Політика конфіденційності

Ця політика пояснює, що застосунки Buttonly роблять із вашими даними. Вона стосується застосунків для Android Buttonly Translate і Buttonly Remember. Правила користування застосунками — в наших Умовах використання.

Цю політику написано англійською мовою й перекладено. Якщо переклад незрозумілий або розходиться з англійським текстом, діє те тлумачення, яке вигідніше для вас.

Коротко

• Немає ні акаунтів, ні реклами, ні аналітики, ні стеження. Ми не продаємо ваші дані.
• Нові версії застосунків працюють так, як описано тут. Поки застосунок не оновився, він надсилає на наш сервер текст із телефона, без звуку.
• Поки ви говорите, служба розпізнавання мовлення Google на вашому телефоні показує ваші слова. Для одних мов це відбувається на телефоні, для інших Google отримує ваш голос за своєю політикою конфіденційності (докладніше).
• Коли ви закінчили, застосунки надсилають звук на наш сервер. Для більшості мов наша власна модель мовлення перетворює його на текст (докладніше). Так відбувається з кожною фразою в Translate, а в Remember — з кожним запитанням, першими 50 записами та всіма записами за підпискою. Звук лежить лише в оперативній пам’яті й не зберігається.
• Далі з нашого сервера до штучного інтелекту йде лише текст: це Claude компанії Anthropic у США. Наш сервер не зберігає ваші слова на диску (скільки він їх тримає).
• Те, що зберігають застосунки, тобто історія Translate і ваші записи в Remember, лежить на вашому телефоні. Записи Remember і кількість використаних безкоштовних перекладів у Translate потрапляють також до резервної копії телефона в Google, якщо її ввімкнено.
• Записи Remember зберігаються на телефоні. Їхній текст проходить через наш сервер, коли застосунок надсилає запис, а до Claude вони потрапляють лише разом із вашим запитанням (докладніше).
• У Translate голос співрозмовника обробляється так само (що це означає для нього).
• Claude опрацьовує ваші запити в США за стандартними договірними умовами ЄС (докладніше).
• У сказаному можуть бути відомості про здоров’я чи інші чутливі речі, тому обидва застосунки працюють лише з вашої явної згоди. Її можна відкликати будь-коли (Translate, Remember).
• Застосунки призначені лише для дорослих (18+).
• За вашою IP-адресою ми перевіряємо регіон (докладніше). Для України — цей розділ.

Хто відповідає за дані

Застосунки створює Dmytro Liashko під торговою назвою Buttonly, Sir Winston Churchilllaan 843A, 2286 AA Rijswijk, Нідерланди. Номер у Торговій палаті Нідерландів (KvK): 84903481.

Ми відповідаємо за ваші персональні дані в застосунках (ми — «контролер» за Загальним регламентом ЄС про захист даних, GDPR).

Запитання щодо конфіденційності: support@buttonly.app.

Які слова тут вживаються

• Наш сервер — сервер Buttonly. Він працює в Google Cloud у Нідерландах. Ним користуються обидва застосунки.
• Служба розпізнавання мовлення — служба на вашому телефоні, яка перетворює мовлення на текст. На Android це служба розпізнавання мовлення Google («Служби розпізнавання мовлення від Google», Speech Services by Google); застосунки користуються лише службою Google, тож на телефонах без неї вони не можуть вас зрозуміти. Вона є частиною вашого телефона, а не наших застосунків.
• Наша модель мовлення — модель розпізнавання мовлення, яку ми самі запускаємо в Google Cloud у Нідерландах, у закритому сервісі, куди має доступ лише наш сервер. Автори моделі ваш голос не отримують.
• Claude — модель штучного інтелекту компанії Anthropic PBC (США); ми звертаємося до неї безпосередньо в Anthropic. Claude читає текст сказаного вами, перекладає його або розуміє, чого ви хочете, і відповідає на запитання.
• ШІ — у цій політиці лише Claude. Наша модель мовлення — теж штучний інтелект, але її ми завжди називаємо «наша модель мовлення». Claude працює на серверах Anthropic у США; Anthropic є нашим оператором за договором.
• На телефоні — у власному сховищі застосунку на вашому телефоні. Інші застосунки не можуть його прочитати.

Що спільного в обох застосунків

Мікрофон і розпізнавання мовлення

Застосунки слухають, лише коли ви натиснули велику кнопку. Вони перестають слухати, коли ви натиснули кнопку ще раз, після довгої тиші або коли фраза досягла найбільшої довжини. У фоні застосунки ніколи не слухають. Перш ніж ви вперше заговорите до застосунку, він показує коротке попередження з посиланням на цю політику. У цьому попередженні ви даєте згоду (Translate, Remember).

• Мову, якою ви говорите, обираєте ви в застосунку зі списку з 24 мов: українська, російська, англійська, нідерландська, німецька, французька, іспанська, польська, італійська, португальська, болгарська, чеська, данська, естонська, грецька, хорватська, латвійська, литовська, угорська, румунська, словацька, словенська, фінська та шведська.
• Застосунок і служба розпізнавання мовлення на вашому телефоні. Поки ви говорите, застосунок бере звук із мікрофона й одразу передає його службі розпізнавання мовлення, а вона показує ваші слова. Якщо так не виходить, мікрофон слухає сама служба. Застосунок тримає звук лише в оперативній пам’яті, рівно стільки, скільки потрібно, щоб передати його далі, і ніколи його не зберігає.
• Android 12 і раніші версії. Запис для нашої моделі мовлення робить сам застосунок, без служби Google, тому слова з’являються лише після закінчення фрази; звук лежить в оперативній пам’яті до надсилання. Для решти записів і якщо на початку немає зв’язку, мікрофон слухає сама служба.
• На телефоні чи в Google. Деякі мови телефон може розпізнавати сам (на Android 13 і новіших), нікуди не надсилаючи голос, якщо на нього завантажено мовний пакет Google для цієї мови. Для решти, зокрема української й нідерландської, а також для будь-якої мови без завантаженого пакета служба надсилає ваш голос на сервери Google, щоб його розпізнати.
• Хто відповідає. Коли голос розпізнається через інтернет, ми й Google спільно відповідаємо за збирання вашого голосу і його передавання до Google. Що робити з ним далі, скільки зберігати і де опрацьовувати, Google вирішує сам, як окремий контролер (для ЄЕЗ — Google Ireland Limited), за Політикою конфіденційності Google. Ми не можемо побачити чи видалити те, що зберігає Google: про це питайте Google, а про все інше — нас.
• Без цієї служби застосунки не можуть вас зрозуміти. На телефонах без сервісів Google застосунки не працюють.

Наша модель мовлення

Нові версії застосунків працюють так, як описано тут. Поки застосунок не оновився, він надсилає на наш сервер текст із телефона, без звуку.

Коли ви закінчили говорити, застосунок надсилає звук разом із текстом, який почув телефон, зашифрованим з’єднанням на наш сервер. Для більшості мов сервер передає звук нашій моделі мовлення, і вона перетворює його на текст (які мови). Звук не йде ні до Anthropic, ні будь-кому іншому, не зберігається й не використовується для навчання.

