Политика конфиденциальности

Обновлено 25 октября 2026

Этот документ написан на английском языке и переведён на русский в несколько этапов. Поэтому отдельные формулировки в переводе могут быть не на 100% точными. Вы можете прочитать и версии на других языках. Если вы заметили расхождение, сначала напишите в поддержку на support@zarok.app, и мы всё уточним. Перевод сделан для вашего удобства.

Эта политика описывает, какие данные обрабатывает приложение «Зарок» в Google Play, в Huawei AppGallery и в Telegram: зачем они нужны и на каком основании, где и сколько хранятся, какие функции ими пользуются, когда данные передаются внешним сервисам, какие согласия вы даёте, как их отозвать и какие у вас есть права. Приложение разрабатывает Зарок Студия (Zarok Studio). Она решает, зачем и как обрабатываются данные, и отвечает за это: в терминах Общего регламента ЕС по защите данных (GDPR) это контролёр данных. Связаться с нами: support@zarok.app. ИИ Зарок (далее также — помощник) — функция приложения, которая по вашим сообщениям предлагает записи в расписание и может пересказать его; ответы для неё готовят сторонние сервисы искусственного интеллекта (раздел 3.1). Приложением может пользоваться человек любого возраста; если вам меньше 13 лет (или меньше возраста цифрового согласия в вашей стране) — с разрешения родителей или законных представителей. ИИ Зарок доступен с 16 лет. Реклама показывается только в бесплатной версии приложения для Android (раздел 3.15).

Что такое «Зарок». Это календарь и планировщик личного распорядка. Курсы добавок (БАДов и витаминов), питание, тренировки и ритуалы в нём — предлагаемые виды записей: примеры того, что можно отслеживать, а не рекомендации. Приложение ничего не назначает и не советует: что записывать и чему следовать, решаете вы.

1. Данные внутри приложения

1.1. Какие данные и зачем

Ваши записи. Приёмы пищи и их состав, курсы добавок с дозами и фазами, тренировки и события, шаги ритуалов, зароки, отметки выполнения, заметки и ссылки, в том числе на видео. Сюда же относятся метки и приоритеты дел, сохранённые фильтры поиска, история сессий таймера «Время внимания» и события из файлов календаря, которые вы загрузили сами. Эти данные вводите вы сами. Они нужны, чтобы показывать ваше расписание, считать прогресс и напоминать о делах.

Сведения о здоровье. Мы не просим сведений о здоровье, и отдельных полей для них в приложении нет. Если вы сами записываете такие сведения, например курсы добавок или самочувствие в заметках, вы делаете это добровольно. Такие записи синхронизируются так же, как остальные, а помощнику уходят, только если вы ему пишете. Ответы знакомства о целях (сон, тело, стресс) и о добавках хранятся только на телефоне и на сервер не уходят. Внося их, вы даёте на это явное согласие (статья 9 GDPR); отозвать его можно, удалив эти записи. Мы не делаем по ним выводов о вас и не используем их для рекламы. Мы советуем не вносить сведения о здоровье, которые не нужны для расписания.

Настройки. Имя для обращения, если вы его указали, тема оформления и фоновые картинки, разделы на панели вкладок, цвета статусов и категорий, напоминания, программа питания. Они хранятся вместе с записями, чтобы приложение работало так, как вы его настроили. Для дел, которые вы переносили на другой день, приложение хранит число переносов; оно синхронизируется вместе с остальными настройками и убирается через 60 дней. Для «Итогов года» приложение ведёт короткую сводку за каждый год: сколько раз дела переносились и сколько дней были выбраны темы и облики Зарока. Она хранится вместе с настройками, за последние 5 лет. Выбор картинок приветствия (женский или мужской вариант) хранится только на устройстве и на сервер не уходит. Фото профиля, если вы его выбрали, тоже хранится только на устройстве.

Служебные данные учётной записи.

Номер учётной записи. В Telegram это ваш числовой идентификатор Telegram, в приложении из Google Play — случайный номер, который приложение создаёт на устройстве. По этому номеру ваши данные открываются на ваших устройствах.
Аккаунт — если вы его создали (это необязательно). При входе по почте: адрес почты, отметка о её подтверждении и пароль в виде необратимого хеша — сам пароль мы не храним и не знаем. При входе через Google: идентификатор вашего аккаунта Google, адрес почты и имя, которые передаёт Google (раздел 3.8). А также дата, когда вы приняли Условия и эту политику, и их редакция. Аккаунт нужен, чтобы данные, Зарок, настройки и подписка не терялись при смене телефона.
Доступ к подписке «Зарок Plus» (ИИ Зарок, платные виджеты, темы и палитры виджетов): открыт ли он, до какого числа и на каком основании (подписка или промокод). Для подписки Google Play — подтверждение покупки (токен), номер заказа, дата оформления, тариф, срок и статус продления. Если вам выдан постоянный код для входа с других устройств, хранятся этот код и перечень устройств, вошедших по нему. У каждого такого входа хранятся вид устройства одним словом (Android, iPhone, Windows и т. п.), время входа и время последнего обращения. По коду можно подключить не больше пяти устройств. Одноразовый код входа действует 5 минут и после этого не хранится; сам промокод не хранится.
Подтверждение покупки: когда вы нажали кнопку оформления подписки, версия текста перед оплатой, его вариант для вашей страны, страна аккаунта Google Play (если магазин её сообщил) и какую подписку вы оформляли, а также подписка и тариф, которые подтвердил Google Play, и когда отметку получил сервер. Это нужно, чтобы показать, на каких условиях оформлена подписка, если об этом возникнет вопрос. Последняя отметка хранится в настройках приложения, а на сервере — последние 20 отметок, пока существует учётная запись.
Подключённые ИИ-клиенты (если вы их подключали): название клиента, выданные ему права, дата подключения и история изменений, которые он внёс в план (раздел 3.13). На один Зарок — не больше пяти подключений. Когда их уже пять, новое подключение того же клиента заменяет его самое давнее подключение; чтобы подключить другой клиент, сначала отзовите одно из подключений.
Согласие на работу с помощником: подтверждение возраста, дата согласия и версия текста условий, а если вы его отозвали — дата отзыва.
Счётчики использования: сколько раз открывались разделы и функции и в какие дни вы заходили (за последние 60 дней). Содержимое записей в счётчики не попадает. Они нужны, чтобы понимать, какие функции полезны. Счётчики можно выключить: Профиль → «Мой профиль» → «Данные и синхронизация» → «Статистика использования». Тогда собранные счётчики удаляются, а новые не записываются.
Часовой пояс устройства: смещение от всемирного времени в минутах. Приложение передаёт его при синхронизации, и оно хранится в учётной записи, чтобы бот в Telegram и достижения считали дни по вашему времени.
Награды за рекламу (Android): какой виджет или какую коллекцию вы открыли за просмотр рекламы, до какого времени действует награда и сколько наград вы получили за текущие сутки по UTC (не больше 6). Хранится и журнал листочков: когда, за что и сколько их начислено и потрачено. Это нужно, чтобы награда не пропала после переустановки и чтобы соблюдался суточный предел. Содержимое ваших записей в эти данные не входит.
Использование приложения: когда и какими функциями вы пользуетесь, время действий и отметок, часовой пояс и его смены, откуда сделано действие (приложение, виджет, бот в Telegram, подключённое ИИ-приложение), полученные награды и подарки, серии дней с делами и заморозки серии. Мы храним служебные отметки о действиях, а не текст записей. Это нужно для наград и подарков, для выбора предложений и для защиты от злоупотреблений.
Технические данные устройства: случайный идентификатор установки, который создаёт приложение, и версия приложения. Если вы участвуете в приглашениях (открывали «Пригласить друга», пришли по приглашению или ввели код друга), приложение для Android регулярно передаёт ещё код, вычисленный на телефоне из системного идентификатора Android (сам идентификатор телефон не покидает), и отметки, не эмулятор ли это и не отладочная сборка. Без этого код не передаётся и не хранится, а если вам меньше 13 лет, он не передаётся никогда, и прийти по приглашению нельзя. Чтобы одну награду, подарок или приглашение нельзя было получить повторно или накрутить, мы храним отпечатки устройства и учётной записи — коды вместо самих номеров.

Переписка с помощником. Ваши запросы к помощнику, в том числе распознанные из голоса, и его ответы хранятся на нашем сервере вместе с тем, какие изменения помощник предложил, применили ли вы их и что не получилось применить. Содержимое приложенных файлов не сохраняется, только их число. По этой переписке мы понимаем, какими функциями пользуются, что помощник понимает неверно и что стоит доработать. Доступ к ней есть только у разработчика. Мы не используем её для рекламы и не продаём.

Изображения дел. Изображение, которое вы прикрепили к делу, хранится на вашем устройстве. Если вы включили память и синхронизацию фото (Профиль → «Мой профиль» → «Данные и синхронизация» → «Изображения дел» → «Синхронизация фото»), для синхронизации между вашими устройствами и с Telegram копия изображения временно хранится у нас не дольше 3 дней, затем удаляется автоматически. За это время изображение появляется на других ваших устройствах. Если к вашему Зароку подключён Telegram, мы отправляем копию вам в чат с ботом Зарока с названием дела в подписи; там она остаётся у вас, пока вы сами её не удалите, и хранится по правилам Telegram. Без вашего включения изображения к нам и в Telegram не попадают, а выключить синхронизацию фото можно в любой момент. Метаданные снимка (место, время, камера) удаляются: приложение пересохраняет изображение без них, а мы проверяем это ещё раз. Копия изображения выдаётся только приложению на ваших устройствах.

Дела вместе. Этот раздел нужен, чтобы вести один список дел вдвоём или с семьёй: распределять дела, отмечать сделанное и обсуждать их. Он открывается после входа в аккаунт. Название списка, дела, заметки, отметки и реплики хранятся на нашем сервере и видны всем участникам этого списка. Участники видят имя, которое вы сами указали при входе в список; вашу почту и аккаунт они не видят. Приглашение — одноразовый код на семь дней, который вы передаёте сами. Если вы прикрепили к делу фото или PDF, файл, его имя и размер хранятся на сервере вместе с делом и видны всем участникам списка. Файл удаляется вместе с делом, а раньше его может удалить тот, кто прикрепил, или владелец списка.

Как защищены общие списки: на сервере они лежат в зашифрованном виде, ключ хранится отдельно от самих данных; между приложением и сервером данные идут только по защищённому соединению. Доступ к серверу есть только у разработчика.

Как удаляются общие списки: выполненное дело вместе с репликами к нему стирается через 180 дней после отметки, лента событий хранится 30 дней. Дело или реплику можно удалить сразу — они исчезают у всех участников. Когда вы выходите из списка или вас из него убирают, ваши дела остаются у остальных участников, но без вашего имени. Владелец может удалить список целиком; если владелец удаляет свой аккаунт, список удаляется у всех.

