Политика конфиденциальности AiThao

Аккаунт создаётся при первом запуске, и для него не нужны ни номер телефона, ни email, ни имя. У аккаунта есть непрозрачный идентификатор, случайно выданный номер AiThao и имя пользователя, которое можно поменять. По желанию можно добавить отображаемое имя, фото, обложку и короткий статус; всё это необязательно и всё можно удалить.

Ничего из этого не нужно, чтобы пользоваться AiThao. Каждый способ существует для того, чтобы вы могли вернуться в свой аккаунт на новом телефоне:

• Apple или Google. Мы получаем только постоянный идентификатор аккаунта и, если провайдер его передаёт, адрес email. Больше мы ничего не запрашиваем — ни контакты, ни календарь, ни файлы — и ничего не публикуем и не читаем в вашем аккаунте Apple или Google. Идентификатор хранится, чтобы следующий вход попал в тот же аккаунт AiThao.
• Email. Можно привязать адрес email; мы отправляем на него одноразовый код через нашего провайдера рассылки. Мы храним хеш адреса и короткую маскированную подсказку (чтобы вы его узнали), а не сам адрес. Он никогда не показывается вашим контактам и не используется для рекламы.
• Код восстановления. Одноразовый код, который вы сохраняете сами. Мы храним только его хеш. Его использование выходит из аккаунта на всех остальных устройствах и удаляет их ключи, чтобы телефон, которого у вас больше нет, не мог продолжать пользоваться аккаунтом.

Сообщения защищены сквозным шифрованием. Всё, что вы пишете в чате, — текст, реакции, правки, фото, файлы, голосовые, геопозиции и карточки контактов — шифруется на вашем телефоне для телефонов собеседника и для других ваших устройств по протоколу Signal. Расшифровать это могут только эти телефоны. Наш сервер хранит и доставляет зашифрованные копии, которые не может прочитать, и удаляет каждую копию, как только её получил телефон, для которого она сделана, или через 30 дней.

Что видит наш сервер: кто кому и когда написал, размер сообщения, доставлено ли оно и прочитано ли, и на какое сообщение указывает ответ.

История переписки хранится на вашем телефоне, защищена системой Data Protection в iOS и не попадает в резервные копии iCloud и компьютера. Можно сверить с собеседником номер безопасности — при встрече или отсканировав код, — чтобы убедиться, что между вами никого нет.

В переписках, начатых до сквозного шифрования, ранние сообщения остаются на нашем сервере, как раньше, пока вы их не удалите.

Если у человека, которому вы пишете, телефон ещё не настроен до конца, шифровать не для кого, и приложение не отправляет ничего — оно предлагает подождать, а не переходит на отправку открытым текстом. Ключи выдаёт наш сервер, поэтому это единственный момент, когда мы могли бы сделать переписку незашифрованной, ответив, что ключей нет; приложение отказывается вместо того, чтобы нам это позволить.

Если в чате включены исчезающие сообщения, каждое новое сообщение удаляется с нашего сервера, когда истекает его таймер, у вас обоих. Удаление сообщения у всех удаляет его содержимое на нашем сервере. Удаление переписки или аккаунта описано в разделе Ваши права и выбор.

Перевод — смысл этого приложения, и делается он не на вашем телефоне. В чате со сквозным шифрованием сообщение доставляется зашифрованным. Если оно на языке, который вы не читаете, и включён облачный перевод (Настройки → Перевод; включён, пока вы его не выключите), ваш телефон после расшифровки отправляет текст или голосовую запись нашему сервису перевода. Сервис передаёт их провайдеру перевода и возвращает перевод; то, что он переводил, мы не храним. Приложение сообщает об этом один раз, в первый раз, и отмечает каждое сообщение, переведённое таким образом. Звонки с переводом не защищены сквозным шифрованием: живая речь должна попасть в сервис перевода, а перевод на телефоне добавил бы больше задержки, чем выдерживает разговор. Перевод выполняют эти провайдеры:

• Провайдер распознавания речи и перевода — перевод звонков в реальном времени, распознавание голосовых сообщений и синтез речи.
• Облачный провайдер перевода — перевод текста и запасной вариант для той же работы в реальном времени и с голосом, когда первый провайдер недоступен.

