Pulse
Конфиденциальность
Pulse существует, чтобы два человека могли поддерживать друг друга. Данные о здоровье, самая личная информация, к которой мы когда-либо прикоснёмся, поэтому приложение построено вокруг одного правила: ваши необработанные биометрические данные никогда не покидают устройство.
1. Кто несёт ответственность
Оператором данных в Pulse являемся мы: Knightify FlexCo, Rauchgasse 28 Top 2, 1120 Вена, Австрия. Контакт по вопросам конфиденциальности: [email protected].
2. Что остаётся на вашем устройстве
Следующее считывается из Apple HealthKit, обрабатывается локально на вашем iPhone и никогда не передаётся ни на наши серверы, ни вашему партнёру:
- Пульс в покое, вариабельность сердечного ритма
- Продолжительность и фазы сна
- Шаги, минуты активности, часы стоя
- Частота дыхания, насыщение крови кислородом, практики осознанности
- Данные менструального цикла (только если вы включите «Ритм цикла»)
Чтобы Pulse мог показывать вам тенденции и закономерности, он хранит эти показатели в скользящей 90-дневной истории на вашем устройстве, зашифрованной в Связке ключей iOS. Это те же значения, что перечислены выше, только во времени, а не только за сегодня. Они никогда не передаются ни на наши серверы, ни вашему партнёру и намеренно не входят в резервную копию iCloud. Разрыв связи с удалением данных или удаление аккаунта удаляет вместе с собой и эту историю.
Pulse также ведёт собственный список уведомлений на устройстве: запись того, что приложение вам показывало (те же короткие строки без содержания, которые появляются в Центре уведомлений iOS), чтобы вы могли просмотреть пропущенное. Он остаётся на вашем iPhone и удаляется, когда связь завершается (сохраняете вы общую историю или стираете её, ведь почти каждая строка называет партнёра), или когда вы удаляете аккаунт.
Если вы носите WHOOP, его можно будет подключить в настройках приложения, как только эта поддержка появится. Тогда ваш iPhone входит в WHOOP, читает ваш сон, восстановление и тренировки напрямую у WHOOP, записывает их в Apple Health на самом устройстве и оттуда же читает — как любой другой сигнал. Ни одно из этих значений не попадает на наши серверы. Мы участвуем только во входе: наш сервер меняет одноразовый код WHOOP на токен доступа, потому что WHOOP требует для этого секрет, который нельзя безопасно хранить внутри приложения. Из этого обмена мы не сохраняем ничего; токены лежат в связке ключей вашего iPhone. При отключении или удалении аккаунта они стираются, и доступ прекращается и на стороне WHOOP. То, что уже записано, остаётся в Apple Health — это ваше, храните или удаляйте.
Если вы носите кольцо Oura, вы сможете подключить его в настройках приложения, когда эта поддержка появится. Тогда iPhone войдёт в Oura и будет читать вашу готовность, сон, стресс, активность и другие ежедневные сводки, которыми вы согласились делиться, прямо из Oura. Прочитанное остаётся на iPhone, в зашифрованной связке ключей: оно не записывается в Apple Health (приложение Oura умеет делать это само, а вторая копия посчитала бы каждую ночь дважды) и никогда не попадает на наши серверы. Наш сервер участвует только в двух вещах. Вход: Oura требует секрет, который нельзя надёжно хранить в приложении, поэтому наш сервер обменивает одноразовый код Oura на токен доступа и ничего из этого не сохраняет. И сигналы о новых данных: чтобы свежие данные кольца приходили без постоянных запросов приложения, наш сервер хранит ключевой односторонний отпечаток номера вашего аккаунта Oura рядом с токеном уведомлений телефона. Когда Oura сообщает, что в аккаунте что-то изменилось (только тип данных, никогда сами данные), мы отправляем телефону тихое уведомление, и телефон забирает изменение у Oura. Партнёр никогда не видит баллов Oura. Отключение или удаление аккаунта стирает всё, что Pulse прочитал из Oura, и этот отпечаток. Oura делится данными с другими приложениями, только пока активна ваша подписка Oura Membership.
Ещё два разрешения полностью необязательны и запрашиваются только тогда, когда вы пользуетесь соответствующей функцией. Камера используется лишь тогда, когда вы сами делаете фото для партнёра; затем фото проходит тот же сквозным образом зашифрованный путь, что и любое другое сообщение в чате. Если вы снимаете с экрана блокировки, снимок короткое время лежит незашифрованным в защищённой области устройства (читаемой только после первой разблокировки), пока приложение не зашифрует и не отправит его при следующем открытии, и автоматически удаляется через 48 часов. Что касается календаря, Pulse записывает ваши общие события, подтверждённые свидания и годовщины в календарь, который вы выбираете сами. iOS позволяет приложению обновлять ранее записанные им события только при полном доступе к календарю, поэтому Pulse запрашивает именно его; при этом Pulse лишь добавляет, обновляет и удаляет собственные записи, никогда не смотрит на другие ваши события, и никакие данные календаря не передаются ни нам, ни вашему партнёру. Эти копии, обычные записи календаря вне сквозного шифрования Pulse: если выбранный календарь синхронизируется с iCloud, Google или Outlook, они хранятся и у этого сервиса, и их видят все, с кем вы делитесь этим календарём. Прежде чем писать в такой календарь, Pulse спросит вас.