Друзья и общий профиль. Друзья, серии с другом, цель недели и рейтинг доступны после входа в аккаунт. Другие люди видят только ваш общий профиль: @ник, имя для друзей и облик Зарока. Друзьям и партнёрам по серии видно ещё немногое: отмечено ли у вас сегодня дело, серии дней с делами и сколько таких дней было на этой неделе (в серии с другом, цели недели и рейтинге). Историю дней с делами за 12 недель друзья видят, только если вы включили «Делиться днями активности». Ваши дела, их названия, время и число, заметки, почту, имя из профиля, фото и Telegram другие люди не видят. По нику вас находят, только если включено «Находить меня по нику»; без этого — только по вашей ссылке или коду. Ник, имя для друзей, друзья, запросы, блокировки, отметки «Скрыть для себя» и переключатели хранятся на нашем сервере в учётной записи и удаляются вместе с ней. В «Моём профиле» можно скрыть имя (тогда виден только @ник), выйти из рейтинга и заменить ссылку на новую, а в карточке друга — удалить его из друзей. В карточке человека можно пожаловаться на него, заблокировать его или скрыть для себя его прогресс, имя и облик, место в вашем рейтинге и напоминания о нём; человек об этом не узнаёт. После блокировки дружба, общие серии и цель недели заканчиваются, и вы не находите друг друга; список заблокированных с @ником на момент блокировки — в «Моём профиле». Если вы удалите учётную запись, друзья и партнёры по серии увидят вместо вас «Удалённый аккаунт»: без ника, имени и облика, только прошлые числа, например с какого дня вы дружили и общие серии; в рейтинге он виден до конца недели. Ник, ссылка и коды освобождаются сразу, и тот, кто займёт ваш ник, ничего из прежнего не получит.

Приглашения. Свой код и ссылку-приглашение вы получаете, когда открываете «Пригласить друга», и делитесь ими сами, через приложение, которое выберете. После входа в аккаунт друг привязывается к тому, кто пригласил, один раз и навсегда: по ссылке, по коду или по метке установки Google Play. Эту метку приложение читает один раз после установки и передаёт на сервер только код из неё. Тот, кто пригласил, видит по каждому другу строку без имени: дату, сколько дней подряд с делами уже набрано и засчитано ли приглашение. Если друг оформит подписку, тот, кто пригласил, получит дни с ИИ Зароком; в разделе приглашений они показываются общим итогом, без указания друга. Кто кого пригласил, прогресс и награды хранятся на нашем сервере в учётных записях и удаляются вместе с ними. Если один из вас удалит учётную запись, у другого остаётся отметка о приглашении без имени: дата и итог.

Временная ссылка на план. Если вы создаёте временную ссылку на план, снимок выбранного дня с названиями дел, временем и отметками выполнения, а также с заметками только при включённой вами опции, хранится на сервере не более 30 минут с момента создания и затем автоматически удаляется; до истечения срока его может просмотреть любой человек, у которого есть ссылка. Копии текста и дела, которые получатель сохранил у себя, не удаляются при истечении ссылки; при перезапуске сервиса ссылка может стать недоступной раньше.

Список чата Telegram. Если Зарок добавлен в чат Telegram, список дел этого чата хранится на сервере. Если никто из участников не забрал его в приложение, он удаляется через 30 дней после удаления бота из чата.

Жалобы и обращения. Если вы пожаловались на дело или участника общего списка, мы получаем название списка, текст дела и имя участника; другие участники о жалобе не узнают. Если вы пожаловались на человека в «Друзьях», мы храним, кто и на кого пожаловался, @ник этого человека на тот момент, причину и ваш комментарий, если вы его написали; человек о жалобе не узнаёт. Если вы пожаловались на ответ помощника, мы получаем причину жалобы, ваш комментарий, запрос и ответ. Они нужны, чтобы проверять работу помощника. Если вы пишете нам в приложении (Профиль → «Настройки» → «Помощь и информация» → «Отправить отзыв», окно «Написать разработчику»), мы получаем текст ваших сообщений, время и технические сведения: версию приложения, систему устройства и её версию, язык и то, действует ли подписка. Сообщения и ответы на них хранятся на нашем сервере; о новом сообщении разработчик узнаёт из уведомления в мессенджере Telegram (раздел 3.11). Если вы пишете на почту, мы получаем ваш адрес и текст письма. Обращения используются только для ответа и для исправления ошибок.

IP-адрес. Сервер видит IP-адрес устройства при каждом обращении. Он используется только для защиты от злоупотреблений, например чтобы ограничить число запросов с одного адреса. IP-адрес записывается только в технические журналы сервера.

Отчёты об ошибках. Если в приложении случилась ошибка, оно отправляет на наш сервер короткий отчёт: версию приложения, систему и модель устройства, язык, экран, на котором это произошло, текст ошибки и место в коде, где она случилась, и случайный номер запуска, чтобы считать повторы. В тексте ошибки остаются только служебные слова и имена из кода: любое другое слово, в том числе из ваших записей, приложение заменяет на «…», а адреса почты, ссылки, ключи и длинные числа убирает. Сервер проверяет текст ещё раз так же. Номера учётной записи и почты в отчёте нет, а IP-адрес в журнал ошибок не записывается. Отчёты нужны, чтобы находить и исправлять ошибки, и хранятся 14 дней.

Учёт затрат. Чтобы считать, во что обходятся помощник, награды и приглашения, и сверять оплаты, сервер ведёт служебный журнал событий: обращения к помощнику (какой сервис ответил и сколько текста обработал, без самих запросов и ответов), выданные и включённые награды, приглашения, показы рекламы с оценкой дохода от Google AdMob, оплаты, продления и возвраты подписки по данным Google Play. Записи в журнале идут под кодом, который заменяет номер учётной записи; имени, почты и текста ваших записей в нём нет. Каждая запись удаляется, когда ей исполняется 3 года.

Отметки на устройстве. Когда вы принимаете Условия и Политику отметкой на последнем шаге знакомства (а если знакомство пройдено в прежней версии и действующие Условия ещё не приняты — на экране «Почти готово»), приложение записывает на устройстве, когда и какую редакцию вы приняли, год рождения из знакомства или профиля либо отметку «Не указывать», приняты ли Условия вместе с родителем или опекуном, а на Android ещё когда вам была показана строка о том, что в бесплатной версии показывается реклама (обычный текст, без галочки). Эти отметки на сервер не уходят. Год рождения на сервер не уходит. В учётной записи хранятся только три отметки о возрасте: младше ли вам 18 лет (для настроек «Друзей»), младше ли 13 лет (для приглашений) и исполнилось ли вам 16 лет (письма с подарком приходят только с 16 лет). Ту же отметку (16 лет и старше или нет) приложение передаёт с запросом новостей и заданий, чтобы не показывать младше 16 лет то, что связано с ИИ; там она не хранится. Счётчик просмотров рекламы за сутки тоже хранится на устройстве; о каждом показе сервер получает только вид рекламы, время и оценку дохода для учёта затрат. Так же только на устройстве хранятся отметка о том, что сцена закрытого дня в теме оформления уже показана, и расписание гостей темы «Мемы».

1.2. Какие функции используют данные

Расписание, отметки и прогресс — ваши записи и отметки. Всё считается на устройстве.
Напоминания — время и названия дел. Уведомления планируются на самом телефоне и приходят без интернета, наш сервер в этом не участвует. Кроме напоминаний о делах, это итог дня, одно напоминание от Зарока в день, когда ничего не отмечено, напоминания через 3 и 7 дней, если вы не заходили в приложение, и 1 декабря — напоминание об итогах года, если включены напоминания от Зарока. Каждый вид выключается отдельно: Профиль → «Настройки» → «Напоминания».
Виджет на главном экране (Android) — пункты сегодняшнего и двух следующих дней, их отметки, счёт выполненного по дням за текущую неделю и две прошлые, а также за дни текущего месяца (для виджета «Календарь»), названия заданий из расписания на шесть недель назад и вперёд и их отметки за последние 42 дня (для виджетов «Мои шаги и даты» и «Привычки»), дела на шесть дней вперёд с названиями их категорий, курсов и меток (для виджета «Впереди» и для отбора дел в виджетах), время внимания по дням за последнюю неделю (для виджета «Итоги внимания»), день, когда приложение открывали в последний раз, выбранная форма Зарока, цвета и оформление темы, отметки о том, открыт ли помощник и действует ли подписка. У виджетов есть и свои настройки: отбор дел и оформление, а у виджета «Мои шаги и даты» — ещё выбранные задания, название и дата важного события. Эта копия для виджетов и настройки отдельных виджетов хранятся только на устройстве, чтобы виджет показывал день и настроение Зарока, не открывая приложение. Вид виджетов, их палитра и выключатель «Зарок на виджетах» — настройки приложения: они хранятся вместе с остальными настройками (раздел 1.1). Отметки, сделанные в виджете, приложение записывает при следующем открытии.
Живая иконка (Android) — дни и время, когда вы открывали приложение, за последние 60 дней, план смены значка и время прошлых смен. Они хранятся только на устройстве и на сервер не уходят, чтобы значок мог ненадолго меняться, пока вас долго нет. Выключить: Профиль → «Настройки» → «Значок приложения».
Подбор времени уведомлений — в какие часы и дни недели вы обычно открываете приложение и отмечаете дела, откуда вы его открыли (значок, виджет, уведомление, ярлык), сколько раз за день, открывали ли приложение после уведомления и закрылось ли оно в прошлый раз из-за ошибки. Из этого телефон выбирает, когда напоминание полезнее и нужно ли оно завтра, а также когда показать предложение пробного периода. Цена и условия от этого не меняются. Эти данные хранятся только на телефоне, не передаются на наш сервер и не попадают в копии. Содержимое записей в них не входит. Название сети Wi-Fi, адрес точки доступа и местоположение телефона приложение не читает. Хранятся записи за последние 30 дней. Отдельного выключателя у подбора нет: он работает только на телефоне, а собранное стирается при удалении приложения или очистке его данных в настройках телефона.
Календарь телефона (Android) — только если вы его подключили. Приложение читает события выбранных календарей за две недели назад и примерно на два с половиной месяца вперёд: название, описание, время и повтор — и переносит их в ваше расписание. Свои записи выбранных видов оно добавляет в один календарь телефона и обновляет их там. Какие события связаны с какими записями, хранится только на устройстве (раздел 3.10).
Память — копия записей и настроек на нашем сервере, чтобы данные не терялись и открывались на других ваших устройствах.
Изображения дел — изображения, которые вы прикрепили к делам. Если вы включили синхронизацию фото, копия временно хранится у нас не дольше 3 дней, чтобы изображение появилось на других ваших устройствах, и отправляется вам в чат с ботом Telegram, если он подключён (раздел 1.1).
Аккаунт — вход через Google, по почте и паролю или по одноразовому коду из письма, чтобы открыть те же данные на новом телефоне. Для подтверждения почты, входа по коду и восстановления пароля приходят письма (раздел 3.9). Пользоваться приложением можно и без аккаунта.
Переписка с разработчиком — ваши сообщения, технические сведения к ним и ответы. В файл экспорта и в копию записей она не входит.
Экспорт и импорт — файл с вашими данными, который вы сами сохраняете и открываете.
Отмена последнего изменения — снимок прежнего состояния хранится только на устройстве, 24 часа.
Помощник — запрос и нужная для ответа часть расписания уходят сторонним сервисам ИИ (раздел 3.1): в приложении — только после вашего согласия (раздел 4), в чате бота Telegram — когда вы пишете помощнику.
Голосовой ввод — речь распознаёт сервис устройства, а голосовые сообщения в чате бота — наш сервер (раздел 3.2).
Видео — ролики по вашим ссылкам открываются встроенными проигрывателями (раздел 3.5).
Реклама (Android, бесплатная версия) — рекламный сервис получает рекламный идентификатор и технические сведения об устройстве; ваши записи ему не передаются (раздел 3.15). Подписчикам реклама не показывается.
Проверка обновлений (Android) — приложение спрашивает у нашего сервера, есть ли более новая сборка (раздел 3.16).
Награды, подарки и предложения — данные об использовании приложения (раздел 1.1). По ним сервер определяет, какие награды и подарки вам доступны, а приложение на устройстве выбирает подходящий момент для подарка или предложения подписки. Разным людям мы можем показывать разные варианты экранов, предложений и наград, чтобы понять, какой удобнее; сравниваем их по счётчикам и служебному журналу, где нет текста ваших записей.
Серии и сезонные события — дни с делами считает наш сервер по своему времени и вашему часовому поясу, чтобы серию нельзя было накрутить переводом часов. Запас заморозок серии, замороженные дни, значки событий, шаги наградной дорожки и темы, которые остаются после события, хранятся в учётной записи.
Друзья и приглашения — раздел 1.1, «Друзья и общий профиль» и «Приглашения».
Поделиться и итоги года — картинку для «Поделиться» и итоги года приложение рисует и считает на телефоне. На картинке только числа, даты, значки и облик Зарока, без названий дел и вашего имени, а если у вас уже есть ссылка-приглашение — ещё и она. Куда её отправить, выбираете вы. Текст или ссылка, которые вы передали в Зарок из другого приложения, открываются в окне нового дела и сохраняются, только когда вы добавите дело.
Темы — каталог тем приходит с нашего сервера, а наборы картинок для тем, обликов Зарока и значков скачиваются с него, когда вы их выбираете (раздел 3.16).

