Приложение сделал один человек, и этот текст я тоже написал сам, обычным языком. Здесь ровно то, что происходит с вашими данными, — не больше и не меньше. В версии 2.0 у приложения появились голосовой ввод и разбор задач языковой моделью, и вместе с ними — первый и единственный случай, когда ваш текст покидает телефон; ему посвящены разделы 5 и 6. Если какая-то фраза непонятна, напишите мне, и я перепишу её понятнее.
Меня зовут Асет Кудайбергенов, я индивидуальный разработчик, физическое лицо, живу в Казахстане. Компании и команды за приложением нет, поэтому дальше по тексту я пишу «я», а не «мы» — так честнее.
В терминах европейского регламента GDPR я являюсь контролёром данных. Отдельного специалиста по защите данных (DPO) я не назначал: закон требует этого только в определённых случаях, и мой случай к ним не относится.
Представителя в Европейском союзе по статье 27 GDPR я не назначал и полагаюсь на исключение статьи 27(2)(a): обработка носит эпизодический характер, не включает специальные категории данных, не ведётся в крупных масштабах и вряд ли создаёт риск для ваших прав и свобод. Проще говоря: закон разрешает разработчику такого масштаба не нанимать представителя в ЕС, и я этим правом пользуюсь. Писать мне можно напрямую.
Контакт по любым вопросам о данных: asset1759@gmail.com. Пишите на русском или английском.
Prizma создаёт и хранит на вашем iPhone следующее:
Где именно это лежит: история, статистика и настройки — это файлы в песочнице приложения на вашем устройстве. Состояние блокировки, токены выбора и данные расписания — в общей группе group.kz.asset.focus: это закрытая область хранения на самом устройстве, доступная только Prizma и её собственным системным расширениям.
Во время сессии приложение может показывать Live Activity на экране блокировки и в Dynamic Island: текущую фазу и время её окончания. Она формируется на устройстве, push-токены ActivityKit не используются, наружу ничего не уходит.
Эти данные никуда не отправляются: ни мне, ни третьим лицам, ни в облако. Своего сервера у меня нет. iCloud и CloudKit приложение не использует, серверных резервных копий не делает. Я не вижу, когда и сколько вы фокусируетесь, — эти данные до меня не доходят.
Честная оговорка про мою сторону: Apple может показывать мне обезличенную сводную статистику App Store (установки, активные устройства, сбои) по тем, кто в настройках iOS разрешил делиться аналитикой с разработчиками. Отдельного пользователя я в этих данных не вижу, и приходят они от Apple, а не из приложения.
Если у вас включена системная резервная копия iPhone в iCloud или на компьютере, копия данных приложения может попасть туда вместе с копией всего устройства. Это делает iOS по вашим настройкам, а не приложение; такими копиями управляете вы и Apple.
Prizma умеет блокировать отвлекающие приложения, категории и сайты на время сессии. Работает это через системный механизм Apple — Family Controls и Screen Time API. Как он устроен, важно понимать, потому что это главное, что защищает здесь вашу приватность:
group.kz.asset.focus, и никуда не передаются.Статистику вашего экранного времени по другим приложениям Prizma не собирает и доступа к ней не имеет.
Отдельно и прямо заявляю: я не продаю, не использую и не раскрываю третьим лицам никакие данные, связанные с блокировкой приложений и экранным временем, ни для каких целей.
Чтобы блокировка заработала, iOS попросит у вас разрешение Screen Time. Вы даёте его системе и можете отозвать в любой момент в Настройках → Экранное время; отзыв просто выключает блокировку, таймер продолжит работать.
В приложении есть необязательные платные планы: авто-возобновляемые подписки на месяц и на год и разовая покупка Lifetime. Актуальные цены и валюта показаны на экране покупки в приложении и на странице App Store — они различаются по странам, поэтому здесь я их намеренно не дублирую.
Один из двух сетевых запросов, которые делает Prizma, — обращение к сервису RevenueCat (RevenueCat, Inc., США). Второй описан в разделе 6 и происходит, только если вы включили разбор задач. Он нужен ровно для того, чтобы проверить подлинность покупки, выдать вам платные функции и восстановить их после переустановки или на новом устройстве.
| Что | Зачем |
|---|---|
| Анонимный идентификатор пользователя, который SDK генерирует случайным образом на самом устройстве | Чтобы связать покупку с установкой приложения, не зная, кто вы |
| Чек Apple и сведения о транзакции: какой продукт куплен, когда, активна ли подписка, идёт ли пробный период | Проверка подлинности покупки, защита от мошенничества, выдача и восстановление доступа к Pro |
| Модель устройства и версия операционной системы | Техническая обработка запроса |
| Язык, код валюты и страна магазина | Чтобы показать и записать правильную цену |
| IP-адрес, который RevenueCat видит при сетевом запросе | Неизбежен для любого сетевого обращения; по нему определяется страна магазина и отсекается мошенничество. Я его не вижу и не храню |
| Время последнего обращения приложения к сервису | Статус подписки и сводная (агрегированная) статистика по подпискам и выручке |
Вместе с запросом SDK передаёт IDFV — идентификатор, который iOS выдаёт моим приложениям на вашем устройстве. Он не рекламный, за пределы моих приложений не ведёт и обнуляется, когда вы удаляете последнее из них; отключить его передачу из приложения нельзя, это делает сам SDK.