Отправляется только то, что переводится, — текст сообщения или звук звонка и голосового, плюс исходный и целевой языки, а для ваших собственных сообщений — ещё короткое описание того, кто кому пишет (см. ниже), если вы его заполнили. Ваше имя, ваши контакты, ваш номер AiThao и другие ваши переписки не отправляются. Поэтому звонок или голосовое с переводом не являются приватными только между вами двумя: провайдер обрабатывает содержимое, чтобы его перевести. Приложение говорит об этом на экране, где вы включаете перевод. Эти провайдеры обрабатывают содержимое на своей инфраструктуре по своим условиям; мы не контролируем, сколько они его хранят и используют ли его для улучшения своих сервисов, и ничего не утверждаем от их имени.

Кто кому пишет. В настройках чата можно рассказать переводчику, как вы общаетесь с этим человеком: стиль (семейный, дружеский, бытовой, деловой или официальный), кем он вам приходится, мужчина или женщина каждый из вас и кто старше. Это необязательно. Эти ответы хранятся на нашем сервере вместе с вашим аккаунтом, используются только для перевода ваших собственных сообщений этому человеку и никогда не показываются ни ему, ни кому-либо ещё. Если вы их заполнили, провайдер перевода получает ещё и короткое описание, составленное из этих ответов, — например, «пишет женщина мужу», — без имён. Изменить или очистить ответы можно в любой момент в настройках чата, а выключить для всех чатов — в Настройки → Перевод; при удалении аккаунта они удаляются.

На aithao.com перевод можно попробовать самому: то, что вы там напишете или скажете, отправляется провайдеру перевода и возвращается переведённым. Ни запись, ни текст мы не храним, и аккаунт для демо не нужен.

Обычно переведённые голосовые сообщения озвучиваются синтезированным голосом, а не вашим. В разделе Настройки → Перевод можно выбрать Мой голос: вы читаете вслух фразу согласия и короткий текст, и запись по зашифрованному соединению через наш сервер отправляется поставщику синтеза речи на основе ИИ, который создаёт синтетическую модель вашего голоса. После этого ваши переведённые голосовые сообщения звучат этим голосом.

Чтобы произносить перевод во время звонка, нужен более быстрый голос, чем есть у этого поставщика, поэтому часть той же записи с коротким текстом (без фразы согласия) один раз отправляется ещё и второму поставщику синтеза речи на основе ИИ, который создаёт вторую модель вашего голоса для звонков. Она используется, только если вы включите Мой голос в звонках: тогда собеседник слышит ваш перевод этим голосом, а переведённый текст того, что вы говорите в звонке, отправляется этому поставщику для озвучки.

• Запись мы не храним: она один раз проходит через наш сервер к поставщику и удаляется. Мы храним только идентификатор вашего голоса у поставщика и время, когда вы дали согласие.
• Первый поставщик хранит свою модель голоса до одного года на своих условиях; второй — пока мы не попросим её удалить.
• Ими озвучиваются только ваши собственные переведённые голосовые сообщения и, если вы это включите, ваш перевод в звонках. Никто другой не может ими воспользоваться.
• Удалить свой голос можно в любой момент там же (Удалить мой голос); при удалении аккаунта он удаляется тоже. В обоих случаях мы сразу просим обоих поставщиков удалить свои модели.

По записи голоса можно узнать человека. Мы создаём модель только с вашего явного согласия, которое вы даёте, прочитав фразу вслух, и вы отзываете его, удалив свой голос.

Звонки идут через программный медиасервер, который работает на нашем собственном сервере, — компания-разработчик ничего не получает. Если прямой путь между двумя телефонами установить нельзя, звук и видео передаются через этот сервер; медиапоток может также идти через ретранслятор, а оператор этого ретранслятора — третья сторона.

Звонки между двумя телефонами, которые это поддерживают, защищены сквозным шифрованием: у каждого звонка свой ключ, который передаётся на телефон собеседника через ваш зашифрованный чат, а медиасервер передаёт звук и видео, которые не может расшифровать. Когда во время звонка включается перевод, ключ звонка передаётся нашему сервису перевода, чтобы он слышал разговор; с этого момента звонок не защищён сквозным шифрованием, и значок замка на экране звонка пропадает. Видео провайдеру перевода никогда не отправляется. Мы храним журнал звонков — кто кому звонил, когда и сколько, — чтобы вы видели свою историю. Мы не записываем звонки.

Во время звонка с переводом любой из собеседников может включить сводку. Тогда на экране звонка у другого появляется строка об этом. Когда звонок заканчивается, текстовая расшифровка звонка — распознанная и переведённая речь обоих, а не запись голоса — отправляется с телефона того, кто включил сводку, через наш сервер облачному ИИ-провайдеру перевода, который пишет короткую сводку и возвращает её. Мы не храним ни расшифровку, ни сводку. Вы можете запретить это для звонков с вами: Настройки → Приватность и безопасность → Разрешать сводки звонков со мной. Если выключить, сводку звонка с вами сделать никто не сможет.

