Политика конфиденциальности

Кто несёт ответственность

Sabzy разрабатывает и поддерживает Boburmirzo Khudoyberdiev — независимый разработчик из Узбекистана. По любым вопросам этой политики, включая запросы о ваших данных, пишите на mirzo.7767@gmail.com.

Что хранит приложение

Всё, что вы вводите, записывается в базу данных на вашем устройстве:

• Ваш профиль — рост, текущий вес, целевой вес, дата рождения или возраст, пол, уровень активности и выбранная цель. Именно из них рассчитывается дневная норма калорий.
• Ваш дневник — приёмы пищи и их состав, калории и макронутриенты, время каждой записи и приложенные фотографии.
• Вода и взвешивания — стаканы, которые вы отмечаете, и вес, который вы записываете со временем.
• Настройки приложения — единицы измерения, язык, напоминания и количество использованных AI-анализов.

Если на устройстве выполнен вход в iCloud, эта база зеркалируется в приватную базу iCloud вашей собственной учётной записи Apple. Это хранилище принадлежит вам: на него распространяется политика конфиденциальности Apple, оно расходует ваше место в iCloud, и разработчик Sabzy не имеет никакой возможности его прочитать. Выход из iCloud или отключение iCloud для Sabzy в настройках прекращает зеркалирование.

Вход в аккаунт

Sabzy работает вообще без аккаунта, и именно так он и начинает: всё описанное выше остаётся на вашем телефоне и в вашем собственном iCloud, и до нас не доходит ничего. Вход — то, что вы выбираете сами в «Профиле», и нужен он для двух вещей: читать тот же дневник на втором устройстве и вступить в группу.

Вход идёт через Apple или Google. Пароля в приложении нет нигде, поэтому нам нечего хранить и нечего потерять. Firebase Authentication держит для нас идентификатор учётной записи и адрес почты, который передаёт провайдер, — во «Входе с Apple» это может быть пересылающий адрес, который вы в любой момент отключаете, и приложение работает одинаково в обоих случаях.

После входа ваш профиль, приёмы пищи, взвешивания и вода зеркалируются в Cloud Firestore, а миниатюры блюд и фотография профиля — в Cloud Storage, в папку, которую правила безопасности открывают вашей учётной записи и никакой другой. Документ профиля несёт ещё четыре вещи, к дневнику не относящиеся: активна ли подписка, по какому продукту и до какого числа; push-токены устройств, на которых вы вошли; указатель на группу, в которой вы состоите; и отметку о том, какая платформа и какая версия приложения писала последней. База размещена в Европейском союзе — Бельгия и Нидерланды, — а функции, которые ведут группы, во Франкфурте.

Выход из аккаунта останавливает зеркалирование и оставляет копию на месте. «Профиль › Аккаунт › Удалить аккаунт» её убирает: каждый приём пищи, взвешивание, запись воды и опубликованный день, затем документ профиля, папку с фотографиями и сам аккаунт. Если вход был через Apple, приложение ещё и отзывает выданный Apple токен — именно это делает удаление полным, а не наполовину сделанным.

Группы

Группа — это общая подписка: платит один, а Premium получают все, кого он пригласит, пока план действует. Сам плательщик под план не подпадает — план на пятерых это пять человек кроме него — и подписывается на Sabzy Pro наравне со всеми, если хочет. Чтобы вступить, нужен код приглашения от того, кто ведёт группу, — без него добавить вас нельзя. Одновременно человек состоит в одной группе, а выход — это кнопка.

Что видят о вас остальные участники группы:

• Имя и фотографию, которые вы задали в «Профиле», — участника без имени показывают как «Member».
• Ваш стрик, лучший стрик, вашу цель и то, как вес изменился за последние тридцать дней, — одной цифрой.
• По каждому дню: калории, белки, углеводы, жиры и клетчатку, ваши цели на тот день, воду, число шагов из Apple Health, сколько приёмов пищи вы записали и попал ли день в ваш калорийный коридор.
• Сами приёмы пищи — названия блюд, время и фотографии.

Переключателя, который сузил бы этот список, нет и никогда не было. Участник группы видит ровно то, что показывает вам экран вступления до того, как вы наберёте код: ваши калории и макросы, ваши приёмы пищи вместе с фотографиями, куда идёт ваш вес, вашу серию и вашу активность, — и так остаётся всё время, пока вы в группе. Останавливает это выход из неё.

Sabzy пишет для группы три коротких абзаца: один про неделю, один про сегодняшний день и один про отдельного участника, на его собственной странице. В них называют людей и блюда, и это сделано намеренно: «кто-то превысил норму в два дня» не помогает никому, а «Азиз во вторник съел на завтрак большой кусок торта» — это то, с чем тренер может что-то сделать. Имена стоят ровно так, как заданы в «Профиле», а блюда — ровно так, как записаны. Читают их только те, кто в вашей группе, и те же самые приёмы пищи и фотографии им и без того открыты, так что абзац не показывает им ничего, чего они не открыли бы сами.

