Политика конфиденциальности приложения

О каком приложении речь и кто мы

Это политика конфиденциальности приложения Fair Assistant для Android. Оператор описанных здесь данных — Tehnokan d.o.o. Smederevo, Karadjordjeva 40, 11300 Smederevo, Сербия. Для этого сайта есть отдельная политика конфиденциальности, а правила услуги изложены в условиях. Ниже важно, что где находится: ваш телефон, где приложение создаёт и хранит вашу работу; наш сервер, который знает, вправе ли вы пользоваться приложением, и, если синхронизация включена, хранит ваши записи только в зашифрованном виде, который мы не можем прочитать; и Google, который хранит ключ шифрования в вашем Drive и — только когда вы включаете ИИ, входящий в пакет, — получает через наш сервер выбранное вами содержимое (см. «Функции ИИ (необязательно)»).

Что остаётся в вашем телефоне и что мы храним в зашифрованном виде

Отсканированные визитки, фотографии, заметки, оценки и напоминания создаются на вашем телефоне. Распознавание текста выполняется на самом устройстве, поэтому визитка никуда не отправляется для прочтения.

Синхронизацию вы включаете на экране после входа (приложение её предлагает) или позже в настройках, а выключить её можно в любой момент. Пока она включена, ваши контакты, заметки о выставках и «Моя визитка» шифруются на вашем телефоне (AES-256-GCM) перед отправкой, поэтому на наш сервер попадает только зашифрованная запись. Ключ создаётся на вашем телефоне и хранится в вашем Google Drive, в скрытой области, которую видит только это приложение. У Tehnokan этого ключа нет, и мы не можем прочитать, что находится в записях. На сервере мы храним только отпечаток ключа, по которому новый телефон проверяет, что нашёл нужный ключ (ключ из него вывести нельзя), и, если вы создадите фразу восстановления, ключ, заблокированный этой фразой, который без фразы мы открыть не можем. У Google есть ключ, но нет записей, поэтому ни одна из сторон не может открыть их в одиночку. Фотографии визиток пока не синхронизируются и остаются только на телефоне.

От вас сервер видит только номер вашей учётной записи, номер команды, если она у вас есть, вид записи (контакт или заметка), их количество и размер и время последнего изменения. Имён, компаний, телефонов, адресов почты, заметок и оценок он не видит.

Кто войдёт в вашу учётную запись Google в этом приложении, получит и ваши контакты — как будто держит в руках ваш разблокированный телефон. Берегите свою учётную запись Google.

Исключение — действия ИИ, которые вы запускаете сами (см. «Функции ИИ (необязательно)»): содержимое такого действия проходит через сервер к Google в читаемом виде, и мы его не храним.

Работа с приложением без входа

Приложение можно попробовать без учётной записи. Чтобы бесплатная проба была одна на телефон, приложение отправляет серверу идентификатор устройства Android; сервер в момент получения превращает его в односторонний отпечаток и хранит только отпечаток, но не сам идентификатор. Рядом с этим отпечатком он хранит, сколько пробных контактов израсходовано — не больше пяти — случайный идентификатор, который приложение создаёт для каждого из них, номер версии приложения для поддержки и время, когда этот телефон обратился к нам впервые и в последний раз. С визитки не отправляется ничего: случайный идентификатор существует только затем, чтобы один и тот же контакт не считался дважды. Если телефон не обращается к нам год, запись удаляется автоматически.

Вход через учётную запись Google

При входе приложение отправляет серверу токен входа Google. Этот токен действительно содержит ваш адрес почты, ваше имя и изображение профиля; сервер проверяет его в памяти, берёт из него идентификатор учётной записи и не оставляет ничего другого — токен никогда не записывается в журнал. Идентификатор хранится как односторонний отпечаток, так что и он не остаётся в читаемом виде. Нигде в базе данных нет столбца для адреса почты, имени или изображения. Рядом с отпечатком мы храним внутренний номер записи, когда она возникла, когда использовалась в последний раз и, если вы запросили удаление, день этого запроса. Каждый телефон, с которого выполнен вход, получает запись сеанса: отпечаток своего токена обновления (заменяется при каждом обновлении), время создания и последнего использования и необязательную короткую метку устройства. В качестве этой метки приложение отправляет только изготовителя и модель телефона — никогда имя, которое вы сами дали устройству; мы его не спрашиваем и не храним. Запись сеанса остаётся до удаления учётной записи, в том числе после выхода на этом телефоне.

