Политика конфиденциальности

Когда вы записываетесь в бету или просто просматриваете Сайт, мы собираем:

• Контактные данные — имя, адрес электронной почты и, по желанию, ник в мессенджере (Instagram, WhatsApp, Telegram, KakaoTalk).
• Обратную связь — всё, что вы напишете в форме записи.
• Технические данные — IP-адрес, тип браузера и устройства, язык и адрес страницы-источника. Их собирают сервисы аналитики и рекламы из раздела 6 и только после того, как вы согласитесь на это в баннере о cookie.

• Аккаунт — адрес электронной почты либо идентификатор, который возвращают Apple, Google или Naver при входе через них, плюс идентификатор аккаунта, который создаём мы.
• Профиль — имя, @ник, фото, описание, пол, дата рождения, языки, которыми вы владеете и которые учите, интересы, страна и город. Другим пользователям виден только возраст, но не дата рождения.
• Контент — сообщения, фотографии, видео, файлы, голосовые сообщения, сторис, посты, реакции и отметки о прочтении.
• Звонки — кто кому звонил, когда звонок начался и сколько длился. Аудио звонков не записывается.
• Результаты верификации — оценки живости и совпадения лица и вердикт «пройдено / не пройдено»; подробнее в разделе 3.
• Данные устройства — токены push-уведомлений, версия приложения и iOS, язык, а также диагностика, которая прикладывается к обращению в поддержку.
• Приблизительное местоположение — только если вы включите сортировку по близости; см. раздел 7.
• Продуктовая аналитика — события внутри приложения и записи сессий; см. раздел 6.

CoffeeTalk проверяет, что профиль принадлежит реальному и уникальному человеку. При верификации Приложение делает селфи, а наш сервер передаёт его подрядчику Didit (didit.me) для трёх проверок:

• Пассивная проверка живости — перед камерой живой человек, а не фотография, маска или экран?
• Сличение лиц (1:1) — если вы приложили эталонное фото, совпадает ли с ним селфи?
• Поиск по лицу (1:N) — не зарегистрировано ли это лицо уже на другой аккаунт CoffeeTalk? Совпадение с чужим аккаунтом блокирует верификацию, потому что означает дубликат или попытку выдать себя за другого.

Проверка 1:N работает потому, что верифицированные лица заносятся в галерею. Эта галерея хранится у Didit, а не у нас, и каждая запись помечена идентификатором вашего аккаунта CoffeeTalk. В ней лежат математические шаблоны лица, построенные по селфи, а не фотографии, которые можно просматривать.

На своих серверах мы храним только результат — оценки живости и совпадения, признак прохождения проверки и идентификатор аккаунта, с которым совпало лицо. Ни селфи, ни эталонное фото мы не сохраняем. Они существуют в памяти только на время запроса и затем уничтожаются.

По GDPR шаблон лица — это биометрические данные для идентификации, особая категория по статье 9. Мы обрабатываем их на основании вашего явного согласия, которое вы даёте, начав верификацию, и ровно с одной целью: не пускать в сообщество фальшивые и дублирующие аккаунты. Верификация добровольна — от неё можно отказаться, у неверифицированного аккаунта просто ниже лимиты и нет значка подтверждения. Чтобы отозвать согласие, напишите на help@coffee-talk.net: мы удалим записи о верификации у себя и запросим у Didit удаление вашей записи из галереи.

Ранняя версия этой проверки работала на Amazon Rekognition Face Liveness. Приложение до сих пор создаёт при запуске анонимную гостевую личность Amazon Cognito — наследие той интеграции; ни селфи, ни шаблон лица, ни результат проверки в Amazon Web Services не передаются.

Сообщения, сторис и посты сохраняются, чтобы мы могли их доставить и показать вам позже. Текст хранится в нашей базе данных в Supabase; фотографии, видео, файлы и голосовые сообщения — в Cloudflare R2 и отдаются по коротко живущим подписанным ссылкам.

