Политика конфиденциальности

Коротко

• Дневник питания, фотографии, вес и цели остаются на вашем телефоне и, если вы пользуетесь iCloud, в вашем iCloud, куда у нас нет доступа.
• Приложение читает данные из Apple Health с вашего согласия и записывает туда только вес, который вы обновляете в приложении. Данные Apple Health не отправляются на наш сервер, кроме шагов и сожжённых за сегодня калорий — и только если вы включите «Показывать шаги и сожжённые калории» в разделе «Друзья».
• Фото и тексты, отправленные на анализ ИИ, не хранятся на нашем сервере.
• Социальные функции (профиль, «Лента», «Сообщения») необязательны: сервер хранит только то, что вы решили опубликовать или отправить.
• Ваш профиль закрыт, если вы не решите иначе. Как в Instagram, любой пользователь приложения может найти вас в поиске и увидеть имя, имя пользователя, аватар и замок, а затем попросить подписаться на вас. Только если вы сделаете профиль публичным (с 16 лет), одобренные публикации станут видны любому, и любой сможет подписаться без вашего одобрения.
• Аккаунт с email, Apple или Google необязателен: с ним вы входите в тот же профиль на другом телефоне. Пароль мы храним только в виде хеша.
• У нас нет рекламы, мы не следим за вами и никому не продаём данные.

Что остаётся только на телефоне

Дневник питания (продукты, калории, БЖУ), фотографии блюд, профиль (возраст, рост, вес, цели) и настройки хранятся на iPhone. Если на телефоне включён iCloud, они синхронизируются в ваш iCloud (частная база приложения), чтобы были и на другом iPhone; доступ к ним есть только у вас, не у нас. Синхронизацию можно выключить в Профиль → Синхронизация iCloud. Если вы дадите доступ, приложение читает данные Apple Health (активные калории, шаги, вес, рост, пол, дату рождения) и записывает туда только ваш вес, когда вы обновляете его в приложении. Эти данные остаются на телефоне, не попадают к ИИ и не используются для рекламы; на наш сервер и к друзьям (тем, с кем вы взаимно подписаны) попадают только шаги и сожжённые калории за сегодня — и только если вы включите «Показывать шаги и сожжённые калории».

Анализ фотографий с помощью ИИ

Когда вы фотографируете блюдо, снимок и текстовая инструкция отправляются через сервер FixGram внешнему поставщику моделей ИИ (напрямую или через посредника), чтобы распознать продукты и оценить калории. Наш сервер не сохраняет ни фото, ни текст, ни ответ. Там, где это возможно, мы просим поставщиков не использовать данные для обучения; они могут временно хранить запросы по своим правилам, например для защиты от злоупотреблений.

Так же обрабатывается текст: когда вы пишете или диктуете, что съели («Скажите, что съели»), или пишете исправление, текст отправляется тем же путём, без фото. Чтобы учесть ваши прошлые исправления, запрос может содержать несколько коротких фактов, выученных из них (например, вашу обычную порцию продукта); они хранятся только на телефоне (и в вашем iCloud), их можно посмотреть и удалить в Профиль → Анализ ИИ. Диктовку распознаёт Apple, на телефоне, когда это возможно; FixGram получает только текст и не хранит аудиозаписи.

Для дневных лимитов и статистики сервер 90 дней хранит: дату и время анализа, псевдонимный код телефона (хеш, по которому нельзя узнать настоящий идентификатор), модель, результат, число токенов, стоимость и длительность. IP-адрес не сохраняется в открытом виде: мы храним только код сети (HMAC) — для лимита текущего дня (удаляется на следующий день), для защиты панели администратора (не более 24 часов) и, в социальных функциях, для лимитов новых профилей и кодов приглашения старых версий приложения (не более 2 дней).