• Коли. Translate: кожна фраза, ваша або співрозмовника. Remember: кожне запитання й команда «Забудь…», перші 50 записів і всі записи за підпискою. Решта записів на наш сервер не йдуть, крім мов нижче, а записи, розпочаті без зв’язку, не йдуть ніколи: зберігається текст телефона.
• Пробудження моделі. Після того як ви погодилися з повідомленням застосунку, і якщо сказане далі піде на наш сервер звуком, застосунок, коли ви його відкриваєте або повертаєтеся до нього, надсилає на наш сервер короткий запит, не частіше ніж раз на кілька хвилин. Так наша модель мовлення встигає підготуватися, поки ви не заговорили. У запиті немає ні звуку, ні слів; наш сервер і Google Cloud записують його в журнал, як будь-який інший запит (докладніше).
• Понад місячний ліміт наша модель мовлення для записів не використовується. Звук першого запису понад ліміт усе ж доходить до нашого сервера, який відкидає його, не слухаючи. Після цього застосунок не надсилає звук записів до нового місяця.
• Це можна вимкнути для записів, запитань і «Забудь…»: вимикач «Лише текст телефона» у «Моїх записах» у Remember (докладніше). Тоді застосунок бере текст телефона, і голос на наш сервер не йде.
• Якщо модель не відповіла вчасно, використовується текст телефона. На Android 12 і раніших версіях тексту телефона немає: застосунок за мить пробує ще раз, тримаючи звук лише в оперативній пам’яті. Якщо й це не вдалося, звук стирається, а застосунок повідомляє, що запис не збережено.
• Після оновлення застосунок надсилає звук лише після того, як ви погодилися з його повідомленням.

Мови нашої моделі мовлення

Екрани згоди в застосунках описують, як це працює для більшості мов. Виняток: на Android 13 і новіших для шведської, данської, литовської, латиської, словенської та грецької наша модель мовлення не використовується, поки телефон має власний текст. Звук усе одно доходить до нашого сервера, який відкидає його, не слухаючи, а застосунок використовує текст телефона. У Remember так відбувається з кожним записом цими мовами, і після перших 50 теж, поки не ввімкнено вимикач «Лише текст телефона». На Android 12 і раніших версіях модель працює для всіх цих мов.

Ні акаунтів, ні реклами, ні аналітики, ні стеження

Входити в акаунт не потрібно. У застосунках немає реклами, аналітики й засобів звітів про збої, і вони не стежать за вами в інших застосунках і на сайтах.

Застосунки користуються двома сервісами Google Firebase: App Check (див. наступний розділ) і базою даних, куди потрапляють лише скарги, які ви самі вирішили надіслати.

Перевірка, що застосунок справжній

Щоб захистити наш сервер від зловживань, застосунок додає до кожного запиту токен Firebase App Check. Щоб його отримати, застосунок просить сервіси Google Play на вашому телефоні провести перевірку Play Integrity.

Для цієї перевірки Google отримує відомості про застосунок (його назву, версію й підпис), стан його ліцензії Google Play для акаунтів Google на телефоні та перевірочні дані, які створює ваш пристрій. За ними Google підтверджує, що запит надійшов зі справжнього застосунку на справжньому, не зміненому пристрої. Цю перевірку Google проводить за Умовами використання Google Play (які дані збирає Google).

У токені немає нічого з того, що ви сказали. Наш сервер перевіряє токен і не зберігає його. Щоб одна копія застосунку не видавала себе за багато, він зберігає хеш із секретним ключем від токена в оперативній пам’яті до опівночі за амстердамським часом (місячний ліміт).

Що зберігає наш сервер

• Наш сервер отримує звук того, що ви говорите, коли застосунок надсилає запис (докладніше), а інакше лише текст.
• Наш сервер не зберігає на диску того, що ви сказали, перекладів, записів і запитань. Він передає їх далі й надсилає відповідь назад на ваш телефон.
• Звук лежить в оперативній пам’яті лише на час обробки запиту, потім відкидається; він ніколи не пишеться на диск, у журнали чи кеш. Якщо телефон втратив зв’язок і надіслав той самий запит ще раз, сервер не повинен опрацьовувати його двічі. Тому він тримає кожну відповідь разом зі словами, почутими з вашого голосу, в оперативній пам’яті (не на диску) і використовує її повторно до 5 хвилин. Після цього відповідь більше не використовується й стирається, коли ця копія сервера обробить наступний запит або зупиниться. Копію без запитів Google Cloud майже зупиняє, і вона тримає відповідь, доки не прокинеться або не завершиться, тому точного строку ми обіцяти не можемо.
• На кожен запит сервер пише технічний рядок журналу: час, застосунок, адресу на сервері, до якої той звернувся, результат (і технічну помилку, якщо вона була), скільки тривав запит, яка модель ШІ відповіла та скільки «токенів» (одиниць тексту) витрачено. На кожне звернення до ШІ він пише ще один рядок такого самого роду.
• Google Cloud записує також IP-адресу запиту й «user agent» — короткий текст, який телефон надсилає з кожним запитом. У ньому названо версію Android і модель телефона. Запит, відхилений через регіон, так не записується (докладніше).
• У журналі ніколи немає вашого голосу й ваших слів.
• Щоб перевірити підписку, наш сервер зберігає в нашій базі даних у Google Cloud у Нідерландах хеш із секретним ключем від токена покупки, застосунок, продукт, стан, кінець права, ознаку тестової покупки та час останньої перевірки. Повного токена, номера замовлення, суми й країни він не зберігає. Якщо Google Play не знає токена покупки, сервер зберігає лише його хеш із секретним ключем в оперативній пам’яті до 10 хвилин, щоб знову не питати про нього Google. Токен ніколи не потрапляє в журнал.
• Журнал зберігається в Google Cloud у Нідерландах 30 днів (рядки журналу, записані до 17 жовтня 2026 року, лишаються в глобальному сховищі журналів Google, доки не спливе їхній строк, — найпізніше до 16 листопада 2026 року) і потім видаляється автоматично.

Місячний ліміт

Щоб сервіс працював і не виходив за бюджет, кожне встановлення застосунку може надіслати нашому серверу до 3 000 перекладів на місяць (Buttonly Translate), а в Buttonly Remember — до 2 000 запитань на місяць і, окремим рахунком, до 2 000 записів на місяць через нашу модель мовлення. Понад ліміт запис усе одно зберігається з текстом телефона. На Android 12 і раніших версіях перший запис понад ліміт не зберігається: застосунок скаже про це й попросить повторити. Лік починається заново о 00:00 за амстердамським часом 1-го числа кожного місяця.

• Щоб їх рахувати, застосунок надсилає з кожним запитом випадковий номер встановлення. Він створюється на вашому телефоні, не пов’язаний із вашим ім’ям, акаунтом Google чи ідентифікаторами телефона й зникає, коли ви очищаєте дані застосунку або видаляєте його, а в Remember ще й коли ви відкликаєте згоду. Старіші версії застосунків його не надсилають; для них сервер рахує за IP-адресою (для IPv6 — за його мережею /64).
• Сервер не зберігає ні номера, ні адреси, а лише їхній перетворений відбиток (хеш із секретним ключем) разом із лічильником, у нашій базі даних в ЄС (у Google Cloud, Нідерланди). Ключ хеша зберігається окремо від бази. Лічильник видаляється автоматично після закінчення місяця, зазвичай протягом доби. До журналу він ніколи не записується. Якщо база недоступна, сервер тимчасово веде цей лічильник у себе в оперативній пам’яті, теж лише до кінця місяця.
• Ми не можемо пов’язати ці лічильники з вами, тому на ваше прохання не можемо знайти, показати чи видалити ваш лічильник; він видаляється автоматично після закінчення місяця.
• Для захисту від зловживань сервер також рахує запити за токеном App Check (вище) — як хеш із секретним ключем, лише в оперативній пам’яті, до опівночі за амстердамським часом.

Перевірка регіону

Anthropic, чий ШІ ми використовуємо, не надає свій сервіс у деяких країнах і регіонах, навіть якщо людина там ненадовго. Ми зобов’язані цього дотримуватися, інакше застосунки можуть втратити доступ до ШІ для всіх. Тому, коли застосунок надсилає на наш сервер запит до ШІ або питає, чи працює сервіс там, де ви перебуваєте, сервер перевіряє регіон за вашою IP-адресою.

