Политика конфиденциальности

Эта политика объясняет, что приложения Buttonly делают с вашими данными. Она относится к приложениям для Android Buttonly Translate и Buttonly Remember. Правила пользования приложениями — в наших Условиях использования.

Эта политика написана по-английски и переведена. Если перевод неясен или расходится с английским текстом, действует то толкование, которое выгоднее для вас.

Коротко

• Нет ни аккаунтов, ни рекламы, ни аналитики, ни слежки. Мы не продаём ваши данные.
• Новые версии приложений работают так, как описано здесь. Пока приложение не обновилось, оно отправляет на наш сервер текст с телефона, без звука.
• Пока вы говорите, служба распознавания речи Google на телефоне показывает ваши слова. Для одних языков это происходит на телефоне; для других ваш голос получает Google по своей политике конфиденциальности (подробнее).
• Когда вы закончили, приложения отправляют звук на наш сервер. Для большинства языков наша модель речи превращает его в текст (подробнее). Так происходит с каждой фразой в Translate, а в Remember — с каждым вопросом, с первыми 50 записями и со всеми записями при подписке. Звук лежит только в рабочей памяти и не сохраняется.
• Дальше с нашего сервера в искусственный интеллект идёт только текст: это Claude компании Anthropic, США. Наш сервер не сохраняет ваши слова на диск (сколько он их держит).
• Записи Remember хранятся на телефоне. Их текст проходит через наш сервер, когда приложение отправляет запись, а в Claude они попадают только вместе с вашим вопросом (подробнее).
• В Translate голос собеседника обрабатывается так же (что это значит для него).
• В сказанном могут быть сведения о здоровье и другие чувствительные сведения, поэтому оба приложения работают только с вашего явного согласия. Его можно отозвать в любой момент (Translate, Remember).
• То, что хранят приложения, — история Translate и ваши записи в Remember, — лежит на вашем телефоне. Записи Remember и число использованных бесплатных переводов в Translate попадают также в резервную копию телефона в Google, если она включена.
• Claude обрабатывает ваши запросы в США, по стандартным договорным условиям ЕС (подробнее).
• Приложения — только для взрослых (18+).
• По вашему IP-адресу мы проверяем регион (подробнее). Для Украины — этот раздел.

Кто отвечает за данные

Приложения делает Dmytro Liashko под торговым названием Buttonly, Sir Winston Churchilllaan 843A, 2286 AA Rijswijk, Нидерланды, номер в Торговой палате Нидерландов (KvK) — 84903481.

Мы отвечаем за ваши персональные данные в приложениях (мы — «контролёр» по Общему регламенту ЕС о защите данных, GDPR).

Вопросы о конфиденциальности: support@buttonly.app.

Какие слова здесь используются

• Наш сервер — сервер Buttonly. Он работает в Google Cloud в Нидерландах. Им пользуются оба приложения.
• Наша модель речи — модель распознавания речи, которую мы сами запускаем в Google Cloud в Нидерландах, в закрытом сервисе, куда есть доступ только у нашего сервера. Авторы модели ваш голос не получают.
• Служба распознавания речи — служба на вашем телефоне, которая превращает речь в текст. На Android это служба распознавания речи от Google («Службы распознавания речи от Google», Speech Services by Google); приложения пользуются только службой Google, поэтому на телефонах без неё они не могут вас понять. Она — часть вашего телефона, а не наших приложений.
• Claude — модель искусственного интеллекта компании Anthropic PBC (США); мы обращаемся к ней напрямую в Anthropic. Claude читает текст сказанного вами, переводит его или понимает, чего вы хотите, и отвечает на вопрос.
• ИИ — в этой политике только Claude. Наша модель речи — тоже искусственный интеллект, но её мы всегда называем «наша модель речи». Claude работает на серверах Anthropic в США; Anthropic — наш обработчик по договору.
• На телефоне — в собственном хранилище приложения на вашем телефоне. Другие приложения прочитать его не могут.

Что общего у обоих приложений

Микрофон и распознавание речи

Приложения слушают, только когда вы нажали большую кнопку. Запись заканчивается, когда вы нажали кнопку ещё раз, после долгой тишины или когда фраза достигла предельной длины. В фоне приложения никогда не слушают. Перед тем как вы впервые заговорите с приложением, оно показывает короткое предупреждение со ссылкой на эту политику. В этом предупреждении вы даёте согласие (Translate, Remember).

• Язык, на котором вы говорите, вы выбираете в приложении из списка 24 языков: украинский, русский, английский, нидерландский, немецкий, французский, испанский, польский, итальянский, португальский, болгарский, чешский, датский, эстонский, греческий, хорватский, латышский, литовский, венгерский, румынский, словацкий, словенский, финский и шведский.
• Приложение и служба распознавания речи на вашем телефоне. Пока вы говорите, приложение берёт звук с микрофона и сразу передаёт его службе распознавания, которая показывает ваши слова. Если это не работает, служба слушает микрофон сама. Приложение держит звук только в оперативной памяти, лишь столько, сколько нужно для передачи, и никогда его не сохраняет.
• Android 12 и более ранние версии. Запись для нашей модели речи делает само приложение, без службы Google, поэтому слова появляются только после окончания фразы; звук лежит в рабочей памяти до отправки. На остальных записях и если в начале нет связи служба слушает микрофон сама.
• На телефоне или у Google. Некоторые языки могут распознаваться на самом телефоне (на Android 13 и новее), без отправки голоса куда-либо, если на телефон скачан языковой пакет Google для этого языка. Для остальных, включая украинский и нидерландский, а также для любого языка без скачанного пакета служба отправляет ваш голос на серверы Google, чтобы его распознать.
• Кто отвечает. Когда голос распознаётся через интернет, мы и Google совместно отвечаем за сбор вашего голоса и его передачу в Google. Что Google делает с ним дальше — сколько хранит и где обрабатывает, — Google решает сам, как отдельный контролёр (для ЕЭЗ — Google Ireland Limited), по Политике конфиденциальности Google. Мы не видим и не можем удалить то, что хранит Google: об этом спрашивайте Google, а обо всём остальном — нас.
• Без этой службы приложения не могут вас понять. На телефонах без сервисов Google приложения не работают.

Наша модель речи

Новые версии приложений работают так, как описано здесь. Пока приложение не обновилось, оно отправляет на наш сервер текст с телефона, без звука.

Когда вы закончили, приложение отправляет звук вместе с текстом, который услышал телефон, по зашифрованному соединению на наш сервер. Для большинства языков сервер передаёт звук в нашу модель речи, и она превращает его в текст (какие языки). Звук не уходит ни в Anthropic, ни кому-либо ещё, не сохраняется и не идёт на обучение.

