Политика конфиденциальности

1. Что делает TotShot

Вы выбираете страну и документ. Приложение загружает требования, которые публикует выдающий орган, ведёт вас во время съёмки и отправляет кадр на наши серверы — они измеряют его по этим требованиям и возвращают файл, готовый к печати или загрузке.

Две вещи происходят в двух разных местах, и в этом вся суть: поиск лица и подсказки во время съёмки работают на вашем телефоне, без интернета, и ни один кадр для этого никуда не уходит. Измерение результата, замена фона и подготовка финального файла происходят на наших серверах.

2. Что мы собираем

• Аккаунт. Адрес электронной почты — либо идентификатор и адрес, которые передают Apple или Google при входе через них: если Apple выдала вам приватный ретранслятор, мы видим только его. Плюс язык, на котором вы читаете.
• Ребёнок. Имя, а также — по желанию — прозвище и дата рождения. Дата рождения нужна ровно для одного: часть стран разрешает младшему ребёнку закрытые глаза или менее строгий размер головы, и приложение должно понять, какое правило ваше.
• Фотографии. Снятый кадр, сделанные из него превью и готовый файл.
• Измерения, снятые с фотографии. Высота головы, линия глаз, отступ над макушкой, резкость, экспозиция, применённая обрезка, вердикт и точная версия требования, по которому судили ваш снимок.
• Покупки. Какой пакет кредитов куплен и чек, который дают нам Apple или Google для проверки. Номера карт до нас не доходят: покупка происходит в окне самого магазина.
• Уведомления. Push-токен, если вы разрешили уведомления.
• Как вы пользуетесь приложением. Именованные события по шагам сессии — кадр снят, вердикт показан, пакет кредитов куплен, — к каждому приложены числа и идентификатор сессии. Ни самой фотографии, ни снятых с неё измерений среди них нет.
• Примерно где вы находитесь. Google определяет город по IP-адресу, с которого приходят события выше. Само устройство местоположение нам не сообщает — приложение не запрашивает разрешение на геолокацию.
• Отчёты о сбоях. Когда приложение падает: ошибка, стек вызовов, модель устройства, версия системы и идентификатор аккаунта, с которым это случилось, — чтобы сбой у одного человека можно было найти, а не угадывать.
• Логи серверов. Наши серверы записывают IP-адрес и время запроса — как любой веб-сервис, ради безопасности и защиты от злоупотреблений. IP-адрес может быть персональными данными, поэтому он здесь назван, а не обойдён молчанием.

Больше ничего. TotShot не спрашивает ни адреса, ни телефона, не читает рекламный идентификатор и не показывает рекламу. События и отчёты о сбоях выше привязаны к случайному идентификатору установки и к вашему аккаунту, а не к рекламному профилю.

3. Измерения — это геометрия, а не слепок лица

Числа, которые мы снимаем с фотографии, нужны, чтобы обрезать кадр и сверить его с опубликованным правилом: какую долю кадра занимает голова, где проходит линия глаз, сколько места остаётся над макушкой.

Мы никогда не используем их для опознания. Это не биометрический шаблон, их не сопоставляют с другой фотографией или другим человеком, и никакое распознавание лиц по ним не выполняется. Когда удаляется фотография, вместе с ней удаляются и они.

4. Данные ребёнка и почему они здесь

TotShot используется взрослым от имени ребёнка. Владельцу аккаунта должно быть 18 лет или больше; ребёнок — тот, кого снимают, а не пользователь приложения.

Имя, дата рождения (если вы её указали) и фотография нужны для одной задачи — сделать и проверить эту фотографию. Они никогда не используются для рекламы, не продаются, не передаются ради чужих целей и не идут на обучение каких-либо моделей.

5. Сколько мы это храним

TotShot — камера и проверяющий, а не фотоальбом. Всё истекает само:

• Кадр, который вы загрузили, но так и не превратили в съёмку, — 24 часа.
• Исходники и превью съёмки, а также рендеры фотографий, которые вы не купили, — 72 часа. Поэтому же переобрезка снимка остаётся бесплатной трое суток.
• Купленная фотография — ваш срок хранения: 7, 30, 90 или 365 дней либо бессрочно. По умолчанию 365 дней. Менять можно в приложении в любой момент, и настройка действует на уже сделанные снимки.

Год стоит по умолчанию потому, что документальное фото ребёнка перестаёт быть годным задолго до этого срока — ребёнок изменился. Хранить дольше не нужно никому.

Когда уходит фотография, вместе с ней уходят снятые с неё измерения. Одну удалённую фотографию переживает только чек: какой документ, когда, прошёл ли он проверку, какой кредит был списан, — потому что у вас может остаться вопрос по оплате. В приложении он нигде не показывается.

Ссылки на скачивание выпускаются заново при каждом открытии фотографии и живут один час. Ничто в нашем хранилище не выложено в открытый доступ и не доступно по прямой ссылке без подписи.

6. Удаление аккаунта

Аккаунт можно удалить в приложении, и это безусловное удаление. Фотографии, кадры за ними, все измерения, чеки, данные ребёнка, баланс кредитов, push-токены и сессии стираются во всех сервисах, которые их держали. Никакой отметки о том, что вы у нас были, не остаётся, а если какая-то часть удаления не прошла, она повторяется до подтверждения, а не тихо забывается.

Неизрасходованные кредиты уничтожаются вместе с аккаунтом и не возвращаются деньгами — потратьте их или сначала напишите нам. Отдельную фотографию тоже можно удалить в любой момент, а можно написать на support@totshot.app, и мы сделаем это за вас.