1.3. Где хранятся данные

В Telegram и в приложении из Google Play — на устройстве и на нашем сервере в Германии (Европейский союз), чтобы данные не терялись и открывались на других ваших устройствах. Сервер арендован у хостинг-провайдера Podaon SIA (Zomro, Латвия) и находится во Франкфурте. После удаления учётной записи данные хранятся только на устройстве, пока вы снова не включите память.
Переписка с помощником видна на устройстве 7 дней, её копия хранится на нашем сервере (см. «Переписка с помощником»).
Прежние версии ваших записей сервер хранит до 30 дней, чтобы вернуть данные после сбоя. Других резервных копий данных наш сервер не создаёт.
Между приложением и сервером данные идут только по защищённому соединению (HTTPS). Доступ к серверу есть только у разработчика. Пароли хранятся только в виде необратимого хеша, ссылки из писем одноразовые и действуют ограниченное время.
Если произойдёт утечка данных, которая угрожает вашим правам, мы сообщим об этом вам и надзорному органу в сроки, которые требует закон.

1.4. Сколько хранятся данные и как их удалить

Записи, данные аккаунта и служебные данные хранятся, пока вы пользуетесь приложением. Учётная запись, в которой год не было ни одного действия, удаляется автоматически вместе со всеми данными, если у неё нет оплаченного срока.
Жалобы на людей в «Друзьях» хранятся 180 дней, остальные жалобы — не дольше года. При удалении учётной записи жалобы на неё удаляются, а в её жалобах стирается автор. Переписка с разработчиком — до 180 дней после последнего сообщения в ней; удалить её раньше можно кнопкой «Удалить переписку» в том же окне, а переписку, начатую в чате бота, — командой /support_delete. Переписка с помощником на устройстве — 7 дней, её копия на сервере — до 180 дней. Прежние версии записей — до 30 дней. Технические журналы сервера и отчёты об ошибках — 14 дней.
Счётчик запросов к помощнику: числа запросов за сутки и за период, даты периода, а при подписке Google Play — ещё и число запросов за оплаченный срок. Он хранится в учётной записи и удаляется вместе с ней. При подписке Google Play счётчик ведётся ещё и по покупке, отдельно от учётной записи: с ним хранятся отпечаток покупки и время последнего запроса, без самого подтверждения покупки и без номера учётной записи. Эта запись сохраняется при удалении аккаунта, чтобы лимит нельзя было обнулить переустановкой или новым аккаунтом, и убирается после 45 дней без запросов по этой покупке.
Журнал расчётов возврата. Когда мы рассчитываем возврат по правилу из Условий, в журнал записываются дата расчёта, отпечаток покупки и доли, по которым рассчитан возврат; имени, почты и номера учётной записи в журнале нет. Запись хранится до 24 месяцев.
Награды за рекламу, журнал листочков и суточный счёт наград хранятся в учётной записи, пока она существует, и удаляются вместе с ней; 1 листочек открывает виджет или коллекцию на 1 день. Отметки о принятии Условий и о показанной строке про рекламу и суточный счёт просмотров лежат на устройстве и стираются при удалении приложения или очистке его данных в настройках телефона. Данные, которые собирает сам рекламный сервис, он хранит по своим правилам (раздел 3.15).
Данные наград, подарков, приглашений, друзей и сезонных событий хранятся в учётной записи, пока она существует, и удаляются вместе с ней. Отпечатки устройства и учётной записи, которые не дают получить одну разовую награду повторно, хранятся и после удаления учётной записи: до 365 дней с последнего обращения этого устройства к серверу. Отпечатки устройств для защиты приглашений хранятся в учётной записи, пока она существует, а в общем списке устройств — до 400 дней. Это коды вместо самих номеров, и мы используем их только для такой проверки.
Служебный журнал учёта затрат (раздел 1.1) хранится не дольше 3 лет: каждая запись удаляется, когда ей исполняется 3 года. После удаления учётной записи его записи остаются, но имени, почты и текста записей в них нет.
Копия изображения дела хранится у нас не дольше 3 дней с момента загрузки и затем удаляется автоматически; на вашем устройстве и в вашем чате с ботом Telegram изображение остаётся. При удалении учётной записи её изображения удаляются у нас сразу. Если выключить синхронизацию фото, новые изображения к нам больше не отправляются, а уже загруженные удаляются в свой срок. В файл экспорта входят только ссылки на изображения, без самих файлов.
Кнопка «Очистить» в чате с ИИ Зароком стирает переписку и на устройстве, и на сервере. То же происходит при отзыве согласия на ИИ (раздел 4).
Удалить данные можно в приложении: Профиль → «Мой профиль» → «Данные и синхронизация» → «Сброс данных» или Профиль → «Мой профиль» → «Удалить аккаунт…». Можно стереть отдельные разделы, всё сразу или учётную запись целиком вместе с аккаунтом, копией на сервере, её прежними версиями, перепиской с помощником и перепиской с разработчиком. Без приложения — на странице zarok.app/delete-account; там же перечислено, что остаётся после удаления и сколько хранится. Запрос с формы на этой странице (почта или имя в Telegram, адрес для ответа и что удалить) хранится 90 дней, затем удаляется.
Копию своих данных можно выгрузить в любой момент: Профиль → «Мой профиль» → «Данные и синхронизация» → «Копия в файле» → «Экспорт».

1.5. Правовые основания

Мы обрабатываем данные, только когда для этого есть основание, которое предусматривает закон (статья 6 GDPR):

Договор. Чтобы приложение работало так, как вы им пользуетесь: хранить и показывать записи, считать прогресс, вести память и аккаунт, связывать расписание с календарём телефона и с рабочими сервисами, которые вы подключили, присылать письма для входа, открывать возможности подписки и хранить отметку о её оформлении, показывать рекламу в бесплатной версии, открывать награды за просмотр, выдавать награды и подарки, вести друзей, серии, приглашения и сезонные события и показывать другим людям то, чем вы решили делиться. Без этих данных такие функции не работают.
Согласие. Для помощника: в приложении запросы уходят сервисам ИИ, а переписка хранится на сервере только после вашего отдельного согласия (разделы 3.1 и 4); в чате бота Telegram — когда вы сами пишете помощнику. Для персонализированной рекламы — там, где закон требует согласия: окно Google показывается перед первой рекламой (раздел 3.15). Для сведений о здоровье, которые вы вносите сами, — ваше явное согласие (раздел 1.1). Согласие можно отозвать в любой момент.
Законный интерес. Чтобы защищать сервис, награды, подарки и приглашения от злоупотреблений (IP-адрес, ограничение числа запросов, отпечатки устройства, технические журналы) и при признаках злоупотребления проверять данные учётной записи (решение об ограничениях принимает человек), показывать тому, кто пригласил, как идёт приглашение друга, находить и исправлять ошибки по отчётам, считать затраты и сверять оплаты (учёт затрат), разбирать жалобы на ответы помощника и на людей в «Друзьях», отвечать на обращения, по счётчикам использования понимать, что улучшать, выбирать момент для предложений и сравнивать варианты экранов, оценивать работу предложений по обезличенным сводным числам, присылать редкие письма с подарком тем, кто давно не заходил (от них можно отписаться в один клик). Против счётчиков можно возразить, выключив их (раздел 4), против остального — письмом на support@zarok.app.
Требование закона. Если хранить или раскрыть данные обязывает закон. Так, письма родителю и запись о его согласии для ребёнка младше 13 лет (почта родителя, время запроса и согласия, версия текста, отпечатки двух ссылок) нужны, чтобы выполнять закон США о данных детей (COPPA) и похожие законы других стран; синхронизация для ребёнка включается только с согласия родителя (раздел 6).

2. Чего мы не делаем с данными

Не запрашиваем номер телефона, контакты и геопозицию. Имя указывать не нужно: поле в профиле необязательное, а имя из аккаунта Google мы никому не показываем. Рекламный идентификатор в бесплатной версии для Android использует рекламный сервис (раздел 3.15); сами мы его не читаем и не храним.
Не продаём данные.
Не используем ваши записи (дела, заметки, питание, добавки, тренировки, переписку с помощником) для рекламы, маркетинга и составления профилей и не передаём их для этого другим компаниям. Рекламному сервису уходят только сведения из раздела 3.15.
Не показываем рекламу подписчикам, в браузере, в Telegram и на iPhone и iPad. В бесплатной версии для Android из Google Play есть реклама Google AdMob. В версии для AppGallery реклама, если она появится, будет показываться через сеть, указанную здесь до её включения. Других рекламных и аналитических сервисов в приложении нет.
Не принимаем решений, которые влекут для вас юридические или похожие значимые последствия, только на основе автоматической обработки: помощник лишь предлагает изменения, а применяете их вы.
Внешним сервисам данные уходят только в случаях из раздела 3: когда вы пользуетесь соответствующей функцией, и только те данные, что для неё нужны.
Раскрыть данные иначе мы можем, только если этого требует закон.

3. Внешние сервисы для отдельных функций

3.1. ИИ Зарок — сторонние сервисы искусственного интеллекта

Когда. Только когда вы сами отправляете запрос помощнику; в приложении — только после вашего согласия. Если помощником не пользоваться, сервисам ИИ ничего не передаётся.

В чате Telegram. Если вы подключили Telegram, помощнику можно писать и там. Такие сообщения обрабатываются так же, как запросы в приложении: уходят сторонним сервисам ИИ и хранятся на нашем сервере на тех же условиях. Расписание меняется только после вашего «Да». В чате бота нет экрана согласия и проверки возраста: отправляя там сообщение помощнику, вы пользуетесь сервисами ИИ на условиях этого раздела. Отзыв согласия в приложении на чат бота не распространяется.

Какие данные. Текст запроса, в том числе распознанный из голоса; содержимое приложенного текстового файла, например таблицы; выжимка расписания, нужная для ответа: сегодняшняя дата, курсы и привычки с фазами, дозами, временем приёма и шагами с их заметками, приёмы пищи на сегодня с составом, события с временем и днями недели, даты программы питания, названия папок и общих списков, а если вы спрашиваете о делах — дела на сегодня и завтра. Если помощник задал уточняющий вопрос, вместе с запросом уходят и ваши ответы. Номер учётной записи, IP-адрес вашего устройства и сведения об оплате сервисам ИИ не передаются.

Кому. Основной поставщик — Google LLC: наш сервер отправляет запросы в платный Gemini API на условиях Google для обработчиков данных, и по этим условиям Google не использует их для обучения своих моделей. Действующий список поставщиков ИИ — на странице zarok.app/ai-providers. Собственной модели ИИ у нас нет. Данные могут обрабатываться за пределами вашей страны, в том числе за пределами Европейского союза, например в США, где уровень защиты данных может быть ниже. В приложении такая передача происходит только с вашего явного согласия (раздел 4), в чате бота Telegram — когда вы сами пишете помощнику (выше).