• Когда. Translate: каждая фраза, ваша или собеседника. Remember: каждый вопрос и команда «Забудь…», первые 50 записей и все записи при подписке. Остальные записи на наш сервер не идут, кроме языков ниже, а записи, начатые без связи, не идут никогда: сохраняется текст телефона.
• Пробуждение модели. После того как вы приняли предупреждение приложения, и если сказанное дальше уйдёт на наш сервер звуком, приложение при открытии и при возврате в него отправляет на наш сервер короткий запрос, не чаще раза в несколько минут. Так наша модель речи успевает подготовиться, пока вы не заговорили. В запросе нет ни звука, ни слов; наш сервер и Google Cloud записывают его в журнал, как любой другой запрос (подробнее).
• Сверх месячного лимита наша модель речи для записей не используется. Звук первой записи сверх предела всё же доходит до нашего сервера, который отбрасывает его, не слушая. После этого приложение не отправляет звук записей до нового месяца.
• Это можно выключить для записей, вопросов и «Забудь…»: выключатель «Только текст телефона» в «Моих записях» в Remember (подробнее). Тогда приложение берёт текст телефона, и голос на наш сервер не идёт.
• Если модель не ответила вовремя, используется текст телефона. На Android 12 и более ранних версиях текста телефона нет: приложение через мгновение пробует ещё раз, держа звук только в рабочей памяти. Если и это не удалось, звук стирается, а приложение сообщает, что запись не сохранена.
• После обновления приложение отправляет звук только после того, как вы согласились с его уведомлением.

Языки нашей модели речи

Экраны согласия в приложениях описывают, как это работает для большинства языков. Исключение: на Android 13 и новее для шведского, датского, литовского, латышского, словенского и греческого наша модель речи не используется, пока у телефона есть свой текст. Звук всё равно доходит до нашего сервера, который отбрасывает его, не слушая, а приложение использует текст телефона. В Remember так происходит с каждой записью на этих языках, и после первых 50 тоже, пока не включён выключатель «Только текст телефона». На Android 12 и более ранних версиях модель работает на всех этих языках.

Ни аккаунтов, ни рекламы, ни аналитики, ни слежки

Входить в аккаунт не нужно. В приложениях нет рекламы, аналитики и средств отчётов о сбоях, и они не следят за вами в других приложениях и на сайтах.

Приложения пользуются двумя сервисами Google Firebase: App Check (см. следующий раздел) и базой данных, куда попадают только жалобы, которые вы сами решили отправить.

Проверка, что приложение настоящее

Чтобы защитить наш сервер от злоупотреблений, каждый запрос несёт токен Firebase App Check. Чтобы его получить, приложение просит сервисы Google Play на вашем телефоне провести проверку Play Integrity.

Для этой проверки Google получает сведения о приложении (название, версию и подпись), состояние его лицензии Google Play для аккаунтов Google на телефоне и проверочные данные, которые создаёт ваше устройство. По ним Google подтверждает, что запрос пришёл из настоящего приложения на настоящем, не изменённом устройстве. Эту проверку Google проводит по Условиям использования Google Play (какие данные собирает Google).

В токене нет ничего из того, что вы сказали. Наш сервер проверяет токен и не сохраняет его. Чтобы одна копия приложения не выдавала себя за многие, он хранит хэш с секретом от токена в оперативной памяти до полуночи по времени Амстердама (месячный лимит).

Что хранит наш сервер

• Наш сервер получает звук того, что вы говорите, когда приложение отправляет запись (подробнее), а иначе только текст.
• Наш сервер не сохраняет на диск сказанное, переводы, записи и вопросы. Он передаёт их дальше и возвращает ответ на телефон.
• Звук лежит в рабочей памяти только на время обработки запроса, затем отбрасывается; он никогда не пишется на диск, в журналы и в кэш. Если телефон потерял связь и отправил тот же запрос снова, сервер не должен обрабатывать его дважды. Поэтому он держит каждый ответ вместе со словами, услышанными с вашего голоса, в рабочей памяти (не на диске) и использует его повторно до 5 минут. После этого ответ больше не используется и стирается, когда эта копия сервера обработает следующий запрос или остановится. Копию без запросов Google Cloud почти останавливает, и она держит ответ, пока не проснётся или не завершится, поэтому точного срока мы обещать не можем.
• На каждый запрос сервер пишет техническую строку журнала: время, приложение, адрес на сервере, к которому оно обратилось, результат (и техническую ошибку, если она была), сколько длился запрос, какая модель ИИ ответила и сколько «токенов» (единиц текста) ушло. На каждое обращение к ИИ он пишет ещё одну строку того же рода.
• Google Cloud записывает также IP-адрес запроса и «user agent» — короткий текст, который телефон отправляет с каждым запросом; в нём названы версия Android и модель телефона. Запрос, отклонённый из-за региона, так не записывается (подробнее).
• В журнале никогда нет вашего голоса и ваших слов.
• Чтобы проверить подписку, наш сервер хранит в нашей базе данных в Google Cloud в Нидерландах хэш с секретом от токена покупки, приложение, продукт, состояние, срок действия права, признак тестовой покупки и время последней проверки. Полного токена, номера заказа, суммы и страны он не хранит. Если Google Play не знает токен покупки, сервер держит только хэш с секретом от него в рабочей памяти до 10 минут, чтобы не спрашивать о нём Google снова. В журнал токен не записывается.
• Журнал хранится в Google Cloud в Нидерландах 30 дней (строки журнала, записанные до 17 октября 2026 года, остаются в глобальном хранилище журналов Google, пока не истекут их сроки, — самое позднее до 16 ноября 2026 года) и затем удаляется сам.

Месячный лимит

Чтобы сервис работал и не выходил за бюджет, каждая установка приложения может отправить нашему серверу до 3000 переводов в месяц (Buttonly Translate), а в Buttonly Remember — до 2000 вопросов в месяц и, отдельным счётом, до 2000 записей в месяц через нашу модель речи. Сверх предела запись всё равно сохраняется с текстом телефона. На Android 12 и более ранних версиях первая запись сверх предела не сохраняется: приложение скажет об этом и попросит её повторить. Счёт начинается заново в 00:00 по времени Амстердама 1-го числа каждого месяца.

• Чтобы их считать, приложение отправляет с каждым запросом случайный номер установки. Он создаётся на вашем телефоне, не связан с вашим именем, аккаунтом Google или идентификаторами телефона и исчезает, когда вы очищаете данные приложения или удаляете его, а в Remember ещё и когда вы отзываете согласие. Старые версии приложений его не отправляют; их сервер считает по IP-адресу (для IPv6 — по его сети /64).
• Сервер не хранит ни номер, ни адрес — только их зашифрованный отпечаток (хэш с секретом) вместе со счётом, в нашей базе данных в ЕС (в Google Cloud, Нидерланды). Ключ хэша хранится отдельно от базы. Счётчик удаляется сам после окончания месяца, обычно в течение суток. В журнал он никогда не записывается. Если база недоступна, сервер временно ведёт этот счётчик у себя в оперативной памяти, тоже только до конца месяца.
• Мы не можем связать эти счётчики с вами, поэтому по вашей просьбе не можем найти, показать или удалить ваш счётчик; он удаляется сам после окончания месяца.
• Для защиты от злоупотреблений сервер также считает запросы по токену App Check (выше) — как хэш с секретом, только в оперативной памяти, до полуночи по времени Амстердама.

Проверка региона

Anthropic, чей ИИ мы используем, не предоставляет свой сервис в некоторых странах и регионах, даже если человек там ненадолго. Мы обязаны это соблюдать, иначе приложения могут потерять доступ к ИИ для всех. Поэтому, когда приложение отправляет на наш сервер запрос к ИИ или спрашивает, работает ли сервис там, где вы находитесь, сервер проверяет регион по вашему IP-адресу.

