Политика конфиденци­альности

1Кто отвечает за ваши данные

Family Agreements разрабатывает и обслуживает латвийская компания SIA "Valmsoft", регистрационный номер 40203790753. Она решает, зачем и как приложение, его серверы и сайт обрабатывают данные, описанные в этой политике, — то есть она оператор (контролёр) этих данных. Дальше она называется «разработчик» или «мы».

За обработку, которую поставщики ведут по своим собственным политикам конфиденциальности, отвечают они сами. Юридический адрес и другие реквизиты компании — в разделе «Контакты».

2Какие данные мы собираем

Ниже перечислено, какие данные собирает Family Agreements и для чего они нужны.

Данные аккаунта взрослого:

• Адрес электронной почты. При входе через Apple это может быть скрытый адрес, который выдаёт Apple, если вы решили не показывать свой
• Имя, под которым вас видят участники семьи. При создании аккаунта это имя, которое передали Google или Apple, если вход через них, иначе — часть адреса почты до «@»
• Идентификатор аккаунта Google или Apple, если вы входите через них
• Токены входа, чтобы вам не приходилось входить заново
• Дата и время последнего входа в приложение или продления сессии. Сервер обновляет их не чаще раза в сутки, и по ним считается срок хранения неактивных аккаунтов и семей (см. «Срок хранения»)

Адрес электронной почты нужен для входа, для писем о вашем аккаунте и семье — с кодом входа, приглашением, приветствием, предупреждением перед удалением неактивной семьи — и для управления аккаунтом; его домен, кроме того, попадает во внутренний отчёт о продукте (см. «Как используются данные»). Адрес видят другие взрослые вашей семьи.

Если вы приглашаете в семью другого взрослого, его адрес почты сохраняется в приглашении, и на этот адрес уходит письмо с кодом. Само приглашение действует 10 минут и затем удаляется, а адрес остаётся в истории семьи — как запись о том, кого пригласили.

Профили детей:

• Отображаемое имя, выбранное родителем или ребёнком
• Внутренний идентификатор (UUID)
• Принадлежность к семейной группе
• Дата и время последнего входа в приложение или продления сессии

У ребёнка нет ни почты, ни пароля: он входит по QR-коду, который показывает взрослый.

Данные устройств — и взрослого, и ребёнка:

• Идентификатор устройства, к которому привязана сессия. Это случайный код, который создаёт само приложение; на iPhone он хранится в связке ключей (Keychain) и не пропадает при переустановке приложения
• Токен push-уведомлений и платформа устройства — Android или iOS: по ним сервер присылает уведомления о событиях в семье

Подписка Family Pro:

• Тариф, магазин — Google Play или App Store, — срок действия и признак автопродления
• Идентификатор покупки в магазине: по нему сервер проверяет подписку у Google или Apple
• Кто из взрослых оформил подписку

Платёжных данных — номера карты, адреса для счёта — приложение не получает: их видит только магазин.

Кроме этого, приложение собирает сведения о том, как им пользуются, и диагностику сбоев: без них не видно, где приложение ломается и на каком шаге человек застревает. Собирают их Firebase Analytics и Firebase Crashlytics — сервисы Google. Имён и введённого вами текста там нет, но и полностью анонимными эти данные назвать нельзя: полный перечень — ниже.

Что в них попадает:

