Приватность

Selfeed — приватный фотодневник. Эта страница простыми словами говорит, что мы храним, где это лежит и как это удалить, — простыми, потому что речь идёт о вашем лице.

Что мы храним

Ваши ежедневные фотографии и сделанные из них кадры с лицом по центру — квадратные кадры. Для фотографий в альбоме про лицо — положение вашего лица и глаз в виде чисел: именно по ним кадры выравниваются. Данные вашей учётной записи — в том виде, в каком их передаёт провайдер входа: идентификатор пользователя у провайдера и, если провайдер делится ими, ваши имя и email. Когда вы входите через Apple, приложение на iPhone просит у Apple только ваше имя; если токен входа Apple содержит ещё и адрес email — настоящий или релейный адрес Apple, — мы его сохраняем, а если не содержит, адреса у нас нет. X адрес email нам вообще не передаёт. Ваши настройки: язык, часовой пояс, час напоминаний.

В приложении на iPhone дневник лежит на вашем телефоне, и без аккаунта он остаётся только там. Когда вы входите, приложение загружает на наши серверы дни, которые в нём уже есть, — по одному, — а потом каждую новую фотографию.

Что видят другие

Ничего из вашего дневника не видно другим, пока вы сами этого не решите. Если вы возьмёте имя пользователя и сделаете профиль публичным, любой человек увидит ваш аватар, ваше имя и имя пользователя, как давно вы с нами, ваши серии и сколько у вас фотографий, а те, кто на вас подписан, будут получать кадры вашего основного альбома в ленту и на виджет домашнего экрана: квадратный кадр, его дату и подпись, но никогда не оригинал. Если вы к тому же выберете витринный альбом, его кадры увидит любой человек на вашей публичной странице, и подписчики тоже будут их получать. Остальные ваши альбомы остаются закрытыми, пока вы не сделаете их витринными или не дадите им публичный адрес. Если вы дадите альбому публичный адрес, любой, у кого есть этот адрес, сможет смотреть таймлапс этого альбома — вместе с названием альбома, а также вашим именем, именем пользователя и аватаром. Всё это можно снова выключить; если выключить публичный профиль или удалить имя пользователя, ваши кадры разом исчезнут из всех лент и виджетов.

Ответы, реакции, жалобы и блокировки

Ответ — это текст до 500 символов, он отправляется с вашим именем и аватаром; эмодзи можно отправить и отдельно. Ответы и эмодзи приватны: прочитать их может только тот, на чью фотографию вы отвечаете. Когда вы жалуетесь на фотографию или на ответ, мы сохраняем жалобу — на что она, кто её подал, причину и заметку, если она есть, — и наша команда видит содержимое, на которое пожаловались. Мы также храним, на кого вы подписаны, кто подписан на вас и кого вы заблокировали.

Ваш телефон и уведомления

Пока вы вошли в аккаунт, приложение на iPhone при каждом запуске регистрирует ваш телефон у нас: push-токен, платформу, версию и сборку приложения, ваш язык и часовой пояс. Это происходит независимо от того, разрешили ли вы уведомления. Токен нужен, чтобы присылать ежедневное напоминание и сопровождающий его обратный отсчёт на экране блокировки, уведомления об ответах на ваши фотографии, сообщение о том, что готова новая версия приложения, и тихие обновления, которые держат виджет домашнего экрана свежим. Напоминания и уведомления появляются, только если вы разрешили уведомления и оставили включённым переключатель «Напоминания» в разделе Настройки → Напоминания.

Selfeed Pro оплачивается через Apple, которая сама проводит платёж; данных вашей карты и платёжных реквизитов мы не видим. Когда подписка записана на нашем сервере, мы храним, какой это тариф, его статус, когда он заканчивается и номер этой покупки у Apple.

