їх читаємо ми, і так само їх читає модель, про яку йдеться далі; більш ні для чого вони не використовуються: ні для вимірювання, ні для профілювання, ні для навчання чийогось ШІ, ні для ухвалення будь-яких рішень про вас.

Перший читач — машина, і не наша. Кожне нове звернення спершу читає модель ШІ — Claude, створена Anthropic, — якій ми доручили одну справу: зрозуміти, про що звернення, наскільки воно важливе і до якої частини застосунку стосується, і накидати, що ми могли б відповісти. Нічого з того, що видно вам, вона не вирішує. Статус і позначка на екрані «Мої звернення», лист вам, задача в нашому трекері — усе це робиться лише за нашим словом, після того як хтось із нас прочитав те, що вона пропонує. Для цієї роботи те, що ви надіслали, — цілком або частково, — крім Cloudflare отримують ще чотири сервіси:

• Anthropic, у Сполучених Штатах, запускає модель і отримує кожне звернення цілком: те, що ви написали, адресу для відповіді, якщо ви її дали, усе те, що завжди йде разом зі зверненням, чи прийшло воно від передплатника, ідентифікатор замірів, якщо ви його доклали, і кожен доданий файл — модель відкриває й переглядає кожен із них. Сам ідентифікатор підписки до неї так і не доходить. Прочитане моделлю залишається в записі цього сеансу, у нашому обліковому записі в Anthropic, а цей обліковий запис налаштовано так, щоб Anthropic не використовував це для навчання своїх моделей.
• Telegram, компанія за межами Європейського економічного простору, доставляє нам зведення моделі, а назад — наші вказівки. У кожному зверненні зведення містить: його код-посилання, тип звіту, пристрій, версію застосунку і мову, рядок-два про те, що ви написали, — можливо, з цитатою, — рядок з описом будь-якої доданої картинки, і відповідь, яку пропонує модель. Ніколи — вашу електронну адресу, і ніколи — самі файли.
• Google, чиї сервери у Сполучених Штатах та інших країнах, доставляє нашу відповідь, якщо ми відповідаємо вам листом: він виходить з нашої поштової скриньки Gmail на адресу, яку ви дали, з кодом-посиланням у темі, і листування залишається в цій скриньці.
• GitHub, у Сполучених Штатах, тримає наш трекер задач, який закритий. Якщо те, про що ви повідомили, стає там задачею, ця задача містить код-посилання, пристрій і версію застосунку, і проблему, описану нашими словами, — ніколи вашу електронну адресу.

Ці чотири не входять до наших обробників з розділу 10: кожним із них ми користуємося на його власних умовах, як і будь-який його користувач, і жодна угода про обробку даних не пов’язує їх із нами. Не сягає їх і нічне видалення. Воно охоплює нашу базу даних і файлове сховище в Cloudflare — де також зберігається кожне зведення, надіслане в Telegram, два роки з дня, коли його надіслано, — і нічого поза ними. Те, що тримають ці чотири, залишається там, доки ми не видалимо це вручну, і коли ви просите видалити ваше звернення, ми так і робимо: у всіх чотирьох місцях і в цих зведеннях. На кожній копії — код-посилання; саме за ним ми її й знаходимо. Щойно ми видалили сеанс зі свого облікового запису, умови Anthropic дають йому 30 днів, щоб прибрати це зі своїх систем.

Одне, що варто знати, перш ніж долучати зображення: знімок екрана містить усе, що було на екрані, коли ви його зробили, — зокрема й текст, який ви читали. Долучайте тільки те, що ви хотіли б у нас лишити, а ми видалимо те, що нам не потрібне.

Прохання додати мову. Там, де застосунок показує мову, якою він ще не розмовляє, ви можете попросити нас її додати. Дотик до кнопки «Попросити» надсилає нашому серверу дві речі й нічого понад те: код мови та випадковий ключ, який це встановлення створює під час першого запиту. Ключ потрібен для того, щоб запит, надісланий двічі через погане з’єднання, не порахували як два встановлення, яким потрібна та сама мова. Запит іде незалежно від того, чи дозволили ви заміри з розділу 6, бо це те, про що ви самі нас попросили, а не те, що ми виміряли. Він зберігається в Cloudflare, у Західній Європі, поруч зі зверненнями, два роки з дня надходження, а потім видаляється автоматично; крім нас, його ніхто не читає, і більш нікуди він не йде. Ключ ніде не показується, навіть вам, і ніщо з того, що ми тримаємо поруч із ним, не каже, чий він, — тому ж ми й не можемо виокремити ваш, щоб видалити його раніше. На вашому пристрої ключ залишається, доки ви не зітрете пристрій або не видалите застосунок.