• Действия: какой экран открыт и закрыт, выбор роли, вход, создание семьи, приглашения и сканирование QR-кода, работа с заданиями — создание, правка, выполнение и проверка, — показ экрана Family Pro и шаги покупки, обучение при первом запуске, запрос оценки приложения, включение и выключение сбора статистики
• Признаки: роль — взрослый или ребёнок, тариф — бесплатный или Family Pro, заведена ли семья, на каком шаге первичной настройки вы находитесь и каким способом выполнен вход — кодом на почту, через Google или через Apple; запущено ли приложение в эмуляторе или в автоматической проверке Google Play
• Покупки в App Store: на iPhone Google Analytics сам записывает оформление и продление подписки — тариф, цену и валюту
• Служебные события, которые Google Analytics собирает сам, — например, первый запуск, сеансы и время в приложении, обновления приложения и системы
• Коды ошибок, статусы ответов сервера и адреса неудавшихся запросов, из которых убраны идентификаторы
• Отчёты о сбоях: место в коде, экран, версия приложения, модель устройства, версия Android или iOS, роль, тариф и служебный код запроса. По этому коду сбой можно найти в журнале сервера, а там рядом с ним записан идентификатор семьи — так что отчёт о сбое можно сопоставить с семьёй. Сам факт сбоя и его время попадают и в статистику использования
• Язык устройства, приблизительное местоположение — страну и город, которые Google определяет по IP-адресу, — и случайный идентификатор установки: он меняется при переустановке приложения

Чего в них нет:

• Имён, адресов почты и любых контактных данных
• Названий заданий и наград, как и любого другого текста, который вы вводите
• Идентификаторов аккаунта, семьи и профилей
• Рекламного идентификатора устройства, Android ID и идентификатора поставщика на iPhone (IDFV)

По умолчанию сбор включён. Выключить его можно переключателем статистики в настройках приложения — он есть и у взрослого, и у ребёнка. Выбор хранится на самом устройстве и действует только там, где его сделали: на телефоне ребёнка сбор выключается отдельно. После переустановки приложения сбор снова включён.

Перед тем как сбор прекратится, уходит одно последнее событие — сам факт отказа. После этого приложение не отправляет ни статистику, ни отчёты о сбоях, а то, что ещё не ушло с устройства, удаляется. Данные, которые Google уже получил, остаются у него до истечения срока хранения.

3Данные семьи

Приложение может хранить информацию, связанную с активностью семьи, включая:

• Домашние задания
• Статус выполнения заданий
• Комментарии взрослого — при возврате задания на доработку и к решению по запросу награды
• Элементы каталога наград
• Запросы на получение наград
• Семейные цели и вклады в них
• Баланс баллов
• Историю баллов
• Историю событий семьи: кто, что и когда сделал

Эти данные нужны для работы приложения; кроме того, их количество и дни, когда семья была активна, попадают во внутренний отчёт о продукте.

4Разрешение на камеру

Family Agreements может запрашивать доступ к камере устройства.

Камера используется только для сканирования QR-кодов, которые показывает взрослый: когда ребёнок присоединяется к семье, повторно авторизует устройство или подтверждает удаление своего профиля. QR-код распознаётся на самом устройстве.

Чего приложение не делает:

• Не записывает видео
• Не сохраняет изображения
• Не отправляет на сервер содержимое камеры

Камера включается, только когда тот, кто держит телефон, сам выбрал сканирование QR-кода.

5Как используются данные

Собранная информация используется только для того, чтобы:

• Проверять, кто входит в приложение
• Управлять членством в семье
• Вести учёт выполнения заданий
• Вести баланс баллов
• Обрабатывать запросы на награды
• Показывать историю активности
• Присылать push-уведомления о событиях в семье
• Проверять подписку Family Pro у магазина
• Удалять аккаунты и семьи, которыми давно никто не пользуется
• Составлять внутренний отчёт о том, как используется продукт
• Находить сбои и улучшать приложение

Приложение не продаёт персональные данные.

По базе сервера разработчик составляет внутренний отчёт о том, как используется продукт: регистрации и входы, дни, когда семья была активна, число заданий, наград и целей, домены адресов почты; к нему добавляется сводка из Google Analytics. Отчёт считается по аккаунтам и семьям, но адресов и имён в нём нет — только внутренние идентификаторы семей, даты, тарифы, домены, числа и признаки.

Статистику и отчёт разработчик читает, чтобы находить сбои и места, где люди бросают приложение, — а не чтобы наблюдать за конкретным человеком или семьёй.

