Политика конфиденциальности

1. Кто мы

Сервис Narrativ ведёт Meta Media LLC, компания, зарегистрированная в Грузии, Georgia, Tbilisi, Saburtalo district, Ikalto I lane N 1. Ниже «мы» — эта компания. Мы определяем, зачем и как используются описанные здесь данные.

Эта политика действует вместе с Условиями использования. Если в двух документах одни и те же слова, они значат одно и то же.

2. Какие данные мы собираем и зачем

Мы собираем только то, что нужно сервису для работы:

• Аккаунт: адрес почты и пароль либо одноразовые коды, которые приходят на эту почту. Пароль обрабатывает компонент входа Supabase Auth, который работает на нашем сервере. В аккаунте мы также храним язык интерфейса, настройки языка постов и настройки «Продаж»: схему поста, силу призыва, этап воронки, текст про аудиторию, тон и площадку и переключатель «Спрашивать при создании поста». Если вы входите через Apple или Google, они передают нам адрес почты (Apple может передать вместо него скрытый адрес-пересыльщик) и подтверждённый токен входа. Если Apple или Google передают ваши имя и фамилию, мы сохраняем их в профиле аккаунта (Supabase Auth) и показываем в Настройках; больше ни для чего они не используются, другим людям не показываются и удаляются вместе с аккаунтом. Если вы входите через Apple, мы также храним токен Apple: он нужен, чтобы при удалении аккаунта отозвать доступ приложения к вашему аккаунту Apple. Он хранится в зашифрованном виде, ни для чего другого не используется и удаляется вместе с аккаунтом.
• Ваш контент: тексты, ссылки, исходный текст каждого запроса, готовые результаты, изображения, логотипы, референсы стиля, цвета и шрифты бренда, документы холста с историей версий, сохранённые идеи, избранное и ваши шаблоны. О клиентах внутри пространства — имя, ниша, тон и ник.
• Фото, которые вы добавляете с устройства. Они уменьшаются на устройстве и загружаются в наше файловое хранилище.
• Голосовые записи. Звук отправляется на расшифровку (раздел 3). В наше хранилище мы его не записываем; остаётся текст, который вы получаете.
• Выбор шаблонов: какой шаблон вы выбрали, где в приложении и для какого поста.
• Уведомления: если вы их разрешили, push-токен вашего устройства. Если вы выключите их в Настройках, этот выбор хранится в данных входа (Supabase Auth) и удаляется вместе с аккаунтом.
• Telegram: если вы подключаете бота, номер чата (chat ID). Имя пользователя и имя в Telegram мы не храним.
• Технические данные: отчёты об ошибках и выборка 1 из 10 замеров производительности. Отчёт об ошибке содержит саму ошибку, тип устройства и версию приложения, а также журнал последних действий перед ошибкой (так называемые хлебные крошки). При каждом запуске приложение дополнительно отправляет сессию и данные об этом запуске. С нашего сервера и отчёты об ошибках, и выборочные замеры производительности содержат ещё и запрос, в котором может быть отправленный вами текст или ссылка. Наш сервер также пишет обычные журналы, а веб-сервер фиксирует IP-адрес, время и запрошенный адрес.
• Пробный текст в демо: демо доступно только после входа. Чтобы ограничить число попыток, мы записываем идентификатор вашего аккаунта в счётчик. Сам текст не сохраняется.
• Жалобы на контент: на странице просмотра по ссылке любой человек может пожаловаться на материал, входить для этого не нужно, а вошедший пользователь может пожаловаться на результат в редакторе и на экране черновика. Мы сохраняем причину из фиксированного списка, необязательный текст жалобы (до 1000 знаков) и необязательный контакт жалобщика, дату и ссылку или идентификатор материала, на который пожаловались. IP-адрес жалобщика мы не храним: вместо него записывается необратимый хэш (HMAC с секретным ключом; у вошедшего пользователя он считается от идентификатора аккаунта), он нужен для лимита жалоб и защиты от дублей. Хэш остаётся при самой жалобе. Текст и контакт читает администратор в админке. В Telegram уходит только номер жалобы и причина. Если по жалобе ссылку отозвали, её владелец не сможет выдать ссылку заново, пока администратор не снимет запрет (метка на жалобе). Копия жалоб с причинами «незаконный контент» и «сексуальное насилие над детьми» хранится отдельно (раздел 9).
• Принятые условия: при регистрации и по кнопке «Принять» мы записываем в данные вашего входа (Supabase Auth) номер принятой версии Условий и время принятия. По ним мы знаем, какую редакцию вы приняли и когда попросить подтвердить новую. Запись удаляется вместе с аккаунтом.
