Политика конфиденциальности

1. Что делает TotShot

Вы выбираете страну и документ. Приложение загружает требования, которые публикует выдающий орган, ведёт вас во время съёмки и отправляет кадр на наши серверы — они измеряют его по этим требованиям и возвращают файл, готовый к печати или загрузке.

Две вещи происходят в двух разных местах, и в этом вся суть: поиск лица и подсказки во время съёмки работают на вашем телефоне, без интернета, и ни один кадр для этого никуда не уходит. Измерение результата, проверка фона и подготовка финального файла происходят на наших серверах.

2. Что мы собираем

• Аккаунт. Адрес электронной почты — либо идентификатор и адрес, которые передают Apple или Google при входе через них: если Apple выдала вам приватный ретранслятор, мы видим только его. Плюс язык, на котором вы читаете.
• Ребёнок. Имя, а также — по желанию — прозвище и дата рождения. Дата рождения нужна ровно для одного: часть стран разрешает младшему ребёнку закрытые глаза или менее строгий размер головы, и приложение должно понять, какое правило ваше.
• Фотографии. Снятый кадр, сделанные из него превью и готовый файл.
• Измерения, снятые с фотографии. Высота головы, линия глаз, отступ над макушкой, резкость, экспозиция, применённая обрезка, вердикт и точная версия требования, по которому судили ваш снимок.
• Покупки. Какой пакет кредитов куплен и чек, который дают нам Apple или Google для проверки. Номера карт до нас не доходят: покупка происходит в окне самого магазина.
• Уведомления. Push-токен, если вы разрешили уведомления.
• Как вы пользуетесь приложением. Именованные события по шагам сессии — кадр снят, вердикт показан, пакет кредитов куплен, — к каждому приложены числа и идентификатор сессии. Из вердикта в них попадает только то, прошёл ли кадр: сколько кадров сессии прошло и сколько не прошло, а также прошёл ли кадр, для которого вы открыли причины. Ни самой фотографии, ни других снятых с неё измерений — высоты головы, линии глаз, отступа над макушкой, резкости, экспозиции, обрезки — в них нет.
• Рекламный идентификатор — для нашей собственной рекламы. На Android Google Analytics читает рекламный идентификатор устройства. На iOS — идентификатор IDFA, и только если вы разрешите это, когда система спросит, можно ли TotShot отслеживать вашу активность. У него одна задача: когда мы рекламируем TotShot в Google Ads или похожей сети, он позволяет этой сети сопоставить установку с объявлением, которое к ней привело, — так мы понимаем, что дала реклама. Идентификатор можно сбросить или удалить в настройках устройства, а на iOS — отказать в запросе; приложение работает одинаково в любом случае.
• Примерно где вы находитесь. Google определяет город по IP-адресу, с которого приходят события выше. Само устройство местоположение нам не сообщает — приложение не запрашивает разрешение на геолокацию.
• Отчёты о сбоях. Когда приложение падает: ошибка, стек вызовов, модель устройства, версия системы и идентификатор аккаунта, с которым это случилось, — чтобы сбой у одного человека можно было найти, а не угадывать.
• Логи серверов. Ради безопасности и защиты от злоупотреблений наши серверы, как любой веб-сервис, записывают каждый запрос: IP-адрес, время, запрошенный URL, страницу, с которой пришёл запрос, если он её указывает, user agent — название и версию приложения или браузера, отправившего запрос, — а для запроса после входа ещё и аккаунт, от которого он пришёл. IP-адрес может быть персональными данными, поэтому он здесь назван, а не обойдён молчанием. В нашем хранилище логов эти строки хранятся 7 дней; копия, которую каждый сервер пишет у себя, ограничена по размеру и перезаписывается по мере поступления новых строк. Небольшая выборка запросов к тому же трассируется, чтобы проследить медленный или сбойный запрос через наши сервисы; трасса содержит IP-адрес, user agent, URL и аккаунт и хранится 3 дня. Исключение — запросы к проверке фото на этом сайте: что записывается о них, сказано в её разделе ниже.

Больше ничего. TotShot не спрашивает ни адреса, ни телефона и не показывает рекламу. События и отчёты о сбоях выше привязаны к случайному идентификатору установки и к вашему аккаунту. Рекламный идентификатор — единственное здесь, что вообще видит рекламная сеть, и дальше измерения наших собственных кампаний он не идёт.