• Как это работает. Наш сервер ищет IP-адрес в списке закрытых диапазонов адресов, в своей рабочей памяти. Для этого никому ничего не передаётся.
• Что хранится. Ваш регион не сохраняется, отдельной записи об этой проверке нет. Обычный технический журнал хранит IP-адрес запросов 30 дней (подробнее). Если запрос отклонён из-за региона, адреса в этом журнале не будет: записывается только сам отказ, без адреса, страны и региона.
• Что значит отказ. В этом месте приложение не может обратиться к ИИ. Больше ничего не происходит (где приложения не работают).
• Проверка может ошибаться. IP-адрес показывает место лишь примерно, а VPN его меняет. Если вы получили отказ там, где приложение должно работать, напишите на support@buttonly.app.
• Источник списка. IP Geolocation by DB-IP, по лицензии CC BY 4.0. Мы сократили его до закрытых диапазонов.
• Модель речи. Модель речи: Parakeet TDT 0.6B v3, авторы NVIDIA (huggingface.co/nvidia/parakeet-tdt-0.6b-v3), дообучение moondream (huggingface.co/moondream/parakeet-ultra), экспорт ONNX Olicorne (huggingface.co/Olicorne/parakeet-tdt-0.6b-v3-ultra-onnx, int8, ревизия b27f93c), по лицензии CC BY 4.0 (creativecommons.org/licenses/by/4.0/). Мы используем её без изменений; она предоставляется как есть.
• Ваши права. Основание — наши законные интересы (подробнее), и вы можете возразить (как).

Проверка интернета

Если ответ задерживается дольше обычного, приложение может отправить один пустой запрос на connectivitycheck.gstatic.com. Это адрес Google, по которому сам Android проверяет доступ в интернет. Так приложение узнаёт, что медленно — ваш интернет или наш сервис. Как и любой запрос в интернете, он показывает Google ваш IP-адрес, но больше ничего о вас.

Тексты приложения на вашем языке

Кнопки и сообщения приложения показываются на вашем языке. Переводы встроены в само приложение, поэтому для этого ничего никуда не отправляется. Версии, вышедшие до 23 октября 2026 года, отправляли тексты интерфейса и название вашего языка через наш сервер в Gemini для перевода; в этом запросе не было ничего из того, что вы сказали.

Чтение вслух

Когда вы нажимаете кнопку динамика, приложение просит движок синтеза речи Google на вашем телефоне прочитать текст вслух; если его нет, читает движок, выбранный в настройках Android. Некоторым голосам нужен интернет: тогда движок отправляет текст своему производителю (Google или производителю телефона) по его собственной политике конфиденциальности. Мы от него ничего не получаем.

Без вашего согласия и после его отзыва приложение использует только голоса на телефоне: если такого голоса нет, текст не читается и не уходит создателю голосового движка. За движок, выбранный в настройках телефона, отвечает его создатель.

Жалобы на результаты ИИ

ИИ может ошибаться. В каждом приложении на результат ИИ можно пожаловаться маленьким флажком. В Translate нажмите маленький флажок на карточке результата, в Remember — флажок на экране ответа. Жалоба отправляется, только если вы нажали флажок и подтвердили.

• Жалобы попадают в нашу базу данных в Google Cloud в Нидерландах.
• Приложение может только добавлять жалобы; читать, менять и удалять их оно не может. Читать их можем только мы.
• В жалобе нет ни имени, ни аккаунта, ни идентификатора устройства. Что именно в ней есть, описано ниже в разделе каждого приложения (Translate, Remember).
• Жалобы нужны нам, чтобы находить и исправлять неверные или вредные результаты ИИ.
• Жалоба хранится 6 месяцев. Затем она удаляется сама, обычно в течение суток.

Buttonly Translate

Что происходит, когда вы говорите

1. Вы выбираете два языка: свой и язык собеседника.
2. У большой кнопки две половины: одна ваша, другая собеседника. Кто говорит, тот нажимает свою половину, произносит фразу и, договорив, нажимает её ещё раз. Служба распознавания на телефоне показывает фразу текстом (подробнее).
3. Телефон отправляет звук и этот текст по зашифрованному соединению (HTTPS) на наш сервер вместе с двумя языками и языком экранов приложения. Для большинства языков наша модель речи превращает звук в текст; если этого не произошло, используется текст телефона (подробнее).
4. Наш сервер отправляет текст и эти языки в ИИ (Claude). ИИ возвращает перевод. Телефон показывает его и сохраняет в историю (см. ниже).
5. Если ваша фраза переведена на язык собеседника, телефон затем просит у нашего сервера её произношение буквами вашего алфавита. Он отправляет то, что вы сказали, перевод и оба языка. Наш сервер передаёт в ИИ только перевод и языки. Сказанное вами он использует только для проверки: что ответ — это произношение, а не пересказ вашей фразы.

Звук не сохраняется. На нашем сервере звук находится только на время обработки запроса. Пока фраза не переведена, её текст лежит только в оперативной памяти приложения, чтобы его можно было отправить ещё раз, если связь оборвалась. Если перевода нет, текст исчезает, когда вы говорите новую фразу, отменяете её или закрываете приложение. Переведённая фраза хранится в истории.

Если произношение не пришло, приложение позже просит его у нашего сервера ещё раз: когда вы открываете этот перевод крупно и один раз при следующем запуске приложения. Отправляется то же, что и в первый раз (шаг 5).

Ваше согласие в Translate

• Перед первой фразой Translate показывает уведомление. Сказанное о здоровье и другие чувствительные сведения отправляются так же, как всё остальное. Нажимая «Согласиться», вы даёте на это явное согласие.
• Пока вы не согласились, приложение не отправляет звук. Если вы соглашались с прежним уведомлением, оно спросит снова.
• Согласие можно отозвать в любой момент: пункт «Отозвать согласие» в меню приложения. После этого ваш голос и текст больше не отправляются, а приложение снова показывает уведомление. История не стирается: для этого есть отдельная кнопка (как). Отзыв не отменяет подписку (подробнее).
• На телефоне хранятся версия уведомления, с которым вы согласились, время согласия и время отзыва.

