Політика конфіденційності Kairoscope
Востаннє оновлено: 28 вересня 2026.
Коротко
- Хто. Дані обробляє Yevhen Orestov — фізична особа з України, оператор Kairoscope (§1).
- Що зберігаємо. Акаунт, календар, задачі, друзів і спільний доступ. Окремо — щоденник емоцій, нагадування про ліки й відмітки енергії: це дані про здоров'я (ст. 9 GDPR), ми обробляємо їх на підставі твоєї явної згоди, і ні щоденник, ні нагадування про ліки не працюють, доки ти сам їх не почнеш (§2, §4).
- Де. База, вкладення й резервні копії — на сервері Hetzner у Німеччині (ЄС); вільна нотатка щоденника, назва препарату й повідомлення AI-чату додатково зашифровані на рівні поля. Частина обробки відбувається у постачальників зі США (§6, §7, §14).
- AI-функції. Вимкнені, доки ти сам не ввімкнеш їх у профілі. Записи щоденника йдуть до AI лише під окремою згодою «ШІ для настрою». Жодна AI-дія не застосовується без твого підтвердження (§5).
- Реклама. Рекламних кукі й піксельних трекерів у вебі немає; аналітика в мобільному застосунку вимагає згоди — у версіях 1.0.2 і новіших (§13). Дані не продаються (§8).
- Твої права. Експорт усіх даних у JSON і видалення акаунта — у Профілі, без звернення до нас; щоденник експортується й стирається окремо. На запити відповідаємо впродовж одного місяця (§12).
Це резюме, а не документ. Обов'язкову силу має повний текст нижче; у разі розбіжності діє він.
1. Контролер даних
Дані обробляє Yevhen Orestov (фізична особа, оператор Kairoscope), Україна. Контакт із питань даних: kairoscope.contact@gmail.com.
2. Які дані ми зберігаємо
| Категорія | Що саме |
|---|---|
| Акаунт | Email, хешований пароль, ім'я, часова зона, мова, тема, формат часу, телефон (опціонально), аватар (якщо завантажив) |
| Календар | Події, задачі, категорії, шаблони дня, нотатки, цілі часу, вкладені файли (якщо додаєш). Подію можна позначити як гучну, людну, яскраву або соціальну — ці мітки описують обстановку, а не тебе, тож це не дані про здоров'я; друг, якому показали подію, їх не бачить |
| Соціальне | Друзі, групи, спільний доступ до подій і задач, повідомлення у спільних сесіях. Шаблон дня можна передати другові: він отримує власну копію — назви кроків, час і нотатки, які ти написав, — а не доступ до твого шаблону. Далі копія належить йому: твої зміни її не торкаються, розрив дружби її не забирає, а видалення твого акаунта прибирає лише підпис «від кого». Шаблон можна також опублікувати за посиланням: тоді кроки, час, нотатки й твоє відображуване імʼя бачить будь-хто, хто має це посилання, без акаунта й без входу. Календар при цьому не показується, а тих, хто забрав рутину, ти бачиш лише числом, не поіменно. Посилання вимикається будь-коли; вже зроблені копії лишаються в тих людей. Окремо від посилання рутину можна подати на публікацію: після того, як її прочитає людина з нашого боку, вона зʼявляється в публічному каталозі на сайті й може потрапити в пошуковики — тобто її знайде й той, кому ти нічого не надсилав. Це окрема дія й окреме рішення: саме по собі посилання нічого нікуди не публікує. Забрати з каталогу можна будь-коли і без чийогось дозволу; посилання при цьому працює далі |
| Реакції | Якщо тобі показали подію, ти можеш поставити на неї 👀, 👍 або 🫂 — і власник побачить, хто саме. Набір закритий трьома: відкритий вибір емодзі зробив би з чужого календаря місце, де відповідь може вжалити. На власну подію реакцію поставити не можна |
| Push | Підписка на push-сповіщення (браузер, FCM, APNs через Expo), журнал надісланих нагадувань |
| Щоденник емоцій (дані про здоров'я, ст. 9) |
Записи стану: дві шкали самопочуття, лейбли емоцій, тілесна карта (позначені зони тіла), тригери, вільна нотатка (зашифрована), час, необов'язкова прив'язка до події; «моменти» (лише мітка часу); ранкові й вечірні чек-іни настрою та втоми |
| Ліки (дані про здоров'я, ст. 9) |
Назви й мітки препаратів (зашифровані), розклад прийому, статус кожної дози (прийнято чи пропущено) і час; необов'язкове вікно дії — через скільки хвилин починає діяти і скільки триває, як ти сам його вказав. Ми не знаємо, що це за препарат, і не виводимо ці числа нізвідки |
| Самопочуття (дані про здоров'я, ст. 9) |
Погодинні відмітки енергії, налаштування бюджету сил — зокрема твої списки того, що виснажує й що відновлює |
| Цикл (дані про здоров'я, ст. 9) |
Лише ті дні, які ти сама позначила як початок циклу, і число, на яке ти сама просиш знизити денний бюджет сил у передбачений тиждень. Дати зберігаються зашифрованими, і в таблиці немає більше жодної колонки — навіть часової мітки рядка, бо вона зводила б шифрування нанівець. Ні симптомів, ні перебігу, ні вагітності, ні передбачень: тиждень рахується з твоїх дат щоразу наново й ніде не записується. До ШІ не йде за жодної згоди. Показується тільки тобі — у спільних видах, у друзів і в помічників цього немає. Позначати дні можна лише після явної згоди на дані про здоров'я; переглядати й видаляти — завжди, навіть якщо згоду відкликано |