• Як це працює. Наш сервер шукає IP-адресу в списку закритих діапазонів адрес, у своїй робочій пам’яті. Для цього нікому нічого не передається.
• Що зберігається. Ваш регіон не зберігається, окремого запису про цю перевірку немає. Звичайний технічний журнал зберігає IP-адресу запитів 30 днів (докладніше). Якщо запит відхилено через регіон, адреси в цьому журналі не буде: записується лише сама відмова, без адреси, країни й регіону.
• Що означає відмова. У цьому місці застосунок не може звернутися до ШІ. Більше нічого не відбувається (де застосунки не працюють).
• Перевірка може помилятися. IP-адреса показує місце лише приблизно, а VPN її змінює. Якщо ви отримали відмову там, де застосунок має працювати, напишіть на support@buttonly.app.
• Джерело списку. IP Geolocation by DB-IP, за ліцензією CC BY 4.0. Ми скоротили його до закритих діапазонів.
• Ваші права. Підстава — наші законні інтереси (докладніше), і ви можете заперечити (як).
• Модель мовлення. Модель мовлення: Parakeet TDT 0.6B v3, автори NVIDIA (huggingface.co/nvidia/parakeet-tdt-0.6b-v3), донавчання moondream (huggingface.co/moondream/parakeet-ultra), експорт ONNX Olicorne (huggingface.co/Olicorne/parakeet-tdt-0.6b-v3-ultra-onnx, int8, ревізія b27f93c), за ліцензією CC BY 4.0 (creativecommons.org/licenses/by/4.0/). Ми використовуємо її без змін; вона надається як є.

Перевірка інтернету

Якщо відповідь затримується довше, ніж зазвичай, застосунок може надіслати один порожній запит на connectivitycheck.gstatic.com. Це адреса Google, за якою сам Android перевіряє доступ до інтернету. Так застосунок дізнається, що повільне — ваш інтернет чи наш сервіс. Як і будь-який запит в інтернеті, він показує Google вашу IP-адресу, але більше нічого про вас.

Тексти застосунку вашою мовою

Застосунок показує кнопки й повідомлення вашою мовою. Переклади вбудовано в сам застосунок, тому для цього нічого нікуди не надсилається. Версії, що вийшли до 23 жовтня 2026 року, надсилали тексти інтерфейсу й назву вашої мови через наш сервер до Gemini для перекладу; у цьому запиті не було нічого з того, що ви сказали.

Читання вголос

Коли ви натискаєте кнопку з динаміком, застосунок просить синтезатор мовлення Google на вашому телефоні прочитати текст уголос; якщо його не встановлено, читає синтезатор, який ви вибрали в налаштуваннях Android. Деяким голосам може бути потрібен інтернет: тоді синтезатор надсилає текст своєму виробникові (Google або виробникові вашого телефона) за його власною політикою конфіденційності. Ми від нього нічого не отримуємо.

Без вашої згоди й після її відкликання застосунок використовує лише голоси на телефоні: якщо такого голосу немає, текст не читається і не надходить виробнику синтезатора. За синтезатор, вибраний у налаштуваннях телефона, відповідає його виробник.

Скарги на результати ШІ

ШІ може помилятися. У кожному застосунку на результат ШІ можна поскаржитися маленьким прапорцем. У Translate натисніть прапорець на картці результату, у Remember — прапорець на екрані відповіді. Скарга надсилається, лише якщо ви натиснули прапорець і підтвердили.

• Скарги потрапляють до нашої бази даних у Google Cloud у Нідерландах.
• Застосунок може лише додавати нові скарги, а читати, змінювати й видаляти їх не може. Читати їх можемо лише ми.
• У скарзі немає ні імені, ні акаунта, ні ідентифікатора пристрою. Що саме в ній є, описано нижче в розділі кожного застосунку (Translate, Remember).
• Скарги потрібні нам, щоб знаходити й виправляти неправильні або шкідливі результати ШІ.
• Скарга зберігається 6 місяців. Потім вона видаляється автоматично, зазвичай протягом доби.

Buttonly Translate

Що відбувається, коли ви говорите

1. Ви обираєте дві мови: свою та мову співрозмовника.
2. Велика кнопка має дві половини: одну для вас, другу для співрозмовника. Той, хто говорить, натискає свою половину, вимовляє фразу, а потім натискає її ще раз. Служба розпізнавання на телефоні показує фразу текстом (докладніше).
3. Телефон надсилає звук і цей текст зашифрованим з’єднанням (HTTPS) на наш сервер разом із двома мовами та мовою екранів застосунку. Для більшості мов наша модель мовлення перетворює звук на текст; якщо цього не сталося, використовується текст телефона (докладніше).
4. Наш сервер надсилає текст і ці мови до ШІ (Claude). ШІ повертає переклад. Телефон показує його й зберігає в історії (див. нижче).
5. Коли вашу фразу перекладено мовою співрозмовника, телефон далі просить у нашого сервера її вимову, записану літерами вашого алфавіту. Він надсилає те, що ви сказали, переклад і обидві мови. Наш сервер передає до ШІ лише переклад і мови. Сказане вами він використовує лише для перевірки: що відповідь — це вимова, а не переказ вашої фрази.

Звук не зберігається. На нашому сервері звук лежить лише на час обробки запиту. Доки фразу не перекладено, її текст лежить лише в оперативній пам’яті застосунку, щоб його можна було надіслати ще раз, якщо зв’язок обірвався. Якщо перекладу немає, текст зникає, коли ви кажете нову фразу, скасовуєте її або закриваєте застосунок. Перекладена фраза зберігається в історії.

Якщо вимова не надійшла, застосунок пізніше просить її в нашого сервера ще раз: коли ви відкриваєте цей переклад великим шрифтом і один раз під час наступного запуску застосунку. Надсилається те саме, що й першого разу (крок 5).

Ваша згода в Translate

• Перед першою фразою Translate показує повідомлення. Сказане про здоров’я та інші чутливі речі надсилається так само, як усе інше. Натискаючи «Погодитися», ви даєте на це явну згоду.
• Поки ви не погодилися, застосунок не надсилає звук. Якщо ви погоджувалися з попереднім повідомленням, він запитає знову.
• Згоду можна відкликати будь-коли: пункт «Відкликати згоду» в меню застосунку. Після цього ваш голос і текст більше не надсилаються, а застосунок знову показує повідомлення. Історія не стирається: для цього є окрема кнопка (як). Відкликання не скасовує підписку (докладніше).
• На телефоні зберігаються версія повідомлення, з яким ви погодилися, час згоди й час відкликання.

