Как на самом деле устроено обещание приватности.

Каждый фрагмент данных и его место

Три списка: что остаётся на вашем устройстве, что переходит в пространство, общее с партнёром, и что хранит наше приложение. У каждой записи сказано, что её защищает и где эта защита заканчивается.

• Фраза дня выведена из данных о здоровье, и она покидает телефон

  Иначе нельзя: она написана для вашего партнёра. Она едет внутри вашего общего пространства iCloud рядом с меткой настроения и не шифруется отдельно, как переписка, то есть технически Apple способна её прочитать. Мы говорим это прямо, потому что «истолковано на устройстве» легко услышать как «о здоровье не уходит ничего», а верно только первое. Не едет то, что стоит за фразой: ни пульс, ни вариабельность, ни часы сна. Единственный показатель здоровья, способный уехать сам по себе, — календарь цикла: отдельный переключатель, выключенный по умолчанию, со своей строкой в таблице выше.

• Мы видим метаданные, и шифрование их не убирает

  Мы видим, что аккаунт существует, что два аккаунта связаны, что сообщение определённого размера прошло между ними в определённое время, и токен, нужный Apple для доставки. Мы храним минимум и ничего из этого не продаём, но «мы не можем прочитать вашу переписку» и «мы ничего о вас не знаем» — разные утверждения, и верно у кого угодно только первое.

• Копии в календаре находятся вне шифрования

  Если вы отражаете планы в календарь, Pulse пишет обычные записи календаря: названия, время, места и заметки, в читаемом виде. Календарь, синхронизируемый с iCloud, Google или Outlook, хранит их у этого сервиса, и их видят все, с кем вы им делитесь. Pulse спрашивает, прежде чем писать в такой календарь, но когда копия уже там, действуют правила этого календаря, а не наши. Мы говорим это прямо, потому что сам общий календарь зашифрован сквозным шифрованием и читатель обоснованно предположил бы то же о копии.

• Некоторые общие записи намеренно открыты

  Записи списков просмотра и желаний — название, тип, ссылка, статус, а для идеи из реального места ещё адрес и положение на карте — синхронизируются как обычные записи внутри вашего общего пространства, потому что они идут раньше обмена ключами, который защищает переписку. Так же передаётся день, от которого вы ведёте отсчёт. Apple может их прочитать; данных о здоровье в них не бывает. Комментарии и реакции к записям списка просмотра зашифрованы.

• Apple лежит под всем этим

  Ваше общее пространство лежит в зоне iCloud, ваши ключи в связке ключей iCloud, а ваши измерения в Apple Health. Зашифрованные записи непрозрачны для Apple ровно так же, как для нас. Остальная часть общего пространства такой защиты не имеет, как описано в двух строках выше. Пользоваться Pulse означает доверять Apple в этой мере, и архитектура, утверждающая иное, описывала бы другое приложение.

• Мы не заявляем forward secrecy

  Ключ переписки получается из согласования Curve25519 между вашими двумя ключами личности, а не из пошагового «храповика» на каждое сообщение, как у специализированного мессенджера. Поэтому forward secrecy мы не заявляем: закрытый ключ, снятый с устройства, смог бы открыть те сообщения, которые он защищал, а не только следующее. Мы предпочитаем назвать предел, а не позволять словам «сквозное шифрование» нести свойство, которого мы не построили.

• Ваши ключи зависят от вашей учётной записи Apple

  Ваш закрытый ключ лежит в связке ключей iCloud, чтобы до него доставали ваши собственные устройства. Именно это позволяет новому телефону работать без того, чтобы копия была у нас, и это же зависимость: тот, кто управляет вашей учётной записью Apple и может добавить к ней устройство, оказывается там, где мы помочь не в силах, потому что никакого нашего пароля на пути нет. Держите двухфакторную защиту этой учётной записи включённой.

• Связывание оставляет короткий публичный след

  Пока приглашение открыто, запись с псевдонимным идентификатором iCloud, выбранным вами отображаемым именем и коротким кодом доступна другим вошедшим пользователям контейнера iCloud приложения. Коды истекают через 48 часов, а записи вычищаются при принятии, при разрыве связи и при удалении аккаунта. Само общее пространство так не открыто: оно ограничено учётной записью партнёра в iCloud, поэтому подобранная ссылка ничего не откроет.