3. Измерения — это геометрия, а не слепок лица

Числа, которые мы снимаем с фотографии, нужны, чтобы обрезать кадр и сверить его с опубликованным правилом: какую долю кадра занимает голова, где проходит линия глаз, сколько места остаётся над макушкой.

Мы никогда не используем их для опознания. Это не биометрический шаблон, их не сопоставляют с другой фотографией или другим человеком, и никакое распознавание лиц по ним не выполняется. Когда в приложении удаляется фотография, вместе с ней удаляются и снятые с неё измерения. Бесплатная проверка на этом сайте не хранит фото вовсе, а числа каждой проверки хранит до 365 дней; какие именно — перечислено в её разделе ниже.

4. Данные ребёнка и почему они здесь

TotShot используется взрослым от имени ребёнка. Владельцу аккаунта должно быть 18 лет или больше; ребёнок — тот, кого снимают, а не пользователь приложения.

Имя, дата рождения (если вы её указали) и фотография нужны для одной задачи — сделать и проверить эту фотографию. Они никогда не используются для рекламы, не продаются, не передаются ради чужих целей и не идут на обучение каких-либо моделей.

5. Сколько мы это храним

TotShot — камера и проверяющий, а не фотоальбом. Всё истекает само:

• Кадр, который вы загрузили, но так и не превратили в съёмку, — 24 часа.
• Исходники и превью съёмки, а также рендеры фотографий, которые вы не купили, — 72 часа. Поэтому же переобрезка снимка остаётся бесплатной трое суток.
• Купленная фотография — ваш срок хранения: 7, 30, 90 или 365 дней либо бессрочно. По умолчанию 365 дней. Менять можно в приложении в любой момент, и настройка действует на уже сделанные снимки.

Год стоит по умолчанию потому, что документальное фото ребёнка перестаёт быть годным задолго до этого срока — ребёнок изменился. Хранить дольше не нужно никому.

Когда в приложении уходит фотография, вместе с ней уходят снятые с неё измерения. Одну удалённую фотографию переживает только чек: какой документ, когда, прошёл ли он проверку, какой кредит был списан, — потому что у вас может остаться вопрос по оплате. В приложении он нигде не показывается. Бесплатная проверка на этом сайте фото не хранит, а запись о каждой проверке хранит до 365 дней — об этом её раздел ниже.

Ссылки на скачивание выпускаются заново при каждом открытии фотографии и живут один час. Ничто в нашем хранилище не выложено в открытый доступ и не доступно по прямой ссылке без подписи.

Резервные копии. Раз в сутки мы делаем зашифрованную резервную копию наших баз данных и хранилища фотографий и используем её только для восстановления после сбоя. Каждая копия удаляется через 14 дней, поэтому удалённая вами фотография или аккаунт могут оставаться в копии до 14 дней после того, как исчезли из TotShot. Ключ для расшифровки копий не хранится на наших серверах.

6. Удаление аккаунта

Аккаунт можно удалить в приложении, и это безусловное удаление. Фотографии, кадры за ними, все измерения, чеки, данные ребёнка, баланс кредитов, push-токены и сессии стираются во всех сервисах, которые их держали. Никакой отметки о том, что вы у нас были, не остаётся, а если какая-то часть удаления не прошла, она повторяется до подтверждения, а не тихо забывается.

Дольше аккаунт остаётся только в нашей зашифрованной ночной резервной копии, которая удаляется в течение 14 дней, как описано выше.

Неизрасходованные кредиты уничтожаются вместе с аккаунтом и не возвращаются деньгами — потратьте их или сначала напишите нам. Отдельную фотографию тоже можно удалить в любой момент, а можно написать на support@totshot.app, и мы сделаем это за вас.

