Политика конфиденциальности

Что мы собираем

• Адрес электронной почты, если вы входите по почте. Он и есть вход: пароля в приложении нет, вместо него приходит код из шести цифр.
• Номер в Telegram — номер учётной записи, не телефона, — если вы открываете дневник в Telegram. По нему Telegram при следующем открытии входит в ваш дневник без почты, и на него бот присылает напоминания. Имя, ник и язык, которые Telegram передаёт при открытии, мы не сохраняем. В Telegram уходят только тексты напоминаний — те же, что в уведомлениях на телефоне, например «Через 15 мин укладывать · Сон 3 в 15:20». Имени ребёнка в них нет. Напоминания выключаются в настройках. Выйдете из дневника внутри Telegram — номер отвязывается, удалите профиль — стирается вместе с ним.
• Номер в VK — номер учётной записи VK, если вы входите через VK ID. По нему VK при следующем входе открывает ваш дневник. Имя, фото, почту и телефон из VK мы не запрашиваем и не храним, а самому VK ничего из дневника не передаём. Удалите профиль — номер стирается вместе с ним.
• Неделя рождения ребёнка. Только неделя, без точной даты: возраст считается в неделях, и большего приложению не нужно. Ни имени, ни пола, ни чего-либо ещё о ребёнке мы не спрашиваем и не храним.
  Дату вы вводите один раз, и приложение сразу переводит её в неделю — берёт ближайший понедельник. Точный день до сервера не доходит: он остаётся в вашем телефоне и никуда не записывается. Из-за округления возраст может отличаться от настоящего не больше чем на три дня — на расчёт окон это не влияет.
• Записи дневника: время подъёма, укладывания, засыпания и пробуждения, ваши оценки снов и дня, отметки о том, что было в этот день («зубы», «жара», «поездка» или своя), окна бодрствования, а также смены подгузника — время и какой был.
• Переписка с помощником — вопросы и ответы.
• Надиктованный текст. Вопрос помощнику можно не набирать, а сказать голосом. Микрофон включается только по нажатию на кнопку в поле ввода и выключается, как только вы закончили; пока он слушает, это видно на экране. Расшифровку делает сам телефон средствами системы — звук не записывается в файл, не хранится и никуда не передаётся. Приложение получает готовый текст и обращается с ним так же, как с набранным пальцами.
• Изображение, если вы сами приложили его к замечанию. В форме «Замечание или идея» можно добавить снимок экрана — он уходит вместе с текстом, чтобы было видно, о чём речь. Ни галерею, ни камеру приложение само не открывает и ничего оттуда не забирает.
• Шаги, пока малыш спал — только если вы сами разрешили доступ к шагомеру. Приложение берёт показания встроенного счётчика шагов телефона, чтобы показать, сколько вы прошли за время сна. Засечки — время и показание счётчика — остаются в самом телефоне и на сервер не передаются; хранятся только сегодняшние. Ни маршрут, ни местоположение шагомер не сообщает, а приложение о них и не спрашивает.
• NFC-наклейка. Если вы завели наклейку у кроватки, мы храним её название, время последнего касания и свёртку ключа — по ней сервер узнаёт, чей дневник отмечать. Сам ключ живёт в наклейке, у нас его нет. Приложение читает и пишет только собственные наклейки и ничего постороннего не сканирует. Удалили наклейку или профиль — запись пропадает, и касание перестаёт работать.
• Технические записи: адреса подписок на уведомления, отметки о показанных подсказках, служебный журнал обращений к серверу и журнал ошибок приложения.
• Приблизительное место — только если вы сами разрешили доступ к геопозиции. Координаты округляются примерно до километра, рядом с ними сохраняется название населённого пункта: этого хватает, чтобы показать погоду и давление. Точное местоположение не сохраняется, историю перемещений мы не ведём. Не разрешили — о вашей примерной геопозиции мы ничего не знаем.
• Обезличенный номер устройства. Случайный номер, который приложение выдаёт браузеру или телефону, чтобы отличать устройства друг от друга: с какого заходили и где случился сбой. В служебном журнале он лежит рядом с номером профиля — иначе не понять, на каком телефоне что-то сломалось. Ни имени, ни почты, ни записей дневника в этом журнале нет, и наружу он не уходит. Адрес, с которого вы заходите, целиком не сохраняется: остаётся только его свёртка, она меняется каждые сутки и нужна, чтобы отбиваться от перебора.

