Політика конфіденційності

Хто несе відповідальність

Sabzy розробляє та підтримує Boburmirzo Khudoyberdiev — незалежний розробник з Узбекистану. З будь-яких питань цієї політики, зокрема запитів про ваші дані, пишіть на mirzo.7767@gmail.com.

Що зберігає застосунок

Усе, що ви вводите, записується до бази даних на вашому пристрої:

• Ваш профіль — зріст, поточна вага, цільова вага, дата народження або вік, стать, рівень активності та обрана мета. Саме з них розраховується денна норма калорій.
• Ваш щоденник — прийоми їжі та їхній склад, калорії й макронутрієнти, час кожного запису та додані фотографії.
• Вода та зважування — склянки, які ви позначаєте, і вага, яку ви записуєте з часом.
• Налаштування застосунку — одиниці вимірювання, мова, нагадування та кількість використаних AI-аналізів.

Якщо на пристрої виконано вхід в iCloud, ця база дзеркалиться до приватної бази iCloud вашого власного облікового запису Apple. Це сховище належить вам: на нього поширюється політика конфіденційності Apple, воно витрачає ваше місце в iCloud, і розробник Sabzy не має жодної можливості його прочитати. Вихід з iCloud або вимкнення iCloud для Sabzy в налаштуваннях припиняє дзеркалення.

Вхід в акаунт

Sabzy працює взагалі без акаунта, і саме так він і починає: усе описане вище лишається на вашому телефоні та у вашому власному iCloud, і до нас не доходить нічого. Вхід — те, що ви обираєте самі у «Профілі», і потрібен він для двох речей: читати той самий щоденник на другому пристрої та вступити до групи.

Вхід іде через Apple або Google. Пароля в застосунку немає ніде, тому нам нічого зберігати й нічого втрачати. Firebase Authentication тримає для нас ідентифікатор облікового запису та адресу пошти, яку передає провайдер, — у «Вході з Apple» це може бути пересилальна адреса, яку ви будь-коли вимикаєте, і застосунок працює однаково в обох випадках.

Після входу ваш профіль, прийоми їжі, зважування та вода дзеркалюються в Cloud Firestore, а мініатюри страв і фотографія профілю — у Cloud Storage, у теку, яку правила безпеки відкривають вашому обліковому запису й жодному іншому. Документ профілю несе ще чотири речі, до щоденника не належні: чи активна передплата, за яким продуктом і до якого числа; push-токени пристроїв, на яких ви ввійшли; вказівник на групу, у якій ви перебуваєте; і позначку про те, яка платформа та яка версія застосунку писала останньою. База розміщена в Європейському Союзі — Бельгія та Нідерланди, — а функції, що ведуть групи, у Франкфурті.

Вихід з акаунта зупиняє дзеркалювання й лишає копію на місці. «Профіль › Акаунт › Видалити акаунт» її прибирає: кожен прийом їжі, зважування, запис води та опублікований день, потім документ профілю, теку з фотографіями і сам акаунт. Якщо вхід був через Apple, застосунок ще й відкликає виданий Apple токен — саме це робить видалення повним, а не наполовину зробленим.

Групи

Група — це спільна підписка: платить один, а Premium отримують усі, кого він запросить, поки план діє. Сам платник під план не підпадає — план на п'ятьох це п'ять осіб, крім нього — і підписується на Sabzy Pro нарівні з усіма, якщо хоче. Щоб вступити, потрібен код запрошення від того, хто веде групу, — без нього додати вас не можна. Одночасно людина перебуває в одній групі, а вихід — це кнопка.

Що бачать про вас решта учасників групи:

• Ім’я та фотографію, які ви задали у «Профілі», — учасника без імені показують як «Member».
• Ваш стрик, найкращий стрик, вашу мету і те, як вага змінилася за останні тридцять днів, — однією цифрою.
• За кожен день: калорії, білки, вуглеводи, жири й клітковину, ваші цілі на той день, воду, кількість кроків з Apple Health, скільки прийомів їжі ви записали і чи потрапив день у ваш калорійний коридор.
• Самі прийоми їжі — назви страв, час і фотографії.