3. Что мы отправляем вашему партнёру
После того как ваш iPhone истолковал ваш день относительно вашей собственной скользящей нормы, он формирует одну понятную человеку подсказку, например: «Спокойный вечер сегодня может значить многое». Вашему партнёру через частную/общую базу данных iCloud от Apple передаётся только сама подсказка и небольшой набор предлагаемых действий. При соединении передаётся тот профиль, который вы решили показать партнёру: выбранное вами имя или отображаемое имя и, если вы его задали, фото профиля. И то и другое шифруется на вашем устройстве тем же ключом, что и чат, поэтому увидеть их может только ваш партнёр. Вместе с подсказкой может передаваться грубая метка настроения (например, «мало сил»), чтобы экран Home у партнёра мягко окрасился в цвет вашего дня; это широкая категория, никогда не цифры. Ничего больше о вашей личности не отправляется. Подсказка и эта метка выведены из данных о здоровье и, в отличие от вашего имени и фото, <strong>не шифруются сквозным шифрованием дополнительно</strong>: их защищают правила доступа к вашему пространству iCloud, то есть Apple как оператор iCloud технически способна их прочитать.
Когда вы соединены, вы также можете обмениваться маленькими жестами (касание, «думаю о тебе») и личными сообщениями. Эти сообщения зашифрованы сквозным шифрованием: они шифруются на вашем устройстве ключом, который хранится в вашей Связке ключей iCloud и привязан к вашему Apple ID. Через iCloud проходит только зашифрованный текст, прочитать его не можем ни мы, ни Apple.
Пока чат открыт, приложение также кратко подключается к нашему собственному каналу реального времени (на нашем сервере, не у третьей стороны) для «Держи, чтобы почувствовать» и для более быстрого пути сигналов набора текста, прочтения и сообщений. Нажмите и удерживайте маленькое сердце в чате, и если партнёр в тот же момент сделает то же самое, вы оба почувствуете момент «Связаны»: простой сигнал «да/нет» вообще без содержания. Этот же канал может передавать уже сквозным образом зашифрованный текст сообщения как более быстрый дополнительный путь, пока чат открыт у вас обоих, наряду с надёжным путём через iCloud, который работает как прежде. Наш сервер только передаёт эти сигналы в прямом эфире, он их не хранит, и соединение прекращается в тот момент, когда вы закрываете чат.
Если вы отправляете GIF в чате, она загружается на ваше устройство, шифруется тем же ключом чата и доставляется через iCloud, как любое другое сообщение. Мы её тоже не видим. Однако ваши поисковые запросы для GIF обрабатываются компанией GIPHY, Inc. в тот момент, когда вы открываете поиск GIF (см. раздел 10). Если вы никогда не открываете поиск GIF, в GIPHY ничего не отправляется.
Между вами двоими может передаваться и кое-что ещё, всегда внутри вашего общего пространства iCloud и никогда к нам. Воспоминания, которые вы добавляете в общую хронику «Наша история» (заголовок, заметка, необязательное место и фото), зашифрованы сквозным шифрованием, как сообщения. Общий список идей для свиданий синхронизируется как небольшие открытые записи без сквозного шифрования (название идеи, категория и статус, а также адрес и положение на карте реального места, которое вы сохранили из подсказок поблизости; никогда данные о здоровье). День, от которого вы ведёте отсчёт («Вместе с»), тоже передаётся как обычная дата, как и голый идентификатор воспоминания, которое кто-то из вас удалил, чтобы оно исчезло на обоих телефонах. Тихий сигнал «как мы?» несёт только фиксированный ключ фразы, которую приложение партнёра отображает на его языке. И чтобы чат ощущался живым, передаются также крошечные служебные сигналы доставки: недолговечная отметка «набирает текст» и подтверждение прочтения, каждая, лишь метка времени, никогда содержание.
Когда вы просите партнёра о чём-то («объятие», «поговорить», «близость»), это передаётся как сквозным образом зашифрованная карточка в чате, точно как сообщение. По сети уходит только фиксированный ключ вида просьбы, который приложение партнёра отображает на его языке, плюс необязательная заметка, которую вы пишете сами. Поскольку некоторые из таких просьб очень личные, уведомление на экране блокировки никогда не называет содержание: в нём сказано лишь, что вы о чём-то попросили. О чём именно, видно в приложении.
События, которые вы создаёте в общем календаре (заголовок, время, необязательное место и заметка), синхронизируются сквозным образом зашифрованными по тому же пути. Если вы отражаете их в календарь на вашем iPhone, эти копии, обычные записи календаря вне этого шифрования, а календарь, синхронизируемый с iCloud, Google или Outlook, хранит их и у этого сервиса, см. раздел 2.
Ваш общий список просмотра (фильмы, сериалы, книги и музыка, которые вы сохраняете друг для друга) синхронизируется внутри вашего общего пространства iCloud так же, как список идей для свиданий: маленькие, простые записи, название, тип, необязательная ссылка с маленькой обложкой и статус просмотра, никогда не данные о здоровье. Комментарии, реакции и тихое «понравилось» или «не понравилось» каждого из партнёров зашифрованы сквозным образом, как сообщения. Если вы прикрепляете ссылку (скажем, на IMDB или Spotify), её маленькое превью загружает ваше собственное устройство напрямую с того сайта; а если вы вводите только название, ваше собственное устройство может найти обложку в публичном медиакаталоге Apple. В любом случае устройство партнёра показывает только то, что было синхронизировано, и ни с чем не соединяется.
