Ми відповідаємо протягом 1 місяця. Якщо запит складний, строк може зрости ще на 2 місяці — тоді ми скажемо чому.
2. Що лежить лише на твоєму телефоні
Щоденник
Відповіді на щоденні питання: сон, настрій, стрес, тіло, події дня.
Час пробудження — щоб ранкове питання приходило вранці.
Твій здогад про те, від чого залежить стан, якщо його назвати.
Що ти приймаєш і з якого дня, якщо це записати.
Цілі й набір питань.
Дані профілю про здоровʼя, якщо їх вказати в «Я» → «Вік, стать, зріст, вага»: хронічні стани, тиск, головна скарга, куріння, алкоголь, стрес, обмеження в їжі, відомі тригери.
Погода твого міста поруч із записами.
Згоди, дані в застосунку, з датою.
Це дані про здоровʼя. Збіги, «Прилад» і документ «Йду до експерта» рахує сам телефон.
Де саме він лежить
У базі застосунку на цьому iPhone. Іншим застосункам вона недоступна. Сховище захищає сам iPhone, і цей захист тримається на коді телефона.
Копії щоденника на наших серверах немає. Прочитати його ми не можемо.
Резервна копія iPhone (iCloud або компʼютер) містить і щоденник. Це твоя справа з Apple або з компʼютером. Доступу туди ми не маємо.
Вихід з акаунта щоденника не стирає: після входу він знову на місці. Стерти його: «Я» → «Видалити все».
Якщо видалити ProTilo з iPhone, щоденник зникне з цього телефона. З резервних копій iPhone і з уже збережених копій він не зникне.
Копії, які робиш ти
«Забрати копію даних» — файл у відкритому форматі (JSON). Його складає телефон. Куди він піде, вирішуєш ти.
«Копія для відновлення» — файл, замкнений ключем із 28 знаків (шифр XChaCha20-Poly1305). Ключ народжується на телефоні й показується лише тобі. Ми його не маємо. Якщо загублено і телефон, і ключ, копію не відкриє ніхто. Ми теж.
«Йду до експерта» — PDF складає телефон. Кому його віддати, вирішуєш ти.
«Спитати ШІ» — телефон складає текст із твоїх записів. Ти копіюєш його і вставляєш у ШІ на власний вибір. Ми нічого не надсилаємо жодній компанії ШІ. Перед першим разом застосунок питає згоду.
Що ти вставиш у ШІ, далі діє за правилами тієї компанії. Google Gemini: policies.google.com/privacy · Anthropic Claude: anthropic.com/legal/privacy · OpenAI ChatGPT: openai.com/policies/privacy-policy
Копія в хмарі — лише якщо її ввімкнути
Типово вимкнена. Вмикається окремою згодою: «Я» → «Копія для відновлення».
Телефон замикає копію твоїм ключем ще до відправлення. Ми зберігаємо замкнену копію в Google Cloud Storage в ЄС. Відкрити її ми не можемо.
Що бачимо ми: чия це копія (акаунт), її розмір, коли її збережено і час кількох останніх спроб її зберегти (щоб обмежити кількість спроб). Більше нічого.
Зберігається 1 копія — найновіша. Нова замінює стару.
Копія оновлюється сама не частіше ніж раз на добу, коли є нові записи. Або коли натиснути «Зберегти зараз».
Вимкнути: «Я» → «Копія для відновлення» → «Вимкнути копію в хмарі». Ми стираємо копію одразу. Ще 7 днів вона лежить замкненою в кошику сховища, потім зникає назавжди.
Видалення акаунта теж стирає копію.
На новому телефоні: вхід в акаунт → «знайдено копію» → твій ключ.
3. Що зберігає наш сервер
Акаунт: пошта, спосіб входу (Apple, Google або пошта з паролем), імʼя від Apple чи Google, якщо вони його передали, автоматичний нікнейм (його можна змінити), номер акаунта, мова, дати створення й змін. Навіщо: щоб працювали акаунт і вхід.
Пароль зберігає Google Firebase Authentication лише в захешованому вигляді. Ми його не бачимо.
Перевірка віку: позначка «мені є 18 років», дата народження, якщо її вказати, і вік на день реєстрації. Навіщо: ProTilo лише для дорослих. Із дати народження ти також бачиш свій вік у «Я» і в тексті для ШІ.