| Їжа та вода (це не дані про здоров'я) |
Розклад нагадувань поїсти (сніданок / обід / вечеря / перекус — вибір із чотирьох, не вільний текст), відмітка «поїв» на сьогоднішнє нагадування, добова ціль питва в мілілітрах і розмір склянки. Ми не питаємо, що саме ти з'їв, і не рахуємо калорій. Скільки води ти випив, лічить сам застосунок на твоєму пристрої — це число до нас не надходить. Чому це не ст. 9: назва препарату може розкрити діагноз, а «обід о 13:00» — ні; а щоб накопичена історія «їв / не їв» не перетворилася на спостереження за харчовою поведінкою, відмітки живуть 7 днів (§11) |
| AI-чат | Історія розмов з асистентом (зміст зашифровано), лічильники використання AI-функцій |
| Голос (тимчасово) | Аудіо для розпізнавання мовлення — надсилається до Groq (whisper-large-v3-turbo), з резервом OpenAI Whisper; не зберігається після транскрипції |
| Синхронізація | OAuth-токен зовнішнього календаря (зашифрований) та імпортовані події — лише якщо ти сам підключив Google/Microsoft |
| Календар телефона | Не зберігається і не надсилається нікуди. Якщо ти вмикаєш цей шар і даєш дозвіл, апка читає події з календарів самого телефона і малює їх на циферблаті — на цьому пристрої, у памʼяті, лише для показу. Вони не потрапляють на наш сервер, не входять в експорт даних, не йдуть до ШІ й не редагуються. Ми просимо доступ лише на читання: дозвіл на запис у календар вилучено зі збірки. Вимкнути можна в Налаштуваннях або забрати дозвіл у системних налаштуваннях телефона |
| Сон із Health Connect (дані про здоров'я, ст. 9; лише Android) | Не зберігається і не надсилається нікуди. Якщо ти вмикаєш «Врахувати нічний сон» (Налаштування → «Сон та енергія») і дозволяєш Kairoscope читати сон у Health Connect, апка бере звідти лише сесії сну, а з них — тільки час початку й кінця: без фаз сну, пульсу чи інших записів про здоров'я. Читає минулу ніч (від 18:00 попереднього дня), а на екрані «Огляд» — останні 7 або 30 ночей. Рахує з цього години сну — на цьому пристрої, у памʼяті: щоб після короткої ночі опустити прогноз енергії на циферблаті, запропонувати оцінку втоми в ранковому чек-іні й показати сон в «Огляді». Дані про сон не потрапляють на наш сервер, не входять в експорт даних і не йдуть до ШІ. Вимкнути можна тим самим перемикачем або забрати дозвіл у Health Connect (§4) |
| Локація (преміум) | Точні GPS-координати та адреси (дому, подій, збережених місць) — обробляються Google Maps Platform для гео-нагадувань, підказок адрес і розрахунку часу в дорозі; лише коли ти користуєшся цими функціями |
| Посилання на календар (ICS) | Унікальний токен підписки, якщо ти вмикаєш цю функцію — зберігається у хешованому й зашифрованому вигляді (див. §10) |
| Підписка | Ідентифікатор твого акаунта в системі покупок, статус підписки, використані промокоди |
| Аналітика (мобільний застосунок) | Знеособлений ідентифікатор екземпляра застосунку, модель пристрою, версія ОС, мова, приблизна країна за IP-адресою, події «реєстрація» і «вхід» (див. §13) |
| Технічні дані | IP-адреса (обмеження частоти запитів і захист від зловживань), звіти про збої застосунку (версія, пристрій, послідовність екранів, ідентифікатор акаунта) |
| Зворотний зв'язок | Email, ім'я і текст повідомлення, якщо ти пишеш нам через форму |
| Гість бронювання | Ім'я та email людини, яка забронювала час за публічним посиланням користувача. Зберігаються в окремих полях самої події; ім'я також входить у назву події. Ця людина не має акаунта в Kairoscope — див. окремий абзац у §3 |
3. Навіщо ми обробляємо дані і на якій підставі
| Мета | Категорії даних | Правова підстава |
|---|---|---|
| Створення й ведення акаунта, вхід, відновлення пароля | Акаунт | ст. 6(1)(b), виконання договору |
| Показ календаря: події, задачі, категорії, шаблони, вкладення | Календар | ст. 6(1)(b) |
| Нагадування (push, email) | Push, час подій | ст. 6(1)(b) |
| Спільний доступ із друзями та групами | Соціальне | ст. 6(1)(b) |
| Синхронізація зовнішнього календаря (лише читання) | Синхронізація | ст. 6(1)(a), згода — ти підключаєш її сам і можеш відключити |
| Щоденник емоцій, тілесна карта, тригери, нотатки, чек-іни | Дані про здоров'я | ст. 9(2)(a), явна згода, разом зі ст. 6(1)(a) — див. §4 |
| Нагадування про ліки й історія прийому | Дані про здоров'я | ст. 9(2)(a), явна згода, разом зі ст. 6(1)(a) — див. §4 |
| Бюджет сил і погодинні відмітки енергії | Дані про здоров'я | ст. 9(2)(a), явна згода, разом зі ст. 6(1)(a) — див. §4 |
| AI-функції над текстом: чат, категоризація, підказки, планування дня, підказка про втому за день, підказка про відновлення | Назви подій і задач, час, вільні слоти; для підказки про втому за день, підказки про відновлення й планування дня — ще й твої списки виснажливого й відновлювального | ст. 6(1)(a), згода — перемикач «AI-функції» в Налаштуваннях. Для списків виснажливого й відновлювального це водночас особлива категорія (ст. 9(2)(a)) — див. застереження в §4 |