7. Кто ещё к этому прикасается

Мы не продаём и не обмениваем персональные данные. Они попадают ровно к этим компаниям, каждой — для одной задачи:

• Apple и Google — вход в аккаунт и покупка кредитов. Они подтверждают нам, что покупка настоящая; о вашем ребёнке мы им не сообщаем ничего. Apple может ещё спросить, что стало с покупкой, когда вы просите возврат, — следующий раздел ровно об этом.
• Google (Firebase Cloud Messaging) — доставка push-уведомления на ваше устройство, если вы их включили.
• Google (Firebase Analytics и Crashlytics) — подсчёт описанных выше событий и приём отчётов о сбоях. Так мы узнаём, что шаг сценария ломается у людей, которые нам об этом не напишут. Google обрабатывает эти данные по нашему поручению и на серверах в США.
• Resend — отправка писем по аккаунту и поддержке.
• Наш хостинг-провайдер — серверы, с которыми работает приложение.

Удаление фона выполняется на наших собственных серверах, внутри закрытой сети. Фотография вашего ребёнка не отправляется ни в какой сторонний AI-сервис — и в Google она не отправляется тоже: аналитика и приём сбоев видят названия событий, числа и идентификаторы, и никаких изображений. Рекламных и следящих SDK в приложении нет.

8. Если вы просите у Apple возврат

Когда вы запрашиваете возврат средств через App Store, Apple может спросить у нас, что стало с покупкой, и даёт на ответ небольшое окно. Мы отвечаем. Это единственный момент, когда мы вообще можем что-то сказать, а запрос, на который никто не ответил, решается без нас. В Google Play такого шага нет, поэтому к покупке, сделанной там, всё это не относится.

Мы отправляем сводку, а не запись: какая часть пакета была израсходована, были ли доставлены готовые фотографии, и суммарная стоимость ваших покупок и возвратов — диапазоном, а не суммой; а если хоть одна покупка была не в долларах, то и диапазона не будет: сумму, которую мы не можем назвать, мы не станем прикидывать. Всё это привязано к покупке токеном, который выдал магазин, и больше ни к чему.

Мы также сообщаем Apple, каким, по-нашему, должен быть ответ, и вы вправе знать правило, по которому мы это делаем, — потому что оно исчерпывающее: если вы не потратили кредиты, мы говорим, что возврат следует сделать. Если потратили все — что в возврате следует отказать. Если часть — мы не высказываем предпочтения. Мы не просим Apple отказать в возврате за то, чем вы не воспользовались.

Мы никогда не передаём ваши фотографии и не передаём никаких персональных данных сверх этого идентификатора покупки. Apple спрашивает ещё, как давно у вас аккаунт и сколько времени вы провели в приложении. На оба вопроса мы отвечаем «не заявлено» — вместо того чтобы прикинуть цифру, за которую потом отвечаем как за утверждение.

9. Где и как это хранится

Наши серверы находятся в Европейском союзе и арендованы у коммерческого хостинг-провайдера. Мы называем регион, а не провайдера: провайдер может смениться, регион — это обязательство. Фотографии и всё, что с них измерено, остаются там.

Регион покидают две вещи. События использования и отчёты о сбоях уходят в Google в США, а push-уведомления проходят через Google и Apple. Обе передачи опираются на Стандартные договорные условия Европейской комиссии — механизм, который обе компании публикуют ровно для этого случая. Больше границу не пересекает ничего.

Трафик шифруется TLS. Фотографии лежат в закрытом хранилище, содержимое которого нигде не публикуется, и каждая загрузка идёт по короткоживущей подписанной ссылке. Токены входа хранятся в системном хранилище ключей вашего телефона. Доступ есть только у тех сервисов, которым он нужен. Абсолютно надёжных систем не бывает, и мы не станем утверждать обратное.

10. Этот сайт

На totshot.app нет аналитики, нет рекламы и нет сторонних скриптов, шрифтов или картинок — все файлы страница берёт со своего домена. Аналитика, описанная выше, живёт в приложении; на сайте её нет.

Сам сайт обслуживает Vercel, наш хостинг-провайдер для веба: он записывает IP-адрес, время и user-agent каждого запроса в свои журналы доступа — для доставки страницы и защиты от злоупотреблений. Это единственная компания, участвующая в показе вам этой страницы.

Он хранит одну cookie, NEXT_LOCALE: она помнит, читаете вы по-английски или по-русски. Идентификатора в ней нет, никто другой её не читает, и никуда она за вами не следует.

11. Ваши права

Вы можете запросить копию своих данных, их исправление, выгрузку или удаление. Удалить всё можно самостоятельно в приложении; по остальному пишите на support@totshot.app. На каждое обращение отвечает человек.

В ЕС и Великобритании это ваши права по GDPR, и вы можете подать жалобу в надзорный орган своей страны. В Калифорнии мы не продаём и не передаём персональные данные в том смысле, который вкладывает в эти слова CCPA, и обращение к своим правам ничего вам не стоит.

12. Изменения

Дата вверху страницы — это версия, которую вы читаете. Если мы поменяем что-то существенное, мы сообщим об этом письмом или в приложении до того, как изменение вступит в силу.

13. Связаться с нами

По всему, что здесь написано, — доступ, исправление, выгрузка, удаление или просто вопрос без ответа: support@totshot.app. Это самый быстрый способ до нас достучаться, и письма читает человек. Бумажная почта доходит по адресу ниже.

14. Применимое право

Эта политика регулируется правом штата Делавэр, США.

Она опубликована на английском и на русском. Главной является английская версия; перевод существует, чтобы его читали, а не чтобы на него ссылались в споре.