Идентификатор пользователя анонимный, аккаунтов нет — поэтому ни я, ни RevenueCat не можем связать запись о покупке с вами как с личностью.
В отношениях с RevenueCat я контролёр, а RevenueCat — обработчик: он работает по моему поручению и по договору об обработке данных. Его документы: политика конфиденциальности и соглашение об обработке данных (DPA).
Оплата подписки и разовой покупки проходит через App Store. Apple выступает продавцом, обрабатывает платёж, управляет пробным периодом, продлением, отменой и возвратами. Ваших платёжных данных я не вижу. Обработка на стороне Apple регулируется политикой конфиденциальности Apple.
Задачу можно продиктовать. Для этого приложение просит два разрешения: микрофон и распознавание речи. Оба спрашиваются в момент первого нажатия на микрофон, а не заранее, и без них диктовка просто не работает — на остальное приложение это не влияет.
Звук не покидает ваш iPhone. Речь распознаёт сама операционная система, на устройстве. Приложение не создаёт файла записи, не сохраняет аудио и никуда его не отправляет — ни мне, ни третьим лицам.
Здесь важна оговорка, ради которой стоило написать этот абзац. Распознавание на устройстве есть не для всех языков: словарь докачивается системой, и до этого его нет. В такой ситуации iOS готова отправить звук на серверы Apple — и чтобы этого не случилось, приложение заранее проверяет, установлен ли словарь для нужного языка, и при его отсутствии диктовку не начинает вовсе. Вы увидите сообщение, что распознавание на устройстве недоступно, и останется клавиатура. Это сознательный выбор: лучше не дать функцию, чем дать её ценой нарушенного обещания.
Что происходит с распознанным текстом — в следующем разделе: это уже не звук, а текст задачи, и правила у него другие.
Это единственная функция приложения, которая отправляет ваш текст за пределы устройства. Поэтому о ней подробно.
Функция выключена по умолчанию и доступна только по подписке. Включается вручную в разделе «Ещё». Пока она выключена, ничего из описанного ниже не происходит, а задачи разбираются правилами прямо на телефоне.
Когда она включена и вы добавляете задачу, приложение отправляет запрос на мой сервер. В запросе ровно три поля:
| Что | Зачем |
|---|---|
| Текст задачи — то, что вы набрали или продиктовали | Его и надо разобрать на название, описание, срок и шаги |
| Название языка (например, «Russian») | Чтобы ответ пришёл на том же языке |
| Тот же анонимный идентификатор, что и у покупок | Проверить подписку и посчитать дневной лимит запросов |
Имени, почты, статистики, других задач и содержимого приложения в запросе нет.
Путь текста. Сервер — это функция на площадке Cloudflare, принадлежащая мне. Она передаёт ваш текст в OpenAI (OpenAI, L.L.C., США), модель gpt-4o-mini, получает разобранную задачу и возвращает её приложению. Идентификатор в OpenAI не передаётся: туда уходит только текст и название языка.
Что хранится. На моём сервере текст задачи не сохраняется и не записывается в журналы — он существует лишь то время, пока обрабатывается запрос. Сохраняются только два служебных значения, и оба привязаны к анонимному идентификатору, а не к тексту:
Что делает с текстом OpenAI, определяют его условия для разработчиков, а не я. На момент этой редакции OpenAI по умолчанию хранит переданные через API данные ограниченное время для контроля злоупотреблений и заявляет, что не обучает на них свои модели. Ссылки: политика конфиденциальности OpenAI и условия использования данных API.
В отношениях с Cloudflare и OpenAI я контролёр, а они обработчики: они работают по моему поручению.
Если не хотите, чтобы текст задач уходил куда-либо — не включайте разбор или выключите его в разделе «Ещё». Приложение полностью работает без него: задачи, сроки и шаги можно вести руками, а срок в сказанном приложение распознаёт и само, на устройстве.
Уведомления в Prizma бывают трёх видов, и все они локальные — их планирует и показывает iOS на вашем устройстве:
Push-сервера у меня нет, приложение не регистрируется для удалённых уведомлений и не передаёт push-токены никуда. Отключить уведомления можно в системных настройках iOS в любой момент.