• Точку уведомлений защищает ключ, который едет внутри приложения

  То есть настоящим секретом он не является. Худший случай: кто-то сможет вызвать появление уведомления без содержания на телефоне, псевдонимный идентификатор которого он и так знает; точка возвращает счётчик доставок и не раскрывает о человеке ничего. Она ограничена по частоте, а её усиление проверкой каждого устройства стоит в списке, но не сделано.

• Ваши собственные устройства и люди рядом с ними

  Кто может разблокировать ваш телефон, тот может прочитать вашу переписку, и это верно для любого мессенджера. Включите блокировку Face ID внутри приложения, если для вас это важно. И точно так же сквозное шифрование защищает канал, а не человека, которому вы сами решили что-то отправить.

• Партнёр не всегда безопасный человек

  Pulse сделан для двух людей, которые выбрали друг друга, и ничто в нём не отличает партнёра, который за вас переживает, от партнёра, который вас контролирует. Если вас вынуждают установить приложение, снова включить обмен или отдать телефон, эту задачу шифрование не решает. Пауза и разрыв связи делаются одним касанием, паузу можно сделать незаметной, и объяснять её вы никому не обязаны.

• Пауза останавливает то, что будет, а не то, что уже пришло

  Пауза останавливает всё новое и может сделать это, не сообщая партнёру. Назад она не дотягивается: фраза или сообщение, которые уже пришли, лежат на его устройстве, и никакая наша кнопка их не вернёт. Разрыв связи убирает общие записи и по той же причине не может очистить чужой телефон. Так ведёт себя любой мессенджер, и знать это лучше до того дня, когда это станет важно.

• Независимого аудита пока не было

  Проверку, из которой собрана эта страница, мы провели сами, по собственному коду, в перечисленные ниже даты. Это больше, чем намерение, и меньше, чем внешний аудит, и назвать это иначе было бы первой нечестной фразой на странице. Независимую проверку мы намерены заказать и поставим здесь её дату, когда это произойдёт.

• Связь может оборваться без того, чтобы кто-то из вас её оборвал

  Pulse следит за общим пространством партнёра, потому что явное прощание можно пропустить: они могут завершить связь, пока ваш телефон офлайн, и без этой проверки устройство навсегда осталось бы «на связи» ни с кем. Поэтому общее пространство, которое остаётся недоступным, со временем трактуется как завершённая связь, а ваши данные остаются. Мы говорим об этом здесь, потому что решение принимает приложение за вас, и потому что однажды мы приняли его совсем неверно: более ранняя версия срабатывала после трёх проверок, примерно через минуту, а так как завершение на одном телефоне убирает ровно то, за чем следит другой, короткий сбой мог разъединить обоих за считанные минуты. Теперь нужно семь непрерывных суток, одно обнаружение обнуляет отсчёт, а то, чего приложение не может определить, включая офлайн, вообще не считается.

Когда это проверяли в последний раз

Каждая запись содержит либо проверку выпущенного кода против того, что утверждают эта страница и политика, либо исправление самих утверждений, вместе с тем, что было найдено и изменено.

1. 2 июля 2026

   Полная проверка обоих репозиториев. Найдено и исправлено: неполный список получателей, утверждение «мы ничего не храним», неверное в отношении записи для уведомлений, и удаление аккаунта, которое эту запись не убирало. Тогда же исправлен ярлык конфиденциальности в App Store.

2. 24 июля 2026

   Проверка ретранслятора реального времени и двух новых функций. Ретранслятор раскрыт как дополнительный путь передачи, и прямо сказано, что вопрос дня не шифруется сквозным шифрованием, как переписка.

3. 29 августа 2026

   Проверка общего списка просмотра и импорта из WHOOP. WHOOP добавлен как поимённо названный получатель для тех, кто подключает браслет, и задокументировано, что превью ссылок и обложки запрашивает только устройство отправителя.

4. 13 сентября 2026

   Проверка текстов всего сайта, а не новая проверка кода, поэтому дата выше не изменилась. Исправлены утверждения, ставшие шире архитектуры: фраза дня, описанная так, будто она остаётся на устройстве; вопрос дня, названный на странице возможностей сквозно зашифрованным, как переписка; перечень серверных данных, названный полным, но без идей функций и токенов Live Activity; и ответ про судебные запросы, из которого следовало, что у нас нет вообще ничего. Взгляд Apple на общее пространство описан прямо, а к пределам добавлены forward secrecy, учётная запись Apple, давление со стороны близкого человека и пауза.