Общий список покупок идёт по тому же каналу, что и чат: добавленное одним приходит карточкой, которую другой может подтвердить, купить или отложить, а название, необязательная ссылка и статус шифруются сквозным образом — точно как сообщение. Ничего из этого не является данными о здоровье и ничего не попадает на наши серверы.
Заметки, которые вы ведёте вместе (планы, списки и чек-листы, которые может править каждый из вас), шифруются на вашем устройстве сквозным шифрованием в точности как сообщение, прежде чем передаваться внутри вашего общего пространства iCloud; ни мы, ни Apple не можем их прочитать. Каждый телефон хранит читаемую копию; каждая правка несёт заметку целиком, а ваши телефоны объединяют заголовок, текст и каждую строку чек-листа по отдельности, так что вы можете работать над заметкой одновременно. Заметки входят в экспорт ваших данных. Если вы разорвёте связь, они уйдут вместе с остальной вашей общей жизнью: будут стёрты, если вы выберете стирание, или запечатаны в зашифрованном архиве этих отношений, если вы сохраните историю.
Know Us хранит то, что каждый из вас написал о себе: что вы любите, что помогает в трудный день, чего лучше не делать и когда вы чувствуете себя любимыми. Каждую запись пишет тот, кого она описывает, и Pulse никогда не выводит её из ваших данных о здоровье, сообщений или поведения. Ваши слова шифруются сквозным образом на вашем устройстве, прежде чем попасть в ваше общее пространство iCloud, и партнёр видит их дословно; само приложение читает лишь выбранную вами метку (тему или момент вроде «когда я устал»). Записи хранятся в связке ключей вашего устройства и входят в экспорт ваших данных. Если вы разорвёте связь, записи партнёра уйдут вместе с остальной его общей жизнью, а написанное вами о себе останется с вами. Если позже вы свяжетесь с кем-то новым, эти прежние записи останутся личными, пока вы сами не решите поделиться ими с этим человеком.
«Несказанное» прежде всего частный блокнот. Ты записываешь то, что не смог сказать, называешь чувство из фиксированного списка (или, если хочешь, проходишь несколько шагов: что случилось, что ты почувствовал, что тебе нужно, небольшая просьба) и оставляешь это у себя; написанное хранится в связке ключей твоего устройства и никогда не покидает телефон, пока ты сам не решишь отправить именно эту заметку. Если решишь, именно она шифруется на твоём устройстве сквозным образом, ровно как сообщение в чате, и только потом путешествует внутри вашего общего пространства iCloud, а партнёру сообщается лишь то, что что-то пришло: никогда сами слова и ничего о чувстве, если ты сам не скажешь это отметкой («Не срочно» или, на заметке с чувством «Благодарность» или «Горжусь тобой», «отмечено как доброе»). Слова открываются, только когда он скажет, что рядом (заметка, которую ты отметил как добрую, открывается по нажатию, и тебе сообщается, что её прочитали); его ответ («Я рядом», «Мне нужна минута» с необязательным временем возвращения или «Давай поговорим лично») идёт обратно без каких-либо слов. Если потом партнёр напишет, что услышал, или ты скажешь, верно ли он понял, эти несколько строк точно так же шифруются сквозным образом прямо на устройстве. Ничто из написанного здесь не читается, не оценивается и не интерпретируется ни нами, ни самим приложением; приложение читает только то, что ты сам выбрал из фиксированного списка: чувство и, если ты её назовёшь, свою потребность. Твои собственные заметки включаются в экспорт данных, если ты это не отключишь, а заметки, которыми поделился партнёр, не включаются, пока ты сам их не добавишь; в «Приватность и безопасность» можно также заблокировать «Несказанное» с помощью Face ID или код-пароля iPhone, проверка проходит на устройстве. Заметка партнёра никогда не попадает в выгрузку, пока ты её не открыл, а то, что партнёр написал в ответ на твои заметки, идёт только туда же, куда и его заметки. Строчка, которую ты оставляешь для себя рядом с заметкой, никогда не покидает телефон, а если ты отметишь заметку как «Не срочно» или как добрую, вместе с ней уйдёт только эта отметка, и уведомление у партнёра скажет об этом от твоего имени; уведомление нашего сервера её никогда не несёт. Если ты попросишь Pulse вернуть заметку позже, телефон может показать и напоминание, в котором ничего нет о самой заметке. Если партнёр включит подсказки о времени, твой экран может предложить подождать, когда его день выглядит тяжёлым, используя только то, чем он и так с тобой делится; без его согласия это выключено. Если ты разорвёшь связь, заметки партнёра вместе со всем, что он написал в ответ на твои, уйдут со страницы «Несказанное» вместе с остальной его общей жизнью: будут удалены, если ты выберешь удаление, или, если ты сохранишь историю, запечатаны вместе с ней в зашифрованном архиве, который открывают только твои устройства, хранится на устройстве и в твоей собственной частной базе данных iCloud и вернётся, только если ты снова свяжешься с тем же человеком. Всё написанное тобой останется с тобой.
Pulse также показывает вам обоим общий «вопрос дня». Ваш ответ и ответ партнёра передаются внутри вашего общего пространства iCloud со сквозным шифрованием, в точности как сообщение в чате; открыто передаётся только дата, к которой относится ответ. Ответ партнёра остаётся скрытым, пока вы не ответите на свой; оба ответа исчезают из общего пространства в течение 48 часов и хранятся не дольше семи дней локально на каждом из ваших устройств.