Перечисляю прямо, потому что отсутствие этих вещей — тоже часть ответа на вопрос «что вы делаете с моими данными»:
Если вы находитесь в Европейском экономическом пространстве, Великобритании или Швейцарии, по моему поручению обрабатываются две вещи. Первая — данные о покупках из раздела 4. Вторая — текст задачи и анонимный идентификатор при разборе задачи из раздела 6, и только если вы включили эту функцию. Основание для обеих — исполнение договора, статья 6(1)(b) GDPR: без проверки чека невозможно ни выдать платные функции, ни восстановить их позже, а без передачи текста невозможно оказать саму услугу разбора, о которой вы просите нажатием.
Предоставление этих данных — договорное требование: без них платную подписку нельзя проверить, активировать и восстановить, а разбор задачи — выполнить. Обязанности их предоставлять у вас нет: бесплатный таймер, статистика и бесплатные сессии работают без всякой покупки, а разбор задач выключен по умолчанию, и приложение полностью работоспособно без него.
Других оснований не требуется. Согласия на аналитику и рекламу я не спрашиваю, потому что ни того, ни другого в приложении нет. Специальные категории данных по статье 9 GDPR не собираются; профилирования и автоматизированных решений нет.
Текст задачи при разборе (раздел 6) проходит через сеть Cloudflare (Cloudflare, Inc., США) и передаётся в OpenAI (OpenAI, L.L.C., США). Обе компании для передач из ЕЭЗ, Великобритании и Швейцарии применяют стандартные договорные условия Европейской комиссии, включённые в их соглашения об обработке данных. Передача идёт по защищённому соединению.
Данные о покупках обрабатываются RevenueCat на серверах в Соединённых Штатах Америки. Для передач из ЕЭЗ, Великобритании и Швейцарии RevenueCat применяет стандартные договорные условия Европейской комиссии (Standard Contractual Clauses) — они включены в его соглашение об обработке данных. Передача идёт по защищённому соединению.
Я как разработчик нахожусь в Казахстане, для которого решения Европейской комиссии об адекватном уровне защиты нет. На практике это значит следующее: моего собственного хранилища с вашими записями не существует, а то немногое, что оседает на моём сервере, — служебный счётчик и отметка о подписке, оба привязанные к анонимному идентификатору и живущие часы, а не годы. Текст ваших задач у меня не оседает вовсе. Кроме этого ко мне может попасть только то, что вы сами напишете мне в письме.
Хранятся, пока вы их не удалите. Удаляются они вместе с приложением: когда вы удаляете Prizma с iPhone, iOS удаляет песочницу и данные группы group.kz.asset.focus — историю сессий, настройки и токены выбора. Копия может остаться только в вашей собственной резервной копии iPhone, которой управляете вы и Apple, а не я.
Текст задачи не сохраняется: он живёт лишь то время, пока обрабатывается запрос, и не попадает ни в хранилище, ни в журналы. Сохраняются только два служебных значения, привязанные к анонимному идентификатору: отметка о действующей подписке — 10 минут, счётчик разборов за сутки — 48 часов. По истечении этих сроков записи удаляются сами, никаких действий с вашей стороны не требуется. Что делает с переданным текстом OpenAI, определяют его условия; ссылки — в разделе 6.
Мой критерий хранения такой: записи хранятся у RevenueCat, пока действует ваша подписка или разовая покупка, и не дольше 24 месяцев после её окончания — для восстановления покупок, защиты от мошенничества и учёта. Попросить удалить их раньше можно письмом на asset1759@gmail.com — я передам запрос обработчику; служебные резервные копии могут сохраняться у него ещё недолго по его собственной политике. После удаления записи приложению придётся заново синхронизировать чек Apple при следующем восстановлении; сама покупка при этом остаётся в вашей истории App Store.
Письма я храню в почтовом ящике не дольше, чем нужно для ответа и решения вопроса, обычно до 12 месяцев, после чего удаляю; по вашей просьбе — раньше.
Отдельной функции удаления аккаунта в приложении нет по простой причине: аккаунтов в приложении нет вообще. Учётную запись Prizma создавать не нужно, и никакого профиля на моей стороне не существует.
Подписка управляется Apple. Отменить её можно в Настройках → ваше имя → Подписки. Удаление приложения подписку не отменяет.
Если к вам применяется GDPR или аналогичный закон, у вас есть права:
Как воспользоваться: напишите на asset1759@gmail.com. Бесплатно, ответ в течение одного месяца. Если запрос сложный, срок может быть продлён, и я об этом предупрежу.