Что остаётся на телефоне

• История переводов: текст 50 последних переводов в обе стороны вместе: ваших фраз на язык собеседника и ответов собеседника на ваш язык. В каждом — что было сказано, перевод, произношение (у ваших фраз), языки, время, отметка о жалобе и отметка, нужно ли ещё запросить произношение. Когда переводов больше 50, самый старый удаляется сам. Звук не хранится.
• История лежит только на вашем телефоне, в той части памяти, которую Android не копирует в резервную копию. Из неё ничего не покидает телефон, кроме жалобы, которую вы решили отправить, и запроса недостающего произношения (см. выше).
• Слова собеседника. В истории есть то, что сказал вам собеседник. Мы этого не видим. Если вы были собеседником в таком разговоре и хотите, чтобы ваши слова удалили, попросите того, кто пользовался приложением, очистить историю.
• Другие данные приложения — два выбранных вами языка — могут попадать в резервную копию телефона в Google и при прямом переносе на новый телефон, если резервное копирование включено. Приложение хранит и запись о том, что вы приняли предупреждение: его версию и язык, когда вы его приняли, и «отпечаток» (хэш) ровно того текста. Эта запись не копируется в резервные копии, поэтому на новом телефоне приложение покажет предупреждение снова.
• Число использованных бесплатных переводов — одно число, без ваших слов — попадает в резервную копию телефона в Google и при прямом переносе на новый телефон, если резервное копирование включено, чтобы бесплатная часть давалась один раз. Это необходимо, чтобы предоставить бесплатную часть и подписку, как описано в наших Условиях использования (ст. 6(1)(b) GDPR).
• Приложение запоминает на телефоне, когда Google Play в последний раз подтвердил подписку, чтобы работать при коротком сбое Google Play. Это не попадает в резервную копию и стирается при очистке данных или удалении приложения; токены покупок не хранятся.

Удаление

• Очистить историю: нажмите «Очистить историю» в начале истории, над самым старым переводом, и подтвердите. Все переводы — ваши и собеседника — удалятся с телефона. Языки, число использованных бесплатных переводов, подписка и запись о принятом предупреждении при этом не меняются.
• Уже отправленные жалобы вместе с историей не удаляются. Они удаляются через 6 месяцев или раньше, если вы нас попросите (как).
• Чтобы стереть всё, что хранит приложение, откройте в Android Настройки → Приложения → Buttonly Translate → Хранилище → Очистить данные или удалите приложение. Копия счётчика бесплатной части в резервной копии Google останется, пока следующая копия не заменит её или Google её не удалит (подробнее). На разных телефонах пункты меню называются по-разному.

Жалобы

Если вы пожаловались на перевод, в жалобе есть: что приложение услышало (вашу фразу или ответ собеседника, текстом), перевод, произношение, язык перевода, ваш язык и язык собеседника, версия приложения и время, когда жалоба пришла.

Buttonly Remember

Remember хранит продиктованное вами текстовыми записями, отвечает на вопросы о них и забывает их, когда вы просите. Это ИИ-помощник: служба распознавания на телефоне и наша модель речи превращают ваш голос в текст, а Claude понимает только ваши вопросы и команды «Забудь…» и пишет ответы; записи хранятся на телефоне.

Что происходит, когда вы говорите

• Вы выбираете язык записей. Когда вы говорите, служба распознавания на телефоне превращает голос в текст на этом языке (подробнее). Если телефон распознаёт речь через интернет, голос уходит в службу распознавания Google. Звук не сохраняется. Первые 50 записей, все записи при подписке и каждый вопрос приложение также отправляет звуком на наш сервер и, для большинства языков, в нашу модель речи (подробнее).
• Когда вы сохраняете запись, её текст хранится на телефоне. Когда приложение отправляет запись, звук и текст проходят через наш сервер, который не сохраняет их на диск; в Claude ничего не уходит. Число записей не ограничено.
• Когда вы задаёте вопрос (кнопка «Спросить»), телефон отправляет вопрос и ваши записи (какие — ниже) через наш сервер в Claude от Anthropic. Команда «Забудь…» отправляется так же. Сначала она сохраняется на телефоне текстом, затем отправляется сама, как только появится интернет, даже если приложение закрыто.
• С каждым вопросом телефон отправляет на наш сервер, а сервер — ИИ:
  • текст сказанного вами;
  • дату, время и часовой пояс, когда вы говорили;
  • язык ваших записей и язык телефона;
  • ваш последний вопрос и ответ на него, если вы спросили меньше двух минут назад;
  • вашу последнюю запись (её текст), даже если записей больше 50;
  • если у вас больше 50 записей или в них больше 60 000 знаков, — список имён людей из ваших записей (не больше 60, только имена), чтобы ИИ правильно расслышал имя;
  • если приложение ждёт вашего «да» или «нет» на вопрос «Забыть…?», — краткое описание того, что оно собирается забыть.
• Какие ваши записи отправляются (только с вопросами). Пока у вас не больше 50 записей (и вместе в них не больше 60 000 знаков), с вопросом отправляются все ваши записи. Когда записей больше, отправляются только нужные: для вопроса или команды «Забудь…» телефон отбирает до 30 самых подходящих записей (те, что цитировал ваш последний ответ, те, где есть слова вашего вопроса, по названным датам, самые свежие и поправки к ним) и отправляет их текстом. Записи никогда не отправляются в Claude, когда вы их только сохраняете.
• Что возвращает ИИ: чего вы хотели — спросить или забыть. На вопрос он возвращает ответ с короткими цитатами из ваших записей и слова, по которым искать записи. Наш сервер проверяет, что каждая цитата действительно есть в записи. На «Забудь…» он возвращает, какие записи подходят, и приложение переспрашивает, прежде чем удалить. Если две записи расходятся, более новая считается поправкой, и ответ может об этом сказать.
• Безопасность. Если из вашего вопроса или из записей, которые цитирует ответ, похоже, что вам грозит опасность или вы думаете причинить себе вред, ИИ это отмечает, и приложение на экране ответа мягко советует поговорить с близкими или позвонить 112. При сохранении записи такой проверки нет.
• Поиск записей. Когда записей больше 50, приложение находит нужные для вопроса на телефоне, по словам и датам. Слова для поиска приходят от Claude вместе с его ответом на ваш вопрос. Ваши записи для этого поиска никуда не отправляются.
• Ждущий отправки вопрос лежит на телефоне текстом, в памяти, которая не копируется в резервную копию, пока ИИ не поймёт его или пока приложение не откажется от него. Затем он удаляется. Вопрос, заданный после того, как 50 бесплатных вопросов закончились, хранится на телефоне там же, пока вы не оформите подписку или не удалите его. До этого ничего не отправляется, если только Google Play ещё не подтвердил, что подписки нет: тогда вопрос уходит в ИИ как обычно, а ответ ждёт подписки на телефоне. Если наш сервер увидит, что подписка закончилась, он отклонит запрос и ничего не передаст ИИ. Если отменить ждущий вопрос, он тоже удаляется.
• Что приложение старается не хранить. Remember старается распознать номера банковских карт, IBAN и числа, сказанные рядом со словами вроде «PIN» или «пароль». Телефон проверяет то, что услышал. Когда ваш голос идёт на наш сервер, сервер проверяет текст телефона и текст нашей модели, если она использовалась. Если проверка находит такой номер, запись или вопрос не сохраняются, слова не идут в ИИ, наш сервер их не возвращает и не хранит, а вы видите сообщение. Эти проверки работают по правилам и могут пропустить номер, особенно неверно услышанный; пропущенное сохраняется и может уйти в ИИ вместе с вопросом. Они могут и отказать в безобидном. К моменту проверки ваш голос уже мог попасть в Google, если он распознаётся онлайн, и на наш сервер, который его не хранит. На Android 12 и более ранних версиях у телефона нет своего текста, поэтому работают только сервер и последняя проверка на телефоне. Пожалуйста, не диктуйте номера карт, PIN-коды и пароли. Код домофона сохраняется.
• Здоровье и другие чувствительные сведения. Remember сохраняет и записи о вашем здоровье, самочувствии или других чувствительных вещах, если вы их диктуете. Они хранятся на телефоне. Ваш голос и их текст проходят через наш сервер, когда приложение отправляет запись, а в Claude они попадают только вместе с вопросом или командой «Забудь…» (все записи, пока их до 50, потом только подходящие). Такие сведения чувствительны, поэтому Remember обрабатывает их только с вашего явного согласия (подробнее). Вы сами решаете, что сказать приложению. Если голос распознаётся у Google (подробнее), Google тоже получает сказанное. Remember выбирает распознавание на телефоне, когда оно доступно.

