Политика конфиденциальности AiThao

Аккаунт создаётся при первом запуске, и для него не нужны ни номер телефона, ни email, ни имя. У аккаунта есть непрозрачный идентификатор, случайно выданный номер AiThao и имя пользователя, которое можно поменять. По желанию можно добавить отображаемое имя, фото, обложку и короткий статус; всё это необязательно и всё можно удалить.

Ничего из этого не нужно, чтобы пользоваться AiThao. Каждый способ существует для того, чтобы вы могли вернуться в свой аккаунт на новом телефоне:

• Apple или Google. Мы получаем только постоянный идентификатор аккаунта и, если провайдер его передаёт, адрес email. Больше мы ничего не запрашиваем — ни контакты, ни календарь, ни файлы — и ничего не публикуем и не читаем в вашем аккаунте Apple или Google. Идентификатор хранится, чтобы следующий вход попал в тот же аккаунт AiThao.
• Email. Можно привязать адрес email; мы отправляем на него одноразовый код через нашего провайдера рассылки. Мы храним хеш адреса и короткую маскированную подсказку (чтобы вы его узнали), а не сам адрес. Он никогда не показывается вашим контактам и не используется для рекламы.
• Код восстановления. Одноразовый код, который вы сохраняете сами. Мы храним только его хеш. Его использование выходит из аккаунта на всех остальных устройствах и удаляет их ключи, чтобы телефон, которого у вас больше нет, не мог продолжать пользоваться аккаунтом.

Сообщения защищены сквозным шифрованием. Всё, что вы пишете в чате, — текст, реакции, правки, фото, файлы, голосовые, геопозиции и карточки контактов — шифруется на вашем телефоне для телефонов собеседника и для других ваших устройств по протоколу Signal. Расшифровать это могут только эти телефоны. Наш сервер хранит и доставляет зашифрованные копии, которые не может прочитать, и удаляет каждую копию, как только её получил телефон, для которого она сделана, или через 30 дней.

Что видит наш сервер: кто кому и когда написал, размер сообщения, доставлено ли оно и прочитано ли, и на какое сообщение указывает ответ.

История переписки хранится на вашем телефоне, защищена системой Data Protection в iOS и не попадает в резервные копии iCloud и компьютера. Можно сверить с собеседником номер безопасности — при встрече или отсканировав код, — чтобы убедиться, что между вами никого нет.

В переписках, начатых до сквозного шифрования, ранние сообщения остаются на нашем сервере, как раньше, пока вы их не удалите.

Если у человека, которому вы пишете, телефон ещё не настроен до конца, шифровать не для кого, и приложение не отправляет ничего — оно предлагает подождать, а не переходит на отправку открытым текстом. Ключи выдаёт наш сервер, поэтому это единственный момент, когда мы могли бы сделать переписку незашифрованной, ответив, что ключей нет; приложение отказывается вместо того, чтобы нам это позволить.

Если в чате включены исчезающие сообщения, каждое новое сообщение удаляется с нашего сервера, когда истекает его таймер, у вас обоих. Удаление сообщения у всех удаляет его содержимое на нашем сервере. Удаление переписки или аккаунта описано в разделе Ваши права и выбор.

Перевод — смысл этого приложения, и делается он не на вашем телефоне. В чате со сквозным шифрованием сообщение доставляется зашифрованным. Если оно на языке, который вы не читаете, и включён облачный перевод (Настройки → Перевод; включён, пока вы его не выключите), ваш телефон после расшифровки отправляет текст или голосовую запись нашему сервису перевода. Сервис передаёт их провайдеру перевода и возвращает перевод; то, что он переводил, мы не храним. Приложение сообщает об этом один раз, в первый раз, и отмечает каждое сообщение, переведённое таким образом. Звонки с переводом не защищены сквозным шифрованием: живая речь должна попасть в сервис перевода, а перевод на телефоне добавил бы больше задержки, чем выдерживает разговор. Перевод выполняют эти провайдеры:

• Провайдер распознавания речи и перевода — перевод звонков в реальном времени, распознавание голосовых сообщений и синтез речи.
• Облачный провайдер перевода — перевод текста и запасной вариант для той же работы в реальном времени и с голосом, когда первый провайдер недоступен.

Отправляется только то, что переводится, — текст сообщения или звук звонка и голосового, плюс исходный и целевой языки. Ваше имя, ваши контакты, ваш номер AiThao и другие ваши переписки не отправляются. Поэтому звонок или голосовое с переводом не являются приватными только между вами двумя: провайдер обрабатывает содержимое, чтобы его перевести. Приложение говорит об этом на экране, где вы включаете перевод. Эти провайдеры обрабатывают содержимое на своей инфраструктуре по своим условиям; мы не контролируем, сколько они его хранят и используют ли его для улучшения своих сервисов, и ничего не утверждаем от их имени.

На aithao.com перевод можно попробовать самому: то, что вы там напишете или скажете, отправляется провайдеру перевода и возвращается переведённым. Ни запись, ни текст мы не храним, и аккаунт для демо не нужен.

