Политика конфиденциальности

Кто отвечает

Ответственный за описанную здесь обработку — Andrey Fedyukov, Mecumstraße 52, 40225 Düsseldorf, Германия.

С любым вопросом о своих данных пиши на support@hamoji.app. Можно также подать жалобу в надзорный орган по защите данных — в первую очередь в той стране ЕС, где ты живёшь.

Что мы храним

• Твой аккаунт: адрес почты и, при входе через Apple, идентификатор, который Apple даёт Hamoji для тебя. Если Apple передаёт твоё имя, оно только предлагается как имя в приложении и стирается, как только имя выбрано.
• Вход: время твоих сессий вместе с IP-адресом и user agent приложения, которое их открыло, — так их хранит служба входа.
• Твой профиль: выбранное имя, цвет, первый хомячок, язык приложения и — если его указать — день рождения.
• «Шалости»: твой выбор — включён этот набор вещей или выключен — и страна твоего App Store (если App Store её не называет — регион iPhone): по ней решается, включён ли набор, пока выбора нет.
• Ваша пара: когда она соединилась и — если его указать — день, с которого вы вместе; когда пара закончилась и кто из вас её закончил.
• То, что посылается: каждый хомячок — какой, с каким настроением и в каком наряде — с запиской в конверте, если она есть, до 1000 знаков; когда он отправлен, увиден и поглажен.
• Приглашения: ссылка и код, хомячок, который с ними приходит, — его настроение, наряд и записка, если она есть, — и срок, до которого они живут. Они хранятся до удаления аккаунта, и после того, как истекли или заменены. Неверные попытки ввести код считаются, чтобы его нельзя было подобрать.
• Твои телефоны: токен, который Apple выдаёт для уведомлений на этот телефон, тестовая на нём сборка или из магазина, и его язык — чтобы уведомление пришло на этом языке.
• Покупки: есть ли у тебя Hamoji Plus, до какого дня и продлевается ли он, и что куплено отдельно; а когда кто-то из вас начинает покупать Hamoji Plus, — отметка об этом, чтобы второй человек не заплатил тоже. Не твоя карта и не твой Apple ID — их хранит Apple и не показывает нам ни то, ни другое.

Это весь список. Рекламного идентификатора, аналитики и слежки в Hamoji нет.

До входа

Hamoji можно попробовать без аккаунта: выбрать хомячка, цвет и имя, гладить и наряжать своего хомячка, смотреть коллекцию. Всё это остаётся на телефоне. Аккаунт нужен для того, что касается другого человека, — позвать партнёра, послать хомячка — и для покупок; выбранное до входа тогда переходит в аккаунт.

Одно исключение: чтобы показать цены и то, что можно купить, приложение спрашивает RevenueCat и до входа — под анонимным идентификатором этой установки. RevenueCat получает тогда этот идентификатор, технические данные телефона и его IP-адрес — см. «Покупки».

Зачем и на каком основании

Чтобы дать то, ради чего Hamoji существует: аккаунт и вход, пару и её приглашения, отправку и получение хомячков, ваш общий календарь, уведомления, Hamoji Plus и покупки. Правовое основание — исполнение договора (ст. 6(1)(b) GDPR).

Чтобы сервис работал и был защищён: пределы для кодов входа и кодов приглашения и недолго живущие технические журналы наших поставщиков. Правовое основание — законный интерес (ст. 6(1)(f) GDPR).

Чтобы после удаления аккаунта хранить запись о его покупках для возвратов и вопросов по ним и оставить партнёру то, что удалённый аккаунт ему посылал, — это остаётся у получателя. Правовое основание — законный интерес (ст. 6(1)(f) GDPR).

Кто что видит

Пару видят только двое её людей — ни другие пользователи, ни будущий партнёр кого-то из вас.

Партнёр видит твоё имя, цвет и первого хомячка, день и месяц твоего дня рождения, если он указан, всё, что ты ему посылаешь, вместе с записками, и состояние твоего Hamoji Plus: есть ли он, до какого дня, продлевается ли и не покупается ли прямо сейчас. Ты видишь то же самое от него.

Год твоего рождения, твой выбор для набора «Шалости» и страну твоего App Store не видит никто, кроме тебя; партнёр видит только, включён ли этот набор у вас двоих.

Когда пара заканчивается, её история остаётся у вас двоих для чтения, а посылать в неё больше нельзя. Прошлые пары можно скрыть у себя и показать снова; скрытие ничего не удаляет.

Тот, кто откроет твою ссылку-приглашение, увидит хомячка в ней с настроением и нарядом, твоё имя и цвет, запасной код и язык твоего приложения — но не записку, — пока приглашение действует. Приглашение живёт семь дней, и новое заменяет прежнее. То же видит тот, кто введёт твой код приглашения после входа.

Где лежат данные

Данные хранятся в базе PostgreSQL, которую ведёт Supabase во Франкфурте-на-Майне, Германия (AWS eu-central-1). Каждую строку защищают правила доступа на уровне строк: аккаунт может читать только свои данные и данные своих пар.