• Перевод. Когда вы переводите сообщение, его текст отправляется в OpenRouter, который маршрутизирует запрос к языковой модели. Мы явно ограничиваем маршрутизацию поставщиками, которые работают на условиях нулевого хранения данных и запрета на обучение.
• Голосовые сообщения. При переводе голосового сообщения аудио отправляется в OpenRouter для распознавания речи, а полученный текст переводится так же. Расшифровка кэшируется вместе с сообщением.
• Звонки. Звук звонка идёт через LiveKit в реальном времени и не записывается. Живые субтитры создаёт распознавание речи на вашем iPhone; на перевод уходит только получившийся текст, на тех же условиях.

Весь трафик шифруется по TLS. CoffeeTalk не использует сквозное шифрование: технически мы можем прочитать сохранённый контент и делаем это только по причинам из раздела 5 или когда этого требует закон.

• Жалобы. Когда вы жалуетесь на сообщение, профиль, сторис или пост, сервер сохраняет собственную копию содержимого, чтобы жалобу можно было рассмотреть, даже если контент потом изменят или удалят.
• Удалённые сообщения. Когда вы удаляете сообщение у всех, у обоих участников в чате остаётся отметка об удалении, но исходный текст копируется в архив модерации, доступный только на дозапись. Он существует затем, чтобы оскорбление нельзя было стереть раньше, чем на него пожалуется получатель. Сейчас у этого архива нет автоматического срока истечения.
• Доступ модераторов. Наши штатные модераторы могут открывать чаты, медиа, сторис и профили, на которые поступила жалоба, через отдельную консоль со входом по паролю. Каждое открытие карточки записывается в журнал.
• Решения. Жалоба может закончиться отклонением, удалением контента, предупреждением (страйком) либо временной или постоянной блокировкой. Каждое действие пишется в журнал, доступный только на дозапись.

Сайт. С вашего согласия в баннере о cookie Сайт загружает Google Analytics (статистика посещений), Meta Pixel и Reddit Pixel (измерение конверсий и рекламные аудитории). Если вы откажетесь в баннере, они не загрузятся вовсе.

Приложение. Приложение использует PostHog в его европейском облаке (eu.i.posthog.com) для продуктовой аналитики: именованные события — какой экран открыт, какая кнопка нажата, какой шаг онбординга пройден — привязанные к идентификатору вашего аккаунта. Содержимое сообщений никогда не попадает в свойства события. Запись сессий включена, и в сборках из App Store и TestFlight она скрывает поля ввода, загруженные изображения и системные экраны. Аналитику можно выключить в настройках Приложения.

В Приложении нет рекламных SDK, не используется рекламный идентификатор (IDFA) и не запрашивается разрешение App Tracking Transparency. Ничто из собранного в Приложении не используется для слежки за вами в чужих приложениях и на чужих сайтах.

• Камера и медиатека — только для селфи при верификации и для тех фото и видео, которые вы сами решили отправить или опубликовать.
• Местоположение — по желанию. Если вы включите сортировку по близости, Приложение возьмёт одну координату с точностью около километра. Мы храним её в профиле, но никогда не показываем: другие пользователи видят только расстояние.
• Распознавание речи — работает на самом устройстве и нужно для живых субтитров во время звонка.
• Push-уведомления — доставляются через службу Apple (APNs). Уведомление о сообщении содержит имя отправителя и до 140 символов текста, чтобы превью на экране блокировки было полезным. Уведомления можно отключить в настройках iOS или в Приложении.

Мы передаём персональные данные только тем подрядчикам, которые обслуживают сервис по нашему поручению, по договорам, ограничивающим их нашими указаниями. Мы не продаём персональные данные.