Социальные функции (необязательные)

Если вы создаёте профиль (при создании аккаунта вы принимаете Условия и правила сообщества), сервер хранит:

• отображаемое имя, аватар (цвет и фото профиля, если вы его выбрали), описание профиля, если вы его написали, и ваш код приглашения (его используют старые версии приложения);
• список друзей (тех, с кем вы взаимно подписаны), отправленные и полученные заявки в друзья и запросы на подписку (пока их не одобрят или не отклонят: заявки в друзья — не более 14 дней, запросы на подписку — не более 30 дней) и список заблокированных вами людей;
• имя пользователя (@имя), если вы его выбрали (его видят те, кто видит ваше имя), публичный или закрытый у вас профиль и момент, когда вы подтвердили, что вам есть 16 лет (нужно для публичного профиля);
• на кого вы подписаны и кто подписан на вас (с датой), вашу личную ссылку (действует 7 дней; сервер хранит только её хеш) и людей, которых вы попросили больше не предлагать («Не интересно», 90 дней);
• итог дня, который видят только друзья (те, с кем вы взаимно подписаны): съеденные калории и цель, сколько процентов цели по белку достигнуто, число приёмов пищи и, только если вы это включите, шаги и сожжённые за сегодня калории (без веса и без граммов белка), — 60 дней;
• публикации, которые вы решили сделать, — хранятся, пока вы их не удалите (или не удалите профиль) или их не удалит модерация: блюда (фото, подпись, тип приёма пищи, сумма калорий и, если включён параметр «Состав блюда», список продуктов), рецепты и другие ваши фото (например, из зала, с пробежки или с вашим прогрессом: фото и подпись, без калорий); если вы закрепите публикацию в профиле — и время закрепления;
• рецепты, которые вы публикуете (публикация с рецептом): название, число порций, время приготовления, метки (например, «завтрак»), ингредиенты с граммами, калориями и БЖУ и шаги приготовления. Рецепт хранится вместе со своей публикацией и удаляется вместе с ней;
• комментарии, которые вы пишете к публикациям (текст и время), — столько же, сколько хранится публикация;
• личные сообщения, которые вы отправляете (текст, отправленная публикация или фото и время), и состояние переписок (кто до какого места прочитал, принятые или удалённые запросы на переписку, принимаете ли вы запросы от всех). Сообщения хранятся на нашем сервере и не защищены сквозным шифрованием: их видят только двое участников, а модератор видит сообщение (и фото в нём), только если получатель на него пожалуется (тогда текст хранится вместе с жалобой). Фото в сообщениях (не больше 1080 px, без геопозиции и других данных EXIF — приложение удаляет их перед отправкой) открываются по ссылкам, которые действуют не дольше двух часов; в запросе на переписку получатель видит фото только после того, как примет запрос;
• реакции на публикации, скрытые вами публикации и отправленные вами жалобы;
• псевдонимный код телефона (чтобы на одном телефоне был один профиль) и секретный ключ профиля, сохранённый только в виде хеша;
• день, когда вы последний раз пользовались социальными функциями, предупреждения модерации и, если так случилось, блокировку профиля (дату и причину);
• счётчики для лимитов (введённые коды приглашения и имена пользователей, новые профили, публикации и комментарии за сегодня, подписки и поиск), некоторые с кодом сети, — не более 2 дней.

Мы не спрашиваем номер телефона или настоящее имя; email и пароль вы указываете, только если создаёте аккаунт (см. «Аккаунт»). Друзья (те, с кем вы взаимно подписаны) видят имя, аватар, описание, итог дня, число ваших друзей и ваши одобренные публикации (в ленте и в вашем профиле, пока они хранятся). Одобренные вами подписчики видят профиль и одобренные публикации, но не итог дня. Пока ваш профиль закрыт, те, кто на вас не подписан, не видят ни описания, ни публикаций, ни чисел (подписчики, публикации), ни итога дня; они видят только имя, имя пользователя, аватар и замок (в поиске, на странице вашего профиля в приложении, в запросе на подписку или рядом с комментарием), а комментарий, который вы пишете к чьей-то публикации, видят все, кто видит эту публикацию. Кто именно поставил реакцию, видят только ваши друзья; остальные видят только число реакций. Когда вы отправляете кому-то запрос (по имени пользователя, из его профиля или личной ссылки либо, в старых версиях приложения, по его коду приглашения), этот человек видит ваше имя и аватар; вы подписываетесь, только если он одобрит запрос (на публичный профиль — сразу), а когда вы подписаны друг на друга, вы друзья.