6c. Запитання до допомоги ШІ

Пошук угорі Налаштувань може передати запитання допомозі ШІ. Нічого не надсилається, доки ви не торкнетеся «Запитати ШІ», і тоді лише таке: слова, які ви набрали, мова застосунку, налаштування, які власний пошук застосунку знайшов для цих слів, та випадковий номер, який застосунок створює для цього встановлення. Ніколи — ваші тексти, записи чи будь-що інше на пристрої.

На запитання відповідає наш сервер у Cloudflare: відкрита модель ШІ, яка спирається на посібник самого застосунку. Cloudflare не використовує отримане для навчання жодної моделі, а ми не зберігаємо ні запитання, ні відповіді: вони існують лише доти, доки пишеться відповідь. Відповідь показується вам із позначкою, що її написав ШІ, бо вона може помилятися.

Щоб запобігти зловживанням, сервер веде лічильники за цим випадковим номером — скільки разів пристрій питав за останню хвилину і скільки разів за останню годину питав про щось, що не стосується Whisprompt, — а якщо це повторюється, призупиняє допомогу ШІ для цього пристрою: спочатку на хвилину, потім щоразу вдвічі довше, але не більше ніж на добу. Самі запитання не зберігаються ніколи. Ці лічильники видаляються через годину після останнього такого запитання чи через добу після останньої паузи. Сервер також рахує запитання, що надходять з однієї інтернет-адреси (IP), щоб одне місце не могло вичерпати допомогу, призначену для всіх: понад встановлену кількість за годину чи за добу цій адресі доведеться зачекати. Сама адреса не зберігається — лише її незворотний відбиток (хеш), що змінюється щодоби, — а ці лічильники видаляються через добу після останнього запитання. Пауза нічого не вирішує щодо вас — вона стосується лише допомоги ШІ на цьому пристрої. Це спирається на вашу згоду (ст. 6(1)(a) GDPR), яку ви даєте щоразу, коли торкаєтеся «Запитати ШІ».

7. Стирання пристрою перед тим, як він піде з ваших рук

У налаштуваннях застосунку, у розділі «Дані про використання», є кнопка «Стерти цей пристрій». Це саме те, що варто натиснути, перш ніж продати, повернути, здати в трейд-ін чи передати комусь пристрій, — і Умови просять вас це зробити.

Вона прибирає з того пристрою: ваші тексти, ваші записи, голосові моделі, які ви завантажили, з’єднання, які ви надали службам на кшталт Notion, ідентифікатор замірів і кожну відповідь щодо приватності, яку ви на ньому дали. Вона також виводить пристрій із числа ваших зв’язаних пристроїв, тож він перестає дзеркалити вашу бібліотеку і перестає ділитися вашою підпискою. Інші ваші пристрої зберігають усе.

Вашої підписки це не зачіпає. Вона належить вашому обліковому запису App Store або Google Play і відновлюється на вашому наступному пристрої.

Два обмеження, сказані прямо. Якщо під час стирання пристрій офлайн, локальне стирання все одно завершується, але іншим вашим пристроям про це не повідомляють; застосунок так і каже, а прибрати пристрій зі списку можна на будь-якому з них. І замірів, надісланих до стирання, воно не відкликає — для них скористайтеся запитом на видалення з розділу 11.

8. Чого ми НЕ збираємо

• Жодних рекламних ідентифікаторів і жодних сторонніх рекламних SDK.
• Жодної аналітики і жодного відстеження на цьому сайті. У застосунку — взагалі нічого, доки ви на це не погодилися, а тоді лише вимірювання, описане в розділі 6, і нічого понад нього: ні реклами, ні профілювання, ні відстеження вас у застосунках чи на сайтах інших компаній.
• Жодного звітування про збої, доки ви самі його не ввімкнете, і нічого у звіті, що ідентифікувало б вас, — див. розділ 6a.
• Жодного продажу чи передавання персональних даних у розумінні GDPR.