• Журнал запросов без привязки к аккаунту: обезличенная копия текста запроса и несколько параметров генерации, без аккаунта и IP-адреса (раздел 12).
• Разрешение на ИИ: когда вы разрешаете обработку ИИ или отзываете разрешение, мы записываем версию разрешения и время в данные входа (Supabase Auth). Запись удаляется вместе с аккаунтом.
• События использования: пока вы вошли в аккаунт, мы записываем несколько событий: приложение открыто (запуск или возврат после долгого перерыва); карусель скачана (формат файла и число слайдов); что вы сделали с результатом (открыли в редакторе, правили, удалили черновик); использован голосовой ввод или импорт ссылки. Каждое событие хранится с идентификатором аккаунта, названием, временем и платформой (iOS, Android или веб). Тексты постов и запросов, IP-адреса, идентификаторы устройств и рекламные идентификаторы в событиях не хранятся. Сторонним сервисам события не передаются, они лежат в нашей собственной базе. События хранятся, пока существует аккаунт, и удаляются вместе с ним. Ещё одно событие записывается при создании текста: сколько вы ждали (с точностью до долей секунды) и получился ли результат или произошла ошибка. Оно хранится так же, как остальные. Отдельно записывается, что вы достигли лимита (скачиваний или публичных ссылок): идентификатор аккаунта, вид и значение лимита, время. Содержимого ваших материалов в записи нет. Она нужна, чтобы защищать сервис от злоупотреблений и автоматических выгрузок; хранится, пока существует аккаунт, и удаляется вместе с ним. Если лимит исчерпан при просмотре публичной ссылки, запись привязана только к пространству, которому принадлежит ссылка, и ничего не говорит о смотрящем.
• Причина удаления аккаунта: при удалении аккаунта вы можете, если хотите, выбрать причину из списка. Она сохраняется без связи с аккаунтом, только дата и выбранный вариант, и остаётся после удаления аккаунта (раздел 9).
• Предложения по почте: мы один раз спрашиваем, хотите ли вы получать на почту письма от Narrativ с идеями для каруселей, новыми шаблонами и предложениями; ответ можно изменить в любой момент в Настройках. Если вы отвечаете «да», мы записываем в данные входа (Supabase Auth) факт согласия, время и откуда оно получено (вопрос или Настройки); при любом ответе мы ещё отмечаем в аккаунте, что вопрос задан, чтобы не спрашивать снова. Без вашего согласия мы такие письма не отправляем, а письма с кодами входа и подтверждения от него не зависят. Эти письма отправляет Resend (раздел 3). Отказаться можно в любой момент: переключателем «Предложения по почте» в Настройках или ссылкой «Отписаться» в каждом таком письме; после отказа письма прекращаются. Согласие хранится, пока существует аккаунт или пока вы его не отозвали, а записи удаляются вместе с аккаунтом.
• Подписка: идентификатор вашего пространства служит и вашим идентификатором клиента в RevenueCat (раздел 3). Если вы покупаете Premium, мы храним запись о подписке: где она куплена (Apple или сайт), идентификатор подписки в магазине, продукт, статус, даты периода, продлевается ли она автоматически и тестовая ли это покупка, а также идентификатор вашей карточки клиента в RevenueCat. Для покупки на сайте мы храним ещё идентификатор платёжного договора. Номер карты и ваш Apple ID мы не получаем и не храним. Ещё мы ведём журнал уведомлений, которые получаем от сервисов покупок: в каждой записи лежит тело уведомления, а в нём идентификаторы названных пространств, продукт, идентификаторы транзакций магазина, цена и валюта, страна покупки и тип события (раздел 6). Premium, который администратор выдал пространству вручную, записывается так же вместе с адресом администратора.

Эти данные нужны, чтобы работал сервис, чтобы подстраивать результат под вас, вести вашу подписку, считать, во сколько нам обходятся модели ИИ, понимать, чем пользуются и где продукт ломается, улучшать приложение, находить и исправлять ошибки, обеспечивать безопасность, рассматривать жалобы на контент и отвечать на ваши обращения. Мы не продаём их и не передаём рекламодателям. Если вы разрешите, мы также используем ваш адрес почты, чтобы присылать вам идеи для каруселей, новые шаблоны и предложения. Рекламных сервисов и сторонней аналитики в приложении нет; RevenueCat (раздел 3) только обрабатывает покупки.