Вход на сайте

На странице «Ваш аккаунт» нашего сайта вы можете войти с тем же аккаунтом Google, чтобы посмотреть свой аккаунт и удалить его. Сервер обращается с этим входом как с телефоном: хранит сессию сайта — хеш её токена, время создания и последнего использования — не более 30 дней и удаляет её не позднее, чем вместе с аккаунтом. Пока вход выполняется, он несколько минут хранит хеш защитного значения и одноразового кода, а также адрес сайта, на который вас вернуть; это удаляется через час после использования. От Google он ничего не хранит: ни идентификатор, ни e-mail, ни имя, ни фото — токен Google читается только в памяти, чтобы найти ваш существующий аккаунт. Cookie самого сайта описаны в политике конфиденциальности сайта.

Бесплатная проба

Бесплатная проба длится 14 дней и покрывает одну выставку. Для учётной записи со входом мы храним, когда проба началась и когда заканчивается. Чтобы пробу нельзя было просто начать снова, одна отметка остаётся и после удаления записи, и остаётся без ограничения по времени: тот же односторонний отпечаток идентификатора Google, две даты пробы и календарный день удаления. В ней нет номера записи и ничего больше о вас. Если запись удалена до того, как проба вообще началась, отметка не пишется. Тот же односторонний отпечаток идентификатора телефона мы используем и для того, чтобы бесплатная проба действовала один раз на телефон; мы храним его 365 дней с последней пробы на этом телефоне, без связи с вашей учётной записью.

Покупки

Оплата идёт через Google Play. Покупка — это разовый платёж, а не подписка: ничего не продлевается само. Это относится к Fair Pass, Enterprise Fair Pass и дополнительному месту в команде. Вашу карту мы никогда не видим, и Google не передаёт нам платёжных данных. Прежде чем откроется окно Play, сервер записывает намерение: внутренний номер записи, продукт, выставку или выпуск, к которым оно относится, его состояние и время создания и истечения. Эта запись остаётся и если вы закроете окно и ничего не будет оплачено. Для завершённой покупки мы храним номер заказа Google, продукт, состояния и время, о которых сообщает Play — оплачено, проверено, подтверждено, израсходовано, возвращено — цену и валюту, когда Play их сообщает, наш короткий код, когда что-то не прошло, и токен покупки Play: зашифрованным, рядом с односторонним отпечатком, по которому мы снова узнаём тот же токен. Чтобы Play мог связать оплату с нужной учётной записью, в Google уходят два наших идентификатора: внутренний номер записи и идентификатор этого намерения. Ни один из них не несёт вашего имени или адреса почты. Когда право восстанавливается на другом телефоне из лицензии, которая у приложения уже есть, сервер пишет замещающие записи, помеченные как восстановление, чтобы у восстановленного права была запись, как у любого другого.

Права из покупки и лицензия в телефоне

Рядом с учётной записью мы храним права: какую выставку, какой выпуск или какую добавленную вами выставку покрывает право, его вид и состояние, срок действия и из какой покупки оно пришло. Чтобы мы могли считать, сколько выставок покрывает проба или пакет, мы храним также отметку для каждой выставки, для которой они используются: её название из нашего каталога или название, которое вы сами ввели для выставки вне каталога, и когда она была добавлена. Если вы заменяете одну выставку другой, прежняя остаётся в этой записи. Всё это удаляется вместе с учётной записью. Сама лицензия — подписанный файл, который проверяет приложение — не хранится никогда. Она создаётся и подписывается в тот момент, когда её запрашивают, и идёт прямо в телефон. В базе данных есть только открытая часть ключей подписи и имя переменной окружения, в которой находится закрытый ключ, но никогда сам ключ. Поскольку приложение проверяет лицензию на устройстве, она работает и без соединения с интернетом; по той же причине лицензию, которая уже в телефоне, нельзя отозвать до её истечения. Возврат денег или удаление записи останавливают выдачу новой.

Команды

Команду покупает один человек — менеджер. Остальные присоединяются по приглашению (коду или QR-коду, которым менеджер делится сам) и ничего не платят.

Менеджер может включить общий доступ к контактам в команде. Тогда телефон менеджера создаёт ключ команды, который доходит до участников в QR-приглашении, а также хранится в Google Drive менеджера и каждого участника, в скрытой области приложения. Часть приглашения с ключом на наш сервер не отправляется. Записи команды зашифрованы этим ключом, поэтому сервер их хранит, но не может прочитать. Ключ команды приложение хранит также в виде записи, зашифрованной личным ключом каждого участника, поэтому сервер не может прочитать и его.