Що лишається на телефоні

• Історія перекладів: текст 50 останніх перекладів в обидва боки разом: ваших фраз, перекладених мовою співрозмовника, і відповідей співрозмовника, перекладених вашою мовою. У кожному зберігається те, що було сказано, переклад, вимова (у ваших фраз), мови, час, позначка, чи ви на нього скаржилися, і позначка, чи вимову ще треба запитати. Коли перекладів більше за 50, найстаріший видаляється автоматично. Звук не зберігається.
• Історія лежить лише на вашому телефоні, у тій частині пам’яті, яку Android не копіює до резервних копій. Нічого з неї не залишає телефон, окрім скарги, яку ви вирішили надіслати, і запиту відсутньої вимови (див. вище).
• Слова співрозмовника. В історії є те, що сказав вам співрозмовник. Ми цього не бачимо. Якщо ви були співрозмовником у такій розмові й хочете, щоб ваші слова видалили, попросіть того, хто користувався застосунком, очистити історію.
• Інші дані застосунку — дві обрані вами мови — можуть потрапляти до резервної копії телефона в Google і під час прямого перенесення на новий телефон, якщо резервне копіювання ввімкнено. Застосунок зберігає також запис про те, що ви прийняли попередження: його версію й мову, коли ви його прийняли, і «відбиток» (хеш) саме того тексту. Цей запис не копіюється до резервних копій, тому на новому телефоні застосунок покаже попередження знову.
• Кількість використаних безкоштовних перекладів — одне число, без ваших слів — потрапляє в резервну копію телефона в Google і під час прямого перенесення на новий телефон, якщо резервне копіювання ввімкнено, щоб безкоштовна частина давалася один раз. Це необхідно, щоб надати безкоштовну частину й підписку, як описано в наших Умовах використання (ст. 6(1)(b) GDPR).
• Застосунок запам’ятовує на телефоні, коли Google Play востаннє підтвердив вашу підписку, щоб працювати далі під час короткого збою Google Play. Це не потрапляє до резервних копій, стирається, коли ви очищаєте дані застосунку або видаляєте застосунок, і токени покупок не зберігаються.

Видалення

• Очистити історію: натисніть «Очистити історію» на початку історії, над найстарішим перекладом, і підтвердьте. Усі переклади, ваші й співрозмовника, буде видалено з телефона. Мови, кількість використаних безкоштовних перекладів, підписка та запис про прийняте попередження від цього не зміняться.
• Уже надіслані скарги разом з історією не видаляються. Вони видаляються через 6 місяців або раніше, якщо ви нас попросите (як).
• Щоб стерти все, що зберігає застосунок, відкрийте в Android Налаштування → Додатки → Buttonly Translate → Пам’ять → Очистити дані або видаліть застосунок. Копія лічильника безкоштовної частини в резервній копії Google залишиться, доки наступна копія не замінить її або Google її не видалить (докладніше). На різних телефонах пункти меню називаються по-різному.

Скарги

Якщо ви поскаржилися на переклад, у скарзі є: що застосунок почув (вашу фразу або відповідь співрозмовника, текстом), переклад, вимова, мова перекладу, ваша мова й мова співрозмовника, версія застосунку та час, коли скарга надійшла.

Buttonly Remember

Remember зберігає продиктоване вами текстовими записами, відповідає на ваші запитання про них і забуває їх, коли ви просите. Це помічник зі штучним інтелектом: служба розпізнавання мовлення на вашому телефоні та наша модель мовлення перетворюють ваш голос на текст, а Claude розуміє лише ваші запитання й команди «Забудь…» та пише відповіді; записи зберігаються на телефоні.

Що відбувається, коли ви говорите

• Мову своїх записів обираєте ви. Коли ви говорите, служба розпізнавання мовлення на вашому телефоні перетворює голос на текст цією мовою (докладніше). Якщо ваш телефон розпізнає мовлення через інтернет, голос іде до служби розпізнавання мовлення Google. Звук не зберігається. Перші 50 записів, усі записи за підпискою та кожне запитання застосунок також надсилає звуком на наш сервер і, для більшості мов, нашій моделі мовлення (докладніше).
• Коли ви зберігаєте запис, його текст зберігається на вашому телефоні. Коли застосунок надсилає запис, звук і текст проходять через наш сервер, який не зберігає їх на диску; до Claude нічого не йде. Кількість записів не обмежена.
• Коли ви ставите запитання (кнопка «Запитати»), телефон надсилає запитання й ваші записи (які саме — нижче) через наш сервер до Claude компанії Anthropic. Команда «Забудь…» надсилається так само. Спочатку вона зберігається на телефоні текстом, потім надсилається автоматично, щойно з’явиться інтернет, навіть якщо застосунок закрито.
• З кожним запитанням телефон надсилає на наш сервер, а сервер — ШІ:
  • текст сказаного вами;
  • дату, час і часовий пояс, коли ви говорили;
  • мову ваших записів і мову телефона;
  • ваше останнє запитання й відповідь на нього, якщо ви запитали менш ніж дві хвилини тому;
  • ваш останній запис (його текст), навіть якщо записів більше ніж 50;
  • якщо у вас більше ніж 50 записів або в них разом більше ніж 60 000 знаків, — список імен людей із ваших записів (не більше ніж 60, лише імена), щоб ШІ правильно розчув ім’я;
  • якщо застосунок чекає вашого «так» чи «ні» на запитання «Забути…?», — короткий опис того, що він збирається забути.
• Які ваші записи надсилаються (лише із запитаннями). Поки у вас не більше ніж 50 записів (і разом у них не більше ніж 60 000 знаків), із запитанням надсилаються всі ваші записи. Коли записів більше, надсилаються лише потрібні: для запитання або команди «Забудь…» телефон добирає до 30 найвідповідніших записів (ті, які цитувала ваша остання відповідь, ті, що містять слова вашого запитання, ті, що з названих вами дат, найсвіжіші та виправлення до них) і надсилає їх текстом. Записи ніколи не надсилаються до Claude, коли ви їх лише зберігаєте.
• Що повертає ШІ: те, чого ви хотіли: запитати чи забути. На запитання він повертає відповідь із короткими цитатами з ваших записів і слова, за якими шукати записи. Наш сервер перевіряє, що кожна цитата справді є у вашому записі. На «Забудь…» він повертає, які записи підходять, і застосунок перепитує, перш ніж видалити. Якщо два записи розходяться, новіший вважається виправленням, і відповідь може про це сказати.
• Безпека. Якщо з вашого запитання або із записів, які цитує відповідь, схоже, що вам загрожує небезпека або ви думаєте заподіяти собі шкоду, ШІ це позначає, і застосунок на екрані відповіді м’яко радить поговорити з близькими або зателефонувати на 112. Під час збереження запису такої перевірки немає.
• Пошук записів. Коли у вас більше ніж 50 записів, застосунок знаходить потрібні для запитання на вашому телефоні, за словами й датами. Слова для пошуку приходять від Claude разом з його відповіддю на ваше запитання. Ваші записи для цього пошуку нікуди не надсилаються.
• Запитання, що чекає на надсилання, лежить на телефоні текстом, у пам’яті, яка не копіюється до резервних копій, доки ШІ не зрозуміє його або доки застосунок не відмовиться від нього. Потім воно видаляється. Якщо скасувати запитання, що чекає, воно теж видаляється.
• Запитання, поставлене після того, як 50 безкоштовних запитань закінчилися, лежить на телефоні в тому самому сховищі, доки ви не оформите підписку або не видалите його. До того нічого не надсилається, хіба що Google Play ще не підтвердив, що підписки немає: тоді запитання йде до ШІ як зазвичай, а відповідь чекає на телефоні на підписку. Якщо наш сервер бачить, що вашу підписку закінчено, він відхиляє запит і нічого не передає ШІ.
• Що застосунок намагається не зберігати. Remember намагається розпізнати номери банківських карток, IBAN і числа, сказані поруч зі словами на кшталт «PIN» чи «пароль». Телефон перевіряє те, що почув. Коли ваш голос іде на наш сервер, сервер перевіряє текст телефона й текст нашої моделі, якщо її використано. Якщо перевірка знаходить такий номер, запис або запитання не зберігаються, слова не йдуть до ШІ, наш сервер їх не повертає й не зберігає, а ви бачите повідомлення. Ці перевірки працюють за правилами й можуть пропустити номер, особливо неправильно почутий; пропущене зберігається і може піти до ШІ із запитанням. Вони можуть і відмовити в чомусь безпечному. На момент перевірки ваш голос уже міг потрапити до Google, якщо він розпізнається онлайн, і на наш сервер, який його не зберігає. На Android 12 і раніших версіях телефон не має власного тексту, тому працюють лише сервер і остання перевірка на телефоні. Будь ласка, не диктуйте номери карток, PIN-коди й паролі. Код домофона зберігається.
• Здоров’я та інші чутливі речі. Remember зберігає також записи про ваше здоров’я, самопочуття чи інші чутливі речі, якщо ви їх продиктуєте. Вони зберігаються на телефоні. Ваш голос і їхній текст проходять через наш сервер, коли застосунок надсилає запис, а до Claude потрапляють лише разом із запитанням чи командою «Забудь…» (усі записи, поки їх до 50, потім лише відповідні). Такі відомості чутливі, тому Remember опрацьовує їх лише з вашої явної згоди (докладніше). Що розповісти застосунку, вирішуєте ви. Якщо ваш голос розпізнається в Google (докладніше), Google теж отримує сказане. Remember надає перевагу розпізнаванню на телефоні, коли воно доступне.