Ваше согласие

• Перед первой записью Remember показывает уведомление: что идёт на наш сервер и в нашу модель речи, что отправляется в Claude, где хранятся записи, что сказанное о здоровье и других чувствительных вещах сохраняется и отправляется тоже и что для некоторых языков голос уходит в Google на распознавание. Нажимая «Согласиться», вы даёте явное согласие на такую обработку этих сведений.
• Без этого согласия Remember работать не может: всё, что вы продиктуете, может касаться здоровья, а приложение не может знать этого заранее. Если нажать «Не сейчас», приложение не слушает. Если Remember восстановлен на новом телефоне из резервной копии Google, он снова спрашивает согласие и ничего не отправляет, пока вы не согласитесь; если вы не согласитесь, восстановленные записи остаются на этом телефоне, пока вы не очистите данные приложения в настройках Android или не удалите приложение.
• На телефоне Remember хранит запись о вашем согласии: версию и язык предупреждения, когда вы согласились, и «отпечаток» (хэш) ровно того текста, который вы видели. По ней видно, на что вы согласились.
• «Только текст телефона». Этот выключатель в «Моих записях» действует на записи, вопросы и «Забудь…»: голос тогда на наш сервер не идёт, а приложение берёт текст телефона. Если голос распознаётся онлайн, Google по-прежнему его получает, а текст вопросов и «Забудь…» вместе с нужными им записями по-прежнему идёт через наш сервер в Claude. Выключатель ничего не удаляет и не отзывает согласие.
• Согласие можно отозвать в любой момент. Скажите кнопкой «Спросить» «Отзываю согласие» или нажмите «Отозвать согласие» в «Моих записях». Сначала Remember предложит прислать вам копию всех записей (подробнее) и переспросит. Затем он удалит с телефона все ваши записи, ждущие вопросы, ваш последний вопрос и ответ, файлы копии, ваши настройки и запись о согласии и начнёт заново — с предупреждения. Останется только то, в чём нет ничего из сказанного вами: сколько вопросов вы использовали и сколько записей прошло через нашу модель речи (чтобы бесплатная часть давалась один раз), выключатель «Только текст телефона» и месяц, в котором достигнут предел записей. Чтобы убрать и это, очистите данные приложения или удалите его; копия в резервной копии Google останется, пока следующая копия не заменит её или Google её не удалит (подробнее). То, что приложение сделало до отзыва, отзыв не отменяет. Отзыв не отменяет подписку (подробнее).
• Когда бесплатные вопросы закончились, всё сказанное через «Спросить», в том числе «Забудь…», «Отзываю согласие» и «Пришли мне все мои записи», тоже ждёт подписки. Кнопки в «Моих записях» («Удалить», «Отправить файл», «Стереть всё», «Отозвать согласие») остаются бесплатными и работают всегда, а получить копию всегда бесплатно.

Что остаётся на телефоне

• Ваши записи: ваши слова текстом; дата, время и часовой пояс, когда вы говорили; язык. У записей, которые ИИ сохранил из сказанного через «Спросить», и у записей, сделанных прежними версиями, также могут быть заголовок, вид, темы, люди и даты, ссылка на прежнюю запись, к которой относится поправка, и пример вопроса. Записи хранятся, пока вы их не удалите.
• Настройки и счётчики: язык ваших записей, какими возможностями вы пользовались, сколько раз показывались подсказки, сколько раз открывалось приложение, сколько вопросов вы использовали, сколько записей прошло через нашу модель речи, выключатель «Только текст телефона» и месяц, в котором достигнут предел записей.
• Запись о вашем согласии (подробнее). В резервную копию она не копируется: на новом телефоне Remember спросит согласие снова.
• Копия ваших записей: два файла лежат в закрытом кэше приложения, который не копируется в резервные копии, чтобы выбранное вами приложение могло их прочитать. Они удаляются при следующем создании копии, когда вы отзываете согласие или когда вы впервые открываете Remember спустя больше суток.
• Пока запись в пути: пока запись идёт на наш сервер, телефон хранит отметку без слов и звука: только то, что запись или вопрос в пути. Если приложение закроется, оно сможет сказать, что запись не сохранена. Отметка стирается, как только запись сохранена или вы увидели это сообщение.
• Рабочие данные: ждущие вопросы, ваш последний ответ (с меткой ИИ), который можно снова открыть в «Моих записях», пока не придёт следующий ответ, не будет удалена запись, на которую он опирается, или не выполнено «Стереть всё» либо отзыв согласия, ваш последний вопрос и ответ (нужны для уточняющего вопроса в течение примерно двух минут) и вопрос «Забыть…?» без ответа. Эти данные в резервную копию не копируются.

Ваша резервная копия в Google

Ваши записи и настройки попадают во встроенную резервную копию Android в вашем аккаунте Google, если вы её включили, и при прямом переносе на новый телефон.

Согласно Google, на Android 9 и новее эта копия сквозным образом шифруется блокировкой экрана телефона (PIN-код, графический ключ или пароль), обычно создаётся примерно раз в сутки, и хранится только последняя копия. Мы не можем прочитать вашу копию. Удалённая запись — по одной или через «Стереть всё» — остаётся в резервной копии Google до создания следующей копии.

Как забыть и удалить

• Чтобы удалить одну запись, откройте «Мои записи» и нажмите «Удалить» под ней. В «Моих записях» есть также «Отправить файл» и «Стереть всё».
• Скажите кнопкой «Спросить» «Забудь, что я говорил про…» — приложение найдёт подходящие записи и переспросит, прежде чем удалить.
• Чтобы удалить все свои записи, нажмите «Стереть всё» в «Моих записях» или скажите «Отзываю согласие» (подробнее). «Стереть всё» в «Моих записях» отзывает и согласие, как кнопка «Отозвать согласие». Чтобы стереть всё, что хранит приложение, откройте в Android Настройки → Приложения → Buttonly Remember → Хранилище → Очистить данные или удалите приложение. «Забудь всё» ведёт к тому же предложению и тому же подтверждению, чтобы одна ослышка не удалила все ваши записи.
• Чтобы убрать и копию в резервной копии Google, отключите резервное копирование или удалите резервную копию в своём аккаунте Google.

Копия ваших записей

В «Моих записях» нажмите «Отправить файл». Или скажите, например, «Пришли мне все мои записи», и Remember откроет экран с кнопкой. Затем откроется окно Android «Поделиться» с двумя файлами: текстовым, который можно прочитать, и файлом JSON, который могут прочитать другие программы. Куда их отправить, выбираете вы: например, себе на почту или на Google Диск. Сам Remember файлы никуда не отправляет.