Вступление в группу публикует ваши последние тридцать дней разом, чтобы группа не смотрела на пустой экран. Выход прекращает дальнейшую публикацию, а удаление аккаунта удаляет опубликованные дни вместе со всем остальным. Никто вне вашей группы прочитать это не может: правила базы никого другого не пускают.

Уведомления группы — кто-то вступил, чей-то стрик дошёл до круглой цифры, подписка вот-вот кончится — доставляются через Firebase Cloud Messaging: приложение регистрирует push-токен на вашу учётную запись и запоминает, на каком языке вам писать. Уведомления группы выключаются в «Профиле», а выход из аккаунта удаляет токен.

Что покидает ваше устройство

Google

Фотографии, аудио и описания еды отправляются в модели Gemini компании Google через Firebase AI Logic и обрабатываются там, чтобы получить результат, который вы видите. Sabzy не хранит копию фотографии, аудио или текста ни на одном подконтрольном ему сервере, а такой запрос не несёт ни имени, ни адреса почты, ни идентификатора учётной записи — только изображение, аудио или текст и указание проанализировать их. Обращение Google с этими данными регулируется политикой конфиденциальности Google.

Абзацы, которые пишутся для группы, идут к тем же моделям и как раз являются исключением. Чтобы написать такой абзац, приложение отправляет в Google профильное имя каждого участника, о котором в нём будет речь, и названия блюд, которые выделились, — вместе с цифрами, уже посчитанными на устройстве. Ни адреса почты, ни идентификатора учётной записи, ни фотографии не уходит. Абзац возвращается только к вашим участникам группы, которые те же самые блюда и так могут открыть сами, — но написать его значит послать запрос в Google, и вот что этот запрос несёт.

Отчёты об использовании и о сбоях

Sabzy использует два сервиса Google Firebase: Analytics, который считает, что происходит в приложении, и Crashlytics, который снимает стек вызовов, когда приложение падает. Именно они показывают, что экран непонятен или что сборка падает на конкретной версии iOS, — без того, чтобы кто-то писал об этом вручную.

Они включены по умолчанию, и внутри приложения нет настройки, которая бы их выключила. В версии 1.4 такая была, в 1.6 её убрали. Удаление приложения их останавливает. Мы предпочитаем сказать это прямо, а не описывать настройку, которой нет.

Что отправляется:

• События из закрытого списка, который задаёт само приложение: онбординг завершён, фото проанализировано, приём пищи записан, показан экран подписки, покупка прошла или не прошла, нажат один из перечисленных элементов управления. Свободного текста в них нет вообще: каждое значение — либо число, которое посчитало приложение, либо одно из заранее выбранных слов.
• Название экрана, на котором вы находитесь, из закрытого списка примерно из двадцати.
• Несколько фактов об установке, а не о моменте: активна ли подписка и на какой срок, насколько далеко вы продвинулись в использовании приложения, включены ли напоминания, разрешены ли AI-функции, разрешена ли камера и язык приложения.
• Величины, по которым можно было бы вычислить человека или момент, намеренно округлены до диапазонов, а не передаются точно. Возраст приходит как «35–44», а время до первой записи — как «меньше 5 минут» или «в тот же день».
• Что SDK Firebase добавляет сам: идентификатор этой установки, модель устройства, версию iOS, язык и приблизительное местоположение — не точнее города, — вычисленное по IP-адресу соединения.
• От Crashlytics, когда приложение падает: стек вызовов, модель устройства и версию iOS, а также сколько приложение проработало до остановки.

Что не отправляется: ничего из того, что вы фотографируете, произносите, печатаете, взвешиваете или едите. Ни роста, ни веса, ни цели по калориям, ни выбранной цели, ни названия блюда. Факты, привязанные к идентификатору установки, намеренно не включают ни одного медицинского признака: идентификатор, который живёт дольше сессии, — неподходящее место для такого.

Рекламного идентификатора нет. Приложение не подключает фреймворк Apple AdSupport и никогда не запрашивает разрешение на отслеживание, потому что не следует за вами в приложения и на сайты других компаний. Ровно это заявлено в его манифесте приватности для App Store.

Firebase управляется Google, который обрабатывает эти отчёты по нашему поручению на инфраструктуре, которая может находиться за пределами вашей страны, на условиях и в соответствии с политикой конфиденциальности самого Google. Никуда больше они не уходят, и ничто в них не продаётся. Google автоматически удаляет события аналитики по истечении срока хранения, заданного для проекта; отчёты о сбоях хранятся, пока сбой имеет смысл чинить.