3. Кому мы передаём данные

Мы не продаём ваши данные. Чтобы сервис работал, мы передаём данные этим подрядчикам, каждому только для его задачи:

• Supabase: программа, на которой работают база данных, файловое хранилище и вход. Мы запускаем её сами на своём сервере (см. следующий пункт), поэтому компания Supabase эти данные не получает. Исключение — переходный период: пока мы переносим данные, прежний проект в облаке Supabase Cloud ещё содержит их, а после переезда мы его закрываем. Последний дамп прежнего проекта мы храним не дольше 30 дней (раздел 10).
• OpenRouter: сервис ИИ, который отправляет наши запросы текстовым и графическим моделям Anthropic, OpenAI, Google и других. Он получает то, что вы ввели или импортировали, данные бренда и, если вы просите их разобрать, ваши фото и референсы стиля. В некоторых случаях текст уходит напрямую в Google AI.
• OpenAI: распознавание речи и проверка безопасности текстов. Когда вы диктуете, звук идёт с вашего устройства прямо в OpenAI; записанный файл попадает туда через наш сервер. Когда для файла OpenAI не используется, запись уходит через OpenRouter в модель Google. Кроме того, текст каждого запроса и каждого результата отправляется в OpenAI, чтобы проверить его на недопустимое содержимое (сексуальный контент с участием несовершеннолетних, угрозы, жестокое насилие, самоповреждение); OpenAI возвращает только заключение.
• Генерация изображений ИИ: если она включена, тема, стиль и текст слайда через OpenRouter попадают в графическую модель, вместе с референсом стиля, если вы его приложили.
• Apify: когда вы вставляете ссылку из TikTok, Instagram, X, Threads или LinkedIn, ссылка уходит в Apify, чтобы прочитать пост. Для видеопостов наш сервер затем ненадолго скачивает ролик, а звук и несколько кадров уходят в модели речи и изображений, названные выше. После разбора ролик удаляется. Остальные веб-страницы и расшифровки YouTube наш сервер читает сам.
• Каталоги фото (например, Openverse и Pexels): короткая поисковая фраза о теме слайда. Текст вашего поста не отправляется. Найденные фото сохраняются в хранилище вашего пространства.
• Telegram: если вы подключили бота и нажали «отправить», chat ID и то, что вы отправляете.
• Expo: доставляет push-уведомления; получает токен устройства, короткий текст уведомления и id готового поста.
• Resend: отправляет письма для входа и подтверждения, а также письма с идеями для каруселей, новыми шаблонами и предложениями тем, кто на них согласился; получает ваш адрес почты и само письмо.
• Sentry: получает отчёты об ошибках и выборки замеров производительности из приложения и с нашего сервера.
• Apple и Google: только если вы выбрали вход через них, чтобы подтвердить, что это вы. Они передают нам адрес почты и токен входа.
• DePowered Limited (бренд Rifty, Гонконг): хостинг-провайдер. На его виртуальном сервере в Германии работают наши база данных, хранилище и сервер приложения, поэтому все данные вашего аккаунта физически находятся на его оборудовании. Обработку данных мы ему не поручаем: он предоставляет сервер.
• Cloudflare: хранилище R2, где лежат файлы (изображения и другие объекты) и резервные копии базы и файлов, и сеть доставки с кэшем для картинок (адрес img.mtmd.dev). Через неё проходят изображения, которые открывают по публичным ссылкам, и технические данные этих запросов: IP-адрес читателя, время и адрес файла.
• RevenueCat: сервис, который обрабатывает покупки и подписки внутри приложения. С момента входа в приложение, даже если вы ничего не покупаете, он получает идентификатор вашего пространства (как идентификатор клиента) и технические данные, которые отправляет его библиотека в приложении, например платформу, версию приложения и IP-адрес. Когда вы покупаете, он получает ещё данные покупки из магазина (продукт, статус, даты, идентификаторы транзакций магазина, отметку тестовой покупки). Ваши тексты и изображения он не получает.
• Apple: когда вы покупаете Premium в приложении на iOS, Apple принимает платёж и ведёт подписку по своим условиям. Данные вашей карты и ваш Apple ID мы не получаем. То же относится к любому другому магазину или платёжному сервису, который мы предложим на вашей платформе: мы назовём его в этом списке до начала использования.
• Lava и Meta Media LLC, Georgia: если вы покупаете Premium на сайте, платёж проходит через Lava в пользу Meta Media LLC, Georgia как продавца. Lava получает адрес почты вашего аккаунта и платёжные данные, которые вы вводите на его странице, а Meta Media LLC, Georgia получает сведения о продаже. Нам они передают платёжный договор, его статус и даты. Эти данные они обрабатывают по своим условиям и политикам.