Записи о том, что происходит в сервисе

Каждый раз, когда вы что-то добавляете, меняете или удаляете — фотографию, альбом, подписку на человека, блокировку, жалобу, реакцию, зарегистрированный телефон, — мы делаем запись аудита: что изменилось, когда, с какого IP-адреса пришёл запрос и как называет себя ваше приложение или браузер (user agent). Текст ответа в эту запись не копируется. Мы также храним историю изменений записей аккаунта: в ней могут быть ваши имя, адрес email и имя пользователя. И то и другое — журнал аудита: он хранится, чтобы осталась запись о том, что происходило в сервисе, и ни то ни другое не удаляется, когда вы удаляете аккаунт.

Кто ещё получает данные

Apple. Push-уведомления доходят до вашего телефона через сервис Apple, поэтому через Apple проходит и то, что в них написано: в уведомлении об ответе — имя отправителя и начало сообщения. Покупки проходят через Apple, и она же сообщает нам, когда подписка продлевается, заканчивается или по ней оформлен возврат.

Google, Apple и X. Когда вы входите, выбранный вами провайдер подтверждает нашим серверам, кто вы.

Telegram. Когда кто-то на что-то жалуется, наша команда получает оповещение в чате Telegram: причину, имена пользователей или имена людей, о которых идёт речь, и короткую выдержку из того, на что пожаловались. В тот же чат приходит сообщение, когда подписка начинается, продлевается, заканчивается или по ней оформлен возврат, — с тарифом, именем пользователя или именем аккаунта и датой окончания.

Администраторы также получают сообщения о новых аккаунтах: имя, email, если он предоставлен, способ входа, имя пользователя, язык и часовой пояс. В сообщениях о загрузках фотографий — имя аккаунта или имя пользователя, даты фотографий и названия альбомов. Загрузки, сделанные подряд, объединяются в одно сообщение. Сами фотографии и подписи к ним в оповещениях о загрузках не отправляются.

Наш трекер ошибок. Отчёты о сбоях и ошибках уходят в трекер, который мы держим сами.

Чего мы не делаем

Фотографии приватны по умолчанию. Публичной ленты нет, если вы сами не сделаете профиль публичным, — и даже тогда видно только то, чем вы поделились. Мы не продаём данные, не показываем стороннюю рекламу и не обучаем модели на ваших фотографиях. Отчёты об ошибках уходят в наш собственный трекер, который мы держим на своих серверах, а не третьей стороне.

Как долго мы всё храним

На бесплатном аккаунте сервер хранит оригинал фотографии 90 дней после загрузки, а потом удаляет его. Квадратный кадр, сделанный из неё, хранится, пока вы не удалите его или аккаунт. На вашем телефоне остаётся каждый снятый оригинал. Оригиналы аккаунта, у которого Selfeed Pro записан на нашем сервере, хранятся, пока он записан.

У записей аудита и истории изменений нет срока хранения. Жалобы на аккаунт хранятся как запись о жалобе, даже когда самого аккаунта уже нет.

Где это лежит

Фотографии хранятся в объектном хранилище и базе данных на серверах, которые мы сами администрируем. Передача данных везде идёт по TLS. Токены доступа привязаны к устройству: вы можете выйти с любого устройства в любой момент, а сессия, которой не пользовались год, умирает сама.

Возраст

Selfeed — для тех, кому исполнилось 13 лет, и он не рассчитан на детей. Если вы думаете, что у ребёнка младше 13 лет есть аккаунт, напишите нам по адресу ниже.

Удаление данных

Удаление аккаунта убирает из наших систем ваши фотографии, альбомы, ответы и реакции, подписки на людей и блокировки, поданные вами жалобы, привязки входа, зарегистрированные телефоны и запись о подписке. В приложении: Настройки → Аккаунт → Удалить аккаунт. То же самое доступно через API (DELETE /api/v1/me). Удаление происходит немедленно и необратимо.

Кое-что остаётся. Записи аудита остаются: они больше не привязаны к вашему аккаунту, но хранят IP-адрес и user agent. История изменений тоже остаётся и всё ещё может содержать ваши имя, адрес email и имя пользователя. Остаются и жалобы, которые подали на вас другие люди. Регулярные резервные копии и серверные журналы могут хранить копию удалённых данных, пока их не заменят новыми.

Контакты

Вопросы о ваших данных: lapster.me@gmail.com.