В файлах всё, что вы говорили, и о здоровье тоже, поэтому отправляйте их только тем, кому доверяете. Копия всегда бесплатна.

Жалобы

Если вы пожаловались на ответ, в жалобе есть: ваш вопрос, ответ, цитаты из ваших записей, на которых основан ответ, язык ответа, ваш язык, техническая метка о том, что ответ создан ИИ (какой моделью и когда), версия приложения и время, когда жалоба пришла.

В цитатах могут быть сведения о вашем здоровье. Поэтому перед отправкой приложение спрашивает ваше явное согласие: нажимая в этом вопросе «Пожаловаться», вы соглашаетесь передать их нам. Отозвать это согласие можно письмом: пришлите нам текст жалобы и примерное время, и мы её удалим. Иначе она удалится сама через 6 месяцев (подробнее).

Где обрабатываются данные

• Наш сервер и наша модель речи: Google Cloud, Нидерланды.
• Проверка региона: на нашем сервере, Нидерланды.
• Claude (Anthropic): на серверах Anthropic в США. Передача защищена стандартными договорными условиями ЕС в Дополнении об обработке данных Anthropic, и Anthropic не может использовать ваши данные для обучения своих моделей.
• Жалобы: Google Cloud, Нидерланды.
• Счётчики месячного лимита: Google Cloud, Нидерланды.
• Технический журнал: Google Cloud, Нидерланды.
• App Check и Play Integrity: сервисы Google, которые могут обрабатывать данные за пределами Европейской экономической зоны (ЕЭЗ).
• Распознавание речи у Google (когда голос не распознаётся на телефоне): где — решает Google, и он может обрабатывать ваш голос за пределами Европейской экономической зоны (ЕЭЗ); за защиту такой передачи отвечает Google, по Политике конфиденциальности Google.
• Озвучка голосом, которому нужен интернет: где обрабатывается текст, решает производитель движка, и он может обрабатывать его за пределами Европейской экономической зоны (ЕЭЗ).
• Письма нам: Proton AG, Швейцария. Европейская комиссия признала, что Швейцария обеспечивает достаточную защиту персональных данных.

Когда данные покидают ЕЭЗ (ЕС, Норвегию, Исландию и Лихтенштейн), передача защищена стандартными договорными условиями ЕС: для Claude — в Дополнении об обработке данных Anthropic, для сервисов Google — в Дополнении об обработке данных Google Cloud (Cloud Data Processing Addendum). Прочитать эти условия можно в этих дополнениях или запросить у нас копию.

Кто обрабатывает данные по нашему поручению

Мы передаём ваши данные этим поставщикам услуг, которые обрабатывают их по нашему поручению (как «обработчики»):

• Google Cloud обеспечивает работу нашего сервера, нашей модели речи, технических журналов и базы счётчиков месячного лимита.
• Anthropic PBC (США) предоставляет модель Claude; мы обращаемся к ней напрямую в Anthropic. Она обрабатывает отправленный нами текст только по нашему поручению, по своему Дополнению об обработке данных.
  • Условия Anthropic не разрешают ей обучать свои модели на этих данных.
  • Anthropic удаляет запросы и ответы в течение 30 дней. Если её автоматические проверки помечают запрос как нарушающий Политику использования Anthropic (Usage Policy), Anthropic может хранить этот запрос и ответ на него до 2 лет, а результаты этих проверок безопасности — до 7 лет (Anthropic).
• Google Firebase — App Check и база данных для жалоб.
• Proton AG (Швейцария) — наша почта. Она хранит письма, которые вы нам присылаете, и наши ответы.

Свои сервисы Google предоставляет по Условиям использования Google Cloud Platform (Google Cloud Platform Terms of Service), в которые входит Дополнение об обработке данных Google Cloud (Cloud Data Processing Addendum).

Эти сервисы не обрабатывают данные по нашему поручению; каждый работает с ними по своим условиям и своей политике конфиденциальности:

• Служба распознавания речи на вашем телефоне, когда она отправляет ваш голос в Google, чтобы его распознать (подробнее); мы совместно отвечаем только за сбор вашего голоса и его передачу в неё. Google обрабатывает его по Политике конфиденциальности Google.
• Сервисы Google Play проводят проверку Play Integrity по Условиям использования Google Play.
• Google Play продаёт подписку (Google Commerce Limited). В Украине продавец — Buttonly, а Google Play только проводит оплату (подробнее). В обоих случаях Google — самостоятельный получатель ваших платёжных данных: оплату, вашу карту и историю покупок ведёт Google по Политике конфиденциальности Google и Условиям использования Google Play. Приложение на телефоне спрашивает Google Play, оформлена ли подписка. С платными запросами приложение также отправляет нашему серверу токен покупки Google Play. Наш сервер проверяет его у Google Play (Play Developer API) и узнаёт о возвратах и отменах из уведомлений Google, которые приходят через Google Cloud Pub/Sub (обработчик, в ЕС, до 1 дня) (что хранит сервер).
• Резервное копирование Android в ваш аккаунт Google, если вы его включили.
• Проверка интернета (connectivitycheck.gstatic.com) получает ваш IP-адрес, как любой адрес Google в интернете (подробнее).
• Движок синтеза речи на вашем телефоне (Google, а если его нет — производителя телефона), когда голосу нужен интернет.

Подробнее о Google: Уведомление о конфиденциальности Google Cloud, Политика конфиденциальности Google.

Государственным органам мы раскрываем данные, только если этого требует закон.