Запасной поставщик. Если Gemini не отвечает, тот же запрос может уйти запасному поставщику — Moonshot AI PTE. LTD. (Сингапур, модель Kimi). Этот поставщик может использовать запросы, чтобы улучшать свои модели. Запасной поставщик входит в согласие на ИИ новой редакции: об этом сказано строкой под кнопкой согласия со ссылкой на страницу «Поставщики ИИ». Он не используется в Европейской экономической зоне, Великобритании, Швейцарии, Бразилии и Республике Корея, если вам меньше 16 лет или страна неизвестна, а также в чате бота Telegram. В запросе нет номера учётной записи, IP-адреса и платёжных данных.

Зачем. Чтобы составить ответ и предложить изменения в расписании. Изменения применяются только после вашего подтверждения.

Хранение. Копия запроса и ответа хранится на нашем сервере до 180 дней, чтобы улучшать помощника (подробнее — в разделе 1.1, «Переписка с помощником»). Хранение и использование полученных данных сервисами ИИ регулируются их условиями.

Что не нужно вписывать. Сервисы получают всё, что вы написали или приложили. Не указывайте в запросах номер телефона, адрес и другие сведения, которые не нужны для расписания.

Возраст и согласие. ИИ Зароком можно пользоваться с 16 лет, от 16 до 17 лет — с разрешения родителей или законных представителей. Если по году рождения вам меньше 16 лет или выбрано «Не указывать», ИИ Зарок в приложении недоступен. Перед первым запросом приложение показывает условия помощника: какие данные уходят сервисам ИИ, что запросы могут обрабатываться за пределами ЕС и где хранится переписка. Когда текст дочитан до конца, становится доступна кнопка «Включить ИИ Зарока». Нажимая её, вы подтверждаете, что вам исполнилось 16 лет (от 16 до 17 лет — с разрешения родителей или законных представителей), и даёте согласие на обработку запросов сервисами ИИ, в том числе за пределами ЕС (например, в США). Согласие можно дать и раньше — отметкой «ИИ Зарок» на последнем шаге знакомства; тогда перед первым запросом оно не спрашивается. Как отозвать согласие — в разделе 4.

3.2. Голосовой ввод

Голосом можно надиктовать дело в окне нового дела, с ярлыка или с плитки в панели быстрых настроек. Речь распознаёт сервис распознавания речи вашего телефона или браузера по своим правилам: обычно это Google, в том числе в Chrome, а на некоторых телефонах — сервис производителя или распознавание на самом телефоне. Приложение получает только готовый текст, записи голоса к нам не поступают, а в дело текст попадает, только когда вы его сохраните. Доступ к микрофону телефон спрашивает при первом голосовом вводе.

Голосовые сообщения в чате бота. Голосовое сообщение, отправленное боту в Telegram, распознаёт программа на нашем сервере. Запись голоса не покидает наш сервер и стирается сразу после распознавания, а после сбоя сервера — автоматически. Само сообщение остаётся в вашем чате Telegram по правилам Telegram. Распознанный текст обрабатывается как обычное сообщение помощнику, в том числе сторонними сервисами ИИ (раздел 3.1). Для суточного предела сервер хранит идентификатор Telegram и счёт голосовых за текущие сутки. Распознавание может ошибиться в словах.

3.3. Оплата подписки — Google Play

Оплату проводит Google Play, номер карты и другие платёжные данные нам недоступны. Чтобы открыть доступ, наш сервер отправляет подтверждение покупки (токен) в Google Play на проверку.

Для расчёта возврата (Условия, раздел «Возврат средств») используются сведения о подписке, которые сервер получает от Google Play при проверке покупки: номер заказа, дата оформления, тариф, оплаченный срок и отметка о пробном периоде, а также счётчик запросов к помощнику. Содержимое запросов для расчёта не используется.

Предложения со скидкой. Тем, кому 18 лет или больше и у кого сейчас нет подписки, иногда на 2–3 дня показывается скидка. Чтобы выбрать срок, приложение сообщает серверу страну аккаунта Google Play (или регион телефона), часовой пояс и отметку «18 лет и старше». У учётной записи запоминается, какое предложение вы видели, а если вы оформили подписку по скидке — отметка об этом. Сколько раз предложение показали, открыли и купили, мы считаем по странам, без привязки к людям.

AppGallery. В версии для Huawei AppGallery покупок пока нет. Когда они появятся, оплату будет проводить Huawei по правилам AppGallery, а платёжные данные нам так же не будут доступны; этот раздел будет дополнен до начала продаж.

3.4. Вход через Telegram

Когда вы открываете приложение в Telegram, Telegram передаёт ему сведения вашего профиля. Сервер использует их только для входа и сохраняет лишь числовой идентификатор: он служит номером учётной записи. Когда вы нажимаете «Запустить» в чате бота, сервер запоминает этот идентификатор, имя пользователя или имя профиля, язык Telegram и метку ссылки, по которой вы пришли, если она была. Если вы подключаете Telegram к аккаунту «Зарока», в аккаунте хранится перечень подключённых Telegram: идентификатор, имя и дата подключения. Эти сведения стираются вместе с учётной записью: по «Сбросить всё», при удалении аккаунта и при уборке неактивных учётных записей; отдельный Telegram можно отключить в настройках аккаунта. Чтобы Telegram нельзя было привязывать чаще трёх раз в сутки, хранятся номер последнего привязанного Telegram и время привязки: в учётной записи, новая привязка заменяет прежнюю отметку, а удаляются они вместе с учётной записью. Telegram обрабатывает данные как самостоятельный контролёр по своей политике (telegram.org/privacy); мы получаем только то, что передаёт Telegram и что вы отправляете боту.

Мини-приложение в Telegram. Встроенного ИИ Зарока в нём нет: ИИ Зароку можно писать в чате бота. На его месте раздел «Telegram» с настройками групповых чатов «Дел вместе»: напоминание в день срока и его час, итог дня, личные сообщения участникам, закрепление панели и язык сообщений чата. Эти настройки хранятся у общего списка.

Язык бота. Если вы выбрали язык бота, сервер хранит этот выбор вместе с идентификатором Telegram и отметкой о последнем обращении к боту и применяет его ко всем сообщениям бота. Выбор стирается, когда вы отключаете этот Telegram от аккаунта или выходите из аккаунта в нём, удаляете аккаунт или сбрасываете все данные, при уборке неактивных учётных записей, а без этого — после 400 дней без обращений к боту.

Сводки в чате бота. По командам /day, /week и /pin_day бот показывает в личном чате ваш план на день или на неделю. Он берёт его из последней синхронизации, а день считает по часовому поясу вашего устройства (раздел 1.1). Сводка приходит только по вашей команде, и ничего нового для неё не хранится.

Дела кнопками в чате бота. Когда эта возможность включена, дела и привычки можно добавлять, отмечать и переносить кнопками прямо в чате бота. Такие правки записываются в ваш план так же, как правки подключённых ИИ-клиентов, с тем же журналом изменений: история хранится 30 дней, отменить правку можно в течение 24 часов (раздел 3.13). Чтобы кнопки работали, сервер хранит по идентификатору Telegram и учётной записи, какое действие и над каким делом ждёт открытая карточка (без названий дел, до 30 минут), а также отметки о делах, назначенных из бота в общие списки (список и дело, 24 часа, чтобы назначение можно было отменить). Эти данные стираются, когда вы отключаете Telegram от аккаунта, удаляете аккаунт, и при уборке неактивных учётных записей.

Отложенное назначение. Когда эта возможность включена, дело для общего списка можно назначить из бота кнопкой «Отправить позже». До отправки или отмены сервер хранит название дела, список, исполнителя, срок, время отправки, а также идентификатор Telegram и учётную запись того, кто запланировал отправку: не больше 30 таких дел на человека и не дальше чем на 30 дней вперёд. Запись стирается сразу после отправки или отмены, а также когда вы отключаете Telegram от аккаунта, удаляете аккаунт, и при уборке неактивных учётных записей.

3.5. Ссылки и видео

Ссылки, которые вы прикрепили к делу, хранятся вместе с ним. Обычная ссылка открывается в браузере или в Telegram, и сайт получает запрос по своим правилам. Ролики YouTube и Vimeo воспроизводятся встроенными проигрывателями, YouTube — в режиме повышенной конфиденциальности. Проигрыватель загружается, только когда вы запускаете ролик. Сервис получает данные о просмотре, IP-адрес и сведения об устройстве по своим правилам.

3.6. Библиотека Telegram

Шрифты входят в само приложение и загружаются только с нашего сервера, без сторонних сервисов шрифтов. Версия для Telegram при открытии загружает библиотеку Telegram с telegram.org. Этот сервер получает технические сведения запроса: IP-адрес и данные о браузере. Ваши записи ему не передаются.

3.7. Резервная копия Android

Если на телефоне включено резервное копирование, Android сохраняет данные приложений, в том числе «Зарока», в вашем аккаунте Google по правилам Google. После переустановки приложение само спросит, продолжить с данными из копии или начать заново. Отключить резервное копирование можно в настройках телефона.

3.8. Вход через Google

Если вы нажимаете «Войти через Google», Google показывает свой экран выбора аккаунта и с вашего разрешения передаёт приложению подтверждение входа: идентификатор аккаунта, адрес почты и имя. Наш сервер проверяет подтверждение у Google и хранит идентификатор, почту и имя в вашем аккаунте. Пароль при этом не создаётся. Задать пароль, чтобы входить и по почте, можно по ссылке из письма: Профиль → «Мой профиль» → «Установить пароль». Обработку данных на стороне Google регулируют его правила.

3.9. Письма

Служебные письма отправляются с адреса на домене zarok.app через почтовый сервис Namecheap, Inc. (США), в котором размещён этот ящик. Служебные письма: подтверждение почты, код для входа, ссылка для нового пароля, сообщение о том, что пароль изменён, письмо о создании аккаунта, письмо об удалении аккаунта и письмо о том, что к вашему Зароку подключён ИИ-клиент. Для детей младше 13 лет есть ещё два письма родителю: просьба о согласии и письмо о том, как его отозвать (раздел 6). Сервис получает адрес получателя и текст письма со ссылкой или кодом. Ссылки и коды одноразовые: подтверждение действует 24 часа, новый пароль — 1 час, код для входа — 5 минут. Обращение в письмах — на «вы» или на «ты», как выбрано в «Напоминаниях». Кроме служебных, иногда — не чаще раза в 90 дней — мы присылаем письмо с подарком тем, кто давно не заходил в приложение: временный доступ к помощнику и темам без оплаты. Отписаться можно по ссылке в каждом таком письме, в один клик; после этого такие письма не приходят. Мы учитываем только числа: ушло ли письмо, вернулся ли человек в приложение и воспользовался ли подарком; открытия писем не отслеживаются.

3.10. Календарь телефона

Календарь подключается по вашему выбору: Профиль → «Настройки» → «Подключения» → «Календари и сервисы» → «Календарь телефона» → «Подключить календарь», после чего телефон спрашивает разрешение на чтение и изменение календаря. События из календаря становятся вашими записями в приложении: с включённой памятью их копия хранится на нашем сервере вместе с остальными записями (раздел 1.3). Записи, которые приложение добавило в календарь телефона, дальше хранит сам календарь, а если он связан с аккаунтом, например Google, — и сервис этого аккаунта по своим правилам. Повторяющиеся события и события на весь день переносятся только для просмотра: их изменение в приложении не меняет серию в календаре.