Все участники видят контакты команды и могут их изменять. Участник удаляет только те контакты, которые добавил сам, а менеджер может удалить все записи команды. Контакт с выставки, которую охватывает команда, автоматически попадает в пространство команды; любой контакт можно вернуть в личное пространство переключателем «Поделиться с командой».

Кто выходит из команды или исключён, сразу теряет доступ к записям команды на сервере, а приложение удаляет с его телефона контакты команды, которые он не добавлял сам. Ключ команды в этой версии не меняется, поэтому то, что участник уже экспортировал или переписал вне приложения, не находится под нашим контролем.

О команде сервер знает внутренний номер учётной записи каждого участника (не имя и не адрес почты), кто менеджер, когда каждый присоединился и вышел, сколько в команде мест и сколько занято, сколько замен использовано, какие выставки она охватывает и до какого числа, из какой покупки возникла команда и кто добавил какую запись. Приглашение мы храним только в виде одностороннего отпечатка, со сроком действия и числом использований. Членство не даёт менеджеру доступа к вашему телефону или вашим личным контактам. Вы можете покинуть команду, когда захотите; если у вас был личный Fair Pass, вы не теряете его, присоединившись к команде.

Выставки, которые вы добавляете сами

Выставку, которой нет в нашем каталоге, вы можете добавить в приложении. Мы храним название и город, которые вы вписываете, страну как двухбуквенный код, выбранный из списка, даты, если вы их укажете, идентификатор, созданный приложением, и время, когда запись возникла и — если это произошло — когда была передана. Добавленная вами выставка может быть передана как предложение для открытого каталога выставок на этом сайте; эта копия живёт вне базы данных приложения, и удаление вашей учётной записи её не затрагивает. К такой выставке никогда не прикладывается ни один контакт. При удалении записи добавленная вами выставка удаляется вместе с ней; если на неё ссылается покупка или право, запись остаётся, но название и город перезаписываются, так что от написанного вами не остаётся ничего.

Функции ИИ (необязательно)

ИИ, входящий в пакет, необязателен и по умолчанию выключен. Вы включаете его сами, в приложении, после пояснения, которое видите перед включением, и можете выключить, когда захотите, — выключение действует сразу. Пока он выключен, для ИИ ничего не отправляется, и приложение работает как прежде. Он предназначен для лиц от 18 лет.

Когда он включён, ИИ используется только для действий, которые запускаете вы: (1) разбор визитки — отправляются текст, который телефон уже прочитал с визитки, считанные QR-коды и наши черновые поля; если этого недостаточно — также фотография этой одной визитки; (2) черновик письма для последующего контакта — отправляются имя человека, компания, должность, страна и язык, из «Моей визитки» — только ваше имя, компания и должность (не ваш номер телефона и не адрес электронной почты), и название выставки; (3) сводка заметок — отправляются заметки, оценка (например, «4/5») и статус последующего контакта выбранного вами контакта или выставки. Заметки уходят только с вашего явного подтверждения в момент отправки.

Не отправляются: другие контакты, вся база данных, оценки вне сводки заметок, напоминания, фотографии, кроме фотографии этой одной визитки, номер вашей учётной записи, ваш адрес электронной почты или имя учётной записи Google, а также идентификатор телефона. Запрос в Google делает наш сервер, а не ваш телефон.

Мы не храним содержимое: сервер держит его в памяти, пока оно обрабатывается, возвращает вам результат и забывает его. Оно не записывается ни в базу данных, ни в рабочий журнал, ни в резервные копии, ни в 24-часовую запись повторных запросов. Мы храним только счётчик — сколько действий ИИ вы использовали за день, какого вида и сколько было израсходовано, — связанный с вашей учётной записью, не более 90 дней, чтобы применять дневные лимиты и следить за затратами. Если нет сети или ИИ не отвечает, приложение использует собственное распознавание на телефоне или шаблон письма; ничего не ставится в очередь для последующей отправки.

Содержимое обрабатывает Google (Gemini API, платная услуга) по условиям Google для этой услуги: согласно им, Google не использует его для улучшения своих продуктов или обучения моделей и записывает запросы и ответы на ограниченное время только для выявления злоупотреблений и выполнения обязанностей по закону. Подробнее — в разделе «Кто ещё участвует».

Вы всегда видите результат и можете отредактировать его до того, как что-либо будет сохранено или отправлено: визитка открывается как черновик, письмо — как текст в редакторе, и оно отправляется только тогда, когда вы сами отправите его через свою почтовую программу. Ничего не делается автоматически. ИИ может ошибаться, поэтому проверяйте имена, номера и адреса.