Перемикача, який звузив би цей список, немає й ніколи не було. Учасник групи бачить рівно те, що показує вам екран вступу до того, як ви наберете код: ваші калорії та макроси, ваші прийоми їжі разом із фотографіями, куди йде ваша вага, вашу серію та вашу активність, — і так лишається весь час, поки ви в групі. Зупиняє це вихід із неї.

Sabzy пише для групи три короткі абзаци: один про тиждень, один про сьогоднішній день і один про окремого учасника, на його власній сторінці. У них називають людей і страви, і це зроблено навмисно: «хтось перевищив норму два дні» не допомагає нікому, а «Азіз у вівторок з'їв на сніданок великий шматок торта» — це те, з чим тренер може щось зробити. Імена стоять точно так, як задані у «Профілі», а страви — точно так, як записані. Читають їх лише ті, хто у вашій групі, і ті самі прийоми їжі та фотографії їм і без того відкриті, тож абзац не показує їм нічого, чого вони не відкрили б самі.

Вступ до групи публікує ваші останні тридцять днів разом, щоб група не дивилася на порожній екран. Вихід припиняє подальшу публікацію, а видалення акаунта видаляє опубліковані дні разом з усім іншим. Ніхто поза вашою групою прочитати це не може: правила бази нікого іншого не пускають.

Сповіщення групи — хтось вступив, чийсь стрик дійшов до круглої цифри, підписка ось-ось скінчиться — доставляються через Firebase Cloud Messaging: застосунок реєструє push-токен на ваш обліковий запис і запам’ятовує, якою мовою вам писати. Сповіщення групи вимикаються у «Профілі», а вихід з акаунта видаляє токен.

Що покидає ваш пристрій

Google

Фотографії, аудіо та описи їжі надсилаються до моделей Gemini компанії Google через Firebase AI Logic і обробляються там, щоб отримати результат, який ви бачите. Sabzy не зберігає копію фотографії, аудіо чи тексту на жодному підконтрольному йому сервері, а такий запит не несе ні імені, ні адреси пошти, ні ідентифікатора облікового запису — лише зображення, аудіо чи текст і вказівку проаналізувати їх. Поводження Google з цими даними регулюється політикою конфіденційності Google.

Абзаци, які пишуться для групи, ідуть до тих самих моделей і саме вони є винятком. Щоб написати такий абзац, застосунок надсилає в Google профільне ім'я кожного учасника, про якого в ньому буде мова, і назви страв, що виділилися, — разом із цифрами, вже порахованими на пристрої. Ні адреси пошти, ні ідентифікатора облікового запису, ні фотографії не йде. Абзац повертається лише до ваших учасників групи, які ті самі страви й так можуть відкрити самі, — але написати його означає надіслати запит у Google, і ось що цей запит несе.

Звіти про використання та про збої

Sabzy використовує два сервіси Google Firebase: Analytics, який рахує, що відбувається в застосунку, і Crashlytics, який знімає стек викликів, коли застосунок падає. Саме вони показують, що екран незрозумілий або що збірка падає на певній версії iOS, — без того, щоб хтось писав про це вручну.

Вони ввімкнені за замовчуванням, і всередині застосунку немає налаштування, яке б їх вимкнуло. У версії 1.4 таке було, у 1.6 його прибрали. Видалення застосунку їх зупиняє. Ми воліємо сказати це прямо, а не описувати налаштування, якого немає.