Firebase прикрепляет к этим отчётам свой идентификатор установки, и у нас нет способа связать его с вами — в этом и смысл, и ограничение: мы не сможем найти ваши строки, чтобы удалить их по запросу. Удаление приложения останавливает новые, и сам идентификатор его не переживает.

Общий каталог продуктов

Когда вы сканируете штрихкод, который Sabzy приходится искать, данные продукта — штрихкод, название, бренд, калории и макронутриенты на 100 г и размер порции — записываются в каталог в публичной базе iCloud, чтобы другие люди, сканирующие тот же продукт, получили ответ сразу. Эта запись о продукте, а не о вас: она не содержит идентификатора устройства или человека, который сканировал, и её нельзя связать с вашим дневником.

Платежи

Подписки продаёт Apple через App Store. Apple обрабатывает платёж; номера карт, платёжные адреса и данные вашей учётной записи Apple никогда не видит ни Sabzy, ни его разработчик. Приложение получает подписанную Apple запись о покупке. Для группового плана оно передаёт эту запись в собственную Cloud Function во Франкфурте, а та проверяет подпись Apple и читает план из подписанного содержимого, а не из того, что заявляет приложение. Кроме того, Apple пишет в эту же функцию напрямую, через App Store Server Notifications, чтобы продление или отмена дошли и до группы, владелец которой не открывал приложение месяц.

Как эти третьи стороны связаны этой политикой

Каждая названная выше сторона обязана по условиям, на которых она привлечена, защищать полученные данные по тому же стандарту, который излагает эта политика, и ни одной из них не разрешено использовать их в собственных целях, строить профиль или передавать дальше. Ничего сверх описанного в таблице им не отправляется.

Приложение подключает десять сторонних наборов разработки, и все десять — от Google. Девять из Firebase: описанные выше Analytics и Crashlytics; App Check; AI Logic, который несёт фотографию, голосовую заметку или описание в Gemini; Authentication, Cloud Firestore, Cloud Storage и Cloud Functions, которые вместе и есть учётная запись, синхронизация и группы; и Cloud Messaging, который доставляет уведомления группы. Десятый — Google Sign-In, один из двух способов войти. Никаких рекламных или следящих наборов, и нет материнской, дочерней или аффилированной компании с доступом к вашим данным: Sabzy — один независимый разработчик, так что данным просто некуда больше попасть.

App Check заслуживает отдельного абзаца: он работает на вашем устройстве при каждом обращении к серверам Google, и больше здесь о нём ничего не сказано. Перед каждым обращением он просит Apple подтвердить, что запрос идёт от настоящей копии Sabzy на настоящем устройстве Apple — через App Attest там, где это позволяет железо, и через DeviceCheck там, где App Attest недоступен, — и отправляет вместе с обращением короткоживущий токен, который выдаёт Apple. Токен говорит кое-что о приложении и об устройстве и ничего о вас. Именно он позволяет выпускать Sabzy без собственного ключа API, который кто-нибудь мог бы оттуда вынуть.

Одно имя в таблице выше не принадлежит Google. Отсканированный штрихкод уходит в Open Food Facts — открытую базу продуктов питания, которую ведёт французская некоммерческая ассоциация. Она получает номер штрихкода и больше ничего: ни учётной записи, ни идентификатора устройства, ни куска вашего дневника, — и отвечает продуктом. То, что приходит обратно, опубликовано по лицензии Open Database, а что Open Food Facts делает с самим запросом, регулируют её собственные условия и политика конфиденциальности.

Приложение «Здоровье»

Интеграция со «Здоровьем» необязательна и выключена, пока вы её не включите. Когда она включена:

• Sabzy читает то, что уже накопилось за ваш день: активные калории, число шагов, дистанцию ходьбы и бега и тренировки, записанные любым приложением на телефоне или часах. Экран «Активность» их показывает, а остаток калорий на день учитывает, насколько вы двигались.
• Sabzy записывает энергию, белки, углеводы, жиры и клетчатку, которые вы вносите, и любое взвешивание, которое вы фиксируете, чтобы другие приложения оставались в синхроне.

За одним исключением, данные Health передаются только между приложением и Apple Health на вашем устройстве. Всё остальное, что приложение читает, не уходит в Google, не попадает в общий каталог и не хранится в iCloud — эти показатели читаются в момент, когда их запрашивает экран, и никуда не сохраняются. Они никогда не используются для рекламы.

Исключение — число шагов. Если вы в группе, шаги за этот день публикуются вместе с остальными дневными итогами, и остальные участники группы видят их так же, как видят ваши калории и воду. Эта единственная цифра — всё, что уходит из Health с вашего устройства: ничего другого из списка выше вместе с ней не отправляется, а изменение веса, которое видит группа, считается по взвешиваниям, записанным в Sabzy, а не по данным Health. Если вы не в группе, из Health не уходит ничего.