Звонки идут через программный медиасервер, который работает на нашем собственном сервере, — компания-разработчик ничего не получает. Если прямой путь между двумя телефонами установить нельзя, звук и видео передаются через этот сервер; медиапоток может также идти через ретранслятор, а оператор этого ретранслятора — третья сторона.

Звонки между двумя телефонами, которые это поддерживают, защищены сквозным шифрованием: у каждого звонка свой ключ, который передаётся на телефон собеседника через ваш зашифрованный чат, а медиасервер передаёт звук и видео, которые не может расшифровать. Когда во время звонка включается перевод, ключ звонка передаётся нашему сервису перевода, чтобы он слышал разговор; с этого момента звонок не защищён сквозным шифрованием, и значок замка на экране звонка пропадает. Видео провайдеру перевода никогда не отправляется. Мы храним журнал звонков — кто кому звонил, когда и сколько, — чтобы вы видели свою историю. Мы не записываем звонки.

Во время звонка с переводом любой из собеседников может включить сводку. Тогда на экране звонка у другого появляется строка об этом. Когда звонок заканчивается, текстовая расшифровка звонка — распознанная и переведённая речь обоих, а не запись голоса — отправляется с телефона того, кто включил сводку, через наш сервер облачному ИИ-провайдеру перевода, который пишет короткую сводку и возвращает её. Мы не храним ни расшифровку, ни сводку. Вы можете запретить это для звонков с вами: Настройки → Приватность и безопасность → Разрешать сводки звонков со мной. Если выключить, сводку звонка с вами сделать никто не сможет.

Сколько хранится файл. Отправленный в сообщении файл хранится 180 дней, если это фото, и 90 дней, если это видео, голосовое или любой другой файл, считая со дня отправки. После этого файл удаляется из нашего хранилища. Само сообщение остаётся в переписке и сообщает, что файл больше не хранится. То, что уже скачано на телефон, остаётся на телефоне: туда мы не дотягиваемся и не пытаемся.

В чате со сквозным шифрованием каждое фото, файл или голосовое шифруется на вашем телефоне собственным ключом до загрузки. Объектное хранилище (провайдер облачного хранения и сети) хранит только зашифрованный файл; ключ передаётся внутри зашифрованного сообщения. Переведённое голосовое создаётся, когда его запрашивает телефон слушателя, и не хранится на нашем сервере. Вложения из переписок, начатых до сквозного шифрования, хранятся как раньше.

Резервная копия чатов — по желанию (Настройки → Резервная копия чатов). Телефон шифрует копию истории переписки случайным ключом перед загрузкой. Сам этот ключ закрыт ключом восстановления, который хранится в вашей Связке ключей iCloud — Apple шифрует её сквозным шифрованием между вашими устройствами — и никогда не отправляется нам. Наш сервер хранит зашифрованную копию и закрытый ключ и не может открыть ни то, ни другое. Новый iPhone с тем же Apple ID сам возвращает ваши чаты. Ключ восстановления можно также записать. Если вы потеряете телефон, Apple ID и ключ восстановления, историю не сможете восстановить ни вы, ни мы. Отключение резервной копии или удаление аккаунта удаляет копию с нашего сервера.

Перенос чатов на новый телефон: новый телефон показывает код, старый сканирует его и отправляет историю, зашифрованную ключом, который есть только в этом коде. Наш сервер передаёт зашифрованные данные и удаляет их в течение часа.

Групповой чат устроен как чат один на один, только людей в нём больше: всё, что сказано на этой странице о сообщениях, переводе, звонках и файлах, относится к каждому участнику, и каждый читает группу на своём языке. Кроме того, наш сервер хранит название и фото группы, её участников, создателя и тех, кто может ею управлять. Выход из группы удаляет вас из списка участников; сообщения, которые вы уже отправили, остаются в группе, как и в чате один на один.

Контакты — это люди, которых вы добавили в AiThao: по номеру AiThao, имени пользователя или QR-коду. Любой, кто знает ваш номер AiThao или имя пользователя, может найти ваш профиль; что он увидит, решают ваши настройки. Версия, которая сейчас в App Store, ещё может предлагать поиск людей по номеру телефона. Если открыть этот экран и разрешить доступ к контактам, номера из адресной книги отправляются на наш сервер по зашифрованному соединению, где каждый превращается в хеш с ключом; сами номера не сохраняются, имена не отправляются никогда. Никого этот поиск не находит, и в следующей версии он убирается вместе с запросом доступа к контактам — мы не можем проверить, что номер принадлежит тому, кто его назвал, и предпочитаем не предлагать ничего, чем предлагать такое. Эта страница будет обновлена в день выхода той версии.

«В сети» и «был(а) недавно» — это одна отметка времени с истекающим сроком, а не журнал, и кто может её видеть, решаете вы. Скрытый статус выглядит точно так же, как отсутствие в сети.