Ваша згода

• Перед першим записом Remember показує повідомлення: що йде на наш сервер і до нашої моделі мовлення, що надсилається до Claude, де зберігаються записи, що сказане про здоров’я та інші чутливі речі зберігається й надсилається теж і що для деяких мов голос іде до Google на розпізнавання. Натискаючи «Погодитися», ви даєте явну згоду на таке опрацювання цих відомостей.
• Без цієї згоди Remember не може працювати: усе, що ви продиктуєте, може стосуватися здоров’я, а застосунок не може знати цього заздалегідь. Якщо натиснути «Не зараз», застосунок не слухає. Якщо Remember відновлено на новому телефоні з резервної копії Google, він знову питає згоду й нічого не надсилає, доки ви не погодитеся; якщо ви не погодитеся, відновлені записи залишаються на цьому телефоні, доки ви не очистите дані застосунку в налаштуваннях Android або не видалите застосунок.
• На телефоні Remember зберігає запис про вашу згоду: версію й мову попередження, коли ви погодилися, і «відбиток» (хеш) саме того тексту, який ви бачили. За ним видно, на що ви погодилися.
• «Лише текст телефона». Цей вимикач у «Моїх записах» діє на записи, запитання й «Забудь…»: голос тоді на наш сервер не йде, а застосунок бере текст телефона. Якщо голос розпізнається онлайн, Google і далі його отримує, а текст запитань і «Забудь…» разом із потрібними їм записами і далі йде через наш сервер до Claude. Вимикач нічого не видаляє і не відкликає згоду.
• Згоду можна відкликати будь-коли. Скажіть кнопкою «Запитати» «Відкликаю згоду» або натисніть «Відкликати згоду» в «Моїх записах». Спочатку Remember запропонує надіслати вам копію всіх ваших записів (докладніше) і перепитає. Потім він видалить із телефона всі ваші записи, запитання, що чекають, ваше останнє запитання й відповідь, файли копії, ваші налаштування та запис про згоду і почне спочатку, з попередження. Лишиться тільки те, у чому немає нічого зі сказаного вами: скільки запитань ви використали й скільки записів пройшло через нашу модель мовлення (щоб безкоштовна частина давалася один раз), вимикач «Лише текст телефона» і місяць, у якому досягнуто ліміту записів. Щоб прибрати й це, очистьте дані застосунку або видаліть його; копія в резервній копії Google залишиться, доки наступна копія не замінить її або Google її не видалить (докладніше). Відкликання не скасовує того, що застосунок зробив раніше. Відкликання не скасовує підписку (докладніше).
• Коли безкоштовні запитання закінчилися, усе, що ви кажете кнопкою «Запитати», зокрема «Забудь…», «Відкликаю згоду» і «Надішли мені всі мої записи», теж чекає на підписку. Кнопки в «Моїх записах» («Видалити», «Надіслати файл», «Стерти все», «Відкликати згоду») лишаються безкоштовними й працюють завжди, а отримати копію завжди безкоштовно.

Що лишається на телефоні

• Ваші записи: ваші слова текстом; дата, час і часовий пояс, коли ви говорили; мова. Записи, які ШІ зберіг зі сказаного кнопкою «Запитати», і записи, зроблені попередніми версіями, також можуть мати заголовок, тип, теми, людей і дати, посилання на попередній запис, якого стосується виправлення, і приклад запитання. Записи зберігаються, доки ви їх не видалите.
• Налаштування й лічильники: мова ваших записів, якими функціями ви користувалися, скільки разів показувалися підказки, скільки разів відкривався застосунок, скільки запитань ви використали, скільки записів пройшло через нашу модель мовлення, вимикач «Лише текст телефона» і місяць, у якому досягнуто ліміту записів.
• Запис про вашу згоду (докладніше). До резервних копій він не копіюється: на новому телефоні Remember попросить згоду знову.
• Копія ваших записів: два файли лежать у закритому кеші застосунку, який не копіюється до резервних копій, щоб вибраний вами застосунок міг їх прочитати. Вони видаляються, коли ви наступного разу робите копію, коли ви відкликаєте згоду або коли ви вперше відкриваєте Remember більш ніж через добу.
• Поки запис у дорозі: поки запис іде на наш сервер, телефон зберігає позначку без слів і звуку: лише те, що запис або запитання в дорозі. Якщо застосунок закриється, він зможе потім сказати вам, що запис не збережено. Позначку видаляють, щойно запис збережено або ви побачили це повідомлення.
• Робочі дані: запитання, що чекають, ваша остання відповідь (з позначкою ШІ), яку можна знову відкрити в «Моїх записах», доки не прийде наступна відповідь, не буде видалено запис, на який вона спирається, або ви не скористаєтеся «Стерти все» чи не відкличете згоду, ваше останнє запитання й відповідь (потрібні для уточнювального запитання протягом приблизно двох хвилин) і запитання «Забути…?» без відповіді. Ці дані до резервних копій не копіюються.

Ваша резервна копія в Google

Ваші записи й налаштування потрапляють до вбудованої резервної копії Android у вашому акаунті Google, якщо ви її ввімкнули, і під час прямого перенесення на новий телефон.

За даними Google, на Android 9 і новіших ця копія наскрізно шифрується блокуванням екрана телефона (PIN-код, графічний ключ або пароль), зазвичай створюється приблизно раз на добу, і зберігається лише остання копія. Ми не можемо прочитати вашу копію. Видалений запис — окремо чи через «Стерти все» — лишається в резервній копії Google до створення наступної копії.

Як забути й видалити

• Щоб видалити один запис, відкрийте «Мої записи» й натисніть «Видалити» під ним. У «Моїх записах» є також «Надіслати файл» та «Стерти все».
• Скажіть кнопкою «Запитати» «Забудь, що я казав про…» — застосунок знайде відповідні записи й перепитає, перш ніж видалити їх.
• Щоб видалити всі свої записи, натисніть «Стерти все» в «Моїх записах» або скажіть «Відкликаю згоду» (докладніше). Щоб стерти все, що зберігає застосунок, відкрийте в Android Налаштування → Додатки → Buttonly Remember → Пам’ять → Очистити дані або видаліть застосунок. «Забудь усе» веде до тієї самої пропозиції й того самого підтвердження, щоб одна неправильно почута фраза не видалила всі ваші записи. «Стерти все» в «Моїх записах» відкликає й згоду, як кнопка «Відкликати згоду».
• Щоб прибрати й копію в резервній копії Google, вимкніть резервне копіювання або видаліть резервну копію у своєму акаунті Google.