Мы также можем передать данные властям, когда этого требует закон.

Эти подрядчики обрабатывают данные по своим условиям и политикам конфиденциальности. Мы не можем проверять или менять то, как они работают.

ИИ-функции работают только с вашего разрешения. Приложение спрашивает его на отдельном экране перед первым запросом, который передаёт ваши материалы в OpenRouter, OpenAI или Apify. Исключение — пробный текст в демо: разрешением служит нажатие его кнопки, и экран об этом говорит. Без разрешения эти функции не работают, остальное приложение доступно. Разрешение можно отозвать в любой момент в Настройках: на устройстве, где вы это сделали, ИИ-функции останавливаются сразу, на остальных ваших устройствах — примерно за 15 минут.

4. Где хранятся данные

Данные аккаунта и контент хранятся в базе данных на нашем сервере у хостинг-провайдера DePowered Limited (бренд Rifty, Гонконг); серверы находятся в Германии. Файлы лежат в хранилище Cloudflare R2. Наш сервер обрабатывает запросы и передаёт их поставщикам, названным выше; файлы, которые нужны ему на мгновение (например, скачанное видео), лежат во временной папке и удаляются после задачи.

Изображения лежат в файловом хранилище по публичным ссылкам, которые нельзя угадать. Кто знает ссылку, тот может открыть картинку без входа, а копии в браузерах, мессенджерах и сетях доставки, в том числе в кэше Cloudflare, могут открываться и после удаления файла. Не размещайте в изображениях то, что должно остаться приватным.

Приложение и сайт также хранят немного данных на вашем устройстве (см. «Куки и локальное хранилище»).

5. Передача данных в другие страны

Мы находимся в Грузии, наш хостинг-провайдер зарегистрирован в Гонконге, а серверы стоят в Германии. Cloudflare и другие перечисленные подрядчики могут обрабатывать данные в иных странах, в том числе там, где закон о защите данных отличается от вашего.

Пользуясь сервисом, вы понимаете, что ваши данные обрабатываются в этих местах. Мы не обещаем какого-либо определённого правового механизма передачи.

6. Сколько хранятся данные

Контент и данные аккаунта хранятся, пока существует аккаунт, и удаляются, когда вы его удаляете (разделы с 7 по 11). Более короткие сроки:

• Ссылка для просмотра действует 3 дня или пока вы её не отзовёте.
• Приглашение в пространство действует 3 дня.
• Код для подключения Telegram действует 24 часа; просроченные коды удаляются автоматически каждые 15 минут.
• Код из письма для удаления аккаунта действует 1 час.
• Идентификатор аккаунта в счётчике попыток демо и записи счётчика, который ограничивает число жалоб с одного адреса (в них лежит необратимый хэш жалобщика), удаляются примерно через 2 часа.
• История версий документа холста не ограничена и хранится, пока не удалено пространство. Записи о расходах и журнал администраторов не имеют срока (разделы 9 и 11).
• Фото, подобранные автоматически для слайда и не использованные ни в одном сохранённом документе, удаляются через 30 дней.
• Технические ключи, которые защищают от повторной отправки одного и того же запроса (в них только технические идентификаторы пространства и запроса, без содержимого), удаляются через 30 дней после создания, а при удалении аккаунта — сразу.
• У самих жалоб на контент срока хранения нет: жалоба хранится, пока не удалена генерация, на которую она подана, или аккаунт владельца этой генерации (раздел 8). Отдельная копия жалоб о незаконном контенте и безопасности детей вместе с ними не удаляется и срока не имеет (раздел 9).
• Записи журнала запросов хранятся 12 месяцев и затем удаляются автоматически (раздел 12).
• Журнал уведомлений от сервисов покупок (RevenueCat, Lava) удаляется автоматически через 90 дней после получения или сразу при удалении аккаунта.

Сколько хранятся отчёты об ошибках, определяет Sentry. Журналы нашего веб-сервера и хостинг-провайдера ротируются регулярно, срок для них мы не называем.