Навести порядок в календаре. Если захотите, календарём телефона можно управлять прямо из приложения: вы выбираете календарь, срок и события, и лишнее убирается одним нажатием. Всё это происходит на вашем телефоне: список событий никуда с него не отправляется и на наш сервер не попадает. Удаляется только то, что вы сами отметили.

3.11. Переписка с разработчиком — уведомление в Telegram

Когда вы пишете через «Написать разработчику», наш сервер отправляет разработчику уведомление в мессенджере Telegram — так же, как письмо доставляет почтовый сервис (раздел 3.9). В уведомлении — текст сообщения, номер обращения, обезличенная метка учётной записи и технические сведения из раздела 1.1; сам номер учётной записи в него не входит. Разработчик отвечает там же, ответ возвращается на наш сервер и показывается вам в приложении. На сервере переписка хранится до 180 дней (раздел 1.4), а копии уведомлений остаются в чате разработчика в Telegram, пока разработчик не удалит их вручную. Не указывайте в сообщениях пароли, платёжные данные и другие сведения, которые не нужны для вопроса.

Поддержка в чате бота. Вопрос, написанный боту в Telegram после команды /support, попадает в поддержку и хранится так же и столько же, как обращения из приложения. Переписка ведётся под записью этого Telegram; номер Telegram разработчику не показывается. Удалить её можно командой /support_delete.

Подсказки и срок ответа. Пока вы набираете вопрос в окне «Написать разработчику», приложение подбирает темы справки на устройстве: набираемый текст никуда не отправляется, пока вы не нажмёте «Отправить». Обычно отвечаем в течение суток.

3.12. Сайт zarok.app

На страницах сайта можно примерить оформление и Зарока. Выбор запоминается, только если вы сами включите это в «Настройках этого сайта»: тогда в памяти браузера (localStorage) хранится запись с вашим выбором — не дольше года. Она не отправляется на сервер и не связана с приложением; удалить её можно там же. Если вы выбрали язык сайта переключателем, выбор хранится в cookie zarok_lang один год, и сервер по нему открывает страницы на этом языке. Страница приглашения zarok.app/i показывает код из ссылки и ведёт в Google Play; сама она ничего не отправляет. Рекламных и сторонних аналитических скриптов на сайте нет.

3.13. Подключённые ИИ-клиенты

Вы можете подключить к своему плану сторонний ИИ-клиент — например ChatGPT, Claude или Gemini: Профиль → «Настройки» → «Подключения» → «ИИ-клиенты». Это необязательно и бесплатно.

Что получает клиент. Только то, что вы разрешили при подключении: дела и события выбранных дней, питание и курсы с дозами, привычки и ритуалы, счёт отметок за период, состояние Зарока. Из общих списков «Дела вместе» клиенту передаются только название дела, заметка, срок, важность и отметка о выполнении; имена участников, комментарии, файлы и секретные дела не передаются. Если вы разрешили менять план — клиент может добавлять, переносить, изменять, убирать и отмечать дела. Пароли, ключи аккаунта и переписка с помощником ему не передаются.

Кому уходят данные. Сервису, который вы сами выбрали и подключили. Дальше он обрабатывает их по своим правилам — мы ими не управляем. Прочитайте его политику перед подключением.

Что хранится у нас. Список подключений: название клиента, сайт, на который клиент возвращает вас после подключения, выданные права и дата. Подключение действует, пока клиент им пользуется: если он 30 дней не обновлял доступ, подключение перестаёт действовать и запись о нём стирается. Запись об отозванном подключении хранится до 30 дней. История правок клиента хранится 30 дней. Данные для отмены правки хранятся 24 часа. Запрос на подключение (код, который вы вводите в приложении, название клиента и адрес возврата) действует 10 минут; запись о нём стирается при ближайшей уборке, не позже чем через час после этого. Ключи доступа клиента хранятся только в виде отпечатков. Регистрация клиента (его название и адреса возврата) хранится, пока у клиента есть действующее подключение; новая регистрация без подключения стирается через сутки. Если клиент регистрируется по адресу своего описания, хранятся этот адрес, название клиента и время, когда описание было прочитано.

Вход на странице подключения. Вместо кода из приложения подключение можно подтвердить на самой странице подключения, войдя в аккаунт Зарока: почтой и паролем или кодом из письма. Они проверяются так же, как при входе в приложении. Такой вход действует только для одного запроса на подключение и не дольше 10 минут; на сервере он отдельно не сохраняется, устройство к аккаунту не привязывается, новый аккаунт не создаётся. На это время браузер хранит служебную cookie, которая действует 10 минут и отправляется только на адреса страницы подключения. Если на странице есть кнопка входа через Google, страница загружает скрипт входа с сервера Google (accounts.google.com), и вход обрабатывается так, как описано в разделе 3.8.

Код проверяющего. Чтобы каталог ИИ-приложений мог проверить подключение, на время проверки мы можем выдать проверяющему отдельный код. Он подтверждает подключение только к демонстрационной учётной записи и не открывает записи других людей. На сервере хранятся отпечаток кода, срок его действия и число подтверждений; после проверки код отключается.

Как отключить. Профиль → «Настройки» → «Подключения» → «ИИ-клиенты» → «Доступ» → «Отозвать доступ». Клиент сразу теряет доступ. Подключения также стираются при удалении аккаунта.

3.14. Город, праздники и погода

Город выбираете вы: Профиль → «Настройки» → «Город, праздники и погода». Список городов и данные о праздниках встроены в приложение, а восход, закат и фаза луны считаются на телефоне. Приложение не определяет место телефона и не просит новых разрешений. Выбранный город (название, координаты города и часовой пояс) хранится в ваших настройках вместе с остальными записями (раздел 1.3).

Погода. Она выключена, пока вы сами её не включите. Если вы включили погоду, наш сервер передаёт поставщику прогноза (MET Norway) только координаты выбранного города, без данных о вас. Координаты округляются до десятой доли градуса (около 11 км); в запросе к поставщику нет ни номера учётной записи, ни сведений об устройстве, ни языка. Прогноз хранится на нашем сервере не дольше нескольких часов, чтобы не обращаться к поставщику чаще, чем нужно. Выключить погоду можно там же.

В боте. Праздники, восход и закат и, если погода включена, погода добавляются в сводки /day и /week в боте Telegram.

3.15. Реклама — Google AdMob

Где и кому. Только в бесплатной версии для Android. Подписчикам «Зарок Plus» и «Max» реклама не показывается; подарочный доступ рекламу не убирает. Не больше 6 просмотров рекламы в сутки на человека, все виды вместе. В браузере, в Telegram и на iPhone и iPad рекламы нет.

Какая реклама. Ролик с наградой: если досмотреть его до конца, вы получаете от 0,5 до 1 листочка в зависимости от длины ролика; чтобы это посчитать, приложение передаёт на сервер, сколько секунд ролик был открыт. 1 листочек открывает виджет или коллекцию «Plus» на 1 день. Перед роликом приложение показывает, что вы получите. Помимо роликов с наградой, в бесплатной версии могут показываться и другие форматы, например реклама при открытии приложения, полноэкранная реклама или рекламная карточка в списке; они считаются в том же пределе. Реклама всегда отмечена как реклама. ИИ Зарок за рекламу не открывается.

Кто показывает. Google AdMob: для пользователей из ЕЭЗ и Швейцарии — Google Ireland Limited, для остальных — Google LLC. Это самостоятельный сервис: для рекламных данных Google — отдельный контролёр по своим условиям для рекламы, он решает, какую рекламу показать, и обрабатывает данные по своим правилам. На устройствах без сервисов Google реклама AdMob не работает. В версии для AppGallery реклама, если она появится, будет показываться через сеть, указанную здесь до её включения.

Какие данные получает рекламный сервис. Автоматически, как описывает Google для своего SDK: рекламный идентификатор Android и идентификатор набора приложений (app set ID); IP-адрес, по которому сервис определяет примерное местоположение; сведения об устройстве и приложении (модель, версия системы, язык, размер экрана, время запуска, сбои); действия с рекламой (показы, касания, просмотр ролика). Они нужны, чтобы показывать и подбирать рекламу, считать показы и защищаться от мошенничества. Чтобы проверить награду за ролик, сервис получает ещё одноразовый билет просмотра и код учётной записи вместо её номера. Данные передаются по защищённому соединению.

Что в рекламу не попадает. Дела, заметки, питание, добавки, тренировки, цели, переписка с помощником, имя, почта и номер учётной записи. Мы не передаём их рекламному сервису и не связываем с ними рекламу.

Персонализированная и неперсонализированная. Персонализированная реклама подбирается по рекламному идентификатору и вашим действиям в других приложениях и на сайтах. Неперсонализированная опирается на более общие сведения, например примерное местоположение и содержание приложения, и не использует историю ваших действий. Если вы откажетесь от персонализации, приложение работает так же, реклама остаётся, но подбирается менее точно.

Согласие в ЕЭЗ, Великобритании и Швейцарии. Если вам 18 или больше и вы находитесь в одной из этих стран, перед первой рекламой Google показывает окно согласия. Выбор можно поменять в любой момент: Профиль → «Мой профиль» → «Параметры конфиденциальности» → «Согласие на рекламу» (строка видна там, где этого требует закон). Отказ ничего не закрывает: приложение работает, показывается только реклама без персонализации.

Пользователи младше 18 лет. Если по году рождения вам меньше 18 лет, вы выбрали «Не указывать» или ещё не ответили, показывается только реклама без персонализации, а окно согласия Google не показывается. Если указан возраст младше 13 лет, реклама дополнительно запрашивается как реклама для детской аудитории: без персонализации и ремаркетинга, с содержанием уровня G (для всех возрастов). Для остальных пользователей содержание рекламы ограничено уровнем, который подходит подросткам. Для рекламы возраст учитывается группами: младше 13, 13–15, 16–17 и от 18 лет. Если год рождения указан неверно, поменяйте его: Профиль → «Мой профиль» → «Год рождения» или напишите на support@zarok.app.

Жители штатов США. По законам некоторых штатов (например, Калифорнии) вы вправе отказаться от «продажи» или «передачи» данных для рекламы, подобранной по вашим действиям в разных сервисах. Мы не продаём данные за деньги, но передача рекламного идентификатора рекламному сервису по этим законам может так называться. Чтобы отказаться, выключите «Персональная реклама»: Профиль → «Мой профиль» → «Параметры конфиденциальности», сбросьте или удалите рекламный идентификатор в телефоне или напишите на support@zarok.app. Ответим не позже чем через 45 дней (раздел 7.2).

Как ограничить рекламу в телефоне. Настройки Android → Google → Реклама (на некоторых телефонах: Настройки → Конфиденциальность → Реклама). Там рекламный идентификатор можно сбросить или удалить; тогда реклама становится неперсонализированной, а приложение продолжает работать. Подписка убирает рекламу совсем.

Награды. Когда вы получаете награду за просмотр, мы записываем её в вашу учётную запись (раздел 1.1): что открыто и до какого времени, и ведём журнал начислений и трат листочков. Награда не имеет денежной ценности.

Правила Google. Как Google использует данные из приложений, которые показывают его рекламу: policies.google.com/technologies/partner-sites. Настройки персонализации рекламы Google: myadcenter.google.com.

3.16. Обновление приложения и темы

Приложение для Android при запуске спрашивает у нашего сервера, какая сборка считается минимальной, какая рекомендуется и включена ли реклама. В запросе нет ни номера учётной записи, ни данных из приложения; сервер, как при любом обращении, видит IP-адрес (раздел 1.1). Если есть более новая сборка, приложение предлагает обновиться, а саму сборку скачивает и ставит магазин, из которого вы установили приложение (Google Play или AppGallery), по своим правилам. Если сборка слишком старая, приложение просит обновиться, прежде чем продолжить. Так же, без номера учётной записи, приложение получает с нашего сервера каталог тем, а на Android скачивает с него наборы картинок для тем, обликов Зарока и значков, когда вы их выбираете. Фоновые загрузки идут только по Wi-Fi. Скачанные наборы можно удалить: Профиль → «Настройки» → «Загруженные темы».