6Хранение данных

Данные приложения могут храниться на защищённых серверах, которыми управляет разработчик.

Среди хранимых данных могут быть:

• Идентификаторы аккаунтов и устройств
• Данные семьи
• Задания и награды
• История баллов
• Сведения о подписке

Сервер приложения также ведёт журнал запросов: у каждого запроса в нём есть служебный код, в адресе запроса — идентификатор семьи, а в части строк — идентификаторы пользователя и устройства. По этому журналу разработчик разбирает сбои, в том числе сопоставляя с ним отчёты о сбоях.

Для защиты данных применяются разумные меры безопасности.

7Передача данных

Family Agreements не продаёт персональные данные и не передаёт их третьим лицам, кроме поставщиков услуг, которые работают на сервис:

• Провайдеры защищённого хостинга
• Cloudflare — доставка и защита сайта и общая статистика посещений для разработчика (см. раздел «Сайт»)
• Resend — отправка писем: код входа, приглашение в семью, приветственное письмо, предупреждение перед удалением семьи
• Google и Apple — вход через их аккаунты и проверка покупок в Google Play и App Store
• Google Firebase Cloud Messaging и Apple Push Notification service — доставка push-уведомлений
• Google Firebase — статистика использования (Firebase Analytics) и отчёты о сбоях (Firebase Crashlytics)

Статистику использования и отчёты о сбоях обрабатывает Google — как поставщик услуг и по своей политике конфиденциальности. Они хранятся на серверах Google, в том числе за пределами страны, где вы живёте.

При входе через Google или Apple они подтверждают вашу личность и передают приложению адрес почты, идентификатор аккаунта и имя; Google при этом получает и IP-адрес устройства — в том числе для защиты от мошенничества. Подписку сервер проверяет у магазина, передавая ему только идентификатор покупки.

Push-уведомления сервер отправляет без текста: в них только вид уведомления и внутренние идентификаторы, а текст подставляет само приложение. Чтобы уведомления работали, приложение при запуске регистрирует устройство в Firebase — даже до входа и без разрешения на уведомления; Firebase при этом получает модель устройства, язык и часовой пояс, независимо от переключателя статистики.

Приложение не использует рекламные сети и не отслеживает пользователей в рекламных целях — ни в других приложениях, ни на сайтах.

Рекламный идентификатор устройства не собирается. На Android разрешения, которые библиотека Google добавляет по умолчанию, из приложения удалены, а передача сигналов для рекламы и персонализации выключена; на iPhone приложение не запрашивает доступ к рекламному идентификатору, а сбор идентификатора поставщика (IDFV) выключен.

8Конфиденциальность детей

Family Agreements предназначено для использования в семьях под контролем родителей или законных представителей.

На сервере о ребёнке хранятся:

• Отображаемое имя, внутренний идентификатор профиля и принадлежность к семье
• Сессия на его устройстве: идентификатор устройства, токен входа, токен push-уведомлений и платформа устройства
• Его активность в приложении внутри семьи
• Дата и время последнего входа в приложение или продления сессии — сервер обновляет их не чаще раза в сутки

У ребёнка нет ни почты, ни пароля: он входит по QR-коду, который показывает взрослый. Приложение не собирает внешние контактные данные детей. Создание и управление детскими профилями контролируют родители.

С телефона ребёнка уходят те же статистика использования и отчёты о сбоях, что и с телефона взрослого: действия и диагностика сбоев. Имя профиля, названия заданий и наград туда не попадают.

Детям не показывается реклама, рекламный идентификатор устройства не собирается, рекламные профили не строятся.

На телефоне ребёнка сбор тоже по умолчанию включён, и выключается он тем же переключателем в настройках. Переключатель действует на одном устройстве: чтобы сбор не шёл с телефона ребёнка, выключить его нужно на этом телефоне.