Необязательный виджет на домашнем экране показывает последнюю подсказку и настроение партнёра из данных, уже находящихся на вашем iPhone; сам виджет ничего не отправляет.
Что партнёр узнаёт о вашем цикле, решают два отдельных переключателя, и оба выключены, пока вы их не включите. Мягкий не сообщает о самом цикле ничего: он лишь позволяет прочтению сказать, что это может быть период пониженной энергии, теми же словами, что и любая другая подсказка. Второй, «Делиться моим календарём цикла и менструации», передаёт настоящий календарь: вашу текущую фазу, дни этой менструации, дни, предсказанные для следующей, и вероятное окно овуляции, чтобы приложение партнёра могло его нарисовать. Симптомы и ваши записи не передаются ни при одном из переключателей. Как и подсказки, и в отличие от чата, этот календарь защищён правилами доступа к вашей зоне iCloud и дополнительно сквозным шифрованием не защищён: Apple как оператор iCloud технически может его прочитать. Если выключить переключатель, он сразу исчезает из календаря партнёра. Он также останавливается и стирается, пока вы приостановили обмен или невидимы, после отзыва согласия и когда отслеживание цикла выключено; устройство партнёра показывает, насколько устарела его копия.
Если вы включите передачу местного времени, ваш часовой пояс (например, «Europe/Berlin») отправится партнёру в той же сквозным образом зашифрованной записи профиля, что и ваше имя с фотографией, чтобы его приложение могло показать, сколько у вас времени: на главном экране, в заголовке чата, в виджете и на Apple Watch. Это часовой пояс, а не местоположение: он говорит, по каким часам вы живёте, но не где вы находитесь. Он выключен, пока вы не включите его в настройках, он едет с вами в поездку, а если выключить, он исчезает с экрана партнёра.
Тем же путём идут несколько более тихих вещей, и только когда вы их отправляете или разрешаете: ваша социальная батарея (отправляется каждый уровень, который вы задаёте; телефон партнёра показывает только низкие), вечерняя рефлексия, когда вы на неё отвечаете, и бессловесные жесты (тихое «я здесь», тоска, «скучаю», удержанное сердце). Каждый несёт лишь фиксированный ключ или грубый уровень, который приложение партнёра показывает на своём языке, и никогда число, измерение или свободный текст, кроме заметки, которую вы напишете сами.
Утром после того, как подсказка о вас дошла до партнёра, Pulse может задать вам один вопрос: помогло ли то, как он был рядом? Вы отвечаете, выбирая один из четырёх фиксированных вариантов, и обратно уходит только этот вариант, внутри вашего общего пространства iCloud и вместе с днём, к которому он относится. Он не несёт ни измерения, ни причины, ни свободного текста, он не зашифрован сквозным шифрованием так, как чат, и исчезает из общего пространства в течение 48 часов. Приложение партнёра относит его к тому, что предложило в тот день, чтобы следующая карточка склонялась к тому, что, по вашим словам, действительно помогло. Каждый из вас хранит не больше двух недель таких ответов на своём устройстве; они входят в экспорт ваших данных и удаляются, если вы разрываете связь.
Pulse также может замечать короткие промежутки необычных сердечных сигналов и предлагать поделиться мягким, нейтральным намёком, например: «Кажется, что-то недавно их взволновало». Действует одно правило: ничего не отправляется, пока вы явно не одобрите это отдельное событие. Вы можете изменить предложенную метку или оставить момент полностью личным. Такие метки, это приблизительные оценки, никогда не диагнозы.
4. Полная картина
5. Что хранит наш сервер
Чтобы push-уведомления работали («Новое сообщение», касание от партнёра), приложение регистрирует одну небольшую запись о доставке на нашем сервере (knightifypulse.com): ваш идентификатор пользователя iCloud (CloudKit), push-токен устройства, платформу («ios») и три переключателя настроек уведомлений. В этой записи нет ни имени, ни адреса эл. почты, ни данных о здоровье. Видимый текст уведомления намеренно лишён содержания и пишется нашим сервером, никогда отправителем. Сообщение из чата может дополнительно ехать внутри своего push-уведомления в запечатанном виде: тот же текст со сквозным шифрованием, что идёт через iCloud. Наш сервер передаёт его дальше, не сохраняя, и ни мы, ни Google не можем его прочитать; это нужно лишь затем, чтобы ваш телефон мог открыть его ещё до того, как вы откроете приложение. Всё остальное идёт через iCloud. Доставка использует Google Firebase Cloud Messaging и push-службу Apple (см. раздел 10). Если вы включите необязательную функцию «Моменты Pulse» (короткая Live Activity в Dynamic Island, когда партнёр, например, отправляет касание), приложение дополнительно регистрирует push-токены Apple Live Activity под тем же идентификатором пользователя iCloud. Эти push-уведомления тоже без содержания: они несут лишь вид («касание»), счёт и метку времени, никогда имён, сообщений или данных о здоровье, и доставляются напрямую через push-службу Apple. Отключение функции немедленно удаляет эти токены. Вся запись удаляется, когда вы удаляете аккаунт в приложении. Токен также удаляется, как только push-служба Google или Apple сообщает, что он больше недействителен, а любая регистрация, которую ваш телефон не обновлял 180 дней, удаляется автоматически. Вы также можете в любой момент запросить её удаление письмом на [email protected].