7. Кто ещё к этому прикасается

Мы не продаём и не обмениваем персональные данные. Они попадают ровно к этим компаниям, каждой — для одной задачи:

• Apple и Google — вход в аккаунт и покупка кредитов. Они подтверждают нам, что покупка настоящая; о вашем ребёнке мы им не сообщаем ничего. Apple может ещё спросить, что стало с покупкой, когда вы просите возврат, — следующий раздел ровно об этом.
• Google (Firebase Cloud Messaging) — доставка push-уведомления на ваше устройство, если вы их включили.
• Google (Firebase Analytics и Crashlytics) — подсчёт описанных выше событий и приём отчётов о сбоях. Так мы узнаём, что шаг сценария ломается у людей, которые нам об этом не напишут. Google обрабатывает эти данные по нашему поручению и на серверах в США.
• Google (Google Ads) — когда мы запускаем кампании для TotShot, Google сопоставляет описанный выше рекламный идентификатор с показанными им объявлениями и сообщает нам, из какой кампании пришла установка. Это измерение нашей собственной рекламы; данные вашего ребёнка в нём не участвуют.
• Umami (Umami Software) — подсчёт посещений этого сайта, без cookie. Он ничего не получает из приложения и никогда не видит фотографий; что именно он получает, описано в разделе «Этот сайт».
• Resend — отправка писем по аккаунту и поддержке.
• Cloudflare — защищённое соединение с нашими серверами. Через Cloudflare проходит всё, чем приложение и проверка фото на этом сайте обмениваются с api.totshot.app: и то, что они отправляют, и то, что возвращается к ним, включая готовые фотографии, которые скачивает приложение. Cloudflare расшифровывает эти данные на границе своей сети, а между этой границей и нашими серверами они идут по зашифрованному туннелю. Пока данные проходят через Cloudflare, тот технически может видеть их содержимое, включая фотографии. Для хранения чего-либо мы Cloudflare не используем.
• Наш хостинг-провайдер — серверы, с которыми работает приложение.

Фотографии измеряются и обрабатываются на наших собственных серверах, внутри закрытой сети. Фотография вашего ребёнка не отправляется ни в какой сторонний AI-сервис — и в Google она не отправляется тоже: аналитика и приём сбоев видят названия событий, числа и идентификаторы, и никаких изображений. Рекламных SDK в приложении нет, и рекламы оно не показывает; рекламный идентификатор выше читает SDK аналитики — ради одной названной цели.

8. Если вы просите у Apple возврат

Когда вы запрашиваете возврат средств через App Store, Apple может спросить у нас, что стало с покупкой, и даёт на ответ небольшое окно. Мы отвечаем. Это единственный момент, когда мы вообще можем что-то сказать, а запрос, на который никто не ответил, решается без нас. В Google Play такого шага нет, поэтому к покупке, сделанной там, всё это не относится.

Мы отправляем сводку, а не запись: какая часть пакета была израсходована, были ли доставлены готовые фотографии, и суммарная стоимость ваших покупок и возвратов — диапазоном, а не суммой; а если хоть одна покупка была не в долларах, то и диапазона не будет: сумму, которую мы не можем назвать, мы не станем прикидывать. Всё это привязано к покупке токеном, который выдал магазин, и больше ни к чему.

Мы также сообщаем Apple, каким, по-нашему, должен быть ответ, и вы вправе знать правило, по которому мы это делаем, — потому что оно исчерпывающее: если вы не потратили кредиты, мы говорим, что возврат следует сделать. Если потратили все — что в возврате следует отказать. Если часть — мы не высказываем предпочтения. Мы не просим Apple отказать в возврате за то, чем вы не воспользовались.

Мы никогда не передаём ваши фотографии и не передаём никаких персональных данных сверх этого идентификатора покупки. Apple спрашивает ещё, как давно у вас аккаунт и сколько времени вы провели в приложении. На оба вопроса мы отвечаем «не заявлено» — вместо того чтобы прикинуть цифру, за которую потом отвечаем как за утверждение.

9. Где и как это хранится

Наши серверы находятся в Европейском союзе и арендованы у коммерческого хостинг-провайдера. Мы называем регион, а не провайдера: провайдер может смениться, регион — это обязательство. Фотографии и снятые с них измерения хранятся там и больше нигде, с одним исключением: то, прошёл ли кадр, описанные выше события использования сообщают и Google.