| AI над щоденником: голос у лейбли, тижневий огляд | Аудіо, агрегати щоденника | ст. 9(2)(a), окрема явна згода — перемикач «ШІ для настрою» |
| Гео-нагадування, «виїхати вчасно», підказки адрес | Локація | ст. 6(1)(a), згода |
| Підписка та платежі | Підписка | ст. 6(1)(b), виконання договору |
| Захист від зловживань, обмеження частоти запитів, звіти про збої | Технічні дані | ст. 6(1)(f), законний інтерес у безпеці й працездатності сервісу |
| Відповідь на звернення через форму зворотного зв'язку | Зворотний зв'язок | ст. 6(1)(f), законний інтерес у розгляді звернення |
| Вимірювання ефективності реклами застосунку | Аналітика | Згода (ст. 6(1)(a)); без згоди аналітика не запускається, перемикач у Налаштуваннях. Діє у версії застосунку 1.0.2 і новіших — див. §13 |
| Бронювання часу за публічним посиланням | Гість бронювання | ст. 6(1)(f), законний інтерес обох сторін у проведенні домовленої зустрічі |
Якщо ти бронюєш час за чужим посиланням. Коли хтось ділиться посиланням Kairoscope на бронювання, а ти обираєш слот, ми зберігаємо вказані тобою ім'я та email, щоб власник календаря знав, з ким зустріч. Правова підстава — законний інтерес обох сторін у проведенні домовленої зустрічі (ст. 6(1)(f)). Ім'я стає частиною назви події в календарі власника, тож його побачить будь-хто, кому власник покаже свій календар або з ким поділиться цією подією; email бачить лише сам власник. Email зберігається на нашому сервері в Німеччині. Якщо ти явно натиснеш «Надіслати підтвердження» або окремо обереш лист під час підтвердження перенесення чи скасування, адресу, назву й час зустрічі та приватне посилання керування отримає Google (Gmail SMTP), а потім твій поштовий провайдер. Лист не використовується для маркетингу. Приватне посилання дозволяє перенести або скасувати бронювання, тому не пересилай його іншим. Зашифрований вміст черги зберігається до 24 годин або до початку зустрічі, якщо вона раніше; після остаточного результату його стираємо, залишаючи лише стан для захисту від повторного листа. Про ім'я так сказати не можна, і тому воно згадане тут окремо: воно є частиною назви події, а назва події покидає наш сервер разом зі звичайними діями власника — потрапляє в текст push-нагадування, якщо власник поставить нагадування на цю подію (Expo, Apple, Google, США), до OpenAI (США), якщо він скористається AI-функціями для цього дня, до постачальника зовнішнього календаря, якщо він підписав туди свою стрічку, і в push другові, з яким він поділиться подією. Ці отримувачі, країни й механізми передачі перелічені в §7 і §8. Ці дані зберігаються стільки, скільки існує сама подія. Ти можеш попросити нас їх видалити — напиши на kairoscope.contact@gmail.com: ми приберемо ім'я з назви події й зітремо ім'я та email, сама подія лишиться у власника. Ти маєш ті самі права, що описані в §12, хоч і не маєш тут акаунта.
«Помічник»: коли другові можна заповнювати твій розклад. Ти можеш дозволити другові — лише другові, з яким уже підтверджена дружба, — пропонувати події на вільний час у твоєму розкладі й редагувати ті події, які він сам додав і які ти вже прийняв. Для днів, які він переглядає, помічник бачить назву, час, категорію й твою нотатку до кожної події — це найширше розкриття в усій цій функції, і воно свідоме: щоб запропонувати час навколо «забрати аналізи», помічнику потрібна саме нотатка, а не тільки назва. Подія з підключеного календаря Google чи Microsoft показується йому без нотатки: цей текст — чужі слова, які написав не ти. Помічник ніколи не бачить і не може встановити нічого про твій стан — ні настрій, ні рівень енергії, ні дані про ліки: цих полів немає в жодному запиті, яким він може скористатися.
Kairoscope позначає кожну подію, хто саме її додав — ти сам чи помічник, — і не стирає сам запис про дозвіл, навіть коли його відкликано: обидва входять у твій експорт даних (§12) і лишаються доказом того, хто мав доступ і коли, вже після того, як доступ закінчився (строк зберігання — §11). Відкликати дозвіл можна будь-коли — це може зробити як ти, так і сам помічник, — і право щось писати в твоєму розкладі закінчується з наступним запитом до сервера, а не з наступним входом у застосунок. Події, які ти вже прийняв від помічника, лишаються в твоєму календарі й так само нагадують про себе, як і будь-яка інша твоя подія, — саме тому, що прийняв їх ти. Якщо ти розірвеш дружбу з цією людиною, дозвіл відкликається автоматично.
4. Дані про здоров'я
Особлива категорія даних (ст. 9 GDPR). Щоденник емоцій, тілесна карта, тригери, нотатки стану, чек-іни настрою й втоми, погодинні відмітки енергії, а також розклад і статус прийому ліків є даними про здоров'я. Ми обробляємо їх на підставі твоєї явної згоди (ст. 9(2)(a) разом зі ст. 6(1)(a)) і лише для того, щоб показувати тобі твої власні записи, нагадування й тренди.
Сьогодні ця згода виражається тим, що ти сам вмикаєш ці функції й створюєш записи. Окреме підтвердження згоди, яке фіксує дату й версію цього тексту, ми зараз додаємо — ця сторінка оновиться разом із ним.