Записи про згоди: що прийнято (Політика приватності й Умови, медичне застереження, згода на «Спитати ШІ», копія в хмарі, вибір щодо звітів про збої), версія і час. Навіщо: щоб довести згоду (стаття 7 GDPR).
Місто: назва, країна і координати центру міста. Навіщо: погода і повітря.
Профіль, якщо його заповнити («Я» → «Вік, стать, зріст, вага»): стать, зріст, вага, аватар зі списку, країна, ціль, хронотип, тип роботи, звичний час сну й пробудження, ціль сну, чутливість до кави, ціль руху й рівень форми, вода, прийоми їжі, екран перед сном. Усе — за бажанням. Зріст і вага — дані про здоровʼя. Навіщо: щоб показати їх у «Я» і в тексті для ШІ. Хронічні стани, тиск, головна скарга, куріння, алкоголь, стрес, обмеження в їжі й відомі тригери з версії 2.0 лежать лише на телефоні (розділ 2).
Налаштування нагадувань: час і перемикачі. Навіщо: щоб і на іншому телефоні діяв твій вибір.
Вибір щодо звітів про збої. Навіщо: щоб діяв твій вибір.
Записи з версій до 2.0 — якщо ProTilo був у тебе раніше: старі чекіни, нотатки, підказки, дані Apple Health, які копіювала та версія, і дані профілю, вказані в ній (зокрема стани й тиск, якщо їх вказували). Навіщо: щоб старий щоденник лишався доступним.
Запити на експорт і їхній стан.
Запис про запит на видалення: номер акаунта, коли попросили, коли стерто і скільки чого стерто. Навіщо: щоб довести, що видалення відбулося, і не повернути стертий акаунт із резервної копії.
Службовий журнал безпеки: експорт, видалення, службові дії.
Відповідей нового щоденника (від версії 2.0) на сервері немає.
4. Погода і місце
Застосунок оновлює погоду й повітря для твого міста щоразу, коли ти його відкриваєш, — не частіше ніж раз на 2 хвилини. Добові підсумки погоди iPhone може дозапитати й у фоні, коли сам вирішить.
Місто обираєш ти: «Я» → «Погода і повітря». Або, якщо дозволити доступ до місця, телефон знаходить найближче місто зі списку в застосунку.
Точне місце не покидає телефон. Дозвіл на місце — необовʼязковий.
Добові підсумки погоди для порівнянь беруться лише для обраного міста.
Open-Meteo (OpenMeteo GmbH, Швейцарія) отримує координати центру міста: погода, повітря, кліматична норма. Open-Meteo тримає технічні журнали з IP-адресою до 90 днів.
NOAA (США) дає загальний прогноз геомагнітної активності. Про тебе в цьому запиті нічого немає.
Служба карт Apple в iOS отримує координати міста, щоб показати його назву.
Записи погоди лежать у щоденнику на телефоні. На наш сервер записи погоди й місця не надходять.
Обране місто зберігається в акаунті (розділ 3).
Згода на записи дозволяє застосунку ще й порівнювати погоду з твоїми записами. Порівняння відбувається на телефоні. Забереш згоду — порівняння зупиниться, і нових записів погоди в щоденнику теж не буде.
5. Звіти про збої
Коли застосунок падає або ловить помилку, він надсилає технічний звіт у Sentry. Звіти зберігаються в ЄС (Франкфурт).
У звіті: опис помилки, версія застосунку, модель iPhone, версія iOS, випадковий номер установки й останні технічні кроки перед помилкою.
Без імені, без пошти, без номера акаунта. Звіти побудовано так, щоб записи щоденника туди не потрапляли.
Підстава — наш законний інтерес: стабільний і безпечний застосунок.
Типово ввімкнено. Вимкнути: «Я» → «Аналітика і права на дані» → «Діагностичні звіти». Діє з наступного запуску. Заперечити можна будь-коли.
Sentry стирає звіти щонайпізніше через 90 днів. Звіти не містять номера акаунта, тож повʼязати їх із тобою не можна; звіти версій до 2.0 ми просимо Sentry стерти.
6. Статистика користування
Ця версія не збирає статистики користування.
7. Листи
Лише службові: посилання для зміни пароля, вітання після реєстрації, «акаунт не створено» (якщо тобі ще немає 18), «запит на експорт отримано» і «експорт готовий», видалення акаунта (поставлено в чергу й виконано).
Надсилаємо через Google Workspace (Gmail).
Рекламних розсилок немає.