3.17. Рабочие сервисы (по вашему желанию)

Список Зарока можно связать с рабочим сервисом, например со списком задач или с календарём: Профиль → «Настройки» → «Подключения» → «Календари и сервисы» → «Рабочие сервисы». Это необязательно: каждый сервис вы подключаете сами, после входа в него; для этого нужны аккаунт Зарока и включённая память. Дела и события связанных списков появляются в сервисе, а правки из него возвращаются в Зарок. Здесь описаны и сервисы, которые можно подключить сейчас, и те, которые можно будет подключить, когда они станут доступны.

Что мы получаем от сервиса. Перечень ваших проектов, календарей или списков задач с их названиями, а из тех, что вы связали с Зароком, — названия записей, заметки, даты и время, отметки о выполнении, служебные идентификаторы и время изменения. Почту, контакты, комментарии, вложения и сведения о других людях мы не запрашиваем.

Что мы отправляем в сервис. Дела и события из списков Зарока, которые вы с ним связали: название, заметку, дату, время, длительность и отметку о выполнении. Другие записи, например курсы, привычки и питание, в сервис не уходят.

Как хранятся данные. Ключи доступа к сервису хранятся только на нашем сервере и только в зашифрованном виде; на устройство они не передаются. Чтобы узнавать связанные записи, мы храним их идентификаторы и отпечатки, без текста дел; сами дела хранятся вместе с остальными вашими записями (раздел 1.3). Если сервис присылает уведомления об изменениях, мы используем их только как сигнал обновить данные и не храним.

Slack, когда он станет доступен. Slack не связывает списки, а превращает сообщения в дела. Дело появляется, только если вы сами передаёте сообщение Зароку: выбираете в меню сообщения «Добавить в Зарок», ставите на него реакцию :zarok: или ➕ или пишете команду /zarok с текстом. Из такого сообщения мы получаем его текст, канал и время отправки; из текста получаются название и заметка дела, не длиннее 500 знаков. Автора сообщения, вложения и файлы мы не берём, а упоминания людей и каналов заменяются короткими пометками. Историю каналов и другие сообщения пространства Зарок не читает.

Что Slack присылает и что мы храним. Чтобы заметить реакцию, Slack присылает нам уведомления о реакциях в каналах, куда вы добавили Зарок: кто поставил реакцию, какую и на какое сообщение. Реакции с другими значками и реакции других людей мы сразу отбрасываем и не храним. Для выбора канала мы получаем названия каналов, которые видит Зарок. В данных подключения хранятся зашифрованный ключ, идентификатор и название пространства Slack, ваш идентификатор в нём, список каналов и идентификаторы уже обработанных сообщений, без их текста. Свои дела Зарок в Slack не переносит: Slack получает только ответ о добавленном деле с его названием, а если включена утренняя сводка, то и список дел на день с их временем в ваши личные сообщения.

Как отключить. Профиль → «Настройки» → «Подключения» → «Календари и сервисы» → «Рабочие сервисы» → «Отключить». При отключении и при удалении аккаунта мы отзываем доступ у сервиса, если сервис это позволяет, и сразу удаляем ключи и данные подключения. Если сервис не даёт отозвать доступ со стороны приложения, снять разрешение можно в настройках самого сервиса. Записи, уже перенесённые в Зарок и в сервис, остаются в обоих местах; удалить их можно как обычные записи.

Кому уходят данные. Сейчас подключить можно Todoist (Todoist Inc., компания Doist; политика конфиденциальности: todoist.com/privacy), а также Google Календарь и Google Задачи (Google LLC; политика конфиденциальности: policies.google.com/privacy). Slack будет добавлен в перечень, когда станет доступен; его получателем будет Slack Technologies, LLC для пространств из США и Канады или Slack Technologies Limited (Ирландия) для остальных (политика конфиденциальности: slack.com/trust/privacy/privacy-policy). Сервис получает данные по вашей просьбе и обрабатывает их по своим правилам; его серверы могут находиться за пределами ЕС, и передача туда нужна, чтобы работала выбранная вами функция. Перечень подключаемых сервисов и их получателей ведётся на этой странице и обновляется до того, как включается новый сервис.

Google Календарь и Google Задачи. Если вы подключаете Google, мы просим у Google права: просмотр и изменение событий в календарях (calendar.events), просмотр перечня ваших календарей (calendar.calendarlist.readonly) и управление задачами (tasks). От Google мы получаем перечень ваших календарей и списков задач с их названиями, а из календаря и списка задач, которые вы выбрали, — события и задачи: названия, заметки, даты и время, отметки о выполнении. Мы используем эти данные только чтобы выполнить то, что вы выбрали: показывать в Google дела связанных списков Зарока и возвращать в Зарок ваши правки. Остальные календари, события и задачи мы не читаем и не меняем. Ключи доступа Google хранятся только на нашем сервере и только в зашифрованном виде; о связанных записях мы храним лишь их идентификаторы и отпечатки, без текста. Получатель данных — Google LLC (политика конфиденциальности: policies.google.com/privacy); другим получателям мы эти данные не передаём, если вы сами об этом не попросили. Использование Зароком информации, полученной из Google API, и передача её другим приложениям соответствуют Политике Google API Services в отношении данных пользователей (Google API Services User Data Policy), включая требования об ограниченном использовании (Limited Use; developers.google.com/terms/api-services-user-data-policy). Мы не продаём эти данные, не передаём их брокерам данных и рекламным сервисам, не используем для рекламы, для оценки платёжеспособности и для обучения моделей ИИ; сотрудники читают их, только если вы сами попросили о помощи, по соображениям безопасности или по закону. Отключить доступ можно в Зароке (Профиль → «Настройки» → «Подключения» → «Календари и сервисы» → «Рабочие сервисы» → «Отключить») или в аккаунте Google (Безопасность → Доступ сторонних приложений): при отключении и при удалении аккаунта мы отзываем доступ у Google и сразу удаляем ключи и данные подключения.

Чего мы не делаем. Данные из рабочих сервисов мы не продаём и не используем для рекламы и для обучения моделей ИИ.

3.18. Проверка подлинности приложения — Google Play Integrity

Чтобы защищать аккаунты, подарки и награды от подделанных копий приложения и автоматических запросов, приложение для Android прикладывает к важным запросам (вход, ИИ Зарок, подарки, листочки за рекламу, награда за друга) отметку Google Play Integrity. Google Play проверяет, что приложение установлено из Google Play и не изменено и что устройство настоящее; данные, которые он для этого собирает, Google обрабатывает по своим правилам. Наш сервер получает от Google только итог проверки и хранит у учётной записи последний итог: время, вид запроса и ответы. Саму отметку мы не храним. Обезличенные дневные счётчики хранятся 60 дней. Мы не используем проверку, чтобы следить за людьми или устройствами.

4. Согласия и как их отозвать

Обработка запросов ИИ. Отдельное согласие перед первым использованием помощника (раздел 3.1). Включать ИИ необязательно: приложение работает и без него. Хранятся факт согласия, его дата и версия текста. Отозвать согласие можно в любой момент: Профиль → «Мой профиль» → «Параметры конфиденциальности» → выключить «Согласие на ИИ». После отзыва запросы из приложения сервисам ИИ больше не отправляются, переписка удаляется с устройства и с сервера. На чат бота Telegram отзыв не распространяется (раздел 3.1). Подписка при этом не отменяется: ею управляет Google Play. Снова включить ИИ Зарока можно в разделе «ИИ Зарок» кнопкой «Включить ИИ Зарока», согласившись заново.
Аккаунт. Создавая аккаунт, вы принимаете Условия использования и эту политику — хранятся дата и их редакция. Аккаунт работает на основании договора (раздел 1.5), удалить его можно в любой момент: Профиль → «Мой профиль» → «Удалить аккаунт…». Выйти из аккаунта можно там же, строкой «Выйти из аккаунта»: данные останутся в аккаунте, а с устройства будут убраны.
Статистика использования. Счётчики из раздела 1.1 записываются на основании законного интереса. Возразить можно в любой момент: Профиль → «Мой профиль» → «Данные и синхронизация» → «Статистика использования». Собранные счётчики при этом удаляются.
Общий профиль. Что видят другие люди и друзья, решаете вы: Профиль → «Мой профиль» → «Показывать имя друзьям», «Находить меня по нику», «Делиться днями активности», «Участвовать в рейтинге». Поиск по нику и историю дней вы включаете сами, а имя и участие в рейтинге можно выключить в любой момент. Если вам меньше 18 лет, имя и участие в рейтинге по умолчанию выключены, и включить их можно в любой момент.
Реклама. На Android последний шаг знакомства (а для тех, кто ещё не принял действующие Условия, — экран «Почти готово») сообщает обычной строкой текста, без галочки, что в бесплатной версии показывается реклама. Это уведомление, а не согласие на отслеживание. Согласие на персонализированную рекламу вы даёте отдельно: в ЕЭЗ, Великобритании и Швейцарии — в окне Google сразу после знакомства, в Бразилии — отметкой «Персональная реклама» в знакомстве (без неё реклама не персональная). Изменить выбор можно в профиле: Профиль → «Мой профиль» → «Параметры конфиденциальности» → «Персональная реклама» или «Согласие на рекламу», а также в настройках рекламы телефона. Отказ не мешает пользоваться приложением. Подписка отключает рекламу.
Маркетинг. Рекламных рассылок мы не делаем и ваши записи для маркетинга не используем. Единственное исключение — редкое письмо с подарком тем, кто давно не заходил (раздел о письмах выше); от него можно отписаться в один клик.
Напоминания. Разрешение на уведомления телефон спрашивает один раз, когда вы впервые включаете напоминание. Дальше оно действует для всех дел. Напоминание вы включаете у нужного дела, когда создаёте или меняете его. Общие настройки: Профиль → «Настройки» → «Напоминания». Отозвать разрешение можно в настройках телефона.
Микрофон. Разрешение спрашивается при первом голосовом вводе, отозвать его можно в настройках телефона.
Календарь. Разрешение на чтение и изменение календаря телефон спрашивает, когда вы подключаете календарь. Остановить связь можно в профиле: Профиль → «Настройки» → «Подключения» → «Календари и сервисы» → «Календарь телефона» → «Отключить календарь», а разрешение — в настройках телефона. Записи, уже перенесённые в приложение или в календарь, при этом остаются; удалить их можно как обычные записи.
Если условия помощника существенно изменятся, приложение покажет их снова и попросит согласие заново.
Отзыв согласия не влияет на обработку, которая была до него, и не мешает пользоваться остальным приложением.

5. Ваши права и где нажать

По GDPR и законам о защите данных многих стран у вас есть права ниже. Для каждого права указано, где нажать в приложении и что написать нам на support@zarok.app. Сроки ответа — в конце раздела.