Копія ваших записів

У «Моїх записах» натисніть «Надіслати файл». Або скажіть, наприклад, «Надішли мені всі мої записи», і Remember відкриє екран із кнопкою, яку треба натиснути. Потім відкриється вікно Android «Поділитися» з двома файлами: текстовим, який можна прочитати, і файлом JSON, який можуть прочитати інші програми. Куди їх надіслати, вибираєте ви: наприклад, собі на пошту чи на Google Диск. Сам Remember файлів нікуди не надсилає.

У файлах усе, що ви казали, зокрема й про здоров’я, тому надсилайте їх лише тим, кому довіряєте. Копія завжди безкоштовна.

Скарги

Якщо ви поскаржилися на відповідь, у скарзі є: ваше запитання, відповідь, цитати з ваших записів, на яких ґрунтується відповідь, мова відповіді, ваша мова, технічна позначка про те, що відповідь створив ШІ (яка модель і коли), версія застосунку та час, коли скарга надійшла.

У цитатах можуть бути відомості про ваше здоров’я. Тому перед надсиланням застосунок просить вашої явної згоди: натискаючи в цьому запитанні «Поскаржитися», ви погоджуєтеся передати їх нам. Відкликати цю згоду можна листом нам: надішліть текст скарги й приблизний час, і ми її видалимо. Інакше вона видалиться автоматично через 6 місяців (докладніше).

Де опрацьовуються дані

• Наш сервер і наша модель мовлення: Google Cloud, Нідерланди.
• Claude (Anthropic): на серверах Anthropic у США. Передавання захищено стандартними договірними умовами ЄС у Додатку про опрацювання даних Anthropic, і Anthropic не може використовувати ваші дані для навчання своїх моделей.
• Скарги: Google Cloud, Нідерланди.
• Лічильники місячного ліміту: Google Cloud, Нідерланди.
• Технічний журнал: Google Cloud, Нідерланди.
• Перевірка регіону: на нашому сервері, Нідерланди.
• App Check і Play Integrity: сервіси Google, які можуть опрацьовувати дані за межами Європейської економічної зони (ЄЕЗ).
• Розпізнавання мовлення в Google (коли голос не розпізнається на телефоні): де — вирішує Google, і він може опрацьовувати ваш голос за межами Європейської економічної зони (ЄЕЗ); за захист такого передавання відповідає Google, за Політикою конфіденційності Google.
• Читання вголос голосом, якому потрібен інтернет: де — вирішує виробник синтезатора, і він може опрацьовувати текст за межами Європейської економічної зони (ЄЕЗ).
• Листи нам: Proton AG, Швейцарія. Європейська комісія визнала, що Швейцарія забезпечує належний захист персональних даних.

Коли дані залишають ЄЕЗ (ЄС, Норвегію, Ісландію та Ліхтенштейн), передавання захищають стандартні договірні умови ЄС: для Claude — у Додатку про опрацювання даних Anthropic; для сервісів Google — у Додатку про опрацювання даних Google Cloud. Прочитати ці умови можна в цих додатках або попросити в нас копію.

Хто опрацьовує дані за нашим дорученням

Ми передаємо ваші дані таким постачальникам послуг, які опрацьовують їх від нашого імені (як «оператори»):

• Google Cloud забезпечує роботу нашого сервера, нашої моделі мовлення, технічного журналу та бази лічильників місячного ліміту.
• Anthropic PBC (США) надає модель Claude; ми звертаємося до неї безпосередньо в Anthropic. Вона опрацьовує надісланий нами текст лише від нашого імені, за своїм Додатком про опрацювання даних.
  • Умови Anthropic не дозволяють їй навчати свої моделі на цих даних.
  • Anthropic видаляє запити й відповіді протягом 30 днів. Якщо її автоматичні перевірки позначать запит як такий, що порушує Політику використання Anthropic, Anthropic може зберігати цей запит і відповідь до 2 років, а результати цих перевірок безпеки — до 7 років (Anthropic).
• Google Firebase — App Check і база даних для скарг.
• Proton AG (Швейцарія) — наша пошта. Вона зберігає листи, які ви нам надсилаєте, і наші відповіді.

Свої сервіси Google надає за Умовами використання Google Cloud Platform (Google Cloud Platform Terms of Service), до яких входить Додаток про опрацювання даних Google Cloud (Cloud Data Processing Addendum).

Ці сервіси не є нашими операторами; кожен опрацьовує дані за власними умовами й політикою конфіденційності:

• Служба розпізнавання мовлення на вашому телефоні, коли вона надсилає ваш голос до Google, щоб його розпізнати (докладніше); ми спільно відповідаємо лише за збирання вашого голосу і його передавання до неї. Google опрацьовує його за Політикою конфіденційності Google.
• Сервіси Google Play проводять перевірку Play Integrity за Умовами використання Google Play.
• Google Play продає підписку (Google Commerce Limited). В Україні продавець — Buttonly, а Google Play лише проводить оплату (докладніше). В обох випадках Google — самостійний отримувач ваших платіжних даних: оплату, вашу картку та історію покупок веде Google за Політикою конфіденційності Google і Умовами використання Google Play. Застосунок на телефоні питає Google Play, чи діє підписка. Із платними запитами застосунок надсилає нашому серверу ще й токен покупки Google Play. Наш сервер перевіряє його в Google Play (Play Developer API), а про повернення коштів і скасування дізнається із сповіщень Google, які надходять через Google Cloud Pub/Sub (оператор, в ЄС, до 1 доби) (що зберігає сервер).
• Резервне копіювання Android до вашого акаунта Google, якщо ви його ввімкнули.
• Перевірка інтернету (connectivitycheck.gstatic.com) отримує вашу IP-адресу, як будь-яка адреса Google в інтернеті (докладніше).
• Синтезатор мовлення на вашому телефоні (Google, а якщо його не встановлено — виробника вашого телефона), коли голосу потрібен інтернет.

Докладніше про Google: Повідомлення про конфіденційність Google Cloud, Політика конфіденційності Google.

Державним органам ми розкриваємо дані, лише якщо цього вимагає закон.