Зачем мы используем данные и на каком основании

• Чтобы сделать то, о чём вы просите, — перевести, запомнить, ответить, забыть и показать приложение на вашем языке. Это необходимо, чтобы предоставить приложение, которым вы пользуетесь, как описано в наших Условиях использования (GDPR, статья 6(1)(b)).
• Подписка: проверка на телефоне, оформлена ли подписка, чтобы приложение дало вам то, что вы купили, и подсчёт использованных бесплатных переводов и вопросов. Это необходимо для исполнения договора с вами (ст. 6(1)(b) GDPR).
• Проверка покупки на сервере: наш законный интерес — не давать платное без оплаты и сразу учитывать возврат или отзыв (ст. 6(1)(f) GDPR). Вы можете возразить (как).
• Распознавание речи: приложению необходимо взять ваш голос с микрофона и, если он не распознаётся на телефоне, передать его службе Google, чтобы вас понять (GDPR, статья 6(1)(b)). В этом голосе может быть сказанное о вашем здоровье; это покрывает ваше явное согласие (GDPR, статья 9(2)(a)).
• Наша модель речи: отправка голоса в неё имеет то же основание, что и то, что приложение делает с вашими словами: выполнить вашу просьбу (ст. 6(1)(b) GDPR). Сказанное о здоровье и другие чувствительные сведения покрываются вашим явным согласием (ст. 9(2)(a) GDPR). Голос собеседника опирается на наши законные интересы (см. ниже).
• Сведения о здоровье и другие чувствительные сведения относятся к особой категории данных. Мы обрабатываем их только с вашего явного согласия, которое вы даёте кнопкой «Согласиться» в уведомлении перед первым обращением к приложению (ст. 9(2)(a) GDPR). Его можно отозвать в любой момент (Translate, Remember).
• Чтобы дать вам копию ваших записей, когда вы просите: это наша юридическая обязанность (GDPR, статьи 15, 20 и 6(1)(c)).
• Жалобы в Remember могут содержать цитаты о вашем здоровье. Такую жалобу мы получаем только с вашего явного согласия, которое вы даёте в вопросе перед отправкой (GDPR, статьи 6(1)(a) и 9(2)(a)). Отозвать его можно письмом нам (как).
• Письма о возврате денег и претензии: мы используем их, чтобы рассмотреть ваш запрос: это нужно для нашего договора с вами (GDPR, статья 6(1)(b)). После этого мы храним их, потому что этого требует закон Нидерландов (GDPR, статья 6(1)(c)), и можем использовать их, если нужно установить, осуществить или защитить законные требования (GDPR, статья 6(1)(f)).
• Наши законные интересы (GDPR, статья 6(1)(f)). Для каждого мы проверили, что данные для него нужны и что ваши интересы его не перевешивают:
  • технический журнал с IP-адресом и user agent — находить и исправлять сбои и замечать злоупотребления нашим сервером;
  • App Check и Play Integrity — защищать наш сервер от поддельных приложений и автоматических злоупотреблений: каждый запрос к ИИ стоит нам денег;
  • месячный лимит — защищать сервис от злоупотреблений и перерасхода: каждый запрос к ИИ стоит нам денег;
  • проверка региона: чтобы соблюдать условия поставщика ИИ, иначе приложения могут потерять доступ к ИИ для всех. Страна в Google Play не показывает, где вы сейчас, и не показывает регион (подробнее);
  • память ответов — чтобы запрос, отправленный повторно после обрыва связи, не обрабатывался и не оплачивался дважды;
  • проверка интернета — подсказать вам, что медленно: ваш интернет или наш сервис;
  • жалобы в Translate — находить и исправлять неверные или вредные переводы. Google Play к тому же требует, чтобы в приложениях с содержанием, созданным ИИ, на него можно было пожаловаться. Отправлять ли жалобу, решаете вы.
  • слова собеседника в Translate: чтобы вы понимали человека, с которым говорите, и могли снова посмотреть весь разговор. Его голос идёт на наш сервер, в нашу модель речи (какие языки) и для некоторых языков в Google; в ИИ уходит только текст, звук не сохраняется. Чтобы защитить собеседника, приложение показывает ему строку на его языке, пока слушает, его ответы лежат только на вашем телефоне, всего не больше 50 переводов, не попадают в резервные копии, и вы можете стереть их в любой момент (подробнее).

Закон и договор не обязывают вас давать нам какие-либо данные. Но без сказанного вами приложения работать не могут: если вы ничего не говорите приложению, ничего не отправляется.

Если вы были собеседником в разговоре

Кто-то говорил с вами через Buttonly Translate, и на телефоне была строка о том, что приложение слушает.

• Кто мы. Dmytro Liashko, торговое имя Buttonly, Нидерланды. Почта: support@buttonly.app.
• Зачем. Чтобы перевести сказанное вами для человека с телефоном.
• Что происходит с вашим голосом. Он идёт на наш сервер в Нидерландах (Google Cloud), где для большинства языков наша модель речи превращает его в текст (какие языки), а также может идти в службу распознавания Google. Текст уходит в Claude компании Anthropic, США, для перевода.
• Основание. Наш законный интерес и интерес человека с телефоном: чтобы два человека без общего языка понимали друг друга (ст. 6(1)(f) GDPR).
• Сколько хранится. Мы не сохраняем звук: он лежит в рабочей памяти только на время обработки. Ответ остаётся в рабочей памяти, как описано здесь. Anthropic удаляет текст в течение 30 дней, с исключениями, описанными здесь. Ваши слова остаются в истории приложения на телефоне того человека, не больше 50 переводов, пока он её не сотрёт.
• Ваши права. Если вы против, скажите человеку с телефоном. Вы можете возразить в любой момент, написав нам. Вы можете пожаловаться в Autoriteit Persoonsgegevens в Нидерландах или в орган защиты данных там, где живёте.

Ваше право возразить

Вы можете в любой момент возразить против того, что мы используем ваши данные на основании наших законных интересов (они перечислены выше), по причинам, связанным с вашей конкретной ситуацией. Напишите на support@buttonly.app. Тогда мы прекратим это использование. Продолжить его мы можем, только если у нас есть веские законные основания, которые перевешивают ваши интересы, права и свободы, или если данные нужны нам, чтобы предъявить, осуществить или защитить правовые требования.

• Технический журнал и жалобы не связаны с вашим именем. Чтобы найти ваши строки журнала, нужны ваш IP-адрес и примерное время; чтобы найти жалобу — её текст и примерное время.
• App Check и технический журнал сопровождают каждый запрос: без них наш сервер не может безопасно работать. Поэтому, пока вы пользуетесь приложением, мы, возможно, не сможем их прекратить; сразу прекратить их можно, перестав пользоваться приложением.
• Проверка региона идёт с каждым запросом к ИИ: в закрытых регионах мы не вправе предоставлять сервис. Пока вы пользуетесь приложением, мы можем не суметь её остановить; вы можете прекратить её сразу, перестав пользоваться приложением.
• История Translate, в том числе ответы собеседника, лежит только на телефоне того, кто пользуется приложением, и доступа к ней у нас нет. Она стирается кнопкой «Очистить историю» в приложении (как).