Обидві функції не працюють, доки ти сам їх не почнеш: запис у щоденнику з'являється тільки тоді, коли ти його створюєш, а нагадування про ліки — тільки коли ти сам додаєш розклад.
Ці дані ніколи не використовуються для реклами й ніколи не показуються друзям. Записи щоденника та дані про ліки не потрапляють до AI-провайдерів без окремої згоди «ШІ для настрою» (§5). Один виняток називаємо прямо: щойно ти вмикаєш загальний перемикач «AI-функції», твої списки того, що виснажує й що відновлює, ідуть до OpenAI разом із розкладом дня — у підказці про втому за день і в плануванні дня; у підказці про відновлення надсилається список відновлювального. Окремо відкривати підказку про втому для цього не треба: досить скористатися будь-якою з цих функцій. Це відбувається під загальною згодою на AI, а не під «ШІ для настрою». Самі погодинні відмітки енергії та чек-іни настрою й втоми туди не надсилаються. Вільна нотатка щоденника, назва препарату й повідомлення AI-чату зашифровані на рівні поля; решта сигналів щоденника (лейбли емоцій, зони тіла, тригери, шкали) зберігається без шифрування поля, бо саме з них рахуються твої тренди.
Нагадування про ліки й текст сповіщення. Назва препарату може розкрити діагноз, тому в базі вона зашифрована на рівні поля — і тому ж вона типово не потрапляє в текст сповіщення. Пуш каже лише «Час прийняти ліки», а конкретну назву застосунок бере з нашого ж API і показує вже на пристрої. Причина проста: сповіщення йде до тебе через посередників — Expo (650 Industries, США), а далі Apple APNs або Google FCM — і текст сповіщення вони читають. У Налаштуваннях → «Прийом ліків» є перемикач «Показувати назву препарату в сповіщеннях», типово вимкнений; якщо ти його ввімкнеш, назва буде і в цих сервісах, і на екрані блокування твого телефона. Чого цей перемикач не приховує в жодному стані: сам факт, що ти отримуєш нагадування про ліки, і час цих нагадувань — сповіщення позначене як медичне, щоб кнопка «Прийнято» працювала й щоб Android не приглушив його разом зі звичайними нагадуваннями. Прибрати й це означало б відмовитися від серверних нагадувань про ліки взагалі. Веб-пуш шифрується наскрізно (VAPID), тож там текст не читає навіть служба доставки; перемикач усе одно діє й на нього, бо «показувати назву в сповіщеннях» — одна обіцянка, а не дві.
Сон із Health Connect (Android). Сон — теж дані про здоров'я, але це єдиний їхній вид, якого ми не отримуємо взагалі. Щоб апка його читала, потрібні дві твої дії: перемикач «Врахувати нічний сон» у Налаштуваннях → «Сон та енергія» і дозвіл Android на читання сну в Health Connect, який запитує й фіксує сама система. Цей дозвіл і є твоєю явною згодою (ст. 9(2)(a)). Оскільки на наш сервер нічого не потрапляє, у нас він не записується — він записаний у Health Connect, і відкликається там: у застосунку Health Connect або в розділі Health Connect системних налаштувань телефона. Вимкнений перемикач зупиняє читання, але дозвіл лишається, доки ти сам його не забереш. Щось, виведене зі сну, може дійти до нас лише одним шляхом: якщо в ранковому чек-іні ти торкнешся запропонованої оцінки втоми і збережеш чек-ін. Тоді це число від 1 до 5 зберігається як оцінка втоми в цьому чек-іні — так само, ніби ти вибрав його вручну, і під тією самою згодою на дані про здоров'я, що й будь-який чек-ін. На iPhone і у вебверсії цієї функції немає.
Щоденник можна вивантажити окремим файлом JSON або стерти повністю, не видаляючи акаунт: Налаштування → «Щоденник емоцій», і в мобільному застосунку, і у веб-версії. Він також входить у загальний експорт акаунта (§12) і стирається разом з акаунтом. Розклади ліків видаляються поштучно в розділі «Ліки», разом із історією доз цього розкладу; копію даних про ліки дає експорт акаунта. Для чек-інів настрою й втоми та погодинних відміток енергії окремої кнопки стирання зараз немає взагалі — детально про це в §11.
5. AI-обробка
AI-функції (розпізнавання голосу, чат, категоризація, підказки) активуються лише після згоди в профілі й надсилають до AI-провайдерів мінімум потрібного контексту — назви подій, час, вільні слоти, а для підказки про втому за день, підказки про відновлення й планування дня ще й твої списки виснажливого й відновлювального (§4). Текстові функції (чат, категоризація, підказки) обробляє OpenAI; розпізнавання мовлення (голос→текст) обробляє Groq (whisper-large-v3-turbo), з резервом OpenAI Whisper. Записи щоденника емоцій ідуть до AI лише під окремою згодою «ШІ для настрою» плюс підтвердженням віку 16+; для тижневого огляду сервер рахує агрегати й не надсилає самих нотаток. Факти рахуються детерміновано на нашому сервері; AI сам не приймає рішень без твого підтвердження.
Автоматизовані рішення (ст. 22 GDPR). Kairoscope не ухвалює щодо тебе рішень виключно автоматизовано і не здійснює профілювання з юридичними чи подібними істотними наслідками. AI лише пропонує: створити подію, підказати лейбл емоції, знайти вільний слот. Кожна пропозиція застосовується тільки після твого підтвердження в інтерфейсі, а сервер відкидає пропозиції, які посилаються на неіснуючі події чи контакти. Факти (накладки, вільні слоти, статистика) рахуються детерміновано на нашому сервері, а не мовною моделлю. Картка кризової підтримки спрацьовує від детермінованого пошуку фраз на твоєму пристрої, нікуди не надсилається, нікого не сповіщає й ніколи не блокує збереження запису.