Чего мы не собираем

Ни сторонней аналитики, ни рекламных трекеров, ни рекламных файлов cookie. Кук всего две: одна держит вас в приложении после входа, вторая хранит обезличенный номер устройства. Обе наши, ни одна не уходит на чужие сайты, и следить за вами за пределами приложения ими нельзя. Статистику мы считаем сами, на своём сервере: данные никому не продаются и не передаются рекламодателям.

Зачем это нужно

• Почта — чтобы войти и восстановить доступ.
• Неделя рождения — чтобы подобрать окна бодрствования и показать этапы роста.
• Записи — чтобы считать время следующего сна, показывать статистику и напоминания.
• Приблизительное место — чтобы показать погоду и давление рядом с днём.

Кому уходит что-то наружу

Четыре сервиса, и каждый получает только свою часть. Ниже про каждый подробнее.

• OpenAI — ваш вопрос помощнику и сводка дня. Только когда вы пишете помощнику.
• Google — текст напоминания, если вы их включили.
• Resend — письмо с кодом входа и выгрузка дневника, когда вы её запросили.
• Open-Meteo — округлённые координаты, чтобы узнать погоду. Только если вы разрешили доступ к месту.

Больше никому. Счётчиков посещаемости, рекламных сетей и чужой аналитики в приложении нет — статистику оно считает само, и в неё не попадают ни записи, ни переписка.

Помощник и сервис OpenAI

Вопросы на вкладке «Баюн» обрабатывает программа компании OpenAI — это зарубежный сервис. Вместе с вопросом ей передаются только возраст ребёнка в неделях, сводка дня, записи о снах за две недели и ваши оценки. Ни имени, ни пола, ни места: помощник их не знает и в ответах говорит «малыш».

Сервис работает в США — значит вопрос уезжает за границу. Уезжает только он и только тогда, когда вы сами пишете помощнику: не написали — ничего не ушло. По дороге запрос проходит через нашу машину в Турции: напрямую из России сервис не отвечает. Она ничего не хранит и не записывает — передаёт дальше и забывает.

Из разговора помощник ничего не запоминает. В переписке легко рассказать больше, чем есть в профиле: имя ребёнка, диагноз, что вы лечите, где живёте, как зовут второго родителя. Ничего из этого не записывается ни в профиль, ни в отдельную «память»: сказанное работает в одном ответе и там же заканчивается. Помощнику прямо запрещено заводить такие записи и повторять имя, даже если вы его назвали.

Имя и номера до сервиса не доходят. Перед отправкой вопрос проходит чистку: имена, телефоны, адреса почты, ссылки и длинные номера заменяются на пометки вроде «[ИМЯ]». Это касается и прежних сообщений переписки — они уходят вместе с новым вопросом и чистятся так же.

Чистка узнаёт имена по словарю, а номера по их виду, и поэтому она не всесильна: описание словами так распознать нельзя — где рожали, в какую клинику ходите, чем занимается второй родитель. Это подстраховка, а не разрешение писать что угодно.

Сама переписка остаётся у нас на сервере — чтобы вы видели её при следующем заходе, а помощник понимал, о чём шла речь сутки назад. У нас она лежит так, как вы её написали: прятать от вас ваши же слова незачем, чистка нужна только на пути наружу. Через месяц сообщения удаляются сами, а стереть всю переписку разом можно кнопкой «Очистить переписку» на вкладке «Баюн».

Если вы не открываете «Помощник», ничего никуда не уходит.

Как устроена такая программа, почему она может ошибаться и чего от неё ждать не стоит — в условиях сервиса.