Аккаунт (необязательно): email, Apple или Google

Профиль работает и без аккаунта: телефон хранит секретный ключ в связке ключей (Keychain). Чтобы входить в тот же профиль на другом телефоне (в том числе на Android), его можно привязать к адресу email с паролем, к «Войти с Apple» (Sign in with Apple) или к аккаунту Google. Тогда сервер также хранит:

• адрес email (строчными буквами) и подтверждён ли он, а пароль — только в виде хеша (PBKDF2-SHA256 со случайной солью для каждого аккаунта), никогда в открытом виде;
• для входа с Apple или Google — идентификатор вашего аккаунта Apple или Google и адрес email, который они нам передают (у Apple это может быть скрытый адрес для пересылки); ваш пароль Apple или Google мы не получаем и других данных у них не запрашиваем;
• подключённые устройства: для каждого — секретный ключ (только в виде хеша), псевдонимный код телефона, модель, которую передаёт приложение (например, «iPhone 15»), система, версия приложения, способ входа, дата входа и последнего использования;
• шестизначные коды из писем (подтверждение адреса — 60 минут, сброс пароля — 15 минут) только в виде хеша и счётчики для лимитов (попытки входа, отправленные письма), некоторые с кодом (HMAC) адреса email или сети, не более 2 дней.

Письма с кодами мы отправляем через сервис доставки email, который получает только ваш адрес, язык и текст письма (с кодом) и может недолго хранить их по своей политике. Мы не отправляем рекламу и рассылки и не отслеживаем открытие писем.

В приложении видно, какие устройства подключены, и любое из них можно отключить; после смены или сброса пароля остальные устройства отключаются. Ваш email не видит никто в приложении — ни друзья, ни подписчики.

Публичный профиль (необязательно)

По умолчанию ваш профиль закрыт: ваши публикации и описание видят только друзья и одобренные вами подписчики. Как в Instagram, закрытый профиль всё же появляется в поиске, но только с именем, именем пользователя, аватаром и замком. Попросить подписаться на вас может любой (из поиска, по имени пользователя, по вашей личной ссылке или из профиля); каждый запрос вы одобряете или отклоняете сами. Сделать его публичным можно в приложении, только если у вас есть имя пользователя и вы подтвердили, что вам есть 16 лет.

Публичный профиль может открыть любой пользователь приложения с профилем, кроме тех, с кем у вас есть блокировка (с любой стороны), и профилей, заблокированных модерацией. Он видит:

• отображаемое имя, имя пользователя, аватар и описание (в котором публичный профиль может указать одну ссылку https://);
• дату создания профиля и число ваших публикаций, друзей, подписчиков и подписок (только числа, не списки);
• ваши одобренные публикации, если вы делитесь фото блюд: фото, подпись, тип приёма пищи, сумму калорий и, если включён параметр «Состав блюда», продукты с граммами и калориями; публикации на проверке не показываются;
• комментарии к этим публикациям и число реакций.

Итог дня, шаги, вес, список ваших друзей и подписчиков он не видит: итог дня видят только друзья (те, с кем вы взаимно подписаны), а не подписчики.

Веб-страницу публичного профиля (fixgram.app/ и ваше имя пользователя; этим адресом можно поделиться) может открыть кто угодно, даже без приложения: на ней только отображаемое имя, имя пользователя, аватар, описание и число опубликованных блюд, без фото блюд. Для закрытого, заблокированного или несуществующего профиля страница одна и та же: на ней только имя пользователя из адреса и кнопка, открывающая приложение, без указания, существует ли профиль и закрыт ли он.

Подписаться на публичный профиль может любой, без вашего одобрения, и после этого видит ваши одобренные публикации и в ленте. Список подписчиков (их имена, имена пользователей и аватары) видите только вы; остальные видят только их число. Подписчика можно в любой момент удалить (он не получит уведомления и может подписаться снова, пока профиль публичный) или заблокировать: блокировка удаляет подписки в обе стороны и скрывает вас друг от друга в поиске. Так же, когда вы подписываетесь на публичный профиль, его владелец видит ваше имя, имя пользователя и аватар в своём списке подписчиков, даже если ваш профиль закрыт.