7. Как удалить аккаунт

В приложении: «Настройки» → «Удалить аккаунт». Без приложения — на странице /delete-account, там достаточно почты, на которую заведён аккаунт. В обоих случаях мы присылаем на эту почту одноразовый код и ничего не трогаем, пока не получим его обратно. Отложенного удаления нет: код принят — данные сразу уходят из сервиса, и мы не можем их вернуть.

8. Что удаляется

Удаляется всё, чем владеет аккаунт; не мгновенно проходит только стирание вашей записи в RevenueCat (последний пункт):

• рабочие пространства, которые вы создали, и всё внутри них — клиенты (вместе с подключённым чатом Telegram), генерации вместе с текстами и исходными запросами, документы холста с историей версий, шаблоны каруселей, настройки бренда, ваши референсы стиля, сохранённые идеи, выданные ссылки для просмотра и приглашения, жалобы на ваши ссылки и материалы и технические ключи защиты от повторных запросов;
• файлы в хранилище, которые лежат под этими пространствами: сгенерированные изображения, загруженные вами фото, автоматически подобранные фото, логотипы, экспорты, превью и превью ваших референсов стиля. После удаления мы отдельно проверяем, что под пространством не осталось ни одного объекта, и считаем удаление несостоявшимся, если что-то осталось;
• ваше участие в чужих пространствах, токены push-уведомлений с ваших устройств, а также ваше избранное, выбор шаблонов и собственные шаблоны, где бы они ни были созданы;
• сама учётная запись. Она стирается, а не помечается удалённой, поэтому адрес почты освобождается — на него можно зарегистрироваться заново. Если вы входили через Apple, сначала мы отзываем доступ приложения к вашему аккаунту Apple; если Apple этого не подтвердит, доступ можно убрать самостоятельно в настройках Apple ID.
• ваша карточка клиента в RevenueCat: при удалении аккаунта мы просим RevenueCat стереть её. Запрос уходит из очереди, поэтому может дойти до RevenueCat спустя какое-то время после того, как аккаунта не стало. Пока RevenueCat не подтвердит стирание, очередь хранит идентификатор удалённого пространства (ваш идентификатор клиента там), число попыток и код последней ошибки; запись удаляется, когда RevenueCat подтвердит, а пока он не подтвердил, она хранится без определённого срока.

Чужие рабочие пространства, куда вас приглашали, продолжают жить: оттуда уходит только ваше участие. Материалы, созданные в чужом пространстве, принадлежат ему и остаются у его владельца.

Когда вы выбираете шаблон, мы записываем, какой именно, где в приложении вы его выбрали и к какому посту применили. Из этих записей собираются недавние и популярные шаблоны, и по ним мы считаем, какая доля постов начата со вкладки «Дизайны». Записи удаляются вместе с аккаунтом.

Копия текста запроса в журнале запросов не удаляется вместе с аккаунтом: она не привязана к нему и обезличена (раздел 12).

События использования, записанные по вашему аккаунту, удаляются вместе с ним. Записи о достигнутых лимитах тоже удаляются вместе с ним.

Удаление аккаунта не отменяет подписку, купленную у Apple или в платёжном сервисе, и отменить её за вас мы не можем. Отмените её заранее — в настройках Apple ID или тем способом, который показан на странице оплаты; иначе она продолжит продлеваться и списываться.

9. Что остаётся

Записи о расходах на генерацию: какая модель, сколько токенов или элементов, сколько это стоило и когда. То же касается записей об использовании сервиса чтения ссылок. В тот же момент, когда удаляется пространство, база сама (а для записей чтения ссылок — наш код удаления) снимает с этих записей ссылку на него. Остаётся сумма и дата, но не остаётся, чей это был запрос.

В этих записях нет ни текстов, ни изображений, ни адреса почты. Мы держим их, потому что это наша собственная бухгалтерия по оплате сервисов: без неё не сойтись со счётом провайдера и не понять, откуда взялся всплеск трат. Обезличенная копия текста запроса хранится отдельно, в журнале запросов (раздел 12).

Копии жалоб с причинами «незаконный контент» и «сексуальное насилие над детьми». Когда подана такая жалоба, факт жалобы сохраняется отдельной копией: причина, текст и контакт, которые написал жалобщик, дата, идентификаторы материала и пространства и необратимый хэш жалобщика. Самого материала в копии нет. Она не удаляется вместе с материалом и с аккаунтом, потому что может понадобиться, чтобы разобрать такую жалобу и ответить органам власти, и срока хранения не имеет. Читает её только администратор.