Якщо ти пишеш нам, ми тримаємо листування, доки допомагаємо, і ще 24 місяці після того.
8. Хто ще обробляє дані
Працюють для нас (обробники, стаття 28 GDPR)
Google Cloud і Firebase (Google Ireland Ltd, Google LLC): база даних, серверні функції, сховище файлів, вхід в акаунт. База — в ЄС (кілька регіонів Європи). Функції — в ЄС (Бельгія). Вхід (Firebase Authentication) Google обслуговує в дата-центрах США.
Google Workspace (Google Ireland Ltd): службові листи — адреса й текст листа.
Sentry (Functional Software, Inc.): звіти про збої. Зберігаються в ЄС; компанія — зі США.
Expo (650 Industries, Inc., США): оновлення застосунку. Щоразу під час запуску телефон питає Expo, чи є новіша версія коду застосунку. Expo бачить IP-адресу, версію застосунку, канал оновлень, платформу, номер поточного оновлення й випадковий номер установки. Якщо застосунок аварійно закривається під час запуску оновлення, Expo отримує звіт про цю помилку — щоб повернути попередню версію. Записів щоденника там немає.
Діють від власного імені
Apple: App Store, вхід через Apple, служби iOS (резервні копії, місце, назви міст).
Google: вхід через Google, якщо його обрати.
Open-Meteo (Швейцарія): погода — координати міста; IP-адреса в журналах.
NOAA (США): загальний прогноз геомагнітної активності. Про тебе — нічого; як будь-який сайт, бачить мережеву адресу телефона.
Компанії ШІ, у які ти вставляєш текст: усе, що вставлено.
Передача за межі ЄС
Google (США): EU-US Data Privacy Framework і стандартні договірні положення ЄС.
Sentry і Expo (США): стандартні договірні положення ЄС.
Open-Meteo (Швейцарія): рішення ЄС про належний захист даних у Швейцарії.
9. На якій підставі
Акаунт, вхід, службові листи, налаштування — договір (стаття 6(1)(b) GDPR).
Оновлення застосунку (Expo) — договір і наш законний інтерес у справній і безпечній версії застосунку (стаття 6(1)(b), (f)).
Перевірка віку — договір і наш законний інтерес тримати ProTilo лише для дорослих (стаття 6(1)(b), (f)).
Щоденник на телефоні (дані про здоровʼя) — твоя пряма згода (стаття 9(2)(a)).
Дані профілю про здоровʼя на телефоні — твоя пряма згода: ти вносиш їх власноруч на екрані, що каже, що вони лишаються на телефоні (стаття 9(2)(a)).
Порівняння погоди з записами — та сама пряма згода на записи (стаття 9(2)(a)).
Зріст і вага в профілі (за бажанням) — твоя пряма згода: ти вносиш їх власноруч на екрані, що каже, де вони зберігаються (стаття 9(2)(a)). Решта профілю — договір (стаття 6(1)(b)).
Записи з версій до 2.0 — згода, дана в тій версії (стаття 9(2)(a)).
Копія в хмарі — твоя пряма згода (стаття 9(2)(a)).
Записи про згоди — щоб довести згоду (стаття 6(1)(c) разом зі статтею 7(1)).
Місто й погода — договір (стаття 6(1)(b)). Місце телефона — лише з твого дозволу в iOS.
Звіти про збої — наш законний інтерес (стаття 6(1)(f)). Заперечити можна будь-коли.
Журнал безпеки й захист від зловживань — наш законний інтерес (стаття 6(1)(f)).
Відповіді на твої листи — договір і законний інтерес (стаття 6(1)(b), (f)).
Без акаунта ProTilo не працює: щоденник привʼязаний до акаунта. Усе інше — за бажанням. Без згоди на записи застосунок відкривається, але щоденник лишається порожнім.
10. Скільки зберігаємо
Щоденник і дані профілю про здоровʼя на телефоні — доки їх не стерти («Видалити все»), не видалити акаунт (тоді їх стирає і цей телефон) або не видалити застосунок.
Копія в хмарі — лише найновіша. Стирається, коли копію вимикають або видаляють акаунт; ще 7 днів лежить замкненою в кошику.
Акаунт, профіль, місто, налаштування, згоди, записи з версій до 2.0 — доки акаунт не видалено (через 7 днів після запиту).
Файл експорту акаунта — посилання діє 7 днів, файл стирається протягом 21 дня.