6. Де зберігаються дані
PostgreSQL, файли вкладень і резервні копії — на сервері Hetzner Online GmbH у Німеччині (ЄС). Резервні копії зашифровані.
7. Міжнародні передачі
Основне сховище перебуває в ЄС, але частина обробки відбувається у постачальників зі США: OpenAI, Groq Inc., RevenueCat Inc., Expo (650 Industries, Inc.), Google LLC (Firebase, FCM, Maps, SMTP), Apple Inc. (APNs), Microsoft Corp. (синхронізація календаря). Перелік із зазначенням того, що саме передається, — у §8. Дані щоденника емоцій передаються до США лише якщо ти окремо ввімкнув «ШІ для настрою»; без цього вони не залишають ЄС.
Сам оператор Kairoscope перебуває в Україні — країні, щодо якої Європейська Комісія не ухвалювала рішення про адекватність, тож доступ оператора до даних теж є передачею за межі ЄЕЗ.
Механізмами таких передач за ст. 46 GDPR є стандартні договірні положення Комісії ЄС у складі угод про обробку даних із постачальниками та, де вона діє, сертифікація одержувача за EU-US Data Privacy Framework. Оформлення цих угод із кожним постачальником ми зараз завершуємо; актуальний стан і копію чинних гарантій можна запитати на kairoscope.contact@gmail.com. Ця сторінка оновиться, щойно оформлення буде завершено.
8. З ким ділимось даними
| Отримувач | Що передаємо | Навіщо | Країна |
|---|---|---|---|
| Hetzner Online GmbH | Усі дані сервісу (хостинг) | Розміщення бази, файлів і резервних копій | Німеччина |
| OpenAI | Назви подій і задач, час, вільні слоти, повідомлення чату, списки виснажливого й відновлювального (для підказки про втому за день, підказки про відновлення й планування дня); аудіо як резерв | Текстові AI-функції, резервне розпізнавання мовлення | США |
| Groq Inc. | Аудіо голосового вводу | Розпізнавання мовлення, основний провайдер | США |
| Google / Microsoft | OAuth-токен, читання твого календаря | Синхронізація, лише якщо ти її підключив | США |
| Google Maps Platform | Координати й адреси | Гео-нагадування, час у дорозі, підказки адрес | США |
| Google FCM, Apple APNs, Expo (650 Industries) | Push-токен і текст сповіщення, зокрема назви подій. Назва препарату — ні: типово нагадування про ліки каже лише, що час прийняти дозу, а назву застосунок показує сам (див. §4). Якщо ти сам увімкнеш перемикач «Показувати назву препарату в сповіщеннях», назва потрапить і сюди | Доставка нагадувань на пристрій | США |
| Google (Gmail SMTP) | Email-адреси й зміст листів | Верифікація, скидання пароля, email-нагадування та підтвердження бронювання на явний запит гостя | США |
| RevenueCat Inc. | Ідентифікатор твого акаунта Kairoscope, ідентифікатор покупки, статус підписки | Перевірка статусу підписки | США |
| Firebase Analytics (Google) | Знеособлений ідентифікатор екземпляра застосунку, модель пристрою, версія ОС і застосунку, мова, приблизне місце за IP; події реєстрації й входу плюс стандартний автонабір Firebase (запуски, початки сесій, час взаємодії, оновлення застосунку та ОС) | Вимірювання ефективності реклами застосунку (§13) | США |
| Apple, Google | Дані транзакції | Обробка платежів у магазинах застосунків | США |
| GlitchTip | Версія застосунку, пристрій, послідовність екранів, ідентифікатор акаунта | Звіти про збої; це наш власний сервер, а не третя сторона | ЄС |
Крім того, якщо ти вмикаєш погоду на день, твій пристрій сам звертається до сервісу прогнозу Open-Meteo з координатами, округленими приблизно до кілометра. Ці координати не проходять через наш сервер і ми їх не зберігаємо.
Так само повз наш сервер працюють кнопки входу через Google і Apple у веб-версії: коли ти відкриваєш сторінку входу або реєстрації, твій браузер підвантажує скрипти цих кнопок із accounts.google.com (Google Identity Services) і appleid.cdn-apple.com (Sign in with Apple). Це стається при відкритті сторінки, ще до того, як ти щось натиснув, тож твоя IP-адреса й адреса цієї сторінки стають відомі Google і Apple, навіть якщо ти врешті входиш паролем або просто закриваєш вкладку. Ці запити йдуть із твого пристрою, ми їх не бачимо й нічого з них не зберігаємо; що з ними робить провайдер — визначає він, а не ми. У мобільному застосунку так не відбувається: там екран входу нічого не підвантажує, а вхід через Google чи Apple починається лише з натискання відповідної кнопки.
Так само повз наш сервер працює бейджі каталогів АпМап, Product Hunt і Censuus у підвалі публічних сторінок сайту: зображення вантажаться з appmap.com.ua, api.producthunt.com і censuus.com у момент відкриття сторінки (бейдж Censuus — коли підвал з’являється на екрані), ще до того, як ти щось натиснув, тож твоя IP-адреса, user-agent і адреса цієї сторінки стають відомі кожному з них, навіть якщо на бейдж ти так і не натиснеш. Ми цих запитів не бачимо й нічого з них не зберігаємо; що з ними робить кожен каталог — визначає він. Бейджі стоять лише на публічних сторінках сайту, у застосунку їх немає.