Причина удаления, если вы её выбрали, остаётся: она сохраняется без идентификатора аккаунта, только как дата и выбранный вариант. Мы не обещаем, что связать её с вами невозможно: при небольшом числе пользователей дата может быть близка ко дню удаления вашего аккаунта.

Записи о подписках. Запись о покупке через магазин или платёжный сервис остаётся и после удаления аккаунта: идентификатор подписки в магазине (у Apple — исходный идентификатор транзакции, для сайта — платёжный договор), продукт, статус, даты периода, отметки автопродления и тестовой покупки. Ссылка на ваше пространство и идентификатор клиента в RevenueCat убираются, поэтому мы уже не можем сказать, чья это была запись (при малом числе пользователей одни даты могут указывать на вас); магазин или платёжный сервис по своему идентификатору по-прежнему могут сопоставить её с вами. Мы храним её как свой учёт платежей, подобно записям о расходах на генерацию, и срока хранения у неё нет. Premium, который администратор выдал вручную, не хранится: он удаляется вместе с аккаунтом.

10. Резервные копии

Резервные копии базы и файлов мы делаем сами и храним в Cloudflare R2. В копии базы входит и журнал изменений, по которому её можно восстановить на нужный момент. Срок хранения копий — 30 дней, после этого они удаляются; так же мы поступаем с последним дампом прежнего проекта в Supabase Cloud. Это значит, что после удаления аккаунта данные уходят из сервиса сразу, а в резервных копиях могут оставаться до 30 дней.

11. Чего удаление не касается

Есть места, до которых кнопка «Удалить аккаунт» не дотягивается, и честнее назвать их прямо:

• журнал административных действий. В нём записано, кто из администраторов менял настройки сервиса или открывал отдельную генерацию, чтобы разобраться с проблемой. Там хранятся адрес администратора и технические идентификаторы (например, генерации и пространства), но не ваши тексты и не ваш адрес. Но если администратором были вы, ваш адрес в этом журнале останется;
• служебный журнал входов компонента Supabase Auth. Он ведётся автоматически и не очищается при удалении аккаунта; в прежнем проекте Supabase Cloud, пока он не закрыт, этот журнал ведёт Supabase по своим правилам;
• сообщения, которые бот уже отправил в Telegram. Они лежат в чужом чате, и забрать их обратно мы не можем;
• кэшированные копии изображений. Ссылки на изображения публичные: мы удаляем сам файл, но копия в кэше браузера, CDN или мессенджера может ещё какое-то время открываться;
• журнал запросов (раздел 12). В нём нет аккаунта, пространства и id генерации, поэтому записи нельзя найти и удалить по вашему аккаунту; они удаляются сами через 12 месяцев;
• то, что уже попало к подрядчикам из раздела 3 (сервисы ИИ и речи, отчёты об ошибках, доставка писем, Apple, платёжный сервис на сайте и продавец). Удаление аккаунта не отправляет им запрос на удаление, и они хранят это по своим правилам. Исключение — RevenueCat: мы просим его стереть вашу карточку клиента (раздел 8).

12. Журнал запросов без привязки к аккаунту

После каждой успешной генерации мы копируем в отдельный журнал текст вашего запроса (до 500 знаков), язык, шаблон, категорию, формат, число слайдов, откуда запущена генерация, тип источника (текст, ссылка и т. п.) и дату — без времени. Часть полей может быть пустой. Перед записью из текста автоматически вырезаются адреса почты, телефоны, ссылки, @имена, номера карт и длинные числа.

В журнале нет ни аккаунта, ни пространства, ни id генерации, ни IP-адреса, ни точного времени. Пока аккаунт жив, администраторы и так видят ваши генерации, и журнал от этого не защищает: запись можно сопоставить с генерацией по совпадению текста. Его смысл в другом: после удаления аккаунта исходные генерации удалены, остаётся только обезличенная копия, и связать её с вами уже нельзя. Из-за этого журнал не удаляется вместе с аккаунтом и не находится по запросу о ваших данных.

Он нужен, чтобы понимать, какие темы и шаблоны людям нужны. Журнал видят только администраторы сервиса, а просмотры и выгрузки журнала записываются в журнал действий администраторов. Записи хранятся 12 месяцев, затем удаляются автоматически.