Навіщо ми використовуємо ваші дані й на якій правовій підставі

• Щоб зробити те, про що ви просите, — перекласти, запам’ятати, відповісти, забути й показати застосунок вашою мовою. Це необхідно, щоб надати застосунок, яким ви користуєтеся, як описано в наших Умовах використання (GDPR, стаття 6(1)(b)).
• Підписка: перевірка на телефоні, чи діє підписка, щоб застосунок дав вам те, що ви купили, і підрахунок використаних безкоштовних перекладів і запитань. Це необхідно для виконання договору з вами (ст. 6(1)(b) GDPR).
• Перевірка покупки на сервері: наш законний інтерес — не віддавати платну частину без оплати й одразу враховувати повернення коштів чи скасування (GDPR, стаття 6(1)(f)). Ви можете заперечити (як).
• Наша модель мовлення: надсилання голосу до неї має ту саму підставу, що й те, що застосунок робить з вашими словами: виконати ваше прохання (ст. 6(1)(b) GDPR). Сказане про здоров’я та інші чутливі речі охоплює ваша явна згода (ст. 9(2)(a) GDPR). Голос співрозмовника спирається на наші законні інтереси (див. нижче).
• Розпізнавання мовлення: застосунку необхідно взяти ваш голос із мікрофона і, якщо він не розпізнається на телефоні, передати його службі Google, щоб вас зрозуміти (ст. 6(1)(b) GDPR). У Remember у цьому голосі може бути сказане про ваше здоров’я; це охоплює ваша явна згода (GDPR, стаття 9(2)(a)).
• Відомості про здоров’я та інші чутливі відомості належать до спеціальної категорії даних. Ми опрацьовуємо їх лише з вашої явної згоди, яку ви даєте кнопкою «Погодитися» в повідомленні перед першим зверненням до застосунку (ст. 9(2)(a) GDPR). Її можна відкликати будь-коли (Translate, Remember).
• Щоб надати вам копію ваших записів, коли ви просите: це наш юридичний обов’язок (GDPR, статті 15, 20 і 6(1)(c)).
• Скарги в Remember можуть містити цитати про ваше здоров’я. Таку скаргу ми отримуємо лише з вашої явної згоди, яку ви даєте в запитанні перед надсиланням (GDPR, статті 6(1)(a) і 9(2)(a)). Відкликати її можна листом нам (як).
• Листи про повернення грошей і претензії: ми використовуємо їх, щоб розглянути ваш запит: це потрібно для нашого договору з вами (GDPR, стаття 6(1)(b)). Після цього ми зберігаємо їх, бо цього вимагає закон Нідерландів (GDPR, стаття 6(1)(c)), і можемо використовувати їх, якщо потрібно пред’явити, здійснити чи захистити правові вимоги (GDPR, стаття 6(1)(f)).
• Наші законні інтереси (GDPR, стаття 6(1)(f)). Для кожного з них ми перевірили, що дані для нього потрібні і що ваші інтереси не переважають його:
  • технічний журнал з IP-адресою та user agent — знаходити й виправляти збої та помічати зловживання нашим сервером;
  • App Check і Play Integrity — захищати наш сервер від підроблених застосунків і автоматизованих зловживань, бо кожен запит до ШІ коштує нам грошей;
  • місячний ліміт — захищати наш сервіс від зловживань і перевитрат, бо кожен запит до ШІ коштує нам грошей;
  • перевірка регіону — дотримуватися умов постачальника ШІ, інакше застосунки можуть втратити доступ до ШІ для всіх. Країна в Google Play не показує, де ви зараз, і не показує регіон (докладніше);
  • 5-хвилинна пам’ять відповідей — щоб запит, надісланий повторно після обриву зв’язку, не опрацьовувався й не оплачувався двічі;
  • перевірка інтернету — підказати вам, що повільне: ваш інтернет чи наш сервіс;
  • скарги в Translate — знаходити й виправляти неправильні або шкідливі переклади. Google Play до того ж вимагає, щоб у застосунках із вмістом, створеним ШІ, на нього можна було поскаржитися. Надсилати скаргу чи ні, вирішуєте ви.
  • слова співрозмовника в Translate — щоб ви розуміли людину, з якою говорите, і могли знову побачити всю розмову. Її голос іде на наш сервер, до нашої моделі мовлення (які мови) і для деяких мов до Google; до ШІ йде лише текст, звук не зберігається. Щоб захистити співрозмовника, застосунок показує йому рядок його мовою, поки слухає, його відповіді лежать лише на вашому телефоні, всього не більше 50 перекладів, не потрапляють до резервних копій, і ви можете стерти їх будь-коли (докладніше).

Ні закон, ні договір не зобов’язують вас надавати нам будь-які дані. Але без сказаного вами застосунки не можуть працювати: якщо ви нічого не кажете застосунку, нічого не надсилається.

Якщо ви були співрозмовником у розмові

Хтось говорив із вами через Buttonly Translate, і на телефоні був рядок про те, що застосунок слухає.

• Хто ми. Dmytro Liashko, торгова назва Buttonly, Нідерланди. Пошта: support@buttonly.app.
• Навіщо. Щоб перекласти сказане вами для людини з телефоном.
• Що відбувається з вашим голосом. Він іде на наш сервер у Нідерландах (Google Cloud), де для більшості мов наша модель мовлення перетворює його на текст (які мови), а також може йти до служби розпізнавання мовлення Google. Текст іде до Claude компанії Anthropic, США, для перекладу.
• Підстава. Наш законний інтерес і інтерес людини з телефоном: щоб двоє людей без спільної мови розуміли одне одного (GDPR, стаття 6(1)(f)).
• Як довго. Ми не зберігаємо звук: він лежить в оперативній пам’яті лише на час обробки. Відповідь лишається в оперативній пам’яті, як описано тут. Anthropic видаляє текст протягом 30 днів, з винятками, описаними тут. Ваші слова лишаються в історії застосунку на телефоні тієї людини, не більше 50 перекладів, доки вона її не зітре.
• Ваші права. Якщо ви проти, скажіть людині з телефоном. Ви можете заперечити будь-коли, написавши нам. Ви можете поскаржитися до Autoriteit Persoonsgegevens у Нідерландах або до органу із захисту даних там, де ви живете.

Ваше право на заперечення

Ви можете будь-коли заперечити проти того, що ми використовуємо ваші дані на підставі наших законних інтересів (їх перелічено вище), з причин, пов’язаних із вашою конкретною ситуацією. Напишіть на support@buttonly.app. Тоді ми припинимо це використання, хіба що маємо вагомі законні підстави, які переважають ваші інтереси, права й свободи, або дані потрібні нам, щоб пред’явити, здійснити чи захистити правові вимоги.

• Технічний журнал і скарги не пов’язані з вашим ім’ям. Щоб знайти ваші рядки журналу, потрібні ваша IP-адреса й приблизний час; щоб знайти вашу скаргу — її текст і приблизний час.
• App Check і технічний журнал супроводжують кожен запит, бо без них наш сервер не може безпечно працювати. Тому, поки ви користуєтеся застосунком, ми, можливо, не зможемо їх припинити; ви можете припинити їх одразу, якщо перестанете користуватися застосунком.
• Перевірка регіону йде з кожним запитом до ШІ: у закритих регіонах ми не маємо права надавати сервіс. Тому, поки ви користуєтеся застосунком, ми, можливо, не зможемо її припинити; ви можете припинити її одразу, якщо перестанете користуватися застосунком.
• Історія Translate, зокрема відповіді співрозмовника, лежить лише на телефоні того, хто користується застосунком, і доступу до неї в нас немає. Вона стирається кнопкою «Очистити історію» в застосунку (як).