Цей сайт не встановлює кукі. Він тримає у вашому браузері два налаштування: тему, яку ви задаєте кнопкою сонця й місяця у шапці, і мову — щоб наступного разу whisprompt.app відкрився тією мовою, якою ви читали востаннє. Обидва може прочитати лише цей сайт, жодне з них вас не ідентифікує, жодне не надсилається ні нам, ні комусь іще, а очищення даних цього сайту у вашому браузері їх прибирає. Сайт обслуговує Cloudflare, який бачить адресу, з якої ви під’єднуєтеся, — як і будь-який вебсервер, — і виводить із неї лише країну, потрібну, щоб показати ціну для вашого магазину.

9. Правові підстави (GDPR, ст. 6)

Обробка вашого звуку і ваших текстів задля роботи суфлера здійснюється, щоб надати функціональність, якої ви просите (ст. 6(1)(b), виконання договору / вашого запиту). Необов’язкові під’єднані джерела, права за підпискою і відновлення покупки спираються на ту саму підставу. Захист ретранслятора від зловживань спирається на наш законний інтерес (ст. 6(1)(f)).

Усе в розділі 6 спирається на вашу згоду (ст. 6(1)(a)): і саме вимірювання, і підрахунок ваших пристроїв як однієї людини під спільним ідентифікатором. Звіти про збої з розділу 6a теж спираються на вашу згоду — це третій дозвіл, який не входить до жодного з двох інших: збирач звітів про збої зберігає щось на вашому пристрої і не потрібен, щоб працював телесуфлер, тож спертися йому нема на що, крім вашого «так». Про всі три питають окремо і відкликають окремо, будь-коли; відкликати так само легко, як було погодитися, і коштує це не більше дотиків. Відкликання діє від тієї миті: воно не робить незаконним того, що ми робили, поки ваша згода стояла, і саме собою не видаляє вже надісланого — про це попросіть нас, а як саме, каже розділ 11. На запитання про вимірювання і про звіти про збої відповідають за людину, а не за апарат: дана вами відповідь заповнюється на зв’язаному пристрої, якого ще не питали, — і той каже вам, що її перейняв, — і вона ніколи не витісняє відповіді, уже даної на пристрої. Про підрахунок питають один раз зі спорідненої причини: це факт про набір пристроїв, а не про якийсь один із них, і «так» на нього переноситься до решти на тій самій підписці. Відкликання мандрує далі за будь-яку з них: воно доходить до ваших пристроїв навіть там, де вони вже відповіли, бо заперечення висловлює людина, — і між тим, щоб дійти на один пристрій задалеко, і тим, щоб лишити один вимірювати всупереч чиємусь бажанню, ми обираємо перше. Ми питаємо, а не припускаємо, і причину варто сказати прямо: вимірювати застосунок, зберігаючи ідентифікатор на вашому пристрої, можна було б і не питаючи — але лише якби наш постачальник вимірювань письмово погодився ніколи не використовувати ці дані для власних цілей і унеможливив розгляд окремої людини всередині свого власного інструмента. Ми не просили в нього ні того, ні того — тож питаємо натомість вас.

Те, що ми робимо із замірами, варто назвати, а не описувати абстрактно: Whisprompt іде за вашим голосом по тексту усіма підтримуваними мовами, якість цього ходіння різна від мови до мови, і єдиний спосіб дізнатися, що за якоюсь мовою стеження йде погано, — порахувати, як часто людям доводилося вручну брати керування текстом на себе: у розрізі мови і на такій кількості встановлень, щоб число бодай щось означало. Заміри про екран підписки відповідають на менше запитання: біля якої саме закритої функції людей насправді спиняє. Так чи так, заміри не несуть нічого з написаного чи сказаного вами, адреса, з якої вони надходять, не перетворюється на місцеперебування, ідентифікатор замінюється через тринадцять місяців, і ніщо не поєднується з даними звідкись іще і не використовується, щоб ухвалювати рішення про вас.

Нічого з цього від вас не вимагається. Жоден закон не зобов’язує вас давати нам будь-що з цього, і ніщо з того, що ми продаємо, цим не обумовлене: застосунок встановлюється, суфлер працює, а підписка купується і відновлюється без облікового запису. Одна функція залежить від одного дозволу — стеження за вашим голосом не може працювати без мікрофона, — і відмова в ньому лишає суфлер прокручуватися самому, а це самостійний режим, а не запасний варіант. Замірам із розділу 6 і звітам про збої з розділу 6a не потрібно взагалі нічого: відмовте в одному, в другому чи в обох — і застосунок поводитиметься рівно так само, як поводився б інакше. Наслідок відмови падає на нас, а не на вас: у нас просто немає заміру.