Текущие версии приложения добавляют к этой записи две вещи: подключён ли телефон к партнёру, и односторонний отпечаток (SHA-256) ключа, который могут вычислить только твой телефон и телефон партнёра. С его помощью наш сервер проверяет, что уведомление действительно от твоего партнёра, прежде чем доставить его, поэтому никто другой, кто знает твой идентификатор iCloud, не сможет заставить твой телефон засветиться. Сам ключ к нам никогда не попадает, и по отпечатку нельзя восстановить ни его, ни что-либо, что открывает твои сообщения. Он меняется, когда ты подключаешься к новому человеку, и удаляется, когда связь заканчивается.
Если Pulse неожиданно закроется, при следующем запуске приложение может спросить, отправить ли нам отчёт о сбое. Ничего не отправляется, пока ты не нажмёшь «Отправить», а перед этим приложение показывает, что именно в отчёте: версия приложения и iOS, модель устройства, язык, последняя открытая вкладка, сколько времени приложение было открыто, и технические детали сбоя. Можно добавить заметку своими словами. В отчёте нет идентификатора iCloud, имени, данных о здоровье и содержания сообщений. Если нажать «Не сейчас», отчёт удаляется с телефона.
Для «Держи, чтобы почувствовать» и более быстрого пути сигналов набора/прочтения/сообщений мы также держим на том же сервере собственный ретранслятор реального времени (на своём хостинге, не у третьей стороны). Он активен только пока чат открыт на обоих устройствах, передаёт сигналы лишь в прямом эфире и ничего из них не хранит постоянно; никакой дополнительной записи на нашей стороне не создаётся.
Сам этот сайт устанавливает только строго необходимые файлы cookie (см. «Файлы cookie») и ведёт недолговечные технические журналы сервера (IP-адрес, запрошенная страница) для безопасности и предотвращения злоупотреблений, как это делает практически любой сайт. Если вы создаёте аккаунт на этом сайте (сейчас он используется только для администрирования сайта, самому приложению такой аккаунт не нужен), мы дополнительно храним ваше имя, адрес эл. почты, хеш пароля, необязательные ключи доступа/настройки двухфакторной аутентификации и записи сессий, включая IP-адрес и тип браузера.
6. Ваша собственная резервная копия iCloud
Чтобы новый iPhone или переустановка не стёрли вашу общую историю, Pulse хранит личную резервную копию вашего чата, хроники «Наша история» и настроек профиля (имена, фото, настройки уведомлений) в вашей собственной частной базе данных iCloud. Она шифруется на вашем устройстве перед загрузкой ключом из вашей Связки ключей iCloud; мы не держим для неё сервера и не смогли бы её прочитать. Данные о здоровье намеренно никогда не входят в эту копию. Единственное место, где данные, связанные со здоровьем, могут попасть в ваш iCloud, — история, которую вы сохраняете при завершении связи: если партнёр делился с вами календарём цикла, эта копия запечатывается вместе с остальной историей, как описано ниже, и открывается, только если вы снова свяжетесь с ним. После переустановки приложение предложит её восстановить; если вы откажетесь, копия будет стёрта. Она также стирается при удалении аккаунта или когда вы разрываете связь и решаете удалить всё.
7. Правовое основание (GDPR / DSG)
Мы обрабатываем данные на основании вашего явного согласия (ст. 6(1)(a) GDPR, дополненной австрийским DSG) для сигналов, связанных со здоровьем, и на основании исполнения договора (ст. 6(1)(b)) для функций приложения: соединения с партнёром, сообщений, сигнала «Держи, чтобы почувствовать», обмена ответами на вопрос дня и доставки push-уведомлений, описанной в разделе 5. Поскольку сердечные сигналы и данные цикла относятся к особым категориям персональных данных, для них мы опираемся именно на ваше явное согласие по статье 9(2)(a) GDPR. Вы можете отозвать согласие в любой момент в «Настройки → Приватность и безопасность → Как используются ваши данные», и приложение немедленно прекратит обработку. Технические журналы сервера и безопасность сайта опираются на наш законный интерес в безопасной работе сервиса (ст. 6(1)(f)). Отчёты о сбоях, включая копию, которая идёт через Firebase Crashlytics (раздел 10), покидают ваш телефон только после того, как вы нажмёте «Отправить» в запросе после сбоя, поэтому они основаны на вашем согласии (ст. 6(1)(a)), которое вы даёте этим нажатием для этого отчёта. В них нет данных о здоровье, содержания сообщений и ничего, что называло бы вас по имени. Подсказки формируются целиком на вашем устройстве; автоматизированного принятия решений с юридическими или схожими существенными последствиями в смысле статьи 22 GDPR не происходит. Pulse предназначен для взрослых (18+) и не адресован детям.
8. Ваши права
- Доступ, исправление, удаление, ограничение обработки, переносимость данных и возражение (ст. 15-21 GDPR), просто напишите на [email protected]; мы отвечаем не позднее чем в течение месяца.
- Отозвать согласие на обработку данных о здоровье в любой момент («Настройки → Приватность и безопасность → Как используются ваши данные»); Pulse немедленно прекращает читать и истолковывать ваши данные из Здоровья.
- Мгновенно приостановить обмен в любой момент, незаметно, если хотите, и возобновить, когда решите.