Дані не продаються. Про появу нового отримувача ми повідомляємо в застосунку.
9. Локація
Kairoscope отримує доступ до точного місцезнаходження пристрою лише коли ти вмикаєш функцію, якій воно потрібне (гео-нагадування, «виїхати вчасно», підказки адрес). Ми збираємо GPS-координати та адреси (дому/подій), які ти вводиш, і використовуємо їх, щоб спрацьовували гео-нагадування (коли ти приходиш у місце чи покидаєш його), розраховувати час у дорозі й нагадування про виїзд та автодоповнювати адреси. Для гео-нагадувань застосунок звертається до місцезнаходження у фоновому режимі — лише щоб зіставити його з місцями, які ти сам задав; саме зіставлення відбувається на пристрої, і ці фонові координати нікуди не надсилаються. Координати й адреси, які ти зберігаєш, а також твоя поточна позиція, коли для події працює підказка «виїхати вчасно», надсилаються до Google Maps Platform для розрахунку маршрутів, часу в дорозі та підказок адрес. Якщо увімкнена погода на день, координати, округлені приблизно до кілометра, ідуть із твого пристрою до сервісу прогнозу Open-Meteo. Ти можеш будь-коли прибрати гео-умову з нагадування, видалити збережені місця й відкликати дозвіл на локацію в налаштуваннях системи. Локація не використовується для реклами й не продається.
10. Посилання на календар (ICS)
Якщо ти вмикаєш підписку на календар, ми створюємо унікальне посилання, яке віддає твій календар без пароля: будь-хто, хто отримає це посилання, побачить усі твої події — і не лише назву та час, а й текст нотатки та адресу місця кожної події, за весь час, а не тільки за сьогодні. Нотатка — це той самий вільний текст, який §14 називає найчутливішим, тож стався до цього посилання як до ключа від усього календаря, а не до переліку назв. Сам токен ми зберігаємо у хешованому й зашифрованому вигляді, тож із бази його не прочитати. Не публікуй посилання. Окремої кнопки відкликання зараз немає: якщо посилання потрапило не туди, напиши на kairoscope.contact@gmail.com — ми його замінимо.
11. Строки зберігання
| Категорія | Строк |
|---|---|
| Акаунт, календар, задачі, категорії, шаблони, вкладені файли, а також решта створеного тобою в застосунку: збережені місця, посилання для бронювання, цілі часу, «якщо-то» продовження, приховані імпортовані події | Доки існує акаунт. Видалення акаунта в Профілі стирає їх одразу, разом із файлами вкладень |
| Ім'я та email гостя, який забронював час за твоїм посиланням | Доки існує сама подія в календарі власника. Зникають разом із подією, з видаленням акаунта власника, або раніше — на запит самого гостя (див. абзац про бронювання в §3) |
| Щоденник емоцій: записи стану й «моменти» | Доки існує акаунт або доки ти сам їх не зітреш — окремий запис з його картки, увесь щоденник кнопкою в Налаштуваннях → «Щоденник емоцій» (застосунок або веб). Автоматичного строку ми не встановлюємо: це твій особистий архів, і рішення про його давність лишається за тобою |
| Ліки: розклади й історія доз | Доки існує акаунт або доки ти сам не видалиш розклад у розділі «Ліки» — разом із розкладом зникає й історія його доз |
| Нагадування поїсти: розклад | Доки існує акаунт або доки ти сам не видалиш слот у розділі «Їжа та вода» |
| Нагадування поїсти: відмітки за день | 7 днів. Це не гігієна, а межа: одна відмітка за день — відповідь на сповіщення, а накопичена історія «їв / не їв» була б спостереженням за харчовою поведінкою. Ми її не ведемо |
| Нагадування попити: ціль і налаштування | Доки існує акаунт. Ціль на день перезаписується щодня. Скільки ти випив, ми не зберігаємо взагалі — цей лічильник лежить на твоєму пристрої |
| Чек-іни настрою й втоми, погодинні відмітки енергії | Доки існує акаунт. Кнопки, яка стирає саме ці записи, у застосунку зараз немає: чек-ін за день можна перезаписати новим значенням, стирання щоденника їх не зачіпає, і самі вони зникають разом з акаунтом. Видалити їх раніше можна на запит листом (§12). Автоматичного строку ми не встановлюємо |
| Аудіо голосового вводу | Не зберігається: передається провайдеру розпізнавання і відкидається одразу після отримання тексту |
| Історія чату з асистентом | Доки існує акаунт. Автоматичного строку ми не встановлюємо: це твоя переписка, і застосунок показує її тобі |
| Чат живої сесії події | 90 днів |
| Незбережена чернетка події | 30 днів з останньої зміни. Це те, що ти почав друкувати у формі й не зберіг; збережена подія — рядок вище |
| OAuth-токени синхронізації календаря | Доки синхронізацію підключено; відключення в Профілі видаляє їх |
| Токени оновлення сесії | До закінчення строку; прострочені видаляє щоденне завдання |
| Токени підтвердження email і скидання пароля | До закінчення строку (посилання живе години); прострочені видаляє щоденне завдання, використані — одразу при використанні |
| Токени пуш-сповіщень на пристрої | Доки пристрій активний. Токен, з яким застосунок не запускався понад 180 днів, видаляється; наступний запуск реєструє його знову |
| Лічильники використання AI-функцій (квоти безкоштовного рівня) | 24 місяці |
| Пропозиції розкладу від помічника | 90 днів після рішення (ухвалено чи відхилено); ті, що ще очікують рішення, строку не мають — це те, на що ти ще не відповів |