Ми не ухвалюємо про вас рішень автоматизованими засобами і не будуємо профілів. Ніщо з описаного тут вас не оцінює, нічого про вас не передбачає і не зараховує вас до жодної групи, і ніщо тут не породжує для вас правових наслідків чи чогось до них подібного. Дві речі вирішує машина, і обидві стосуються обладнання, а не вас: ретранслятор відвертає запити, що надходять надто швидко, і він не додасть сьомого пристрою до підписки, яка вже покриває шість. Жодна з них не зважує нічого про вас — одна рахує запити, друга рахує пристрої. Модель, яка читає ваші звернення першою (розділ 6b), сортує їх — про що кожне і наскільки терміновим воно виглядає, — але нічого не вирішує про вас: усе, що доходить до вас від неї, вирішив хтось із нас.

Те, що ви надсилаєте нам самі, — звернення з екрана відгуку або прохання додати мову (обидва — у розділі 6b), або будь-що, що ви вирішите надіслати нам електронною поштою, — спирається на вашу згоду (ст. 6(1)(a)). Нічого не збирається, доки ви цього не надішлете, а те, що піде разом зі зверненням, — ваш вибір у мить писання. Відповідаючи вам, виправляючи те, про що ви повідомили, і рахуючи, яких мов у нас просять, ми шануємо саме цю вашу дію.

10. Обробники і передавання за межі ЄЕП

Кожен названий тут обробник пов’язаний із нами письмовою угодою про обробку даних, яка вимагає від нього захищати ваші дані на тому рівні, що його задає ця політика, обробляти їх лише за нашими вказівками і лише з названою тут метою — і ніколи з власною. Наші обробники — RevenueCat (підписки), Cloudflare (ретранслятор, звернення, які ви надсилаєте з екрана відгуку, та запитання до допомоги ШІ), Amplitude (дані про використання) і Sentry (звіти про збої) — можуть обробляти дані за межами Європейського економічного простору, зокрема у Сполучених Штатах. Amplitude отримує заміри на своїй європейській кінцевій точці, а Sentry тримає звіти про збої у своєму європейському регіоні, але обидві компанії американські, тож ці передавання все одно спираються на наведені нижче положення. Кожне таке передавання здійснюється за Стандартними договірними положеннями ЄС, включеними до угоди про обробку даних, яку ми маємо з кожним із цих обробників: додаток Amplitude є частиною її умов надання послуг і містить Положення 2021 року, а додаток Sentry про обробку даних містить ті самі Положення разом із додатком для Великої Британії. Щоб отримати копію Положень, на які спирається будь-яке з цих передавань, напишіть на support@whisprompt.app і назвіть обробника, про якого питаєте; ми надішлемо вам положення, що стосуються саме його. (Крім ваших замірів, Amplitude тримає тестові події, які ми надіслали самі собі з власних пристроїв, аби перевірити, що адреса, з якої надходить замір, не перетворюється на місцеперебування. Вони наші, а не ваші, і ми їх видаляємо.) Наведені вище угоди й положення охоплюють цих обробників і більше нікого. Чотири сервіси, які розділ 6b називає такими, що читають, доставляють або тримають те, що ви надсилаєте з екрана відгуку, — Anthropic, Telegram, Google і GitHub, — не є нашими обробниками: кожен із них перебуває за межами Європейського економічного простору або тримає отримане поза ним, і кожен поводиться з цим на своїх власних умовах. Жоден із наших обробників не тримає вашого імені, і тільки одна з них може тримати електронну адресу: якщо ви вкажете її на екрані відгуку, щоб ми могли відповісти, вона лежить усередині вашого звернення в Cloudflare, доки те звернення не буде видалено. Поза цим вони тримають випадковий ідентифікатор підписки, ідентифікатори окремих пристроїв, ідентифікатор, який несуть заміри, ім’я, яке кожен пристрій про себе повідомляє, і технічні відомості про з’єднання. Поза ними цю адресу разом з рештою вашого звернення читає модель в Anthropic, а якщо ми відповідаємо вам листом, вона є і в нашій поштовій скриньці Gmail — скільки саме вона там зберігається, сказано в розділі 6b.