Как доходят напоминания

Чтобы напоминание доехало до телефона, его передаёт служба уведомлений Google — так устроены все приложения на Android, другого пути к телефону у нас нет. Вместе с напоминанием туда попадает его текст: например, «Малыш спит 40 минут» или «Пора укладывать». Имени ребёнка в нём нет — приложение его не знает.

Что туда не попадает: ваша почта, записи дневника, переписка с помощником. Только короткий текст самого напоминания.

Если напоминания выключены, в Google не уходит ничего. Выключить можно в любой момент: «Настройки» → «Напоминания».

Где хранятся данные

Записи лежат в России: сервер арендован у HOSTKEY в Москве, база доступна только приложению. Соединение защищено сертификатом. Резервные копии делаются ежедневно и хранятся на компьютере автора под шифрованием диска; вторая копия — на резервном сервере Beget в Санкт-Петербурге, чтобы дневник пережил поломку первого.

За границу уходит только вопрос помощнику: сервис, который его обрабатывает, из России недоступен, и запрос идёт через нашу машину в Турции. Она ничего не хранит и не записывает — передаёт дальше и забывает.

Письма с кодом входа отправляются через сервис Resend.

Общий дневник

Ссылка-приглашение открывает второму родителю тот же дневник: он видит все записи и неделю рождения. Ссылку выдаёте вы сами и можете отозвать её в настройках. Отдельная ссылка для специалиста показывает только записи о снах и возраст — без почты и переписки с помощником.

Сколько храним и как удалить

Записи хранятся, пока существует профиль. Удалить всё можно самостоятельно: «Настройки» → «Приложение» → «Удалить профиль». Вместе с профилем стираются записи, переписка с помощником и подписки на уведомления — безвозвратно и сразу.

Одно исключение, и оно намеренное. Текст вопросов к помощнику мы храним ещё и отдельно — месяц, уже после чистки, без имён и номеров и без связи с вашей учёткой. По нему видно, о чём людей спрашивают чаще всего и на что приложение могло бы отвечать само, не обращаясь к зарубежному сервису. Связать эти строки с человеком нельзя — поэтому они и не исчезают вместе с профилем.

Письмо себе — то, что вы пишете и запечатываете на полгода, — лежит в вашем профиле и больше нигде. Мы его не читаем и никуда не передаём: ни в уведомлении, ни в письме на почту текста нет, только приглашение открыть его в приложении. До срока письмо нельзя открыть и нельзя удалить — таким оно и задумано. После того как прочитаете, удалить можно в один тап; вместе с профилем оно стирается тоже.

Если что-то не получается, напишите на hello@soninson.ru — удалим вручную.

Отдельно от дневника приложение ведёт свой счёт: какие экраны открывали, какие кнопки нажимали, какие запросы приходили на сервер. Записи о ребёнке туда не попадают, а вместо номера учётки хранится свёртка, по которой человека не найти. Подробные строки живут девяносто дней, потом остаются только числа по дням — сколько всего открытий и нажатий, без привязки к кому-либо.

Дети

Приложением пользуется взрослый, а о ребёнке приложение знает одно — неделю рождения. Ни имени, ни пола, ни заметок: по этим записям ребёнка невозможно узнать, и это сделано намеренно.

Ваши права

Вы можете узнать, какие данные о вас хранятся, исправить их или потребовать удаления — для этого достаточно письма на hello@soninson.ru. Дневник целиком выгружается в таблицу: «Статистика» → «Забрать таблицей» — файл придёт письмом, его можно открыть в любой программе для таблиц, распечатать или показать врачу. Профиль со всеми записями удаляется внутри приложения, ждать ответа на письмо для этого не нужно.

На обращение отвечаем в течение десяти рабочих дней. Если вы потребовали удалить данные или отозвали согласие, уничтожаем их не позже тридцати дней с даты обращения — кроме того, что закон велит хранить дольше.

Если считаете, что мы обращаемся с вашими данными неправильно, а ответ вас не устроил, жалобу можно подать в Роскомнадзор — орган, который следит за соблюдением прав в этой области, — или в суд.

Изменения

Если политика поменяется, дата вверху страницы обновится. О существенных изменениях расскажем в самом приложении.