Push-уведомления доставляет Apple (APNs). Для сообщения со сквозным шифрованием наш сервер отправляет «Новое сообщение» вместе с коротким превью, которое телефон отправителя зашифровал для вашего телефона; ваш телефон открывает его и показывает текст согласно вашей настройке превью и настройкам iOS. Ни Apple, ни наш сервер не могут прочитать превью. Ключ, которым для этого пользуется ваш телефон, меняется каждые 30 дней. Для доставки уведомлений и звонков мы храним push-токен и идентификатор каждого вашего устройства.

Обычные чаты и звонки бесплатны. Звонки с переводом и переведённые голосовые расходуют минуты. Новые аккаунты один раз получают бесплатные минуты для начала. Когда вы покупаете минуты, платёж обрабатывает Apple; мы получаем от Apple подписанный чек и храним запись о покупке, ваш баланс минут и то, как они расходуются (звонок или голосовое, языки, провайдер, стоимость), чтобы учитывать услугу и поддерживать платную функцию.

Мы храним служебные данные, нужные для работы и безопасности сервиса: логи запросов (URL, статус, ошибка, время), метрики качества и задержки звонков и непрозрачную антиабьюз-метку, привязанную к устройству, а не к вам. В самом приложении нет сторонних SDK аналитики или отслеживания. Мы не составляем ваш профиль и не принимаем о вас автоматических решений.

Для работы AiThao мы пользуемся следующими поставщиками. Каждый получает только то, что нужно для его задачи, и обрабатывает это по своим условиям.

Названия поставщиков, которых мы используем, сообщаем по запросу: напишите на privacy@aithao.com.

• Никакой рекламы, данные не продаются и не передаются для рекламы.
• Никаких сторонних SDK аналитики или отслеживания в приложении.
• Никакого профилирования и автоматических решений о вас.
• Никакого доступа к фотографиям, микрофону или геопозиции, кроме случаев, когда вы пользуетесь функцией, которой это нужно, и только для неё.

• Доступ и выгрузка. Напишите на privacy@aithao.com, и в течение 30 дней мы пришлём файл с данными, которые наш сервер хранит о вашем аккаунте: аккаунт, контакты и сообщения в том виде, в каком вы их видите. Выгрузка содержит то, что хранит наш сервер. Для чатов со сквозным шифрованием это кто кому и когда писал, но не сами слова — они есть только на ваших телефонах и в вашей резервной копии чатов.
• Исправление. Профиль можно изменить в приложении в любой момент.
• Удаление. Настройки → Аккаунт → Удалить аккаунт удаляет аккаунт, способы входа, устройства, контакты, приглашения, блокировки, историю звонков и присутствие и освобождает имя пользователя. Фото профиля, обложка и все загрузки, которые не попали в переписку, одновременно удаляются из нашего хранилища. Так же удаляются резервная копия чатов и чаты, которые в этот момент переносятся между вашими телефонами. Сообщения и файлы, которые вы уже отправили другому человеку, остаются в его переписке, потому что они и его тоже: на сервере одна копия, и это такая же запись получателя, как и ваша. Исчезает ваше имя на них — аккаунта больше нет, файлы перестают помнить, кто их загрузил, а собеседник видит вас только как «Удалённый аккаунт». Если вы хотите, чтобы конкретное сообщение и его файл исчезли с обеих сторон, удалите его у всех до удаления аккаунта; это отдельное действие, и закрытие аккаунта никогда не делает его за вас. Удаление необратимо.
• Автоматическое удаление. Если вы не открываете AiThao дольше срока, выбранного в Настройках → Приватность → Удалить аккаунт при отсутствии — полгода, если вы не выбрали 1, 3 или 12 месяцев, — аккаунт удаляется так же, как описано выше. За неделю до этого мы присылаем уведомление на ваш телефон.
• Возражение и ограничение. Показ присутствия, превью сообщений и перевод можно в любой момент выключить в Настройках.

Если вы находитесь в Европейской экономической зоне или Великобритании, у вас есть право на доступ к своим персональным данным, их исправление, удаление, перенос и возражение против их обработки, а также право подать жалобу в орган по защите данных. Наши правовые основания — исполнение договора с вами (работа мессенджера и платной функции), ваше согласие (необязательные функции, такие как перевод) и наш законный интерес в безопасности сервиса и предотвращении злоупотреблений. Если вы живёте в Калифорнии, у вас есть право знать, удалять и исправлять свою персональную информацию и не подвергаться дискриминации за осуществление этих прав; мы не продаём и не передаём персональную информацию. Чтобы воспользоваться любым правом, напишите на privacy@aithao.com.

Наши серверы и серверы наших поставщиков могут находиться в разных странах, и их расположение может меняться. Поэтому ваши данные могут обрабатываться за пределами вашей страны. Чтобы узнать, где обрабатываются ваши данные, напишите на privacy@aithao.com.

AiThao не предназначен для детей младше 13 лет или младше возраста цифрового согласия в вашей стране, если он выше. Мы сознательно не собираем их данные.

Когда политика меняется существенным образом, мы обновляем дату вверху, а о значительных изменениях сообщаем в приложении. Продолжая пользоваться AiThao после изменения, вы соглашаетесь с обновлённой политикой.

Вопросы или запрос о ваших данных: privacy@aithao.com.