11. Ваші права

За GDPR ви маєте право на доступ до своїх даних, на їх виправлення, стирання, обмеження обробки і перенесення, а також право заперечувати проти обробки. Ми не тримаємо ні вашого імені, ні вашої електронної адреси: у Whisprompt немає облікових записів, а адреса, яку ви даєте нам разом зі зверненням, залишається при тому зверненні (розділ 6b). Один запис на власному сервері ми таки тримаємо: якщо ви користуєтеся Whisprompt Pro на кількох своїх пристроях, ми зберігаємо список цих пристроїв — ідентифікатор, який застосунок створює для кожного з них, ім’я, яке кожен пристрій про себе повідомляє, і коли його додали та коли бачили востаннє, — під випадковим ідентифікатором підписки. Ви будь-коли можете видалити цей запис із застосунку (Налаштування → Дані на наших серверах), а все інше залишається на вашому пристрої: тексти, моделі й сам застосунок ви можете видалити коли завгодно. Щоб відкликати згоду на заміри використання, вимкніть їх (Налаштування → Дані про використання) або напишіть нам — розділ 6 викладає обидва способи, і кожен зупиняє збирання та видаляє ідентифікатор із пристрою. Щоб уже надіслані заміри теж було видалено, попросіть нас — і ми їх видалимо: вони зберігаються під тим одним випадковим ідентифікатором і без жодного вашого імені. Видалення запису про підписку до них не дістає, а вимкнення вимірювання не дістає до нього, бо ці двоє навмисно тримаються під різними ідентифікаторами: попросіть нас про те, що саме ви хочете прибрати, — чи про обидва. Якщо ви писали нам з екрана відгуку і хочете, щоб те звернення та долучене до нього зникли, назвіть код-посилання, який показав вам застосунок: саме за цим кодом ми знаходимо і його, і копії, що їх описує розділ 6b, і жодного вашого імені при них не записано, щоб шукати за ним. З будь-яким запитом пишіть на support@whisprompt.app. Ви також маєте право подати скаргу до наглядового органу — того, де ви живете, того, де ви працюєте, або того, де, на вашу думку, щось пішло не так. Наш — Agencia Española de Protección de Datos в Іспанії (aepd.es).

12. Строки зберігання даних

Локальні дані живуть, доки ви їх не видалите або не приберете застосунок. Дані про підписку видаляються разом із вашим профілем клієнта в RevenueCat, хоча знеособлені записи про транзакції можуть зберігатися в RevenueCat і в магазині застосунків для потреб обліку. Кімнати ретранслятора живуть щонайбільше чотири години, поштова скринька для з’єднань — до 30 днів, а список пристроїв на вашій підписці — доки не мине рік, у якому жоден із них до нього не звертався, або доки ви не видалите його із застосунку. Заміри використання не мають дати спливу; те, що вирішує, скільки їх тримають, — це те, для чого вони. Вони лишаються, поки ще можуть відповісти на запитання, заради якого їх зібрали, — чи поводиться версія застосунку, якою люди користуються зараз, так, як ми думаємо, — і видаляються, щойно не можуть, або раніше, якщо ви попросите видалити ваші. Ніщо не зберігається на випадок, що воно колись стане в пригоді. Ідентифікатор, під яким тримаються ці заміри, живе за власним годинником, і коротким: він замінюється щонайпізніше через тринадцять місяців після створення, рахуючи від дня створення і не подовжуючись від користування, — тож жоден запис під одним ідентифікатором не може охопити більше. Звіти про збої зберігаються в Sentry не довше ніж 90 днів. Звернення, надіслане з екрана відгуку, разом з усім долученим до нього зберігається два роки від дня надходження і тоді видаляється автоматично — це видалення робить щоночі та сама система, яка його тримає, а не хтось, хто про це згадав; попросіть нас — і ваше зникне раніше. До копій, які розділ 6b описує в Anthropic, Telegram, Google і GitHub, це видалення не сягає: вони залишаються, доки ми не видалимо їх вручну, а вручну ми це робимо, коли ви просите. Листи в підтримку зберігаються рівно стільки, скільки потрібно, щоб опрацювати ваш запит. Прохання додати мову зберігається два роки з дня надходження, а потім видаляється тією самою нічною системою.

13. Діти

Whisprompt не адресований дітям до 16 років і свідомо не обробляє їхніх даних.

14. Зміни

Ми оновимо цю сторінку, коли зміняться наші практики, і виправимо дату вгорі. Там, де момент зміни залежить від нас, сторінка оновлюється до випуску, який цю зміну вносить, а не після нього.