Сколько хранится файл. Отправленный в сообщении файл хранится 180 дней, если это фото, и 90 дней, если это видео, голосовое или любой другой файл, считая со дня отправки. После этого файл удаляется из нашего хранилища. Само сообщение остаётся в переписке и сообщает, что файл больше не хранится. То, что уже скачано на телефон, остаётся на телефоне: туда мы не дотягиваемся и не пытаемся.

Мои файлы. Заметки и файлы в «Моих файлах» хранятся на ваших устройствах, а не на нашем сервере. Чтобы попасть на другие ваши устройства, они проходят через наш сервер в сквозном шифровании, и сервер удаляет свою копию, как только другие устройства её забрали, и не позже чем через 24 часа.

В чате со сквозным шифрованием каждое фото, файл или голосовое шифруется на вашем телефоне собственным ключом до загрузки. Объектное хранилище (провайдер облачного хранения и сети) хранит только зашифрованный файл; ключ передаётся внутри зашифрованного сообщения. Переведённое голосовое создаётся, когда его запрашивает телефон слушателя, и не хранится на нашем сервере. Вложения из переписок, начатых до сквозного шифрования, хранятся как раньше.

Резервная копия чатов — по желанию (Настройки → Резервная копия чатов). Телефон шифрует копию истории переписки случайным ключом перед загрузкой. Сам этот ключ закрыт ключом восстановления, который хранится в вашей Связке ключей iCloud — Apple шифрует её сквозным шифрованием между вашими устройствами — и никогда не отправляется нам. Наш сервер хранит зашифрованную копию и закрытый ключ и не может открыть ни то, ни другое. Новый iPhone с тем же Apple ID сам возвращает ваши чаты. Ключ восстановления можно также записать. Если вы потеряете телефон, Apple ID и ключ восстановления, историю не сможете восстановить ни вы, ни мы. Отключение резервной копии или удаление аккаунта удаляет копию с нашего сервера.

Перенос чатов на новый телефон: новый телефон показывает код, старый сканирует его и отправляет историю, зашифрованную ключом, который есть только в этом коде. Наш сервер передаёт зашифрованные данные и удаляет их в течение часа.

Групповой чат устроен как чат один на один, только людей в нём больше: всё, что сказано на этой странице о сообщениях, переводе, звонках и файлах, относится к каждому участнику, и каждый читает группу на своём языке. Кроме того, наш сервер хранит название и фото группы, её участников, создателя и тех, кто может ею управлять. Выход из группы удаляет вас из списка участников; сообщения, которые вы уже отправили, остаются в группе, как и в чате один на один.

Контакты — это люди, которых вы добавили в AiThao: по номеру AiThao, имени пользователя или QR-коду. Любой, кто знает ваш номер AiThao или имя пользователя, может найти ваш профиль; что он увидит, решают ваши настройки. Версия, которая сейчас в App Store, ещё может предлагать поиск людей по номеру телефона. Если открыть этот экран и разрешить доступ к контактам, номера из адресной книги отправляются на наш сервер по зашифрованному соединению, где каждый превращается в хеш с ключом; сами номера не сохраняются, имена не отправляются никогда. Никого этот поиск не находит, и в следующей версии он убирается вместе с запросом доступа к контактам — мы не можем проверить, что номер принадлежит тому, кто его назвал, и предпочитаем не предлагать ничего, чем предлагать такое. Эта страница будет обновлена в день выхода той версии.

«В сети» и «был(а) недавно» — это одна отметка времени с истекающим сроком, а не журнал, и кто может её видеть, решаете вы. Скрытый статус выглядит точно так же, как отсутствие в сети.

Push-уведомления доставляет Apple (APNs). Для сообщения со сквозным шифрованием наш сервер отправляет «Новое сообщение» вместе с коротким превью, которое телефон отправителя зашифровал для вашего телефона; ваш телефон открывает его и показывает текст согласно вашей настройке превью и настройкам iOS. Ни Apple, ни наш сервер не могут прочитать превью. Ключ, которым для этого пользуется ваш телефон, меняется каждые 30 дней. Для доставки уведомлений и звонков мы храним push-токен и идентификатор каждого вашего устройства.