Регион покидают пять вещей. События использования и отчёты о сбоях уходят в Google в США. Push-уведомления проходят через Google и Apple. Всё, чем приложение или проверка фото на этом сайте обмениваются с нашими серверами, проходит через сеть Cloudflare — каждый запрос и каждый ответ, включая готовые фотографии, которые скачивает приложение. По пути между вами и нами Cloudflare расшифровывает эти данные в ближайшем к вам дата-центре, а он может находиться за пределами Европейского союза, в том числе в США. А сам этот сайт обслуживает Vercel, компания из США, поэтому журналы доступа, описанные в разделе «Этот сайт» (IP-адрес, время и user-agent каждого запроса страницы, включая страницы проверки фото), тоже могут обрабатываться за пределами Европейского союза. А счётчик посещений на этом сайте отправляет каждый просмотр страницы и каждое нажатие на кнопку магазина приложений в Umami, чьи серверы находятся в США и Европейском союзе. Эти передачи опираются на Стандартные договорные условия Европейской комиссии — механизм, который эти компании публикуют ровно для этого случая. Кроме этих пяти, границу пересекает только то, что нужно Apple, Google и Resend для работы, перечисленной в разделе «Кто ещё к этому прикасается»; фотографии и снятые с них измерения пересекают её только на пути через Cloudflare — кроме того, прошёл ли кадр: это события использования передают в Google.

Трафик шифруется при передаче: по TLS между вашим устройством и Cloudflare и по зашифрованному туннелю между Cloudflare и нашими серверами. Фотографии лежат в закрытом хранилище, содержимое которого нигде не публикуется, и каждая загрузка идёт по короткоживущей подписанной ссылке. Токены входа хранятся в системном хранилище ключей вашего телефона. Доступ есть только у тех сервисов, которым он нужен. Абсолютно надёжных систем не бывает, и мы не станем утверждать обратное.

10. Этот сайт

totshot.app считает посещения с помощью Umami, чтобы мы видели, какие страницы читают и откуда приходят: из поисковика, из соцсети или по ссылке, которой кто-то поделился. За каждый просмотр страницы счётчик отправляет в Umami адрес страницы — вместе с меткой кампании в ссылке, например ?c=, — страницу, с которой вы пришли, язык браузера, размер экрана, а также тип устройства, операционную систему и браузер, которые Umami определяет по user-agent. Нажатие на кнопку App Store или Google Play считается так же, с указанием магазина. По IP-адресу Umami определяет страну и вместе с user-agent вычисляет необратимый код, чтобы считать уникальных посетителей; сам адрес он не хранит. Счётчик не ставит cookie и ничего не сохраняет на вашем устройстве, поэтому не может следить за вами на других сайтах, и он вовсе не запускается, если браузер отправляет сигнал Do Not Track. Umami обрабатывает эти данные по нашему поручению на серверах в США и Европейском союзе. Рекламы на сайте нет, и, кроме этого счётчика, он не загружает сторонних скриптов, шрифтов или картинок — все остальные файлы страница берёт со своего домена.

Сам сайт обслуживает Vercel, наш хостинг-провайдер для веба: он записывает IP-адрес, время и user-agent каждого запроса в свои журналы доступа — для доставки страницы и защиты от злоупотреблений. Кроме счётчика Umami, описанного выше, это единственная компания, участвующая в показе вам этой страницы.

Он хранит одну cookie, NEXT_LOCALE: она помнит, на каком языке вы читаете. Идентификатора в ней нет, никто другой её не читает, и никуда она за вами не следует.

11. Проверка фото на этом сайте

На totshot.app можно бесплатно и без аккаунта проверить фото ребёнка по требованиям одного документа. Перед отправкой браузер уменьшает и перекодирует фото, и при этом из файла удаляются метаданные — место съёмки, которое телефон записывает в фото, до нас не доходит. На наших серверах фото измеряется в памяти — включая временные буферы, в которых с ним работают наши сервисы, — и отбрасывается, когда ответ отправлен: оно никогда не сохраняется — не записывается ни в файл, ни в базу данных, ни в хранилище — и не используется ни для чего, кроме ответа, который вы получаете.