Поиск в приложении находит любой профиль, публичный или закрытый, по началу имени пользователя или слова в отображаемом имени (то есть и профили без имени пользователя), кроме профилей, заблокированных модерацией, и тех, с кем у вас есть блокировка (с вашей или с их стороны). Закрытый профиль появляется в результатах и открывается только с отображаемым именем, именем пользователя, аватаром и замком, без описания, публикаций и чисел; оттуда вам можно отправить запрос на подписку, который вы одобряете или отклоняете сами. Ваше имя, имя пользователя и аватар могут также появляться в разделе «Люди» у тех, на кого вы подписаны, и у тех, кто подписан как минимум на двух ваших подписчиков, без описания, публикаций и чисел.

Комментировать публикации публичного профиля может любой пользователь, который их видит. Комментарий вместе с именем, именем пользователя и аватаром его автора видят все, кто видит публикацию, в том числе люди, которые вам не друзья. Комментарии не проверяются автоматически; комментарии с жалобами просматривает человек в течение 24 часов, а автор публикации может удалить любой комментарий к ней.

Профиль можно в любой момент снова сделать закрытым в приложении. Тогда он исчезает с веб-страницы, а в поиске остаётся только с именем, именем пользователя, аватаром и замком; тот, кто захочет подписаться, отправит запрос, который вы одобрите или отклоните. Текущие подписчики остаются одобренными и продолжают видеть ваши публикации; удалить их можно в любой момент (они не получат уведомления). Когда вы снова сделаете профиль публичным, ожидающие запросы на подписку одобряются. То, что другие увидели или сохранили, пока профиль был публичным, мы отозвать не можем.

Публичные публикации хранятся так же, как остальные: пока вы их не удалите (или не удалите профиль) или их не удалит модерация, вместе с фото, комментариями и реакциями. На публичные профили, их публикации и комментарии может пожаловаться любой, кто их видит, и жалобы просматривает человек в течение 24 часов. Публичный профиль, заблокированный за нарушение правил, исчезает для всех (из поиска, с веб-страницы, из лент и профилей), а его подписки в обе стороны удаляются навсегда.

Модерация

Фотографии не проверяются автоматически: они сразу появляются у тех, кто видит ваши публикации. Публикации с жалобами просматривает человек в течение 24 часов, и нарушающие правила фото удаляются. Профили, грубо нарушающие правила, блокируются; чтобы с того же телефона нельзя было сразу создать новый профиль, мы храним псевдонимный код телефона заблокированного профиля не более года.

Комментарии не проверяются автоматически: они появляются сразу. Комментарии с жалобами просматривает человек в течение 24 часов и удаляет нарушающие правила, а автор публикации может удалить любой комментарий к ней.

Описание профиля не проверяется автоматически; описание с жалобами или нарушающее правила может удалить модератор.

С кем мы делимся данными

• поставщик облачного хостинга — размещает сервер и базу данных;
• поставщики моделей ИИ (и при необходимости их посредники) — только фото и тексты, отправленные на анализ, и — для проверки — фото и комментарии, опубликованные в приложении;
• сервис доставки email — только ваш адрес, язык и письмо с кодом, когда вы запрашиваете код;
• Apple или Google — только если вы выбираете вход через них: они подтверждают, кто вы; данные FixGram мы им не передаём;
• Apple — распространяет приложение по своим правилам.

Мы не продаём и не сдаём данные, не используем рекламу, SDK аналитики и отслеживание между приложениями и сайтами.