Одна честная оговорка. Поскольку аккаунтов нет, я не могу вас опознать. Данные на вашем устройстве доступны только вам: я не могу их получить, выдать или удалить, а вы можете удалить их полностью, удалив приложение. Найти можно только запись о покупке — для этого приложите к письму дату покупки и Apple transaction ID из письма-чека, которое прислала вам Apple. Без этого я физически не найду вашу запись; лишних документов «для проверки личности» я у вас просить не буду.
Применяется ли закон Калифорнии к разработчику-одиночке такого масштаба — вопрос спорный. Раскрываю всё, что он требует, независимо от ответа.
| Категория персональной информации | Что именно |
|---|---|
| Identifiers | Анонимный, случайно сгенерированный идентификатор пользователя. Ни имени, ни почты, ни аккаунта, ни рекламного идентификатора. |
| Commercial information | Сведения о покупках и статусе подписки Prizma Pro. |
| Internet or other network activity | IP-адрес соединения, который RevenueCat видит при проверке или восстановлении покупки. |
Я не продаю персональную информацию и не передаю её третьим лицам для рекламы (в терминах CPRA — sale и sharing), в том числе для кросс-контекстной поведенческой рекламы, и не делал этого в предшествующие 12 месяцев. Персональную информацию несовершеннолетних до 16 лет я не продавал и не передавал.
Ваши права: знать и получить доступ, удалить, исправить, отказаться от продажи и передачи, ограничить использование чувствительных данных, а также не подвергаться дискриминации за реализацию этих прав. Канал подачи запроса один — asset1759@gmail.com; бесплатного телефонного номера нет, так как я работаю исключительно онлайн. Запрос может подать ваш уполномоченный представитель, приложив подтверждение полномочий.
Если вы в Бразилии, закон LGPD даёт вам право на подтверждение обработки, доступ, исправление, обезличивание, блокирование или удаление ненужных данных, переносимость, сведения о том, кому данные передаются, и право пожаловаться в ANPD. Всё описанное в этой политике применяется к вам, а любые из этих прав реализуются тем же письмом на asset1759@gmail.com. Контролёр — я; отдельного ответственного за данные нет.
Как контролёр, проживающий в Казахстане, я обрабатываю данные в соответствии с законом Республики Казахстан «О персональных данных и их защите». На практике это просто: базы пользователей у меня нет, и единственные персональные данные, которые могут у меня оказаться, — ваше письмо.
Prizma — инструмент для концентрации и работы. Он не предназначен для детей, не адресован им и не является средством родительского контроля. Данные детей я сознательно не собираю.
Приложение не запрашивает персональных данных при запуске, не содержит рекламы и сторонней аналитики, не имеет чатов, профилей и социальных функций. Единственное, что человек может отправить наружу по своей воле, — текст задачи при включённом разборе (раздел 6); функция выключена по умолчанию и требует подписки.
Если вы родитель или опекун и считаете, что ребёнок передал мне какие-либо персональные данные (например, написав письмо), напишите на asset1759@gmail.com — я удалю эти сведения.
Данные на устройстве защищены средствами iOS: песочница приложения, шифрование хранилища устройства и код-пароль. Обмен с RevenueCat идёт по защищённому соединению (TLS). Обмен с моим сервером разбора задач — тоже по TLS. Базы данных с вашими записями и админ-панели у меня нет: на сервере оседают только служебный счётчик и отметка о подписке, живущие часы, а текст задач не оседает вовсе. Красть, по сути, нечего — и это защита устройством, а не паролем.
Абсолютной безопасности не бывает: если мне станет известно об инциденте, затрагивающем ваши данные, я сообщу об этом в порядке и сроки, установленные применимым законом.
Третьих сторон три: RevenueCat, Inc. — покупки и подписки; Cloudflare, Inc. — площадка, на которой работает мой сервер разбора задач; OpenAI, L.L.C. — языковая модель, выполняющая сам разбор. Двое последних получают данные, только если вы включили разбор задач.
RevenueCat, Inc. получает данные о покупках. По соглашению об обработке данных она обязана обрабатывать их исключительно по моему поручению и обеспечивать такой же или равный уровень защиты, какой описан в этой политике, в том числе по GDPR. Платёж обрабатывает Apple по собственным условиям. Аналитику, рекламные сети и любые другие сторонние SDK, собирающие данные, я не использую и передавать ваши данные рекламодателям и брокерам данных не буду.
Если в приложении появится что-то, меняющее работу с данными, я обновлю этот документ и изменю дату вступления в силу вверху страницы. О существенных изменениях я дополнительно сообщу в приложении или в примечаниях к обновлению. Действующей всегда является редакция, опубликованная по этому адресу.
Асет Кудайбергенов
Индивидуальный разработчик, Казахстан
asset1759@gmail.com
Вопросы о конфиденциальности, запросы по правам, жалобы и указания на ошибку в тексте — всё по одному адресу и всё читает один человек: я.