Що надсилається:

• Події із закритого переліку, який задає сам застосунок: онбординг завершено, фото проаналізовано, прийом їжі записано, показано екран передплати, покупка пройшла або не пройшла, натиснуто один із перелічених елементів керування. Вільного тексту в них немає взагалі: кожне значення — або число, яке порахував застосунок, або одне із заздалегідь обраних слів.
• Назва екрана, на якому ви перебуваєте, із закритого переліку приблизно з двадцяти.
• Кілька фактів про встановлення, а не про момент: чи активна передплата й на який строк, наскільки далеко ви просунулися в користуванні застосунком, чи ввімкнені нагадування, чи дозволено AI-функції, чи дозволено камеру, і мова застосунку.
• Величини, за якими можна було б обчислити людину або момент, навмисно округлені до діапазонів, а не передаються точно. Вік приходить як «35–44», а час до першого запису — як «менше 5 хвилин» або «того самого дня».
• Що SDK Firebase додає сам: ідентифікатор цього встановлення, модель пристрою, версію iOS, мову та приблизне місцезнаходження — не точніше за місто, — обчислене за IP-адресою з’єднання.
• Від Crashlytics, коли застосунок падає: стек викликів, модель пристрою та версію iOS, а також скільки застосунок пропрацював до зупинки.

Що не надсилається: нічого з того, що ви фотографуєте, вимовляєте, друкуєте, зважуєте чи їсте. Ні зросту, ні ваги, ні цілі за калоріями, ні обраної мети, ні назви страви. Факти, прив’язані до ідентифікатора встановлення, навмисно не містять жодної медичної ознаки: ідентифікатор, який живе довше за сесію, — невідповідне місце для такого.

Рекламного ідентифікатора немає. Застосунок не підключає фреймворк Apple AdSupport і ніколи не запитує дозвіл на відстеження, бо не йде за вами в застосунки та на сайти інших компаній. Саме це заявлено в його маніфесті приватності для App Store.

Firebase керує Google, який обробляє ці звіти за нашим дорученням на інфраструктурі, що може перебувати за межами вашої країни, на умовах і згідно з політикою конфіденційності самого Google. Більше нікуди вони не йдуть, і ніщо в них не продається. Google автоматично видаляє події аналітики після завершення строку зберігання, заданого для проєкту; звіти про збої зберігаються, поки збій має сенс лагодити.

Firebase прикріплює до цих звітів свій ідентифікатор встановлення, і в нас немає способу пов’язати його з вами — у цьому і сенс, і обмеження: ми не зможемо знайти ваші рядки, щоб видалити їх на запит. Видалення застосунку зупиняє нові, і сам ідентифікатор його не переживає.

Спільний каталог продуктів

Коли ви скануєте штрихкод, який Sabzy доводиться шукати, дані продукту — штрихкод, назва, бренд, калорії та макронутрієнти на 100 г і розмір порції — записуються до каталогу в публічній базі iCloud, щоб інші люди, які сканують той самий продукт, отримали відповідь одразу. Цей запис про продукт, а не про вас: він не містить ідентифікатора пристрою чи людини, яка сканувала, і його неможливо пов'язати з вашим щоденником.

Платежі

Підписки продає Apple через App Store. Apple обробляє платіж; номери карток, платіжні адреси та дані вашого облікового запису Apple ніколи не бачить ні Sabzy, ні його розробник. Застосунок отримує підписаний Apple запис про покупку. Для групового плану він передає цей запис у власну Cloud Function у Франкфурті, а та перевіряє підпис Apple і читає план із підписаного вмісту, а не з того, що заявляє застосунок. Крім того, Apple пише в цю саму функцію напряму, через App Store Server Notifications, щоб продовження чи скасування дійшли й до групи, власник якої не відкривав застосунок місяць.

Як ці треті сторони пов'язані цією політикою

Кожна названа вище сторона зобов'язана за умовами, на яких її залучено, захищати отримані дані за тим самим стандартом, який викладає ця політика, і жодній з них не дозволено використовувати їх у власних цілях, будувати профіль чи передавати далі. Нічого понад описане в таблиці їм не надсилається.