- Разорвать связь в любой момент: общие записи в iCloud удаляются, а вы выбираете, останутся ли чат и история на вашем устройстве только для вас или будут стёрты с ваших устройств и из резервной копии. Как и в любом разговоре, у партнёра остаётся своя копия сообщений, уже доставленных на его устройство, если только он сам не решит её стереть; если он сотрёт свою, Pulse сообщит вам об этом и оставит решение о вашей копии за вами.
- Скачать ваши данные одним файлом JSON.
- Удалить аккаунт прямо в приложении («Настройки → Приватность и безопасность → «Удалить мой аккаунт»») или письмом на [email protected].
- Подать жалобу в надзорный орган (DSB в Австрии, ваш местный орган по защите данных в ЕС).
9. Сроки хранения
Pulse не держит на собственных серверах никаких аккаунтов со здоровьем. На нашей стороне хранятся: запись о доставке push-уведомлений и токены Live Activity, если они есть, из раздела 5 (до удаления аккаунта, до того, как push-служба сообщит, что токен недействителен, или пока ваш телефон не обновлял его 180 дней); отчёты о сбоях, которые вы решили отправить (90 дней); идея функции, отправленная со страницы функций (пока она не будет рассмотрена, или раньше по вашей просьбе); учётные записи администраторов этого сайта; технические журналы сервера (удаляются через 14 дней); и сообщение, которое вы присылаете нам через форму обратной связи, о чём сказано в разделе 11. Общие подсказки истекают в конце календарного дня и автоматически удаляются из iCloud. Зашифрованные транспортные копии сообщений, GIF и общих воспоминаний сами вычищаются из iCloud примерно через семь дней после отправки (воспоминание, на которое партнёр ещё не отреагировал и которое не прокомментировал, отправляется повторно раз в несколько дней в течение до 45 дней, чтобы дойти и до партнёра, который какое-то время отсутствовал); читаемые копии живут на двух ваших устройствах (и в собственной зашифрованной резервной копии iCloud каждого партнёра, раздел 6), пока вы их не удалите, не разорвёте связь с удалением данных или не удалите аккаунт. Сигналы набора текста исчезают через секунды, сигналы «как мы?», через двенадцать часов, ответы на «вопрос дня», через 48 часов из общего пространства (и не дольше семи дней локально на вашем устройстве после этого), а сигналы «Держи, чтобы почувствовать» не сохраняются вовсе: они существуют лишь в тот момент, когда передаются. Просьбы вычищаются из общего пространства в течение семи дней. События общего календаря, записи списка идей для свиданий и общие заметки синхронизируются как копии, которые истекают в течение тридцати дней; ваше устройство тихо обновляет те, что ещё актуальны (предстоящие и ежегодные события, открытые идеи и заметки, а также недавние удаления), чтобы они оставались в общем пространстве, пока важны, а читаемые копии живут на двух ваших устройствах, пока вы их не удалите. Записи списка просмотра остаются в общем пространстве, пока они в вашем списке (ваше собственное устройство тихо обновляет их, и каждая синхронизированная копия истекает в течение тридцати дней), а комментарии и реакции на них, которые передаются зашифрованными сквозным образом, вычищаются примерно за семь дней; и здесь читаемые копии живут на двух ваших устройствах, пока вы их не удалите. На вашем собственном устройстве 90-дневная история показателей обновляется сама (девяносто первый день вытесняет самый старый), список уведомлений в приложении хранит лишь самые свежие записи, а фото, снятое с экрана блокировки, удаляется через 48 часов, если так и не было отправлено. Записи ключей и профиля обновляются сами и истекают в течение тридцати дней. Коды приглашения истекают через 48 часов. Живой статус «скорее всего спит», который отправляется, только пока вы делитесь местным временем, живёт один час и не защищён сквозным шифрованием. Когда ваши переключатели скрывают показание, вместо него отправляется нейтральная подсказка «пока ничего нового», которая истекает как любая подсказка. Метки настроения партнёра хранятся 14 дней на каждом устройстве для «Нашей недели». Сессии на сайте завершаются автоматически после короткого периода неактивности. Если вы удалите аккаунт в приложении, локальные данные, связь с партнёром, все подсказки и сообщения, синхронизированные с iCloud, ваша зашифрованная резервная копия iCloud и запись о доставке push-уведомлений на нашем сервере удаляются немедленно.
Отчёты о сбоях, которые ты решишь отправить, хранятся на нашем сервере 90 дней, а затем удаляются автоматически.
Ваш общий часовой пояс едет в той же записи профиля, что имя и фотография, поэтому живёт ровно столько же и заменяется, а не накапливается: актуальное значение всегда одно, и выключение передачи стирает его из приложения партнёра. Тихие сигналы намеренно живут меньше: тоска гаснет через час, тихое «я здесь» и социальная батарея — через шесть часов, удержанное сердце — через двенадцать, счётчик «скучаю» — через сутки, а вечерняя рефлексия — через двое. Общий календарь цикла заменяется, а не накапливается, поэтому актуальная копия всегда одна, и она исчезает из общего пространства в течение сорока пяти дней, если её ничто не обновляет.
10. Поставщики услуг, обработчики & международная передача
- Apple (iCloud / CloudKit, push): синхронизация & хранение общих подсказок и зашифрованных сообщений внутри вашего собственного аккаунта iCloud, а также доставка уведомлений на ваше устройство. Apple выступает нашим обработчиком; для пользователей из ЕС данные, как правило, остаются в пределах ЕС.