Мы сохраняем запись о проверке без изображения: документ и версию его правил, по которым оценивалось фото; возраст ребёнка в месяцах, если вы его указали; язык ответа; прошло ли фото; каждое найденное замечание с измеренным значением и допустимым диапазоном; где оказались макушка, подбородок и линия глаз — в долях кадра; углы наклона и поворота головы; оценки закрытых глаз, открытого рта и направления взгляда; какой детектор измерял фото; сколько длилась проверка и когда она прошла. В записи нет ни изображения, ни рамки вокруг лица, ни точек глаз, ни имени файла, ни IP-адреса. Эти записи хранятся до 365 дней и нужны, чтобы настраивать пороги, по которым судит приложение, и считать, сколько проверок закончились нажатием на значок магазина.

• Cloudflare доставляет фото до наших серверов, а наш ответ — обратно к вам, как и всё остальное, чем с ними обмениваются. И то и другое расшифровывается на границе его сети, а между этой границей и нашими серверами идёт по зашифрованному туннелю, поэтому Cloudflare технически может видеть фото и ответ, пока они проходят через него. Для хранения чего-либо мы его не используем.
• Лимиты частоты защищают сервис. Чтобы считать запросы к проверке с одного подключения, наши серверы превращают ваш сетевой адрес в хэш с ключом — необратимый код, вычисленный с секретным ключом, который мы меняем не реже раза в сутки, — и считают по этому коду; для адреса IPv6 в код идёт только его сетевая часть (первые 64 бита). Счётчики истекают в течение 24 часов, а сам адрес проверка никогда не сохраняет.
• Наши логи и трассы записывают запросы к проверке без вашего IP-адреса и без user agent вашего браузера — в отличие от описанных выше логов серверов. В строках лога проверки есть время, запрошенный путь (при нажатии на значок или ссылку в приложение в нём есть идентификатор проверки), статус ответа и сколько он готовился, идентификатор запроса и вердикт: идентификатор проверки, документ, язык, прошло фото или нет, коды замечаний и те измерения головы, линии глаз, углов и выражения лица, что хранит описанная выше запись, а также насколько детектор был уверен, что нашёл лицо, и сколько других лиц он увидел. Запрос, отклонённый лимитами частоты, записывается с описанным выше хэшем, но никогда — с адресом. Эти строки хранятся 7 дней, как и остальные наши логи.
• Если после проверки вы нажмёте на значок магазина или ссылку в приложение, мы запишем, что именно было нажато, к идентификатору проверки — со временем и ничем больше, — чтобы понимать, была ли проверка полезной. Сама ссылка значка сообщает магазину лишь то, что переход был с проверки на этом сайте и для какого документа, — так магазин считает установки, к которым привела ссылка; идентификатора проверки в ней не бывает никогда.
• Без аккаунта. Проверка не ставит cookie, кроме описанной выше языковой настройки. Счётчик посещений из раздела «Этот сайт» считает страницы проверки, как и любые другие; ни фотографию, ни ответ он не видит.

На фото — ребёнок, и раздел о данных ребёнка выше применяется к нему полностью: фото используется только для той единственной цели, ради которой вы его отправили, никогда — для рекламы или обучения каких-либо моделей, и отбрасывается в момент отправки ответа.

12. Ваши права

Вы можете запросить копию своих данных, их исправление, выгрузку или удаление. Удалить всё можно самостоятельно в приложении; по остальному пишите на support@totshot.app. На каждое обращение отвечает человек.

В ЕС и Великобритании это ваши права по GDPR, и вы можете подать жалобу в надзорный орган своей страны. В Калифорнии мы не продаём и не передаём персональные данные в том смысле, который вкладывает в эти слова CCPA, и обращение к своим правам ничего вам не стоит.

13. Изменения

Дата вверху страницы показывает, когда политика менялась в последний раз. Если изменение существенно затронет то, как мы обращаемся с вашими данными, мы сообщим об этом в приложении или письмом.

14. Связаться с нами

По всему, что здесь написано, — доступ, исправление, выгрузка, удаление или просто вопрос без ответа: support@totshot.app. Это самый быстрый способ до нас достучаться, и письма читает человек. Бумажная почта доходит по адресу ниже.

15. Применимое право

Эта политика регулируется правом штата Делавэр, США.

Она опубликована на всех языках, которые предлагает переключатель языка. Главной является английская версия; перевод существует, чтобы его читали, а не чтобы на него ссылались в споре.