Политика конфиденциальности

• Аккаунта нет и нашего сервера нет. Найти вас мы не сможем, потому что искать не в чем.
• Данные «Здоровья», дневник еды и всё, что вы пишете, лежат в базе приложения на вашем айфоне — и в вашей же резервной копии, если вы её делаете.
• Наставник и сборка портфеля работают только на устройстве. Это не настройка: нет ни согласия, ни фолбэка, которые отправили бы их промпты куда-либо.
• Описания блюд и тренировок, фото этикеток и блюд обрабатываются на устройстве или — по вашему явному согласию — в Apple Private Cloud Compute. Режим «только на устройстве» доступен всегда.
• Хоть что-то видят ровно двое: App Store вместе с RevenueCat (что вы оформили подписку) и продуктовая аналитика (что открылся экран). Ни данных здоровья, ни ваших текстов туда попасть не может.

Sergei Andreev, 26a M. Khorenatsi str., Yerevan 0010, Armenia, — разработчик приложения Health Portfolio для iOS и этого сайта. Вопросы по этой политике — на [email protected].

Данные «Здоровья» — сон, шаги, пульс и вариабельность, вес и состав тела, питание и вода — читаются только по тем категориям, которые вы включили в системном листе доступа. Какие категории вы оставили выключенными, iOS нам не сообщает. Всё это хранится в базе приложения на устройстве под защитой iOS Data Protection и нам не передаётся.

То, что вы вводите сами, — приёмы пищи, тренировки, ответы в анкете инвестора, заметки о травмах и ограничениях, вопросы наставнику — хранится там же, на устройстве.

Из того, что вы вводите, уйти с телефона могут только описания блюд и тренировок и фото этикеток и блюд — и только ради распознавания, по вашему согласию. Об этом отдельный раздел ниже.

Подписку проводит App Store. RevenueCat проверяет чек на своих серверах и получает анонимный идентификатор устройства и события покупок. Метод входа их SDK приложение не вызывает — привязывать покупку к личности не к чему.

Продуктовая аналитика фиксирует, что произошло событие: просмотрен шаг онбординга, открыт экран подписки, записан приём пищи. События заданы в коде закрытым типом, свойства — закрытыми словарями; свободную строку туда физически не положить. Поставщик — PostHog, европейский хост. В отладочных сборках аналитики нет вовсе.

Тем же каналом уходит техническая диагностика, которую приложению отдаёт сама iOS (MetricKit): сколько раз за сутки приложение закрылось и почему — например, не хватило памяти, — и вид падения или зависания. Это счётчики и названия из тех же закрытых словарей: ни журналов падений, ни содержимого памяти, ни того, что было на экране.

Если вы пришли из кампании Apple Search Ads, iOS может выдать токен атрибуции, по которому видно, из какой кампании установка. IDFA не используется, слежки за вами между приложениями и сайтами нет.

Уведомления планируются на устройстве. Push-сервера не существует, а текст уведомления фиксируется за дни до показа — поэтому цифры о вашем здоровье в нём не могут появиться в принципе.

Промпты наставника несут данные «Здоровья» и то, что вы написали своими словами. Их обрабатывают встроенные модели Apple на самом устройстве или модель, скачанную на телефон, — и никуда больше они не уходят: ни к нам, ни к Apple, ни в какое облако, ни под каким согласием и ни при каком фолбэке.

То же относится к андеррайтингу — расчёту, который превращает ваши данные в таргеты и в скор.

Это держится не обещанием, а сборкой: отдельная фаза валит сборку целиком, включая релизную, если код, работающий с этими промптами, хотя бы упоминает приватное облако.

Распознать блюдо по фото или описанию, этикетку по фото и тренировку по описанию точнее, чем может встроенная модель на устройстве. По вашему явному согласию и только для такого распознавания кадр или текст может обрабатываться в Apple Private Cloud Compute.

Обработка там ephemeral: кадр или текст нигде не сохраняется и недоступен никому, включая Apple и разработчика. К нам возвращается только результат распознавания — название блюда или тренировки и его значения.