Доступ и копия. В приложении: Профиль → «Мой профиль» → «Данные и синхронизация» → «Копия в файле» → «Экспорт». По почте: попросите копию данных, которые хранятся о вас на сервере.
Исправление. В приложении: любую запись можно изменить там, где она лежит, а имя и год рождения — в Профиль → «Мой профиль». По почте: если нужно исправить почту аккаунта.
Удаление. В приложении: Профиль → «Мой профиль» → «Удалить аккаунт…», а без аккаунта — Профиль → «Мой профиль» → «Данные и синхронизация» → «Сброс данных». Без приложения: zarok.app/delete-account. По почте: напишите, что удалить (раздел 1.4).
Переносимость. В приложении: тот же «Экспорт» — файл в машиночитаемом формате JSON, его можно перенести в другой сервис.
Ограничение обработки. По почте: попросите не обрабатывать данные, пока проверяется, точны ли они и законна ли обработка.
Возражение. В приложении: против счётчиков — Профиль → «Мой профиль» → «Данные и синхронизация» → «Статистика использования», против персонализированной рекламы — Профиль → «Мой профиль» → «Параметры конфиденциальности» → «Персональная реклама». По почте: против остальной обработки на основании законного интереса (раздел 1.5). От писем с подарком можно отписаться и по ссылке в самом письме.
Отзыв согласия. В приложении: Профиль → «Мой профиль» → «Параметры конфиденциальности» → «Согласие на ИИ» или «Согласие на рекламу» (раздел 4). По почте: напишите, какое согласие вы отзываете.
Отказ от «продажи», «передачи» и таргетированной рекламы (штаты США). В приложении: выключите «Персональная реклама» (путь выше); в штатах, где закон этого требует, там же есть строка «Согласие на рекламу» — окно Google, в нём выберите «Не продавать и не передавать мои данные». В телефоне — сбросьте или удалите рекламный идентификатор (раздел 3.15). По почте: напишите «Не продавать и не передавать мои данные».
Жалоба. Сначала можно написать нам. Вы также вправе обратиться в орган по защите данных своей страны (раздел 7).
Данные у рекламного сервиса. Права в отношении данных, которые рекламный сервис хранит у себя, осуществляются у него: для Google — myadcenter.google.com и policies.google.com/privacy.

Сроки ответа. Отвечаем бесплатно, на адрес, с которого вы написали:

Европейская экономическая зона, Великобритания и Швейцария — в течение 1 месяца. Если запрос сложный или запросов много, срок можно продлить ещё на 2 месяца; об этом мы сообщим в течение первого месяца.
США — в течение 45 дней. Если нужно, срок можно продлить ещё на 45 дней; об этом мы сообщим заранее. Отказ можно обжаловать (раздел 7.2).
Бразилия — в течение 15 дней.
Республика Корея — в течение 10 дней.
Другие страны — в течение 30 дней, если закон вашей страны не требует ответить раньше.

Как мы убеждаемся, что запрос ваш. Чтобы не выдать данные чужому человеку, мы можем попросить написать с почты аккаунта или назвать сведения, которые знаете только вы, например номер заказа Google Play.

Представитель. Запрос за вас может подать уполномоченный представитель, а за ребёнка — родитель или опекун. Мы попросим подтвердить полномочия и можем попросить вас подтвердить запрос самостоятельно.

Без дискриминации. Если вы воспользовались своими правами, мы не отказываем в обслуживании, не меняем цены и не ухудшаем работу приложения из-за этого.

6. Дети и возраст

Зарок — обычный дневник и планировщик, им может пользоваться человек любого возраста. Данные детей и подростков мы обрабатываем бережно и только в том объёме, который нужен для работы приложения. Так мы соблюдаем закон США о защите конфиденциальности детей в интернете (COPPA) и учитываем правила о данных детей в других странах: GDPR в Европейском союзе, LGPD и ECA Digital в Бразилии, DPDP в Индии и законы Австралии.

Вопрос о возрасте. В знакомстве приложение спрашивает год рождения. Заранее ничего не выбрано, а ответ можно пропустить строкой «Не указывать». Без ответа приложение считает, что вам меньше 16 лет: ИИ Зарок недоступен, реклама показывается без персонализации, писем с подарком нет. Год можно изменить в любой момент: Профиль → «Мой профиль» → «Год рождения». Сам год хранится только на устройстве (раздел 1.1).

Возраст из Google Play. В странах и штатах, где закон обязывает магазины приложений сообщать возраст (например, Бразилия и некоторые штаты США), Google Play может передать приложению возрастную группу: младше 13, 13–15, 16–17 лет или 18 и старше. Если по группе из Google Play вы младше, чем по году рождения, приложение считает ваш возраст по Google Play: сменой года его не поднять. Группа хранится только на телефоне, на наш сервер не уходит и используется только для правил по возрасту, не для рекламы и аналитики.

Младше 13 лет: только на телефоне. Если вам меньше 13 лет, дневник работает на телефоне целиком: дела, привычки, календарь, Зарок, темы и виджеты. Ничего личного не уходит на наш сервер и сторонним сервисам, пока родитель или опекун не даст согласие по почте: нет синхронизации, входа в аккаунт, Telegram, друзей, общих списков, синхронизации фото, ИИ, переписки с разработчиком и счётчиков использования. Без номера учётной записи и без ваших записей приложение по-прежнему получает с нашего сервера каталог тем, наборы картинок и сведения об обновлениях и отправляет обезличенные отчёты об ошибках (разделы 1.1 и 3.16).

Если копия записей уже была на сервере, копия только этого устройства удаляется сама. Копию аккаунта можно удалить в профиле кнопкой «Удалить копию с сервера». Записи на телефоне при этом остаются.

Согласие родителя. Чтобы включить синхронизацию и вход, ребёнок указывает почту родителя в карточке «Синхронизация и вход — с согласием родителя» (Профиль → «Мой профиль») и нажимает «Отправить письмо родителю». На наш сервер уходят только этот адрес и язык письма, без номера учётной записи.

Родитель получает письмо от Zarok Studio. В нём сказано, какие данные мы будем хранить и зачем, что мы их не продаём, не показываем другим людям и не используем для рекламы и что для ребёнка остаётся закрытым. Кнопка «Подтвердить согласие» действует 7 дней, рядом есть ссылка «Отказаться или удалить данные». Если родитель ничего не нажал, через 7 дней адрес и запрос удаляются, а Зарок остаётся только на телефоне.

Через 48 часов после согласия родитель получает второе письмо: согласие можно отозвать, и в письме есть ссылка для этого. Для согласия мы храним только почту родителя, время запроса и согласия, версию текста, язык письма и привязанные учётные записи. Если отправка письма сейчас недоступна, приложение так и сообщит; родитель может написать на support@zarok.app.

Что остаётся закрытым и с согласием. С согласием родителя включаются синхронизация, вход в аккаунт и листочки за рекламу. Для ребёнка младше 13 лет и с согласием закрыты: ИИ Зарок, друзья, Telegram, общие списки «Дела вместе», приглашения, временные ссылки на план, подключение ИИ-клиентов и рабочих сервисов, переписка с разработчиком, погода, счётчики использования, письма с подарком и персонализированная реклама.

Отзыв согласия. Родитель может отозвать согласие в любой момент по ссылке из любого из двух писем или письмом на support@zarok.app. Тогда копия записей ребёнка на нашем сервере и привязанные учётные записи удаляются так же, как при удалении аккаунта, запись о согласии удаляется вместе с адресом родителя, а Зарок снова работает только на телефоне. Записи на телефоне остаются.

Индия: до 18 лет — с согласием родителя. Если страна вашего аккаунта Google Play — Индия и вам от 13 до 17 лет (или выбрано «Не указывать»), приложение так же работает только на телефоне, пока родитель или опекун не даст согласие по почте тем же способом, что описан выше. После согласия открывается всё, что доступно подросткам: ИИ Зарок с 16 лет, реклама без персонализации до 18 лет, письма с подарком с 16 лет. Если страна неизвестна, это правило не применяется.

Реклама. В бесплатной версии для Android реклама детям младше 13 лет запрашивается как реклама для детской аудитории: без персонализации и ремаркетинга, с содержанием уровня G. От 13 до 17 лет и тем, кто не указал год рождения, показывается только реклама без персонализации, а окно согласия Google не показывается (раздел 3.15).

От 13 до 17 лет. Условия и эту политику вы принимаете вместе с родителем или опекуном: на последнем шаге знакомства стоит строка «Принимаю Условия и Политику конфиденциальности вместе с родителем или опекуном». В «Друзьях» имя и участие в рейтинге по умолчанию выключены. Платную подписку оформляет родитель или законный представитель.

ИИ Зарок — с 16 лет. От 16 до 17 лет — с разрешения родителей или законных представителей. Если по году рождения вам меньше 16 лет или выбрано «Не указывать», ИИ Зарок в приложении недоступен. Если год изменили так, что ИИ Зарок стал недоступен, согласие на ИИ снимается (раздел 3.1).

Для родителей. Родитель или опекун может узнать, какие данные ребёнка хранятся, получить их копию, попросить исправить или удалить их и запретить дальнейшую обработку: support@zarok.app. Чтобы убедиться, что пишет родитель, мы можем попросить написать с адреса, на который пришло письмо о согласии. Если вы считаете, что ребёнок передал нам данные без вашего разрешения, напишите нам, и мы их удалим.

7. Региональные дополнения

Общая часть политики действует везде. Ниже — то, что добавляют законы отдельных стран и регионов. Запросы из любой страны принимаем на support@zarok.app, сроки ответа — в разделе 5.

7.1. Европейская экономическая зона, Великобритания и Швейцария

Кто отвечает. Контролёр данных — Zarok Studio (раздел 8). Правовые основания для каждой цели перечислены в разделе 1.5: договор, согласие, законный интерес и требование закона (статья 6 GDPR и UK GDPR, в Швейцарии — Федеральный закон о защите данных).
Передача за пределы региона. Наш сервер находится в Германии. Если данные получает сервис в другой стране, например в США (сервисы ИИ, Google), передача опирается на решение о достаточном уровне защиты (для США — на Рамочное соглашение о конфиденциальности данных для его участников) или на стандартные договорные условия Европейской комиссии в договоре с получателем. Запросы помощника, кроме того, в приложении уходят сервисам ИИ только с вашего явного согласия (раздел 3.1).
Возражение. Против обработки на основании законного интереса можно возразить в любой момент; мы прекратим её, если у нас нет веских законных оснований, которые важнее ваших интересов. Против писем с подарком можно возразить всегда, без объяснения причин: по ссылке для отписки в письме или письмом нам, и такие письма больше не придут.
Жалоба. Вы вправе пожаловаться в надзорный орган по защите данных страны ЕЭЗ, где вы живёте или работаете или где, по вашему мнению, произошло нарушение; в Великобритании — в Управление комиссара по информации (ICO), в Швейцарии — Федеральному уполномоченному по защите данных и информации (FDPIC).