Как долго хранятся данные

• Ваш голос: приложения держат звук только в оперативной памяти, пока передают его службе распознавания или на наш сервер, и никогда его не сохраняют. На нашем сервере звук лежит в рабочей памяти только на время обработки запроса. Если служба распознавания отправляет голос в Google, срок хранения определяет Google по своей политике конфиденциальности.
• Translate, текст фразы: в памяти приложения, пока её не переведут (после этого — в истории), до вашей следующей фразы, до отмены или до закрытия приложения.
• Remember, ждущая отправки фраза: на телефоне, пока ИИ её не поймёт, затем удаляется.
• Вопрос, ждущий подписки: на телефоне, пока вы не оформите подписку или не удалите его.
• На нашем сервере: звук и тексты — только на время обработки запроса. Ответ вместе со словами, услышанными с голоса, используется из рабочей памяти до 5 минут и стирается, когда эта копия сервера обработает следующий запрос или остановится (подробнее).
• У Anthropic (Claude): не используются для обучения; удаляются в течение 30 дней; если запрос помечен как нарушающий Политику использования Anthropic, запрос и ответ могут храниться до 2 лет, а результаты проверок безопасности — до 7 лет.
• История Translate: 50 последних переводов, ваших и собеседника, на телефоне; более старые удаляются сами, а все сразу — когда вы очищаете историю, очищаете данные приложения или удаляете его.
• Число использованных бесплатных переводов в Translate: на телефоне — пока вы не очистите данные приложения или не удалите его; в вашей резервной копии Google — пока следующая копия не заменит её или Google её не удалит (копия может пережить приложение, чтобы бесплатная часть давалась один раз).
• Записи Remember: на телефоне, пока вы их не забудете, не отзовёте согласие, не очистите данные приложения или не удалите его; в резервной копии Google — до следующего копирования после этого.
• Запись о согласии в Remember: на телефоне, пока вы не отзовёте согласие, не очистите данные приложения или не удалите его.
• Запись о согласии в Translate: на телефоне, пока вы не очистите данные приложения или не удалите его; при отзыве согласия она остаётся, вместе со временем отзыва.
• Копия ваших записей: два файла в закрытом кэше приложения — до следующей копии, до отзыва согласия или до первого открытия Remember спустя больше суток.
• Дата, когда Google Play в последний раз подтвердил подписку: на телефоне, пока вы не очистите данные приложения или не удалите его; в резервные копии не попадает.
• Счётчик использованных вопросов в Remember: на телефоне — пока вы не очистите данные приложения или не удалите его; в резервной копии Google — пока следующая копия не заменит его или Google его не удалит; при отзыве согласия он сохраняется.
• Счётчик записей через нашу модель речи в Remember: хранится так же, как счётчик вопросов.
• Выключатель «Только текст телефона» и месяц, в котором достигнут предел записей: хранятся так же, как счётчик вопросов.
• Запись о вашей покупке на нашем сервере (хэш с секретом от токена покупки, приложение, продукт, состояние, срок действия права, признак тестовой покупки и время последней проверки): 90 дней после конца права или после последней проверки, затем удаляется сама. Токен покупки, которого Google Play не знает: хэш с секретом в рабочей памяти сервера, до 10 минут.
• Технический журнал с IP-адресом и user agent: 30 дней, затем удаляется сам.
• Проверка региона: результат не хранится. IP-адрес используется только на время обработки запроса, кроме технического журнала (подробнее).
• Счётчики месячного лимита (хэш с секретом от номера установки или IP-адреса, со счётом): в нашей базе данных в ЕС до конца календарного месяца (по времени Амстердама), а если база недоступна — временно в оперативной памяти сервера; затем удаляются сами, обычно в течение суток.
• Хэш с секретом от токена App Check: в памяти нашего сервера до полуночи по времени Амстердама.
• Жалобы: 6 месяцев, затем удаляются сами, обычно в течение суток.
• Письма о возврате денег и претензии (ваше имя, адрес почты, номер заказа и то, что вы написали): пока мы рассматриваем ваш запрос, а затем 7 лет после конца года, в котором мы его закрыли, потому что закон Нидерландов обязывает нас столько хранить деловые документы. Затем мы их удаляем.
• Другие письма нам: пока мы не ответим на ваш вопрос, и затем до 1 года.
• Данные Play Integrity: Google удаляет их через определённый срок, который устанавливает Google.

Не продаём, не показываем рекламу, не следим

Мы не продаём и не сдаём ваши данные. Мы не показываем рекламу и не используем ваши данные для рекламы или составления профилей. Мы не объединяем их с данными из других источников, кроме списка диапазонов адресов для проверки региона.

Мы не принимаем в отношении вас решений, основанных исключительно на автоматической обработке и имеющих для вас юридические или иные существенные последствия (GDPR, статья 22). ИИ только истолковывает и отвечает на то, о чём вы спрашиваете.

Дети

Приложения предназначены только для взрослых — от 18 лет. Пожалуйста, не давайте приложения детям. Если ребёнок ими пользовался, всё, что приложение сохранило на телефоне, можно удалить, как описано выше; по остальным вопросам напишите нам.

Ваши права

По GDPR вы вправе:

• узнать, какие ваши персональные данные у нас есть, и получить их копию;
• исправить или удалить их;
• ограничить их использование или возразить против использования на основании законного интереса (подробнее);
• получить данные, которые вы нам предоставили, в формате, который можно перенести в другое место;
• в любой момент отозвать согласие, если мы опираемся на него (Translate, Remember);
• пожаловаться в орган по защите данных.

Как воспользоваться этими правами:

• Большая часть ваших данных есть только на вашем телефоне. Там их можно посмотреть, исправить и удалить, как описано выше. Remember к тому же присылает копию всех ваших записей — текстовым файлом и файлом JSON (как). У нас к этим данным доступа нет.
• Наш сервер не хранит копию ваших слов на диске. Технический журнал и жалобы не связаны с вашим именем или аккаунтом, поэтому обычно мы не можем понять, какие из них ваши. Если хотите, чтобы мы нашли и удалили вашу жалобу, пришлите её текст и примерное время. Чтобы найти ваши строки журнала, нужны ваш IP-адрес и примерное время. Журнал удаляется сам через 30 дней.
• Пишите на support@buttonly.app. Мы ответим в течение месяца. Мы можем попросить сведения, нужные, чтобы найти ваши данные.
• Вы можете пожаловаться в орган по защите данных:
  • в Нидерландах — Autoriteit Persoonsgegevens;
  • в стране ЕЭЗ, где вы живёте, например Datatilsynet в Норвегии или Persónuvernd в Исландии;
  • если вы живёте в Украине, ещё и Уполномоченному Верховной Рады Украины по правам человека.

Если вы живёте в Украине

Эта политика действует для вас так же, как для всех. GDPR защищает и вас, потому что мы находимся в ЕС.

• Ваши права — те, что перечислены выше, и пользуетесь вы ими так же: напишите на support@buttonly.app.
• Жалобы. Вы можете пожаловаться нам, нидерландскому органу и Уполномоченному Верховной Рады Украины по правам человека (подробнее).
• Оплата. В Украине продавец — Buttonly, а платите вы через Google Play (подробнее). Мы не видим вашу карту. Если вы просите вернуть деньги или подаёте претензию, мы используем ваше имя, адрес почты и номер заказа и находим заказ в нашем аккаунте Google Play. Сколько мы это храним — здесь, на каком основании — здесь.
• Закрытые регионы. В некоторых регионах Украины приложения не работают (подробнее).

Безопасность

• Все соединения между приложениями и нашим сервером и между нашим сервером и сервисом ИИ зашифрованы (HTTPS).
• Наш сервер держит ваш голос только в рабочей памяти на время запроса; у нашей модели речи нет выхода в интернет.
• Наш сервер принимает запросы только от настоящих приложений (App Check).
• Наш сервер не хранит на диске ничего из ваших данных — ни голоса, ни текстов, — и в его журнале их тоже нет.
• Приложения могут только добавлять жалобы, но не читать их.
• Доступ к нашим проектам Google Cloud и Firebase ограничен.
• На телефоне данные лежат в закрытом хранилище приложения, которое другие приложения прочитать не могут. Пожалуйста, пользуйтесь блокировкой экрана: она защищает телефон, а на Android 9 и новее шифрует вашу резервную копию в Google.

Изменения этой политики

Когда приложения меняют обращение с данными, мы обновляем эту страницу и дату вверху. О важных изменениях мы также сообщим в приложениях или на их страницах в Google Play.

Контакты

• Dmytro Liashko, торговое название Buttonly

• Sir Winston Churchilllaan 843A, 2286 AA Rijswijk, Нидерланды

• KvK: 84903481

• Email: support@buttonly.app

• Телефон: +31 6 19889302

• Номер плательщика НДС (btw-id): NL004034336B89