Телефон держит копию твоей пары и её хомячков, чтобы Hamoji открывался без сети; при выходе из аккаунта она стирается с телефона.

Картинки хомячков — маленькие в календаре, карточки «поделиться», картинка месяца — рисуются на телефоне; мы их не загружаем.

Почта

Коды входа отправляет Amazon Simple Email Service (Amazon Web Services, Франкфурт-на-Майне), который для этого получает адрес твоей почты. Картинки в этом письме почтовая программа загружает с этого сайта, когда их показывает, и Cloudflare видит её IP-адрес. Рекламных писем и рассылки нет.

Уведомления

Уведомления — прибежал хомячок, хомячка погладили, партнёр уже здесь — доставляет служба Apple Push Notification. Apple получает токен твоего телефона и текст уведомления. Текст не называет ни человека, ни хомячка, ни настроения и никогда не содержит записку: экран блокировки видят и другие.

Уведомления можно выключить в настройках iPhone в любой момент.

Вход через Apple

При входе через Apple Apple подтверждает, что это ты, и передаёт Hamoji идентификатор, адрес почты — возможно, скрытый адрес пересылки — и, если разрешить, имя. При удалении аккаунта Hamoji просит Apple отозвать этот вход.

Покупки

Hamoji Plus и разовые покупки покупаются через App Store компании Apple. Оплата, карта и Apple ID остаются у Apple; мы их не видим.

RevenueCat (RevenueCat, Inc., США) получает чек App Store и идентификатор аккаунта Hamoji — до входа вместо него анонимный идентификатор этой установки — вместе с техническими данными телефона и его IP-адресом и сообщает приложению и нашему серверу, что у тебя есть и до какого дня. RevenueCat обрабатывает эти данные по нашему поручению как обработчик; передача в США основана на стандартных договорных условиях ЕС.

При удалении аккаунта запись о его покупках в RevenueCat остаётся: идентификатор, который был у аккаунта, — случайная строка, которая в Hamoji больше ни к чему о тебе не ведёт, — и история его покупок с номерами транзакций Apple, которую хранит и Apple. Запись хранится, пока возможны возвраты и вопросы по этим покупкам; напиши нам — и мы сотрём её раньше.

Этот сайт

hamoji.app размещён на Cloudflare Pages. Он не ставит cookie и не ведёт аналитики. Cloudflare обрабатывает технические данные, которые видит любой веб-сервер, — IP-адрес, запрошенный адрес, user agent, — чтобы отдать страницу и защитить сервис. Страница ссылки-приглашения при каждом открытии читает это приглашение с нашего сервера, а часовой пояс, который Cloudflare определяет по IP-адресу, использует только чтобы показать на ней небо и время суток; ничего из этого не хранится.

Кто ещё обрабатывает данные

Только названные выше поставщики, каждый для своей одной задачи:

• Supabase — база данных и служба входа;
• Amazon Web Services — отправка почты и инфраструктура, на которой работает база;
• Apple — вход через Apple, уведомления и оплата;
• RevenueCat — обработка покупок и состояние Hamoji Plus;
• Cloudflare — этот сайт и домен.

Некоторые из этих поставщиков или компании, которым они принадлежат, находятся в США. Там, где данные могут к ним попасть, передача основана на EU–US Data Privacy Framework или на стандартных договорных условиях ЕС. Мы следим, чтобы каждый поставщик, получающий данные пользователей, защищал их не хуже, чем описано в этой политике.

Данные не продаются, не сдаются в аренду, не передаются рекламодателям и не используются для обучения чьих-либо моделей.

Сколько мы храним и что делает удаление

Мы храним данные, пока существует аккаунт.

Удаление аккаунта (Настройки → Аккаунт → Удалить аккаунт) удаляет с нашего сервера аккаунт и его почту, имя, цвет и первого хомячка, день рождения, выбор для набора «Шалости» и страну App Store, токены уведомлений твоих телефонов, приглашения и попытки кода, а также данные о покупках.

Отправленное остаётся у партнёра. Хомячки и записки, отправленные тобой, остаются в его «Нашем годе» — без твоего имени и цвета, как письмо остаётся у того, кто его получил. Отправленное им тебе тоже остаётся у него. Когда аккаунт удаляет и второй человек пары, вся история этой пары стирается.

Удаление аккаунта не отменяет подписку App Store — её отменяют в настройках подписок Apple ID. Запись о покупках в RevenueCat остаётся, как описано в разделе «Покупки».

Твои права

По GDPR у тебя есть право на доступ, исправление, удаление, ограничение обработки и переносимость данных, а также право возразить против обработки на основании законного интереса.

Удаление встроено в приложение: Настройки → Аккаунт → Удалить аккаунт. По всему остальному пиши на support@hamoji.app.

Дети

Hamoji сделан для пар и не рассчитан на детей. Он не предназначен для тех, кому меньше 13 лет.

Изменения

Когда политика меняется, вместе с ней меняется дата вверху. Об изменении, которое существенно затрагивает обращение с данными, приложение сообщит до того, как оно вступит в силу.