7.2. США

Дети. Как мы соблюдаем COPPA, описано в разделе 6.
Для жителей штатов с законами о конфиденциальности (например, Калифорнии, Колорадо, Вирджинии, Коннектикута и Техаса) — что мы собирали за последние 12 месяцев, откуда, зачем и кому раскрывали.
Категории данных. Идентификаторы: почта аккаунта, номер учётной записи, случайный идентификатор установки, идентификатор Telegram, IP-адрес; рекламный идентификатор получает рекламный сервис. Данные для входа: почта и пароль в виде необратимого хеша. Коммерческие сведения: подписка, тариф, номер заказа, оплаты и возвраты по данным Google Play. Сведения об использовании приложения: счётчики, служебные отметки о действиях, награды, отчёты об ошибках. Примерное местоположение: город, который вы выбрали сами; примерное место по IP-адресу определяет рекламный сервис. Аудио: голосовые сообщения боту, которые стираются сразу после распознавания. Содержание, которое вы вводите сами: записи, заметки, переписка с помощником и с разработчиком. В записях могут оказаться сведения о здоровье, если вы сами их внесли; мы не используем их, чтобы делать выводы о вас.
Источники. Вы сами, ваше устройство, Google Play и вход через Google, Telegram и сервисы, которые вы подключили сами.
Цели. Работа приложения, аккаунта и синхронизации, помощник, подписка, награды, защита от злоупотреблений, исправление ошибок, учёт затрат, ответы на обращения и показ рекламы в бесплатной версии (разделы 1.2 и 1.5).
Кому мы раскрываем данные. Для работы сервиса: хостинг-провайдеру нашего сервера, сервисам ИИ, почтовому сервису, Google (оплата, вход), Telegram и сервисам, которые вы подключили сами. Для рекламы в бесплатной версии для Android: Google AdMob получает рекламный идентификатор, IP-адрес, сведения об устройстве и о действиях с рекламой (раздел 3.15).
Продажа и передача. Мы не продаём данные за деньги. Но передача рекламного идентификатора и сведений об устройстве Google AdMob для персонализированной рекламы по законам некоторых штатов может считаться «продажей», «передачей» (sharing) или таргетированной рекламой. Тем, кому меньше 18 лет, показывается только реклама без персонализации.
Как отказаться. В приложении для Android: Профиль → «Мой профиль» → «Параметры конфиденциальности» → выключите «Персональная реклама». В телефоне: Настройки Android → Google → Реклама, там сбросьте или удалите рекламный идентификатор. Или напишите на support@zarok.app. После отказа реклама остаётся, но без персонализации.
Ваши права. Узнать, какие данные мы собрали, получить их копию, исправить, удалить их и отказаться от продажи, передачи и таргетированной рекламы (раздел 5). Ответ — в течение 45 дней, с возможным продлением ещё на 45 дней.
Обжалование. Если мы отказали в запросе, ответьте на наше письмо и попросите пересмотреть решение. Мы ответим в срок, который установил закон вашего штата. Если вы не согласны с ответом, можно обратиться к генеральному прокурору своего штата.
Письма. Письмо с подарком (раздел 3.9) — единственное наше письмо не служебного характера. В каждом таком письме есть ссылка, чтобы отписаться в один клик; после отписки такие письма не приходят.

7.3. Канада и Квебек

За защиту персональной информации отвечает Zarok Studio; связаться с ответственным лицом можно по адресу support@zarok.app. Вы вправе получить доступ к своей информации, исправить её и отозвать согласие (раздел 5). Данные хранятся на сервере в Германии, а отдельные функции передают их сервисам в других странах, например в США (раздел 3); там к ним применяются местные законы. Жалобу можно подать Комиссару по защите частной жизни Канады, а жителям Квебека — в Комиссию по доступу к информации (Commission d’accès à l’information).

7.4. Бразилия

Основания. Правовые основания по LGPD те же, что в разделе 1.5: исполнение договора, согласие, законный интерес и требование закона. Персонализированная реклама в Бразилии показывается только с отметкой «Персональная реклама» (раздел 4).
Права по статье 18 LGPD. Подтверждение того, что мы обрабатываем ваши данные; доступ; исправление; обезличивание, блокировка или удаление лишних данных; переносимость; удаление данных, обработанных по согласию; сведения о том, кому мы передаём данные; сведения о том, что можно не давать согласие, и о последствиях отказа; отзыв согласия.
Ответственный за обработку данных (encarregado). Zarok Studio, support@zarok.app. Отвечаем в течение 15 дней.
Передача за рубеж. Данные хранятся на сервере в Германии; это нужно для исполнения договора с вами. Запросы помощника из приложения уходят сервисам ИИ за рубежом только с вашего отдельного согласия (раздел 3.1).
Жалоба. Вы вправе обратиться в Национальное управление по защите данных (ANPD). Правила для детей и подростков — в разделе 6.

7.5. Мексика

Вы вправе осуществлять права ARCO: доступ, исправление, удаление и возражение, а также отозвать согласие и ограничить использование данных. Напишите на support@zarok.app, какое право и к каким данным относится запрос, и укажите адрес для ответа. Ответим не позже чем через 20 рабочих дней. Жалобу можно подать в орган по защите данных Мексики.

7.6. Республика Корея

Это дополнение действует для пользователей в Республике Корея по Закону о защите персональной информации (PIPA).

Какие данные мы обрабатываем. Обязательно: номер учётной записи, случайный идентификатор установки, ваши записи и настройки, служебные данные учётной записи, IP-адрес в технических журналах. По вашему выбору: почта и пароль в виде хеша или данные аккаунта Google, данные подписки, переписка с помощником, изображения дел, данные Telegram, друзья и общие списки (раздел 1.1).
Сроки хранения. Записи и учётная запись — пока вы пользуетесь приложением, а после года без действий учётная запись удаляется сама. Переписка с помощником на сервере — до 180 дней, технические журналы и отчёты об ошибках — 14 дней, журнал расчётов возврата — до 24 месяцев, журнал учёта затрат — до 3 лет (раздел 1.4).
Порядок уничтожения. Когда срок хранения истёк или цель достигнута, данные удаляются с сервера без возможности восстановления; прежние версии записей удаляются через 30 дней. Бумажных копий мы не ведём.
Передача за рубеж. Данные передаются по защищённому соединению в тот момент, когда вы пользуетесь функцией. Отказаться можно, если не пользоваться функцией или выключить её; без передачи такая функция не работает. Получатели:
Хостинг нашего сервера — Podaon SIA (Zomro), Латвия; сервер во Франкфурте, Германия. Данные из раздела 1.1, которые хранятся на сервере. Зачем: работа приложения и синхронизация. Срок: как в разделе 1.4.
Google LLC (Gemini API) — США. Текст запроса и нужная выжимка расписания (раздел 3.1). Зачем: ответ помощника. Срок: по условиям Google для обработчиков. В приложении — только с вашего согласия. Запасной поставщик ИИ в Республике Корея не используется.
Google LLC и Google Ireland Limited — США и Ирландия. Подтверждение покупки, данные входа через Google, рекламный идентификатор и сведения об устройстве. Зачем: оплата, вход и реклама в бесплатной версии. Срок: по правилам Google.
Namecheap, Inc. (почтовый сервис нашего домена) — США. Адрес получателя и текст письма. Зачем: служебные письма и письма с подарком. Срок: по правилам сервиса.
Telegram — самостоятельный контролёр по своей политике, серверы в нескольких странах. Сообщения бота, уведомления разработчику о ваших обращениях, копии изображений дел, если вы их включили. Зачем: работа бота и поддержки. Срок: по правилам Telegram.
Сервисы, которые вы подключаете сами (ИИ-клиенты и рабочие сервисы), получают данные по вашему выбору (разделы 3.13 и 3.17).
Ответственный за защиту данных. Zarok Studio, support@zarok.app. Права на доступ, исправление, удаление, приостановку обработки и отзыв согласия — в разделе 5; отвечаем в течение 10 дней. Вы также можете обратиться в Комиссию по защите персональной информации (PIPC).
Письма. Рекламных рассылок мы не делаем. Письмо с подарком приходит не чаще раза в 90 дней, от него можно отписаться в один клик (раздел 3.9).

7.7. Япония

Оператор, который обрабатывает персональную информацию: Zarok Studio, support@zarok.app. Меры защиты: защищённое соединение, шифрование общих списков и ключей рабочих сервисов, доступ к серверу только у разработчика (раздел 1.3). Данные передаются за рубеж: на наш сервер в Германии (Европейский союз; Комиссия по защите персональной информации Японии признала уровень защиты в ЕС равноценным японскому), а для отдельных функций — в США (сервисы ИИ — в приложении с вашего согласия, Google). В США нет единого федерального закона о защите персональной информации; действуют законы штатов и отраслевые законы. Вы вправе запросить раскрытие, исправление, прекращение использования и удаление данных (раздел 5).

7.8. Индия

По Закону о защите цифровых персональных данных (DPDP) вы вправе получить сведения о своих данных, исправить, дополнить и удалить их и назначить человека, который осуществит ваши права, если вы не сможете. Жалобы принимаем на support@zarok.app. Если ответ вас не устроил, можно обратиться в Совет по защите данных Индии (Data Protection Board of India). Для тех, кому меньше 18 лет, синхронизация и вход включаются только после проверяемого согласия родителя по почте (раздел 6).

7.9. Другие страны

Турция. По закону KVKK вы вправе узнать, обрабатываются ли ваши данные, получить сведения о них и о получателях, потребовать исправления или удаления и возразить против выводов, сделанных только автоматически. Пишите на support@zarok.app; жалобу можно подать в Совет по защите персональных данных (KVKK).
Таиланд. По закону PDPA вы вправе получить доступ к данным и их копию, перенести, исправить и удалить их, возразить против обработки и отозвать согласие. Пишите на support@zarok.app; жалобу можно подать в Комиссию по защите персональных данных (PDPC).
Вьетнам. Вы вправе знать об обработке своих данных, давать и отзывать согласие, получать доступ к данным, исправлять и удалять их и ограничивать обработку. Пишите на support@zarok.app.
Индонезия. По закону о защите персональных данных (UU PDP) вы вправе получить доступ к данным и их копию, исправить и удалить их, отозвать согласие и возразить против решений, принятых только автоматически. Пишите на support@zarok.app.
Филиппины. По закону о конфиденциальности данных вы вправе получить сведения о данных и доступ к ним, исправить, удалить или заблокировать их, перенести и возразить против обработки. Пишите на support@zarok.app; жалобу можно подать в Национальную комиссию по конфиденциальности (NPC).
Малайзия. По закону о защите персональных данных (PDPA) вы вправе получить доступ к данным, исправить их и отозвать согласие. Пишите на support@zarok.app.
Австралия. По Закону о конфиденциальности (Privacy Act) вы вправе получить доступ к своим данным и исправить их; отвечаем в течение 30 дней. Данные хранятся на сервере в Германии, а для отдельных функций передаются в другие страны, например в США (раздел 3). Жалобу сначала направьте нам, а если ответ вас не устроил — в Управление австралийского комиссара по информации (OAIC).
Украина. По Закону Украины «О защите персональных данных» вы вправе знать, какие данные о вас обрабатываются и кому передаются, получить к ним доступ, потребовать исправления или удаления и отозвать согласие. Пишите на support@zarok.app; жалобу можно подать Уполномоченному Верховной Рады Украины по правам человека.
Казахстан. По Закону «О персональных данных и их защите» вы вправе знать о сборе и обработке своих данных, получить к ним доступ, потребовать исправления или удаления и отозвать согласие. Пишите на support@zarok.app.
Россия и Беларусь. В России и Беларуси мы не предлагаем сервис, не продаём подписку «Зарок Plus» и не оказываем поддержку (zarok.app/countries). Кто пользуется приложением оттуда, делает это по собственной инициативе.
Остальные страны. Если закон вашей страны даёт вам права в отношении персональных данных, пишите на support@zarok.app: ответим в течение 30 дней или раньше, если этого требует ваш закон.

8. Документы и контакты

Кто отвечает за данные: Зарок Студия (Zarok Studio). Вопросы о данных и запросы по разделу 5: support@zarok.app.
Условия использования: Профиль → «Настройки» → «Помощь и информация» → «Условия» или zarok.app/terms.
Удаление аккаунта, в том числе без приложения: zarok.app/delete-account.
В каких странах предлагается Зарок (кроме России и Беларуси): zarok.app/countries.
Правила внешних сервисов: Google — policies.google.com/privacy (вход через Google, Google Play и метка установки, YouTube, распознавание речи, резервная копия Android), реклама Google — policies.google.com/technologies/partner-sites; Huawei AppGallery — consumer.huawei.com/en/privacy; Telegram — telegram.org/privacy; Vimeo — vimeo.com/privacy.
Если политика изменится, новая версия появится в приложении и на zarok.app/privacy с новой датой. О существенных изменениях сообщим в приложении.
Вопросы о данных и запросы на удаление: support@zarok.app.