- Apple (Apple Карты и iTunes Search API), только когда вы ими пользуетесь: когда вы ищете место (для воспоминания, плана свидания или района, где вы планируете свидания), введённый текст уходит в Apple Карты, как и этот район, когда Pulse ищет заведения поблизости; Apple Карты возвращают места, изображения карт и сведения о месте. Pulse не использует для этого геопозицию вашего устройства. Когда вы добавляете в список просмотра фильм, сериал, книгу или музыку без ссылки, ваш телефон может поискать обложку в iTunes Search API Apple, отправив название, его тип и ваш регион. Эти запросы идут напрямую с вашего телефона в Apple вместе с обычными техническими данными запроса, например вашим IP-адресом; ничего не проходит через наш сервер, а телефон партнёра ни с кем не связывается.
- Google Ireland Ltd. / Google LLC (Firebase Cloud Messaging): доставляет push-уведомления. Для этого Google получает push-токен вашего устройства и текст уведомления без содержания, никогда данные о здоровье. Для сообщения из чата push-уведомление может также нести само это сообщение в запечатанном виде со сквозным шифрованием, которое Google прочитать не может. Аналитика и реклама в нашей конфигурации Firebase отключены.
- Google Ireland Ltd. / Google LLC (Firebase Crashlytics): только если приложение спросит вас после сбоя и вы нажмёте «Отправить», системный журнал сбоя также уходит в Crashlytics, чтобы мы могли его починить. До этого он остаётся на вашем телефоне, а «Не сейчас» его удаляет. В нём стек вызовов, модель вашего устройства, версия iOS и случайный идентификатор установки, не связанный ни с вашим именем, ни с вашей учётной записью iCloud. В нём нет данных о здоровье, содержимого сообщений и контактных данных. Аналитика и реклама остаются отключёнными в нашей конфигурации Firebase.
- GIPHY, Inc. (поиск GIF): только когда вы открываете поиск GIF в чате, GIPHY обрабатывает ваши поисковые запросы и обычные технические данные запроса (например, IP-адрес), чтобы вернуть результаты. Отправляемая вами GIF идёт зашифрованной через iCloud, а не через GIPHY.
- WHOOP, Inc. (только если вы подключили браслет): ваш iPhone запрашивает ваши собственные записи о сне, восстановлении и тренировках напрямую у WHOOP, поэтому WHOOP видит эти запросы и обычные технические данные (например, IP-адрес) — так же, как и для собственного приложения. Наш сервер участвует только в обмене при входе, описанном в разделе 2, и ничего из него не хранит. Если вы не подключаете WHOOP, им никогда ничего не отправляется.
- Oura Health Oy, Финляндия (только если вы подключите кольцо): iPhone запрашивает ваши ежедневные сводки напрямую у Oura, поэтому Oura видит эти запросы и обычные технические данные (например, IP-адрес), как и для собственного приложения. Oura также уведомляет наш сервер об изменении ваших данных, называя только аккаунт и тип данных, как описано в разделе 2. Если вы никогда не подключите кольцо Oura, им ничего не отправляется.
- Fastmail (эл. почта поддержки) и наш провайдер веб-хостинга (обслуживает knightifypulse.com, включая канал реального времени за «Держи, чтобы почувствовать» и нашу внутреннюю инфраструктуру очередей, всё на том же сервере, а не у отдельной третьей стороны).
Там, где эти поставщики обрабатывают данные в Соединённых Штатах (Google, GIPHY, WHOOP, Fastmail), мы опираемся на решение ЕС об адекватности для EU-US Data Privacy Framework и/или на Стандартные договорные положения ЕС (ст. 44 и след. GDPR). Если Pulse в будущем введёт платные тарифы, оплата будет проходить через Apple App Store; платёжные данные к нам не попадают. Никаких поставщиков рекламы, аналитики или атрибуции, и мы никогда не продаём данные.
11. Когда вы пишете нам
Если вы пользуетесь формой обратной связи, ваше сообщение доставляется письмом в наш почтовый ящик поддержки; мы храним там ваше имя, адрес эл. почты, необязательную страну и само сообщение, чтобы живой человек мог ответить. Мы используем их только для ответа вам, на основании действий по вашему запросу и нашего интереса в обработке обращений (ст. 6(1)(b) и (f) GDPR). Мы удаляем обращения, когда переписка явно завершена, а вы можете попросить удалить ваше раньше, написав на [email protected].
Если вы присылаете нам идею функции со страницы возможностей, эта запись хранится в базе данных на самом сайте, а не только уходит письмом: название и всё, что вы добавили сами: описание, ссылка, ваше имя и адрес эл. почты. Мы храним её, чтобы человек прочитал, ответил вам и видел, что уже предлагали, на основании нашего законного интереса в улучшении приложения (ст. 6(1)(f) GDPR). Имя и почта необязательны; присланная без них идея для нас анонимна. Напишите на [email protected], и мы удалим вашу.
Условия использования
1. Что такое Pulse и чем он не является
Pulse, спутник для заботы о самочувствии. Это не медицинское устройство, не средство диагностики и не замена профессиональной медицинской консультации. Подсказки, которые формирует Pulse, это предположения, а не констатация факта, и именно поэтому в них звучит «может быть» и «возможно».
2. Аккаунт & право пользования
Вам должно быть 18 лет или больше, чтобы пользоваться Pulse. Вы сами отвечаете за безопасность своего Apple ID и устройства. Один аккаунт на человека.