Назвать этот текст полностью анонимным нельзя: он обезличивается автоматически, но может содержать то, что вы написали сами. Не вписывайте в запросы личные данные.

13. Ваши права и как ими воспользоваться

Вы можете попросить нас:

• сообщить, какие данные о вас у нас есть, и прислать их копию;
• исправить неверные данные;
• удалить ваши данные (это можно сделать и самому, сразу, как описано в разделе 7);
• прекратить определённое использование ваших данных, если это возможно без закрытия аккаунта.

Напишите на support@mtmd.dev с темой «Privacy Request» с той почты, на которую заведён аккаунт, чтобы мы могли понять, что запрос ваш. Такие обращения мы обрабатываем вручную.

Многое можно сделать самому в приложении: править и удалять контент, отзывать ссылку для просмотра, отключать уведомления в настройках устройства, отключать письма с идеями, шаблонами и предложениями в Настройках или по ссылке «Отписаться» в письме либо удалить аккаунт. В зависимости от вашей страны у вас может быть и право пожаловаться в орган по защите данных этой страны.

14. Куки и локальное хранилище

Мы не устанавливаем куки. Сайт и приложение вместо этого хранят несколько вещей на вашем устройстве (в вебе — в локальном хранилище браузера): сессию входа, язык интерфейса и настройки языка постов, кэш первой страницы черновиков и списков шаблонов, введённые вами выбор аудитории и тона, недавние темы, ещё не сохранённую карусель, очередь выбора шаблонов, сделанного без сети, набор анимаций загрузки и счётчик, по которому решается, когда показать подсказку. Библиотека покупок RevenueCat хранит на устройстве свою копию идентификатора клиента и статуса подписки. Пока принимается приглашение, его токен лежит в сессионном хранилище вкладки браузера.

При выходе приложение очищает черновики, списки шаблонов, офлайн-очередь, несохранённую карусель и параметры генерации. Сессия входа уходит вместе с выходом; язык, анимации загрузки, счётчик подсказки и некоторые другие настройки, например недавние темы, остаются на устройстве, пока вы их не очистите.

Ничего из этого не используется для рекламы или слежки за вами на других сайтах. Очистить всё это можно в настройках браузера или удалив приложение. Исключение — сессия входа на iOS: она лежит в системной связке ключей (Keychain), которая может пережить удаление приложения. Выйдите из аккаунта до удаления; если запись осталась, следующая установка приложения сотрёт её при первом запуске.

15. Дети

Сервис предназначен для людей от 16 лет, как сказано в Условиях. Мы сознательно не собираем данные детей младше этого возраста.

Если вы считаете, что сервисом пользуется ребёнок младше 16 лет, напишите на support@mtmd.dev. Если мы узнаем, что это так, мы можем закрыть аккаунт и удалить его данные.

16. Безопасность

Что мы делаем для защиты данных, насколько это можно утверждать:

• соединения с сервисом шифруются;
• каждый запрос, который читает или меняет данные аккаунта, проверяется на соответствие вошедшему аккаунту и пространству, и данные одного пространства не показываются другим;
• ссылки для просмотра и приглашения содержат секретный токен в той части адреса, которая не отправляется на сервер и не попадает в наши журналы; картинки по ссылке для просмотра отдаются по подписанным адресам;
• для удаления аккаунта нужен код, присланный на почту аккаунта, а число попыток ограничено.

Ни один способ передачи или хранения не безопасен полностью, поэтому абсолютной безопасности мы гарантировать не можем. Берегите пароль и письма для входа.

17. Изменения политики

Мы можем менять эту политику, например когда появляются новые функции или меняется закон. Дата последнего обновления указана вверху страницы.

О существенных изменениях мы напишем на этой странице и покажем их в приложении в момент вступления в силу. Если закон требует предупредить заранее, мы предупредим. Если вы продолжите пользоваться сервисом после вступления изменения в силу, вы принимаете новую редакцию. Если вы не согласны, прекратите пользоваться сервисом и удалите аккаунт.

18. Связаться с нами

Meta Media LLC, Georgia, Tbilisi, Saburtalo district, Ikalto I lane N 1. Вопросы об этой политике и обращения о ваших данных: support@mtmd.dev.

Укажите в теме письма «Privacy Request».

Если перевод этой политики, включая краткое изложение, расходится с английским текстом, приоритет у английского текста, если только закон вашей страны не даёт вам права ссылаться на версию на вашем языке.