| Дозвіл «Помічника» — хто мав право заповнювати твій розклад і коли | Доки існує акаунт, включно з уже відкликаним дозволом: відкликаний рядок — це доказ того, хто мав доступ і коли, тож ми не стираємо і його |
| Журнал надісланих нагадувань | 2 доби |
| Відкладені («ще 10 хвилин») нагадування | 1 доба |
| Сповіщення у застосунку | Прочитані видаляються через 30 днів; непрочитані лишаються, доки існує акаунт |
| Зашифровані резервні копії | 7 днів (архіви вкладених файлів — 3 дні), далі видаляються. Стільки ж часу видалені дані можуть існувати в копії |
| Технічні логи сервера | Зберігаються не довше, ніж потрібно для діагностики й захисту від зловживань |
| Звіти про збої | Доки потрібні для виправлення відповідної помилки |
| Повідомлення через форму зворотного зв'язку | 24 місяці, або раніше на твій запит. Якщо ти надсилав його з адреси свого акаунта і ця адреса підтверджена, видалення акаунта стирає й повідомлення разом з ім'ям і адресою. Повідомлення, надіслані з іншої адреси, ми не можемо приписати акаунту й не стираємо разом з ним: форма працює й без акаунта. Так само ми не стираємо повідомлення з адреси, яку не можемо однозначно зв'язати з одним акаунтом (наприклад, якщо два акаунти відрізняються в ній лише великими й малими літерами): приписати таке повідомлення комусь одному ми не маємо підстав, і воно зникає за загальним строком вище. Код підтвердження email для цієї форми живе 10 хвилин, використаний зникає одразу, невикористані прибирає щоденне завдання |
| Записи про підписку | Доки існує акаунт. Дані самої транзакції зберігають Apple, Google і RevenueCat за власними строками |
| Записи про згоди: що саме, коли й яку редакцію тексту ти прийняв | Доки існує акаунт. Це доказ того, що згода була (ст. 7(1)), тож він живе стільки ж, скільки акаунт, і зникає разом з ним. Відкликання не стирає запис, а додає новий рядок про відкликання |
12. Твої права
Твої права. Ти маєш право: отримати доступ до своїх даних і копію в машинозчитуваному форматі JSON (ст. 15, 20); виправити неточні дані (ст. 16); видалити їх, «право бути забутим» (ст. 17); обмежити обробку (ст. 18); заперечити проти обробки, яку ми здійснюємо на підставі законного інтересу (ст. 21); відкликати будь-яку згоду.
Як скористатись. Експорт усіх даних у форматі JSON і видалення акаунта — у Профілі, без звернення до нас, у веб-версії й у мобільному застосунку. Окремий експорт і стирання щоденника емоцій — Налаштування → «Щоденник емоцій», в обох версіях. Згода на дані про здоров'я (і її відкликання), перемикач AI-функцій, окрема згода «ШІ для настрою» й підтвердження 16+ також є в обох версіях, у Налаштуваннях. Решта запитів, зокрема зміна email, обмеження обробки й заперечення, — листом на kairoscope.contact@gmail.com. Ми відповідаємо упродовж одного місяця з дня запиту; у складних випадках строк може бути подовжено ще на два місяці, і ми повідомимо про це в межах першого місяця (ст. 12(3)). Ми можемо попросити підтвердити особу листом з адреси акаунта, якщо маємо обґрунтовані сумніви.
Відкликання згоди діє на майбутнє й не робить незаконною обробку, що відбулася до відкликання (ст. 7(3)). Дані, вже надіслані до OpenAI чи Groq для виконання твого запиту, ми не можемо відкликати з їхніх систем.
Скарга. Якщо вважаєш, що ми обробляємо твої дані з порушенням, ти маєш право подати скаргу до наглядового органу із захисту даних за місцем свого проживання, місцем роботи або місцем гаданого порушення. Перелік органів держав-членів ЄС: edpb.europa.eu/about-edpb/about-edpb/members_en. В Україні наглядовим органом є Уповноважений Верховної Ради України з прав людини: ombudsman.gov.ua. Звертатися спершу до нас не обов'язково, але зазвичай так питання вирішується швидше.
13. Кукі, локальне сховище й аналітика
Кукі та локальне сховище. У вебі: HttpOnly cookie для refresh-токена автентифікації, localStorage для теми, мови та кешу сесії; два ключі з персональними даними (округлені координати для погоди й твої нотатки про відновлення) стираються при виході з акаунта. У мобільному застосунку refresh-токен лежить у захищеному сховищі ОС (Keychain / Android Keystore) і видаляється при виході з акаунта, а черга офлайн-змін і нотатки про відновлення — в окремому зашифрованому локальному сховищі, ключ до якого зберігає та сама ОС. Починаючи з версії 1.0.4, вихід з акаунта на телефоні, хоч би як завершилась сесія, прибирає: те, що застосунок показував із пам'яті (твої події, задачі, чек-іни, ліки тощо), завантажені вкладення, лічильник серії, округлені координати погоди, крок, збережений для віджета «Один крок», дані гео-нагадувань — назви цих подій, а телефон перестає стежити за їхніми місцями, — відхилені картки «Перевірка дня» й обидва перемикачі, що дозволяють застосунку читати сон (Health Connect) і календарі самого телефона. Коли ти виходиш сам або видаляєш акаунт, а не просто закінчується сесія, стираються також черга офлайн-змін, нотатки про відновлення, лічильник випитого, PIN екранів здоров'я і згода на аналітику на цьому пристрої; запис згоди в акаунті лишається, бо вихід — це не відкликання згоди. Попередні версії стирають менше. Налаштування інтерфейсу (тема, мова, розмір тексту, що показує головний екран) лишаються — вони не є персональними даними. Рекламних кукі й піксельних трекерів у вебі немає.