3. Цены
Сейчас Pulse бесплатен. Если позже мы введём платную подписку, она будет проходить исключительно через Apple App Store, о ней будет ясно объявлено заранее, и вы сможете отменить её в любой момент. То, чем вы уже делитесь и что уже видите, не будет задним числом убрано за платную стену без предварительного разговора с вами.
4. Допустимое использование
- Не используйте Pulse для наблюдения за кем-либо без его постоянного осознанного согласия.
- Не пытайтесь провести обратную разработку моделей истолкования, работающих на устройстве.
- Не используйте Pulse ни в каком критичном для безопасности или медицинском контексте.
5. Ответственность
В той мере, в какой это допускается австрийским правом, Pulse предоставляется «как есть». Мы не несём ответственности за то, как складываются отношения, за пропущенные подсказки или за решения, принятые на основе предположения о самочувствии. Наша общая ответственность ограничена суммой, которую вы уплатили за предыдущие двенадцать месяцев. Ничто в этих условиях не ограничивает нашу ответственность за умысел или грубую неосторожность, за причинение вреда здоровью, а также ваши обязательные права потребителя по закону.
6. Прекращение
Вы можете удалить аккаунт в любой момент. Мы можем приостановить аккаунты, нарушающие эти условия, с предварительным уведомлением, где это возможно.
7. Завершение связи
Любой из вас может завершить связь в любой момент, и вы сами выбираете, останется ли ваша общая история на вашем устройстве или будет стёрта. Сохранённая история запечатывается ключом, который есть только у ваших устройств и передаётся через вашу связку ключей iCloud, и хранится на устройстве и в вашей собственной частной базе данных iCloud, чтобы пережить переустановку приложения; без этого ключа её не может открыть никто, включая нас. Фото из чата, GIF и фото хроники в ней остаются только на устройстве. Открыть её снова можно, только соединившись с тем же человеком; её можно удалить в любой момент в разделе «Приватность и безопасность → Сохранённые связи», а удаление аккаунта стирает её везде. Решения партнёра её никогда не стирают: если он завершит связь и сотрёт свою копию, ваша сохранится, и Pulse спросит вас, оставить её или стереть. Ежедневные карточки за последние две недели (вопрос дня, график настроения, вечерние размышления) очищаются при завершении любой связи; ваша собственная история здоровья — нет. Pulse также может завершить связь сам, но только в одном случае: если общее пространство партнёра остаётся недоступным семь суток подряд. Это существует потому, что явное прощание можно пропустить, иначе устройство осталось бы привязанным к аккаунту, которого больше нет. В этом случае ваши данные сохраняются и никогда не стираются. Восстановить связь можно всегда, соединившись заново.
8. Юрисдикция
Применяется австрийское право. Исключительное место подсудности: Вена, Австрия, без ущерба для обязательной защиты потребителей в стране вашего проживания.
Файлы cookie
Этот сайт хранит в вашем браузере ровно одну вещь, и только в вашем браузере:
pulse.theme, ваш выбор светлой / тёмной темы.- строго необходимый файл cookie сессии и токен безопасности CSRF (
XSRF-TOKEN), которые фреймворк сайта устанавливает для безопасной работы: в них нет никакого профиля, они истекают через короткое время и как строго необходимые не требуют согласия.
Ваш язык живёт в адресе (/en, /de, /fa, /ar или /ru), для этого ничего хранить не нужно. Никаких рекламных cookie. Никакой аналитики. Никаких сторонних трекеров.
Выходные данные
Сведения о поставщике согласно § 5 ECG / § 14 UGB (австрийское право).
Поставщик
Knightify FlexCo
Rauchgasse 28 Top 2
1120 Вена
Австрия
Контакты
E-Mail: [email protected]
Website: knightify.tech
Предмет деятельности
Разработка и эксплуатация программных продуктов, а также заказная разработка ПО.
Организационно-правовая форма
FlexCo (австрийская гибкая компания).
Номер в реестре компаний
FN 666564 t
Суд реестра компаний
Коммерческий суд Вены
Руководство
Amirali Khoshneviszadeh
Идентификационный номер НДС
будет добавлен после присвоения.
Ответственность за содержание
Ответственность за содержание: Knightify FlexCo, Rauchgasse 28 Top 2, 1120 Вена, Австрия.
Содержание этого сайта создаётся с предельной тщательностью. Тем не менее мы не можем дать гарантию его точности, полноты или актуальности.
Ответственность за ссылки
Этот сайт содержит ссылки на внешние сторонние сайты, на содержание которых мы не можем влиять. За содержание страниц по ссылкам всегда отвечает соответствующий поставщик.
Авторское право
Содержание и произведения на этом сайте, созданные Knightify FlexCo, защищены авторским правом. Любое воспроизведение или использование за пределами, установленными законом об авторском праве, требует письменного согласия.
Онлайн-урегулирование споров (ЕС)
Прежняя платформа ЕС для онлайн-урегулирования споров прекратила работу 20 июля 2025 года. Потребители могут обращаться с жалобами напрямую к нам ([email protected]) либо в компетентные органы по защите прав потребителей и надзорные органы.
При этом мы не обязаны и, как правило, не готовы участвовать в процедурах урегулирования споров в потребительском арбитраже.
И последнее
Если вы дочитали до этого места, вы именно тот человек, для которого мы создавали Pulse. Если что-то здесь кажется не тем, напишите нам, мы это перепишем.