9Срок хранения

Данные аккаунта и семьи хранятся на сервере, пока ими пользуются. Если в приложение долго никто не заходит, сервер удаляет их сам. Заходом здесь считается и вход в приложение, и продление сессии: пока приложением пользуются, оно продлевает сессию само. Срок считается от последнего захода и с каждым новым заходом начинается заново.

Когда данные удаляются:

• Аккаунт, который не состоит ни в одной семье, — через 30 дней, если за это время его владелец не заходил в приложение
• Пустая семья — в ней нет детей, ни одного выполненного задания, никогда не было подписки и ничего не создавали, кроме приглашений, — через 60 дней, если за это время никто из её участников не заходил в приложение. Вместе с семьёй удаляются аккаунты её участников
• Любая другая семья — через 12 месяцев, если за это время никто из её участников не заходил в приложение. Вместе с семьёй удаляются аккаунты её участников. Примерно за 30 и ещё раз примерно за 7 дней до удаления активным родителям семьи отправляется письмо с адреса support@family-agreements.app; если кто-нибудь из участников зайдёт в приложение, удаление отменяется
• Пока у семьи действует подписка Family Pro, семья не удаляется: 12 месяцев отсчитываются не раньше, чем подписка закончится. Не удаляется и семья, которой разработчик сам открыл доступ к Family Pro
• Пока кто-нибудь из участников семьи состоит ещё и в другой семье, сервер эту семью сам не удаляет: вместе с ней пришлось бы удалить и аккаунт этого участника

Каждое письмо называет дату удаления: первое отправляется примерно за 30 дней до неё, второе — примерно за 7. Дата удаления может только отодвинуться, но не приблизиться: если письмо ушло с опозданием, дата сдвигается вслед за ним. Семья удаляется не раньше даты, названной в письмах, только после того, как отправлены оба письма, и не раньше седьмого дня после второго.

Если письмо доставить нельзя — у аккаунта нет действующего адреса почты или почтовый сервис отклоняет адрес, — удаление всё равно идёт по тому же графику, как если бы письмо было отправлено. Любое удаление может пройти и позже, чем здесь сказано, иногда намного позже: сервер удаляет данные раз в сутки и не все сразу, а ещё может отложить удаление ради собственных проверок.

Удаление необратимо. Удаляется то же, что и тогда, когда человек удаляет аккаунт сам, — см. раздел «Удаление аккаунта». Копии в резервных копиях базы данных исчезают, когда истекает срок хранения этих копий.

Статистика использования и отчёты о сбоях хранятся отдельно от семейного аккаунта: у Google, до истечения срока хранения, заданного для проекта Firebase.

Журнал запросов сервера приложения тоже хранится отдельно от аккаунта: записи в нём удаляются по истечении срока хранения журнала, а не вместе с аккаунтом.

Снимки внутреннего отчёта о продукте разработчик хранит у себя, и вместе с аккаунтом они не удаляются. Имён и адресов почты в них нет, но рядом с внутренним идентификатором семьи стоят почтовые домены её взрослых, тариф и статус подписки, даты и числа.

10Удаление аккаунта

На iPhone аккаунт удаляется в самом приложении: пункт «Удалить аккаунт» в настройках. Удаление подтверждается тем же способом, которым вы входите, — кодом из письма, через Google или через Apple. Ребёнок удаляет свой профиль там же — пунктом «Удалить мой профиль» и с подтверждением QR-кодом, который показывает взрослый.

На Android удаления в самом приложении нет: там, как и с любого другого устройства, удаление аккаунта и связанных данных можно запросить, написав разработчику на support@family-agreements.app с адреса, на который зарегистрирован аккаунт. Аккаунт со скрытым адресом Apple удаляется в приложении на iPhone. После проверки данные аккаунта будут удалены из системы.