Аналітика. З твоєї згоди ми використовуємо Firebase Analytics (Google Ireland Ltd. і Google LLC), щоб оцінювати ефективність реклами застосунку. Сам застосунок надсилає дві події — реєстрацію та вхід. Понад те Firebase збирає власні стандартні події користування: запуски застосунку, початки сесій, час взаємодії, оновлення застосунку та операційної системи. Разом із ними передаються знеособлений ідентифікатор екземпляра застосунку, модель пристрою, версія ОС і застосунку, мова та приблизне місце, визначене за IP-адресою. Вимкнути ці автоматичні події поодинці технічно неможливо — згода діє на весь набір. Автоматичне звітування про перегляди екранів ми вимкнули, зміст твого календаря, задач і щоденника не передається, рекламний ідентифікатор пристрою ми не збираємо. Без згоди аналітика не запускається взагалі. Згода дається окремо на кожному пристрої й не переноситься між ними; змінити рішення можна будь-коли в Налаштуваннях. Це стосується версії застосунку 1.0.2 і новіших. Перемикач працює в коді самого застосунку, тому на раніших версіях, установлених на пристрої, аналітика й далі збирається без нього; оновлення застосунку вмикає гейт. У веб-версії сторонньої аналітики немає взагалі, але сторінка входу підвантажує скрипти кнопок входу Google і Apple (§8) — і вже цим показує їм твою IP-адресу.
14. Безпека
Транспорт: HTTPS (TLS 1.2 і 1.3, HSTS). Автентифікація: JWT разом із refresh-токеном у HttpOnly-куці, паролі захищені bcrypt. Дані особливої категорії, а саме вільний текст щоденника емоцій, назви препаратів і повідомлення AI-чату, додатково шифруються на рівні поля алгоритмом AES-256-GCM ключем, що зберігається окремо від бази; без цього ключа сервер у продакшені просто не стартує. Структуровані сигнали щоденника (лейбли емоцій, зони тіла, тригери, шкали) зберігаються без шифрування на рівні поля, бо потрібні для обчислення твоїх власних трендів; шифрування диска на сервері зараз не застосовується, тому найчутливіший елемент — вільний текст — захищено саме на рівні поля. OAuth-токени синхронізації календаря зашифровані, токен підписки на календар зберігається і в хешованому, і в зашифрованому вигляді. Резервні копії шифруються AES-256 перед записом на диск, і скрипт відмовляється робити копію без ключа. Звіти про збої проходять через фільтр, що прибирає зміст твоїх записів, токени доступу, email та IP-адресу — лишається тільки ідентифікатор акаунта. У мобільному застосунку щоденник можна додатково замкнути PIN-кодом, який зберігається у сховищі ОС.
15. Діти
Kairoscope призначений для осіб від 16 років. У державах-членах ЄС, які встановили нижчий вік цифрової згоди (від 13 років), користуватись сервісом можна з цього віку. При реєстрації ми просимо підтвердити відповідність віковому порогу; єдиний виняток — акаунт, що створюється першим входом через Google або Apple з екрана входу (Умови, §1). Ми свідомо не збираємо дані осіб, молодших за відповідний поріг. AI-функції над щоденником емоцій додатково вимагають окремого підтвердження, що тобі виповнилось 16; це підтвердження можна зняти в будь-який момент у Налаштуваннях, і разом із ним вимикається «ШІ для настрою». Якщо ти батько або мати й вважаєш, що дитина створила акаунт, напиши на kairoscope.contact@gmail.com: ми видалимо акаунт і всі дані протягом 30 днів.
16. Дані Google та обмежене використання (Limited Use)
Коли ти підключаєш синхронізацію Google Calendar, Kairoscope запитує доступ до твого календаря лише для читання (Google Calendar scope «calendar.readonly»). Ми використовуємо цей доступ винятково щоб читати наявні події твого календаря й показувати їх поряд із подіями Kairoscope — аби ти бачив весь свій день і уникав накладок. Ми ніколи не створюємо, не редагуємо й не видаляємо нічого у твоєму Google-календарі.
Використання та передання Kairoscope інформації, отриманої з Google API, будь-якому іншому застосунку відповідає Google API Services User Data Policy, зокрема вимогам Limited Use. А саме, дані Google Calendar:
- використовуються лише щоб надавати й покращувати описані вище функції календаря;
- не продаються й не передаються третім сторонам, окрім як для надання цих функцій, для дотримання застосовного закону або в межах злиття чи поглинання;
- не використовуються для реклами;
- не читаються людьми, окрім випадків: твоя явна згода, потреба безпеки чи дотримання закону, або якщо дані знеособлені й агреговані для внутрішніх операцій.
Зашифрований OAuth-токен зберігається лише поки синхронізацію підключено; відключення синхронізації в Профілі видаляє його й відкликає доступ. Відкликати доступ також можна будь-коли на myaccount.google.com/permissions.
17. Зміни політики
Про суттєві зміни повідомляємо в застосунку.
Цю політику опубліковано українською, англійською, іспанською та французькою. Автентичною є українська версія; решта — переклади, надані для зручності, і в разі розбіжності переважає український текст. Це не обмежує жодного з прав, описаних у §12: скористатися ними можна будь-якою з цих мов.