Незавершена реєстрація (вік не підтверджено) — сама не стирається: напиши на privacy@protilo.com, і ми зітремо її протягом 1 місяця.
Службовий журнал безпеки — 90 днів. Після видалення акаунта номер акаунта в ньому замінюється псевдонімом.
Запис про виконане видалення — доки нам може знадобитися довести, що видалення відбулося. Записів щоденника в ньому немає.
Звіти про збої — до 90 днів.
Твої листи до нас — доки допомагаємо, і ще 24 місяці.
Резервні копії сервера: відкат бази на будь-яку мить за останні 7 днів; щоденні копії бази — 30 днів; копія акаунтів входу — 30 днів.
Видалене зникає з резервних копій, коли спливає їхній строк. Видаленого акаунта ми з резервної копії не повертаємо. Якщо колись доведеться відновити базу з копії, ми знову видалимо акаунти, видалені після її створення.
Google стирає видалене зі своїх внутрішніх систем протягом до 180 днів.
11. Стерти, вимкнути, забрати згоду
Видалити акаунт
«Я» → «Видалити акаунт назавжди». Треба ще раз увійти й ввести слово DELETE.
Акаунт одразу закривається, а через 7 днів стирається. За ці 7 днів можна увійти й скасувати видалення.
Що стирається: усе з розділу 3, копія в хмарі, файли експорту й акаунт входу. Звіти про збої не містять номера акаунта, тож повʼязати їх із тобою не можна; звіти версій до 2.0 ми просимо Sentry стерти. Наприкінці надсилаємо лист-підтвердження.
Якщо вхід був через Apple, лист-підтвердження скаже, як прибрати ProTilo зі списку застосунків твого Apple ID.
На телефоні, де попросили видалення, щоденник стирається під час першого відкриття застосунку щонайменше через добу після того, як видалення набуло сили. На інших телефонах спершу натисни «Видалити все» або видали застосунок.
Що лишається: запис про виконане видалення, службовий журнал безпеки, де номер акаунта замінено псевдонімом (розділ 10), резервні копії до кінця їхнього строку (розділ 10), а також копії поза нами — файли, резервні копії iPhone і те, що вставлено в ШІ.
Стерти лише телефон
«Я» → «Видалити все». Стирає щоденник, ключі й нагадування на цьому телефоні одразу і виходить з акаунта. Сам акаунт лишається.
Забрати згоду
Згода на записи: «Я» → «Приватність і згоди». Застосунок одразу перестає записувати й нагадувати. Те, що вже записано, лишається на телефоні, доки його не стерти.
Копія в хмарі: «Вимкнути копію в хмарі» — копію стерто одразу.
Звіти про збої: «Я» → «Аналітика і права на дані» → «Діагностичні звіти».
Забрати згоду можна будь-коли. Те, що зроблено до того, лишається законним.
12. Твої права
Доступ і копія. Щоденник: «Я» → «Забрати копію даних» — файл з усіма записами. Акаунт: «Я» → «Безпека акаунта» → «Запит на експорт даних» — файл на пошту, зазвичай за кілька хвилин; посилання діє 7 днів; наступний запит — через 30 днів. Файл містить і історію твоїх згод. Історія згод: «Я» → «Аналітика і права на дані» → «Історія згод».
Виправлення. Профіль: «Я» → «Вік, стать, зріст, вага». Запис у щоденнику за сьогодні: «Виправити цей запис» — виправлення стає поруч, оригінал не зникає.
Видалення: розділ 11.
Перенесення: обидва файли — у відкритому форматі (JSON).
Щоденник на телефоні — повністю в твоїх руках: ми його не бачимо, тож і змінити не можемо.
Усе це безкоштовно. Щоб захистити акаунт, ми можемо попросити написати з пошти акаунта.
Скарга. Португалія (наш наглядовий орган): CNPD — Comissão Nacional de Proteção de Dados, Av. D. Carlos I, 134, 1.º, 1200-651 Lisboa, www.cnpd.pt, geral@cnpd.pt. Якщо ти живеш в іншій країні ЄС — також до органу своєї країни (список: edpb.europa.eu). Якщо ти живеш в Україні — також до Уповноваженого Верховної Ради України з прав людини, www.ombudsman.gov.ua.
13. Лише для дорослих
ProTilo — лише для людей від 18 років. Під час реєстрації застосунок питає вік.
Якщо ми дізнаємося, що акаунт належить людині до 18 років, ми закриємо його і зітремо дані.