Сроки хранения

• публикации (в том числе публичные: блюда, рецепты и другие фото) вместе с фото, реакциями и комментариями: пока вы их не удалите или не удалите профиль; сами со временем они не удаляются;
• публикация, удалённая модерацией: её фото, реакции и комментарии удаляются сразу, а остальное (подпись, для истории модерации) — через 90 дней после публикации;
• личные сообщения: пока вы их не отзовёте (в первые 24 часа) или не удалите профиль; фото в сообщениях удаляются с сервера сразу, как только вы отзовёте сообщение, удалите профиль, модератор удалит сообщение или заблокирует ваш аккаунт, а загруженные, но не отправленные — через сутки (если вы удалите переписку только у себя, у собеседника копия остаётся); жалобы на сообщения вместе с текстом: 90 дней;
• итоги дня: 60 дней;
• подписки: пока подписчик не отпишется или его не удалят, один из вас не заблокирует другого, профиль не заблокирует модерация или один из профилей не будет удалён;
• имя пользователя: пока вы его не измените или не удалите профиль; подтверждение возраста: пока вы не удалите профиль;
• жалобы: 90 дней (о удалённом профиле — 30 дней, в обезличенном виде);
• статистика анализов ИИ: 90 дней;
• код сети: до следующего дня для лимита анализов, не более 24 часов при входе в панель и не более 2 дней для лимитов социальных функций;
• заявки в друзья: пока их не примут или не отклонят, не более 14 дней;
• код телефона заблокированного профиля: не более года;
• email, пароль (в виде хеша) и связи с Apple или Google: пока вы не удалите профиль (неподтверждённый 7 дней email может занять другой аккаунт, который его подтвердит);
• подключённые устройства: пока вы их не отключите, не смените или не сбросите пароль либо не удалите профиль, не более 12 месяцев без использования;
• коды из писем: 60 минут (подтверждение адреса) или 15 минут (сброс пароля);
• профиль, подписки, друзья и блокировки: пока вы не удалите профиль; профиль, которым не пользовались 12 месяцев, удаляется автоматически.

Удаление данных

Профиль можно удалить в любой момент в приложении: Профиль → Настройки (☰) → Аккаунт → «Удалить аккаунт» (или Настройки → Друзья и конфиденциальность → «Удалить аккаунт»). Удаление происходит сразу и окончательно: с сервера исчезают профиль (вместе с именем пользователя, описанием и личной ссылкой), друзья, заявки в друзья и запросы на подписку, блокировки, подписки (ваши и на вас), итоги дней, публикации (вместе с рецептами), фото, ваши личные сообщения и фото в них (собеседник увидит «Удалённый аккаунт», без них), комментарии (ваши и к вашим публикациям), реакции, отправленные вами жалобы, а также email и пароль, связи с Apple и Google и подключённые устройства (Apple не уведомляется автоматически: FixGram можно убрать и в настройках Apple ID). Жалобы других людей на вас хранятся 30 дней без какой-либо связи с вами — как история модерации. Данные на телефоне удаляются вместе с приложением. Удаление можно запросить и по email: support@fixgram.app (укажите отображаемое имя и имя пользователя или, в старых версиях приложения, код приглашения), а профиль, которым не пользовались 12 месяцев, удаляется автоматически.

Ваши права

Мы обрабатываем эти данные, чтобы предоставить функции, которыми вы пользуетесь, а для лимитов, безопасности и модерации — в законных интересах защиты сервиса и сообщества. Вы вправе узнать, какие данные о вас есть, исправить или удалить их, ограничить обработку или возразить против неё и получить копию. Пишите на support@fixgram.app. Вы также можете подать жалобу в орган по защите данных (в Республике Молдова — Национальный центр по защите персональных данных).

Дети

FixGram не предназначен для лиц младше 16 лет, и они не могут пользоваться его социальными функциями. Чтобы сделать профиль публичным, нужно подтвердить в приложении, что вам есть 16 лет; мы храним время подтверждения, пока вы не удалите профиль.

Безопасность

Все соединения используют HTTPS. Пароли (PBKDF2-SHA256 со случайной солью), ключи профилей и подключённых устройств хранятся только в виде хеша, а опубликованные фото открываются только по подписанным ссылкам, которые действуют несколько часов и создаются отдельно для каждого, кто может их видеть.

Изменения и контакты

Если мы изменим эту политику, мы обновим дату вверху, а о важных изменениях сообщим в приложении. Вопросы: support@fixgram.app.