Разрешения, которые запрашивает приложение

• Камера — чтобы сфотографировать блюдо или отсканировать штрихкод.
• Медиатека — только чтобы вы могли выбрать уже сделанное фото еды. Приложение читает выбранный снимок и ничего больше.
• Микрофон — чтобы записать устное описание блюда.
• Уведомления — напоминания, которые вы настраиваете сами, например еженедельное взвешивание, и уведомления самой группы, если вы в ней состоите. Это два отдельных переключателя в «Профиле».
• Здоровье — как описано выше.
• AI-функции — ваше согласие на то, что фотография, голосовая заметка или напечатанное описание может быть отправлено в Google. Тот же переключатель управляет письменными заметками, включая те, что получает группа. До вашего согласия не отправляется ничего.

От каждого из них можно отказаться. Первые пять отзываются в приложении «Настройки»; AI-функции выключаются в самом Sabzy, в разделе Профиль › Настройки. Отказ отключает только ту функцию, которой это разрешение нужно, и ничего больше.

Чего Sabzy не делает

• Никаких рекламных и следящих наборов разработки. Приложение подключает десять сторонних наборов, все от Google; они перечислены выше, и ни один из них не стоит там, чтобы следить за вами.
• Никакой рекламы и никаких рекламных идентификаторов.
• Никакого отслеживания в других приложениях и на сайтах.
• Никаких профилей о вас и никаких автоматизированных решений с юридическими или подобными последствиями.
• Никакой продажи или передачи персональных данных — ни под каким определением и ни для какой цели.

Сколько хранятся данные

Ваш дневник остаётся на устройстве, пока вы его не удалите. Удаление приложения стирает базу на устройстве. Если зеркалирование в iCloud было включено, копия в вашем iCloud удаляется через «Настройки › ваше имя › iCloud › Управление хранилищем › Sabzy».

Если вы вошли в аккаунт, копия в Cloud Firestore и Cloud Storage хранится, пока существует аккаунт. Дольше — нет: «Профиль › Аккаунт › Удалить аккаунт» стирает её перед тем, как удалить сам аккаунт, и резервной копии, из которой она могла бы вернуться, мы не держим. Дневные итоги, опубликованные для группы, уходят вместе с ней, а выход из группы прекращает запись новых.

События использования и отчёты о сбоях в Firebase Google удаляет по истечении срока хранения проекта, а удаление приложения останавливает появление новых. Записи в общем каталоге продуктов — это пищевая ценность коммерческих товаров, они хранятся бессрочно; поскольку в них нет ничего о вас, удаление ваших данных их не затрагивает.

Дети

Sabzy не адресован детям младше 13 лет и осознанно ничего от них не собирает. Если вы считаете, что ребёнок передал через приложение персональные данные, напишите по адресу выше, и они будут удалены.

Ваши права

Поскольку приложение хранит ваш дневник на вашем собственном устройстве, большинство прав вы реализуете напрямую: вы видите всё в приложении, можете изменить или удалить любую запись и убрать всё целиком, удалив приложение и его данные в iCloud. Если вы входили в аккаунт, «Профиль › Аккаунт › Удалить аккаунт» делает то же самое с копией на нашей стороне — в один шаг и никому не написав.

Для читателей в Европейской экономической зоне и Великобритании правовые основания по статье 6 GDPR такие. Всё, что приложение делает, чтобы дать вам то, о чём вы попросили, — хранит дневник, распознаёт фотографию, синхронизирует созданный вами аккаунт, ведёт группу, в которую вы вступили, — выполняется по статье 6(1)(b), исполнение договора с вами. Отчёты об использовании и о сбоях обрабатываются по статье 6(1)(f), наш законный интерес знать, что приложение работает, — поэтому в них нет ничего о вашем здоровье и поэтому в «Профиле» есть переключатель. Данные о здоровье — особая категория по статье 9 и обрабатываются только с вашего явного согласия, которое даётся в окне разрешения «Здоровья» и там же отзывается.

Если вы находитесь в Европейской экономической зоне или Великобритании, GDPR даёт вам право на доступ, исправление, удаление, ограничение и возражение против обработки ваших персональных данных, а также на переносимость данных. Если вы в Калифорнии, CCPA даёт права знать, удалять, исправлять и отказаться от продажи или передачи — с той оговоркой, что Sabzy не продаёт и не передаёт персональные данные. Чтобы воспользоваться любым из них или подать жалобу, пишите на mirzo.7767@gmail.com.

Изменения этой политики

Если политика изменится, вместе с ней изменится дата вверху, а существенное изменение публикуется здесь до того, как вступит в силу. Отправить вам сообщение приложение не умеет, поэтому появляется оно на этой странице. Действующая версия всегда находится по этому адресу.