Як довго зберігаються дані

• Ваш голос: застосунки тримають звук лише в оперативній пам’яті, поки передають його службі розпізнавання мовлення або на наш сервер, і ніколи його не зберігають. На нашому сервері звук лежить в оперативній пам’яті лише на час обробки запиту. Якщо служба розпізнавання мовлення надсилає голос до Google, то як довго його зберігати, вирішує Google за своєю Політикою конфіденційності.
• Translate, текст фрази: у пам’яті застосунку, доки її не перекладено (після цього — в історії), до вашої наступної фрази, до скасування або до закриття застосунку.
• Remember, фраза, що чекає на надсилання: на телефоні, доки ШІ її не зрозуміє, потім видаляється.
• Запитання, що чекає на підписку: на телефоні, доки ви не оформите підписку або не видалите його.
• На нашому сервері: звук і тексти — лише поки опрацьовується запит. Відповідь разом зі словами, почутими з голосу, використовується з оперативної пам’яті до 5 хвилин і стирається, коли ця копія сервера обробить наступний запит або зупиниться (докладніше).
• В Anthropic (Claude): не використовуються для навчання; видаляються протягом 30 днів; якщо запит позначено як такий, що порушує Політику використання Anthropic, запит і відповідь можуть зберігатися до 2 років, а результати перевірок безпеки — до 7 років.
• Історія Translate: 50 останніх перекладів, ваших і співрозмовника, на телефоні; старіші видаляються автоматично, а всі разом — коли ви очищаєте історію, очищаєте дані застосунку або видаляєте його.
• Кількість використаних безкоштовних перекладів у Translate: на телефоні — доки ви не очистите дані застосунку чи не видалите його; у вашій резервній копії Google — доки наступна копія не замінить її або Google її не видалить (копія може пережити застосунок, щоб безкоштовна частина давалася один раз).
• Записи Remember: на телефоні, доки ви їх не забудете, не відкличете згоду, не очистите дані застосунку або не видалите його; у резервній копії Google — до наступного резервного копіювання після цього.
• Запис про згоду в Remember: на телефоні, доки ви не відкличете згоду, не очистите дані застосунку або не видалите його.
• Запис про згоду в Translate: на телефоні, доки ви не очистите дані застосунку чи не видалите його; під час відкликання згоди він лишається разом із часом відкликання.
• Копія ваших записів: два файли в закритому кеші застосунку — до наступної копії, до відкликання згоди або до першого відкриття Remember більш ніж через добу.
• Дата, коли Google Play востаннє підтвердив вашу підписку: на телефоні — доки ви не очистите дані застосунку чи не видалите його; до резервних копій не потрапляє.
• Лічильник використаних запитань у Remember: на телефоні — доки ви не очистите дані застосунку або не видалите його; у резервній копії Google — доки наступна копія не замінить його або Google його не видалить; після відкликання згоди він зберігається.
• Лічильник записів через нашу модель мовлення в Remember: зберігається так само, як лічильник запитань.
• Вимикач «Лише текст телефона» і місяць, у якому досягнуто ліміту записів: зберігаються так само, як лічильник запитань.
• Запис про вашу покупку на нашому сервері (хеш із секретним ключем від токена покупки, застосунок, продукт, стан, кінець права, позначка тесту й час останньої перевірки): 90 днів після кінця права або після останньої перевірки, потім видаляється автоматично. Токен покупки, якого Google Play не знає: хеш із секретним ключем в оперативній пам’яті сервера до 10 хвилин.
• Технічний журнал з IP-адресою та user agent: 30 днів, потім видаляється автоматично.
• Перевірка регіону: результат не зберігається. IP-адреса використовується лише на час опрацювання запиту, окрім технічного журналу (докладніше).
• Лічильники місячного ліміту (хеш із секретним ключем від номера встановлення або IP-адреси, з лічильником): у нашій базі даних в ЄС до кінця календарного місяця (за амстердамським часом), а якщо база недоступна — тимчасово в оперативній пам’яті сервера; потім видаляються автоматично, зазвичай протягом доби.
• Хеш із секретним ключем від токена App Check: у пам’яті нашого сервера до опівночі за амстердамським часом.
• Скарги: 6 місяців, потім видаляються автоматично, зазвичай протягом доби.
• Листи про повернення грошей і претензії (ваше ім’я, адреса пошти, номер замовлення і те, що ви написали): поки ми розглядаємо ваш запит, а потім 7 років після кінця року, у якому ми його закрили, бо закон Нідерландів зобов’язує нас стільки зберігати ділові документи. Потім ми їх видаляємо.
• Інші листи нам: поки ми не відповімо на ваше запитання, а потім до 1 року.
• Дані Play Integrity: Google видаляє їх через певний строк, який встановлює Google.

Не продаємо, не показуємо рекламу, не стежимо

Ми не продаємо й не здаємо в оренду ваші дані. Ми не показуємо рекламу й не використовуємо ваші дані для реклами чи складання профілів. Ми не поєднуємо їх із даними з інших джерел, окрім списку діапазонів адрес для перевірки регіону.

Ми не ухвалюємо щодо вас рішень, які ґрунтуються виключно на автоматизованому опрацюванні й мають для вас юридичні або так само істотні наслідки (GDPR, стаття 22). ШІ лише тлумачить те, про що ви просите, і відповідає на це.

Діти

Застосунки призначені лише для дорослих, від 18 років. Будь ласка, не давайте застосунки дітям. Якщо дитина ними користувалася, усе, що застосунок зберіг на телефоні, можна видалити, як описано вище; щодо решти напишіть нам.

Ваші права

За GDPR ви маєте право:

• дізнатися, які ваші персональні дані ми маємо, і отримати їхню копію;
• виправити або видалити їх;
• обмежити їх використання або заперечити проти використання на підставі законних інтересів (докладніше);
• отримати дані, які ви нам надали, у форматі, який можна перенести деінде;
• будь-коли відкликати згоду, якщо ми спираємося на неї (Translate, Remember);
• подати скаргу до органу із захисту даних.

Як скористатися цими правами:

• Більшість ваших даних є лише на вашому телефоні. Там їх можна переглянути, виправити й видалити, як описано вище. Remember також дає вам копію всіх ваших записів текстовим файлом і файлом JSON (як). Ми доступу до цих даних не маємо.
• Наш сервер не зберігає копій ваших слів на диску. Технічний журнал і скарги не пов’язані з вашим ім’ям чи акаунтом, тому зазвичай ми не можемо визначити, які з них ваші. Якщо ви хочете, щоб ми знайшли й видалили вашу скаргу, надішліть її текст і приблизний час. Щоб знайти ваші рядки журналу, потрібні ваша IP-адреса й приблизний час. Журнал видаляється автоматично через 30 днів.
• Пишіть на support@buttonly.app. Ми відповімо протягом місяця. Ми можемо попросити відомості, потрібні, щоб знайти ваші дані.
• Ви можете подати скаргу до органу із захисту даних:
  • у Нідерландах — Autoriteit Persoonsgegevens;
  • у країні ЄЕЗ, де ви живете, наприклад Datatilsynet у Норвегії або Persónuvernd в Ісландії;
  • якщо ви живете в Україні, ще й Уповноваженому Верховної Ради України з прав людини.

Якщо ви живете в Україні

Ця політика діє для вас так само, як для всіх. GDPR захищає і вас, тому що ми розташовані в ЄС.

• Ваші права ті самі, що перелічені вище, і користуєтеся ви ними так само: напишіть на support@buttonly.app.
• Скарги. Ви можете поскаржитися нам, нідерландському органу та Уповноваженому Верховної Ради України з прав людини (докладніше).
• Оплата. В Україні продавець — Buttonly, а платите ви через Google Play (докладніше). Ми не бачимо вашої картки. Якщо ви просите повернути гроші або подаєте претензію, ми використовуємо ваше ім’я, адресу пошти й номер замовлення і знаходимо замовлення в нашому акаунті Google Play. Скільки ми це зберігаємо — тут, на якій підставі — тут.
• Закриті регіони. У деяких регіонах України застосунки не працюють (докладніше).

Безпека

• Усі з’єднання між застосунками й нашим сервером і між нашим сервером та сервісом ШІ зашифровано (HTTPS).
• Наш сервер тримає ваш голос лише в оперативній пам’яті на час запиту; у нашої моделі мовлення немає виходу в інтернет.
• Наш сервер приймає запити лише від справжніх застосунків (App Check).
• Наш сервер не зберігає на диску нічого з того, що надсилають користувачі, і в його журналі цього теж немає.
• Застосунки можуть лише додавати скарги, але не читати їх.
• Доступ до наших проєктів Google Cloud і Firebase обмежено.
• На телефоні дані лежать у закритому сховищі застосунку, яке інші застосунки не можуть прочитати. Будь ласка, користуйтеся блокуванням екрана: воно захищає телефон, а на Android 9 і новіших шифрує вашу резервну копію в Google.

Зміни цієї політики

Коли застосунки змінюють те, як вони поводяться з даними, ми оновлюємо цю сторінку й дату вгорі. Про важливі зміни ми також повідомимо в застосунках або на їхніх сторінках у Google Play.

Контакти

• Dmytro Liashko, торгова назва Buttonly

• Sir Winston Churchilllaan 843A, 2286 AA Rijswijk, Нідерланди

• KvK: 84903481

• Електронна пошта: support@buttonly.app

• Телефон: +31 6 19889302

• Номер платника ПДВ (btw-id): NL004034336B89