Согласие спрашивается до первого такого использования, и отказаться можно. Настройка «Только на устройстве» в разделе «Профиль → Приватность» оставляет распознавание на телефоне навсегда — просто этикетки читаются хуже. Согласие отзывается там же в любой момент.

• Не продаём ваши данные и не передаём их брокерам данных.
• Не используем ваши данные для обучения моделей.
• В приложении нет рекламы и нет слежки между приложениями и сайтами.
• Ничего не записываем в «Здоровье» без вашего действия.
• Не спрашиваем ни имени, ни почты, ни телефона.

Поддержка — это адрес почты, а не форма внутри приложения: когда вы пишете нам, мы получаем ваш адрес и то, что вы написали, — включая рассказ о здоровье, если вы решите его рассказать. Ничего из этого мы не спрашиваем, и само приложение нам ничего не отправляет.

Переписка хранится ровно столько, сколько нужно, чтобы ответить и помнить, о чём был разговор. Попросите удалить — удалим.

Поскольку данные лежат на вашем устройстве, вы распоряжаетесь ими напрямую. Удаление приложения уносит с собой и его базу — копии на нашем сервере, о которой нас можно попросить, не существует.

Если включена резервная копия iCloud, база приложения уезжает в копию устройства — так же, как данные большинства приложений. Эта копия лежит в вашем аккаунте Apple и зашифрована; при включённой «Расширенной защите данных» — сквозным ключом, которого нет и у самой Apple. К нам она не попадает, и прочитать её мы не можем. В настройках iOS можно выбрать, какие приложения в копию включать, — это приложение можно из неё исключить.

«Профиль → Мои данные» сохраняет копию одним файлом. Это второй путь: он пригодится, если копии устройства вы не держите или хотите иметь историю где-то помимо Apple. Этот файл ваш, к нам он не попадает.

Чтобы отрезать «Здоровье», отзовите доступ в «Настройки → Конфиденциальность и безопасность → Здоровье». Приложение продолжит работать — просто позиций для открытия станет меньше.

Отмена подписки делается в App Store и ничего не удаляет.

Там, где применяется GDPR или похожий закон, у вас есть право на доступ, исправление, выгрузку и удаление персональных данных. В нашем случае эти права реализуются прямо на устройстве, потому что только там данные и существуют: их видно в приложении, их можно выгрузить файлом и удалить вместе с приложением.

По той узкой части, что есть у третьих лиц, — факт покупки у RevenueCat, анонимный идентификатор установки в аналитике — напишите нам, и мы удалим всё, что определяется по идентификатору вашего устройства.

healthportfolio.app — статические страницы за Cloudflare. Он не ставит кук и ничего у вас не спрашивает. Cloudflare обрабатывает технические данные запроса, включая IP-адрес, чтобы отдать страницу и защитить сайт.

Приложение не предназначено для тех, кому меньше 18, и мы сознательно не обрабатываем их данные.

Health Portfolio — продукт о самочувствии и привычках. Это не медицинское изделие: он не ставит диагнозов, не лечит и не предотвращает заболевания, а слова наставника не являются медицинской рекомендацией. Прежде чем менять питание или нагрузку, посоветуйтесь с врачом — особенно если у вас есть заболевание или вы принимаете лекарства.

Если политика меняется, вместе с ней меняется дата вверху, и с этой даты прежняя редакция перестаёт действовать. Об изменении, которое затрагивает то, что уходит с вашего устройства, мы дополнительно скажем в приложении.

Редакций две, и они про одно и то же. Эта написана по тому, как приложение устроено на самом деле: что считается на айфоне, что его покидает и по какому согласию. Полная несёт формальные разделы, которых требуют законы и которые они же просят излагать своими словами: правовые основания, передача за пределы ЕЭЗ, сроки хранения, права жителей отдельных штатов США и порядок жалобы в надзорный орган.

Эту читайте, чтобы понять, что происходит с вашими данными. Полную — если нужна юридическая детализация. Если тексты где-то расходятся, верной считается эта страница: она описывает приложение точно, а вторую мы поправим.

[email protected] · Sergei Andreev, 26a M. Khorenatsi str., Yerevan 0010, Armenia