Застосунок підключає десять сторонніх наборів розробки, і всі десять — від Google. Дев'ять із Firebase: описані вище Analytics і Crashlytics; App Check; AI Logic, який несе фотографію, голосову нотатку чи опис у Gemini; Authentication, Cloud Firestore, Cloud Storage і Cloud Functions, які разом і є обліковий запис, синхронізація та групи; і Cloud Messaging, який доставляє сповіщення групи. Десятий — Google Sign-In, один із двох способів увійти. Жодних рекламних чи стежачих наборів, і немає материнської, дочірньої чи афілійованої компанії з доступом до ваших даних: Sabzy — один незалежний розробник, тож даним просто нікуди більше потрапити.

App Check заслуговує на окремий абзац: він працює на вашому пристрої при кожному зверненні до серверів Google, і більше тут про нього нічого не сказано. Перед кожним зверненням він просить Apple підтвердити, що запит іде від справжньої копії Sabzy на справжньому пристрої Apple — через App Attest там, де це дозволяє залізо, і через DeviceCheck там, де App Attest недоступний, — і надсилає разом зі зверненням короткоживучий токен, який видає Apple. Токен каже дещо про застосунок і про пристрій і нічого про вас. Саме він дозволяє випускати Sabzy без власного ключа API, який хтось міг би звідти витягти.

Одне ім'я в таблиці вище не належить Google. Відсканований штрихкод іде в Open Food Facts — відкриту базу продуктів харчування, яку веде французька неприбуткова асоціація. Вона отримує номер штрихкоду і більше нічого: ні облікового запису, ні ідентифікатора пристрою, ні шматка вашого щоденника, — і відповідає продуктом. Те, що приходить назад, опубліковано за ліцензією Open Database, а що Open Food Facts робить із самим запитом, регулюють її власні умови та політика конфіденційності.

Застосунок «Здоров'я»

Інтеграція зі «Здоров'ям» необов'язкова й вимкнена, доки ви її не увімкнете. Коли її увімкнено:

• Sabzy читає те, що вже накопичилося за ваш день: активні калорії, кількість кроків, дистанцію ходьби та бігу і тренування, записані будь-яким застосунком на телефоні чи годиннику. Екран «Активність» їх показує, а залишок калорій на день враховує, наскільки ви рухалися.
• Sabzy записує енергію, білки, вуглеводи, жири й клітковину, які ви вносите, та будь-яке зважування, яке ви фіксуєте, щоб інші застосунки лишалися синхронізованими.

За одним винятком, дані Health передаються лише між застосунком і Apple Health на вашому пристрої. Усе інше, що застосунок читає, не йде в Google, не потрапляє до спільного каталогу й не зберігається в iCloud — ці показники читаються тоді, коли їх запитує екран, і нікуди не зберігаються. Вони ніколи не використовуються для реклами.

Виняток — кількість кроків. Якщо ви в групі, кроки за цей день публікуються разом з рештою денних підсумків, і решта учасників групи бачить їх так само, як бачить ваші калорії та воду. Ця єдина цифра — усе, що з Health залишає ваш пристрій: нічого іншого зі списку вище разом з нею не йде, а зміна ваги, яку бачить група, рахується за зважуваннями, записаними в Sabzy, а не за даними Health. Якщо ви не в групі, з Health не йде нічого.

Дозволи, які запитує застосунок

• Камера — щоб сфотографувати страву або відсканувати штрихкод.
• Медіатека — лише щоб ви могли вибрати вже зроблене фото їжі. Застосунок читає обраний знімок і нічого більше.
• Мікрофон — щоб записати усний опис страви.
• Сповіщення — нагадування, які ви налаштовуєте самі, наприклад щотижневе зважування, і сповіщення самої групи, якщо ви в ній. Це два окремі перемикачі у «Профілі».
• Здоров'я — як описано вище.
• AI-функції — ваша згода на те, що фотографія, голосова нотатка чи надрукований опис може бути надіслано до Google. Той самий перемикач керує письмовими нотатками, зокрема тими, які отримує група. До вашої згоди не надсилається нічого.

Від кожного з них можна відмовитися. Перші п'ять відкликаються в застосунку «Налаштування»; AI-функції вимикаються в самому Sabzy, у розділі Профіль › Налаштування. Відмова вимикає лише ту функцію, якій цей дозвіл потрібен, і нічого більше.