Если в семье не остаётся других активных родителей, вместе с аккаунтом удаляется вся семья: профили детей, задания, награды, цели, баллы и история. Если в семье есть другие активные родители, удаляются ваш аккаунт и личные данные — адрес почты, имя, привязка к Google или Apple, сессии и токены push-уведомлений, — а созданное для семьи остаётся у неё: задания, награды, цели и комментарии, а в истории семьи ваши действия остаются без имени. При удалении профиля ребёнка стираются его выполнения заданий, баллы и запросы наград, а вклады в семейную цель остаются без имени. Если вас приглашали в другую семью, а вы в неё так и не вошли, запись о приглашении с вашим адресом остаётся в истории той семьи.

Если вы входите через Apple и подтверждаете удаление через Apple, сервер также отзывает токены входа, которые Apple выдала приложению.

Статистика использования и отчёты о сбоях вместе с аккаунтом не удаляются: они хранятся у Google отдельно от аккаунта и исчезают сами по истечении срока хранения. Чтобы новые не отправлялись, выключите сбор в настройках приложения.

11Безопасность

Разработчик принимает разумные меры для защиты пользовательской информации, включая:

• Защищённую аутентификацию
• Шифрование сетевого трафика
• Серверные механизмы авторизации

При этом ни одна система не может гарантировать абсолютную безопасность.

12Сайт

Этот сайт — family-agreements.app — не ставит cookie, не показывает рекламу и не подключает аналитику и счётчики посещений. На его страницах нет исполняемых скриптов, и браузер загружает всё только с адреса самого сайта.

Сайт работает через сеть Cloudflare: Cloudflare принимает запрос браузера и передаёт его серверу разработчика. Чтобы доставить страницу, защитить сайт от атак и показать разработчику общую статистику посещений, Cloudflare обрабатывает данные запроса, включая IP-адрес, — как поставщик услуг, по своей политике конфиденциальности, в том числе за пределами страны, где вы живёте. Если запрос похож на атаку, Cloudflare может показать вместо страницы свою проверку — она работает на скрипте Cloudflare и ставит техническую cookie.

Сервер сайта ведёт журнал посещений (access log): время запроса, адрес запрошенной страницы или файла, код и размер ответа и другие технические сведения об ответе и соединении. После включения фильтра журнала IP-адрес посетителя в новые записи не записывается, как и сведения, которые браузер передаёт вместе с запросом: название и версия браузера и системы, язык, адрес страницы, с которой перешли на сайт, cookie. Журнал используется для анализа сбоев, атак и злоупотреблений и для защиты сайта. Его объём ограничен: когда файл журнала вырастает до заданного размера, начинается новый, а самые старые файлы удаляются.

Отдельно Caddy ведёт аварийный журнал в системном журнале сервера. При сбое обработки запроса, например если недоступна сама страница ошибки, туда могут попасть IP-адрес и заголовки запроса, включая сведения о браузере и языке, адрес предыдущей страницы и IP-адрес, переданный Cloudflare. Эти записи используются для анализа сбоев, атак и злоупотреблений и для защиты сайта. Фильтр и ограничения объёма журнала посещений на них не распространяются; хранение и удаление регулируются настройками системного журнала.

Записи журнала посещений, созданные до включения фильтра, могут содержать IP-адреса и заголовки запросов. При обновлении конфигурации они не удаляются: текущий файл и архивы сохраняются для тех же целей и удаляются по правилам ротации журнала. Поэтому отсутствие IP-адресов в новых записях не означает их отсутствия в сохранённых журналах.

13Изменения политики

Эта Политика конфиденциальности может время от времени обновляться.

Если будут внесены существенные изменения, обновлённая версия политики будет опубликована по тому же адресу: family-agreements.app/ru/privacy-policy.

14Контакты

Если у вас есть вопросы по этой Политике конфиденциальности, свяжитесь:

• Разработчик: SIA "Valmsoft"
• Регистрационный номер: 40203790753
• Номер плательщика НДС: LV40203790753
• Юридический адрес: Paula Lejiņa iela 6-108, Rīga, LV-1029, Латвия
• Email: contacts@family-agreements.app
• Сайт: family-agreements.app