Визитка содержит данные другого человека. Вы отправляете её для той цели, ради которой отсканировали визитку; используйте ИИ только для визиток, которые вы вправе обрабатывать.

Технические записи

Чтобы услуга работала и чтобы можно было заглянуть в неисправность, сервер ведёт технический журнал событий: только идентификаторы, заранее заданные состояния, числа и время. В нём нет свободного текста — название добавленной вами выставки, например, намеренно в него не пишется. Эти события мы храним, пока они нужны нам для поддержки и безопасности; когда вы удаляете учётную запись, они теряют связь с ней. На каждую запись, которую делает приложение, 24 часа хранится короткая пометка, чтобы один и тот же запрос не был выполнен дважды: внутренний номер записи, ключ, присланный приложением, какая была операция, односторонний отпечаток запроса и данный ответ. Она исчезает через сутки, а при удалении учётной записи — сразу. Собственный журнал сервера отмечает запрос — метод, путь, ответ и время — вместе с сетевым адресом (IP-адресом), с которого он пришёл; содержимое запроса никогда не записывается, а токены входа и обновления, лицензии и токены покупки затемняются везде, где могли бы появиться. Этот журнал хранится не более 14 дней, ради безопасности и против злоупотреблений, а адрес мы не используем, чтобы определять, где вы находитесь. Сетевые адреса недолго держатся в памяти, чтобы ограничить, как часто один адрес может к нам обращаться. В базе данных не хранится ни одного сетевого адреса, и в ней нет никаких рекламных или аналитических записей.

Кто ещё участвует

В этой работе участвуют три компании и ни одна другая. Google выступает в трёх ролях: вход и оплата, хранение ключа и — только если вы включите ИИ, входящий в пакет, — обработка запросов ИИ.

Google (вход и оплата): проверяет ваш токен входа, а через систему расчётов Google Play принимает оплату, подтверждает покупку и сообщает нам её состояние — за что получает два внутренних идентификатора, описанных выше.

Google (Drive, хранение ключа): пока синхронизация включена, в скрытую область приложения в вашем Google Drive записывается один небольшой файл с ключом шифрования. Контакты и заметки в Drive не попадают. Приложение запрашивает разрешение только на собственную скрытую область (drive.appdata) и не видит ваши остальные файлы; разрешение вы даёте на экране Google и можете отозвать его в настройках учётной записи Google. Google получает для этого файл с ключом, а не записи.

Google (ИИ, Gemini API) — только если вы включите ИИ, входящий в пакет. Цель: разобрать визитку по полям, составить черновик письма или подытожить заметки, когда вы это запускаете. Данные: текст или фотография визитки, считанные QR-коды, черновые поля, которые мы уже извлекли; для письма также имя человека, компания, должность и язык, из «Моей визитки» — только ваше имя, компания и должность, и название выставки; для сводки — заметки, оценка и статус последующего контакта, только с вашего явного подтверждения. Мы не отправляем номер вашей учётной записи, адрес электронной почты, имя учётной записи Google или идентификатор телефона. Мы используем платную версию услуги; по условиям Google для неё Google не использует ваше содержимое для улучшения своих продуктов или обучения моделей и записывает запросы и ответы на ограниченное время только для выявления злоупотреблений и выполнения обязанностей по закону. Местоположение: Google обрабатывает данные на своих собственных мощностях, которые могут находиться за пределами Европейского союза и Сербии. Вы можете прекратить это в любой момент, отключив ИИ, входящий в пакет.

Hostinger: сервер, на котором всё это работает, — виртуальная машина в Европейском союзе, у Hostinger. Там же хранятся и зашифрованные записи синхронизации.

Cloudflare: у него, в Европейском союзе, мы храним зашифрованные резервные копии базы данных. Резервные копии содержат и зашифрованные записи синхронизации, которые мы не можем прочитать; содержимого действий ИИ в них никогда нет, потому что оно не записывается в базу данных.

Данные мы не продаём и не передаём рекламодателям, а приложение не несёт никакой рекламы и аналитического программного обеспечения.

Удаление учётной записи и то, что её переживает

Удаление вы можете запросить в приложении или по электронной почте, как описано на странице как удалить учётную запись. Оно выполняется не сразу: учётная запись удаляется окончательно через 7 дней после запроса, до этого вы можете передумать в приложении, выбрав «Сохранить мой аккаунт», а приложение показывает вам точную дату, когда удаление становится окончательным. В этот день удаляются учётная запись, сеансы на всех ваших телефонах, отметки выставок, которые покрывают ваша проба или пакеты (с введённым вами названием), ваше членство в команде, счётчики использования ИИ и связь между вами и вашими покупками, а также 24-часовые пометки. В этот же день удаляются и ваши личные синхронизированные записи, и данные о ключе.