Обычные чаты и звонки бесплатны. Звонки с переводом и переведённые голосовые расходуют минуты. Новые аккаунты один раз получают бесплатные минуты для начала. Когда вы покупаете минуты, платёж обрабатывает Apple; мы получаем от Apple подписанный чек и храним запись о покупке, ваш баланс минут и то, как они расходуются (звонок или голосовое, языки, провайдер, стоимость), чтобы учитывать услугу и поддерживать платную функцию.

Мы храним служебные данные, нужные для работы и безопасности сервиса: логи запросов (URL, статус, ошибка, время), метрики качества и задержки звонков и непрозрачную антиабьюз-метку, привязанную к устройству, а не к вам. В самом приложении нет сторонних SDK аналитики или отслеживания. Мы не составляем ваш профиль и не принимаем о вас автоматических решений.

Для работы AiThao мы пользуемся следующими поставщиками. Каждый получает только то, что нужно для его задачи, и обрабатывает это по своим условиям.

Названия поставщиков, которых мы используем, сообщаем по запросу: напишите на privacy@aithao.com.

• Никакой рекламы, данные не продаются и не передаются для рекламы.
• Никаких сторонних SDK аналитики или отслеживания в приложении.
• Никакого профилирования и автоматических решений о вас.
• Никакого доступа к фотографиям, микрофону или геопозиции, кроме случаев, когда вы пользуетесь функцией, которой это нужно, и только для неё.

• Доступ и выгрузка. Напишите на privacy@aithao.com, и в течение 30 дней мы пришлём файл с данными, которые наш сервер хранит о вашем аккаунте: аккаунт, контакты и сообщения в том виде, в каком вы их видите. Выгрузка содержит то, что хранит наш сервер. Для чатов со сквозным шифрованием это кто кому и когда писал, но не сами слова — они есть только на ваших телефонах и в вашей резервной копии чатов.
• Исправление. Профиль можно изменить в приложении в любой момент.
• Удаление. Настройки → Аккаунт → Удалить аккаунт удаляет аккаунт, способы входа, устройства, контакты, приглашения, блокировки, историю звонков и присутствие и освобождает имя пользователя. Фото профиля, обложка и все загрузки, которые не попали в переписку, одновременно удаляются из нашего хранилища. Так же удаляются резервная копия чатов и чаты, которые в этот момент переносятся между вашими телефонами. Сообщения и файлы, которые вы уже отправили другому человеку, остаются в его переписке, потому что они и его тоже: на сервере одна копия, и это такая же запись получателя, как и ваша. Исчезает ваше имя на них — аккаунта больше нет, файлы перестают помнить, кто их загрузил, а собеседник видит вас только как «Удалённый аккаунт». Если вы хотите, чтобы конкретное сообщение и его файл исчезли с обеих сторон, удалите его у всех до удаления аккаунта; это отдельное действие, и закрытие аккаунта никогда не делает его за вас. Удаление необратимо.
• Автоматическое удаление. Если вы не открываете AiThao дольше срока, выбранного в Настройках → Приватность → Удалить аккаунт при отсутствии — полгода, если вы не выбрали 1, 3 или 12 месяцев, — аккаунт удаляется так же, как описано выше. За неделю до этого мы присылаем уведомление на ваш телефон.
• Возражение и ограничение. Показ присутствия, превью сообщений и перевод можно в любой момент выключить в Настройках.

Если вы находитесь в Европейской экономической зоне или Великобритании, у вас есть право на доступ к своим персональным данным, их исправление, удаление, перенос и возражение против их обработки, а также право подать жалобу в орган по защите данных. Наши правовые основания — исполнение договора с вами (работа мессенджера и платной функции), ваше согласие (необязательные функции, такие как перевод) и наш законный интерес в безопасности сервиса и предотвращении злоупотреблений. Если вы живёте в Калифорнии, у вас есть право знать, удалять и исправлять свою персональную информацию и не подвергаться дискриминации за осуществление этих прав; мы не продаём и не передаём персональную информацию. Чтобы воспользоваться любым правом, напишите на privacy@aithao.com.

Наши серверы и серверы наших поставщиков могут находиться в разных странах, и их расположение может меняться. Поэтому ваши данные могут обрабатываться за пределами вашей страны. Чтобы узнать, где обрабатываются ваши данные, напишите на privacy@aithao.com.

AiThao не предназначен для детей младше 13 лет или младше возраста цифрового согласия в вашей стране, если он выше. Мы сознательно не собираем их данные.

Когда политика меняется существенным образом, мы обновляем дату вверху, а о значительных изменениях сообщаем в приложении. Продолжая пользоваться AiThao после изменения, вы соглашаетесь с обновлённой политикой.

Вопросы или запрос о ваших данных: privacy@aithao.com.