Чого Sabzy не робить

• Жодних рекламних і стежачих наборів розробки. Застосунок підключає десять сторонніх наборів, усі від Google; вони перелічені вище, і жоден із них не стоїть там, щоб стежити за вами.
• Жодної реклами й жодних рекламних ідентифікаторів.
• Жодного відстеження в інших застосунках і на сайтах.
• Жодних профілів про вас і жодних автоматизованих рішень із юридичними чи подібними наслідками.
• Жодного продажу чи передавання персональних даних — під жодним визначенням і для жодної мети.

Скільки зберігаються дані

Ваш щоденник лишається на пристрої, доки ви його не видалите. Видалення застосунку стирає базу на пристрої. Якщо дзеркалювання в iCloud було ввімкнене, копія у вашому iCloud видаляється через «Налаштування › ваше ім’я › iCloud › Керування сховищем › Sabzy».

Якщо ви увійшли в акаунт, копія в Cloud Firestore і Cloud Storage зберігається, поки існує акаунт. Довше — ні: «Профіль › Акаунт › Видалити акаунт» стирає її перед тим, як видалити сам акаунт, і резервної копії, з якої вона могла б повернутися, ми не тримаємо. Денні підсумки, опубліковані для групи, зникають разом із нею, а вихід з групи припиняє запис нових.

Події використання та звіти про збої у Firebase Google видаляє після завершення строку зберігання проєкту, а видалення застосунку зупиняє появу нових. Записи в спільному каталозі продуктів — це харчова цінність комерційних товарів, вони зберігаються безстроково; оскільки в них немає нічого про вас, видалення ваших даних їх не стосується.

Діти

Sabzy не адресовано дітям молодшим за 13 років і свідомо нічого від них не збирає. Якщо ви вважаєте, що дитина передала через застосунок персональні дані, напишіть на адресу вище, і їх буде видалено.

Ваші права

Оскільки застосунок зберігає ваш щоденник на вашому власному пристрої, більшість прав ви реалізуєте безпосередньо: ви бачите все в застосунку, можете змінити або видалити будь-який запис і прибрати все цілком, видаливши застосунок та його дані в iCloud. Якщо ви входили в акаунт, «Профіль › Акаунт › Видалити акаунт» робить те саме з копією на нашому боці — за один крок і нікому не написавши.

Для читачів у Європейській економічній зоні та Великій Британії правові підстави за статтею 6 GDPR такі. Усе, що застосунок робить, щоб дати вам те, про що ви попросили, — зберігає щоденник, розпізнає фотографію, синхронізує створений вами акаунт, веде групу, до якої ви вступили, — виконується за статтею 6(1)(b), виконання договору з вами. Звіти про використання та про збої обробляються за статтею 6(1)(f), наш законний інтерес знати, що застосунок працює, — тому в них немає нічого про ваше здоров’я і тому у «Профілі» є перемикач. Дані про здоров’я — особлива категорія за статтею 9 і обробляються лише з вашої явної згоди, яка дається у вікні дозволу «Здоров’я» і там само відкликається.

Якщо ви перебуваєте в Європейській економічній зоні або Великій Британії, GDPR дає вам право на доступ, виправлення, видалення, обмеження та заперечення проти обробки ваших персональних даних, а також на переносність даних. Якщо ви в Каліфорнії, CCPA дає права знати, видаляти, виправляти та відмовитися від продажу чи передавання — із тим застереженням, що Sabzy не продає й не передає персональних даних. Щоб скористатися будь-яким із них або подати скаргу, пишіть на mirzo.7767@gmail.com.

Зміни цієї політики

Якщо політика зміниться, разом із нею зміниться дата вгорі, а суттєва зміна публікується тут, перш ніж набути чинності. Надіслати вам повідомлення застосунок не вміє, тож з'являється вона на цій сторінці. Чинна версія завжди перебуває за цією адресою.