Синхронизированные контакты, заметки и «Мою визитку» мы храним бессрочно, пока вы сами их не удалите. Потеря или замена телефона, удаление приложения и повторная установка ничего не удаляют: после входа в тот же аккаунт Google всё возвращается. Личная синхронизация работает и после окончания пробы или Fair Pass. Записи удаляются двумя способами. Кнопкой «Удалить с сервера» в приложении они удаляются сразу, а контакты на телефоне остаются. При удалении учётной записи они удаляются через 7 дней после запроса и больше не могут быть восстановлены. Когда вы запрашиваете удаление из приложения, оно удаляет и файл с ключом из вашего Google Drive. Файл с ключом в Google Drive вы можете также удалить сами (Google Drive, настройки, управление приложениями, удаление скрытых данных приложения). Без записей на сервере этот файл ничего не открывает.

В команде участник удаляет записи, которые добавил сам, а менеджер — все записи команды. Записи, добавленные участником, который удалил свою учётную запись, остаются у команды, без связи с этой учётной записью. Когда команда перестаёт существовать (истекает без продления, покупка возвращается или удаляется учётная запись менеджера), её записи хранятся ещё 90 дней, после чего удаляются.

После удаления зашифрованные записи могут оставаться в резервных копиях базы данных ещё не более 8 недель, а затем исчезают.

Четыре вещи остаются намеренно. Записи о покупках — номер заказа Google, продукт, сумма, валюта, даты и зашифрованный токен покупки — остаются на срок, которого требует закон о бухгалтерском учёте; у нас они больше не связаны с человеком; точный срок мы ещё уточняем с бухгалтером, и до тех пор эти записи автоматически не удаляются. Односторонний отпечаток вашего идентификатора Google с датами пробы остаётся без ограничения по времени, только затем, чтобы бесплатная проба не началась снова. Односторонний отпечаток идентификатора телефона, на котором началась проба, остаётся на 365 дней с последней пробы на этом телефоне, потому что он не связан с учётной записью. А резервные копии базы данных хранятся зашифрованными в Cloudflare (ЕС) не более 8 недель, так что удалённая учётная запись исчезает и из них не позднее чем через 8 недель после удаления. Технические события остаются, но больше не связаны с вами. Лицензия, которая уже в телефоне, работает до своего истечения, потому что её нельзя отозвать.

Содержимого действий ИИ нет в этом списке, потому что мы его никогда не хранили; Google хранит его лишь столько, сколько описано в разделе «Кто ещё участвует».

Ваши права

Вы можете спросить, что у нас о вас есть, потребовать исправления или удаления, потребовать копию, возразить против использования и отозвать согласие. Напишите на hello@fairassistant.com с адреса Google, которым вы входите в приложение, или отправьте запрос из приложения, выполнив вход. Оператор — Tehnokan d.o.o. Smederevo, Karadjordjeva 40, 11300 Smederevo, Сербия. Если наш ответ вас не устроит, вы можете обратиться в орган по защите персональных данных в своей стране.

Вопросы и ответы

Где хранятся мои контакты?

На вашем телефоне. Если вы включите синхронизацию (на экране после входа, где приложение её предлагает, или позже в настройках; выключить её можно в любой момент), зашифрованная копия есть и на нашем сервере в Европейском союзе. Ключ для её открытия находится в скрытой области приложения в вашем Google Drive. Фотографии визиток остаются только на телефоне.

Что, если я потеряю телефон?

Установите приложение на новый телефон и войдите в тот же аккаунт Google. Приложение возьмёт ключ из Drive, загрузит записи и вернёт ваши контакты и заметки. Если у вас нет доступа к этому аккаунту Google, восстановление возможно только по фразе восстановления, если вы её создали, или из резервной копии, сделанной вручную (ZIP). Фотографии визиток пока не восстанавливаются.

Может ли Tehnokan видеть мои контакты?

Нет. Наш сервер хранит только зашифрованные записи без ключа (хранит только отпечаток ключа и, если вы создадите фразу восстановления, ключ, заблокированный этой фразой) и видит только номер вашего аккаунта, количество и размер записей и время их изменения. Исключение — действия ИИ, которые вы запускаете сами: тогда содержимое проходит через сервер к Google, и мы его не храним. Удалить записи с сервера можно в любой момент.