• Supabase — база данных, аутентификация и серверные функции (бэкенд Приложения и список записавшихся в бету с Сайта).
• Cloudflare R2 — хранение фото, видео, файлов, голосовых сообщений и аватаров.
• Didit — верификация личности и биометрическая галерея из раздела 3.
• OpenRouter и модели, к которым он маршрутизирует запросы, — перевод и распознавание речи.
• LiveKit — звук звонков в реальном времени.
• PostHog (европейское облако) — продуктовая аналитика и запись сессий.
• Apple — доставка push-уведомлений; Apple, Google и Naver — если вы входите через них.
• Resend — доставка писем аккаунта, например кодов для входа.
• Amazon Web Services — унаследованная гостевая личность Cognito, описанная в разделе 3.
• Vercel — хостинг Сайта.
• Google, Meta и Reddit — аналитика и реклама на Сайте, только после согласия.

CoffeeTalk Inc. находится в США, а наши подрядчики работают в США и Европейском союзе, поэтому ваши данные будут обрабатываться за пределами вашей страны. Когда данные покидают Европейскую экономическую зону или Великобританию, мы опираемся на стандартные договорные положения Европейской комиссии и на собственные механизмы передачи наших подрядчиков.

• Аккаунт, профиль и контент — пока существует ваш аккаунт (см. раздел 12).
• Записи о верификации — оценки и вердикт хранятся, пока существует аккаунт; запись в галерее Didit — пока вы не попросите её удалить.
• Жалобы, архив модерации и действия модераторов — только на дозапись, без автоматического срока истечения на сегодняшний день, поскольку это доказательная база решения о безопасности.
• Обращения в поддержку — хранятся, чтобы мы могли вам ответить и сохранить историю переписки.
• Аналитика — по срокам хранения, установленным по умолчанию у PostHog, а для Сайта — у Google, Meta и Reddit.

В зависимости от страны проживания (GDPR, UK GDPR, CCPA/CPRA и другие законы) у вас могут быть права:

• получить доступ к своим персональным данным и их копию;
• исправить неточные данные или потребовать их удаления;
• возразить против отдельных видов обработки или ограничить их;
• отозвать данное ранее согласие — в том числе согласие на биометрическую верификацию — без ущерба для законности обработки до отзыва;
• подать жалобу в надзорный орган по защите данных вашей страны.

Мы не продаём персональные данные и не передаём их для межконтекстной поведенческой рекламы в том смысле, в каком эти понятия определены законом Калифорнии. Чтобы воспользоваться любым правом, напишите на help@coffee-talk.net.

Аккаунт можно удалить прямо в Приложении, в настройках. Удаление мгновенное и необратимое — периода на раздумья нет, и восстановить аккаунт мы не сможем.

Удаляются профиль, отправленные вами сообщения, сторис, посты, стрики, жалобы, push-токены и записи о верификации, а вместе с ними аватары и медиа ваших сторис и постов. Две вещи остаются намеренно: медиа, отправленные внутри переписки, — они уже доставлены собеседнику и не принадлежат вам одному, — а также архив модерации и записи о действиях модераторов из раздела 5. События аналитики, уже полученные PostHog, автоматически не удаляются: напишите нам, и мы их удалим.

CoffeeTalk не предназначен для лиц младше 17 лет, и Приложению присвоен возрастной рейтинг 17+ в App Store. Мы сознательно не собираем данные детей. Если вы полагаете, что аккаунт создал ребёнок, напишите на help@coffee-talk.net, и мы его удалим.

Трафик шифруется по TLS. Доступ к сохранённым данным ограничен правилами построчной безопасности в базе данных, медиа доступны только по коротко живущим подписанным ссылкам, а ключи сторонних сервисов лежат в серверных секретах и никогда не попадают в бинарник приложения. Полностью защищённых систем не бывает; если вы считаете, что ваш аккаунт или данные скомпрометированы, напишите на help@coffee-talk.net.

Мы будем обновлять эту политику по мере развития продукта. Дата в строке «Последнее обновление» вверху всегда отражает действующую версию; о существенных изменениях мы сообщим зарегистрированным пользователям по электронной почте или в Приложении.

CoffeeTalk Inc., 8 The Green, Suite 15796, Dover, DE 19901, США.

Вопросы, запросы и жалобы по этой политике: help@coffee-talk.net.