Simstim

Политика конфиденциальности

Версия 2026-10-23 · черновик · Условия использования

1. Кто отвечает за данные

Оператор (контролёр) данных - [заполнить: имя или название юрлица, адрес, страна регистрации].

Контакт по вопросам данных - [заполнить: адрес, например privacy@simstim.app]. Представитель в ЕС (ст. 27 GDPR) - [заполнить]; представитель в Великобритании - [заполнить]. Инспектора по защите данных (DPO) пока нет - [заполнить, если назначим].

2. Какие данные и откуда

Чего мы не собираем: рекламные идентификаторы, данные аналитики и отчёты о сбоях сторонних SDK (их в приложении нет), контакты, геолокацию телефона (координаты попадают к нам только как маршрут уже записанной тренировки), запись голоса (см. раздел 5).

3. Зачем и на каком основании

Для людей в ЕС и Великобритании указываем основание по GDPR. Данные о здоровье мы обрабатываем только с твоего явного согласия (ст. 9(2)(a)), которое ты даёшь отдельной галочкой при регистрации. Без него сервис работать не может - в этом его суть.

ИИ и расчёты Simstim не принимают за тебя решений с юридическими или подобными последствиями (ст. 22 GDPR): это подсказки, которые ты проверяешь и правишь сам.

4. Где хранятся данные

• Сервер. Все записи, фото и журналы хранятся в базе PostgreSQL на нашем сервере у Hetzner Online GmbH в дата-центре в Фалькенштайне (Германия, ЕС). Hetzner - наш обработчик (хостинг), сам данные не использует.
• Резервные копии. Раз в сутки делается полная копия базы; копии лежат на том же сервере и хранятся 14 дней, потом стираются автоматически. Внешнего хранилища копий сейчас нет - [заполнить, если появится: провайдер, страна, шифрование].
• Телефон. Приложение хранит у себя кэш ответов сервера, черновики приёмов пищи, копии фото, сводку для виджетов и историю за 90 дней. Токен входа зашифрован ключом системного хранилища (Android Keystore; на iPhone - Keychain). На Android данные приложения не попадают в резервные копии телефона и перенос на новое устройство. [проверить: исключены ли файлы приложения из резервной копии iCloud на iPhone]. Выход из аккаунта стирает настройки и черновики на телефоне; удалить с телефона всё - удалить приложение.

5. Искусственный интеллект

Некоторые функции используют большие языковые модели. В ИИ уходит только то, что ты сам отправляешь на оценку, и только в момент запроса.

Что уходит в ИИ

• Оценка еды: фото блюда и этикеток (сжатые, без метаданных EXIF и геометок), подпись или описание, в том числе надиктованное; правки и ответы на уточняющие вопросы; прежняя оценка при правке.
• Твои продукты: до 60 самых частых своих продуктов - название, синонимы, КБЖУ, обычная порция и состав, чтобы ИИ узнавал их на фото. Если ты сохраняешь продукт без категории, ИИ получает его название и состав, чтобы её определить.
• Отчёты умных весов: скриншот отчёта, который ты загрузил (с него считываются вес и состав тела).
• Силовые: описание или скриншоты тренировки, правки и ответы на уточнения; если подходы добавляются к тренировке с часов - время её начала и длительность.
• Вместе с запросом - служебное: текущее местное время (для силовых), язык ответа, список упражнений из каталога Simstim.

Что не уходит в ИИ

Имя, почта, логин, идентификатор аккаунта, вес из твоих записей, пульс, сон, тренировки, маршруты, данные друзей - в запросы к ИИ не включаются. Запрос идёт с нашего сервера, а не с твоего телефона, поэтому провайдер ИИ не видит и твой IP-адрес.

Кто обрабатывает

• Anthropic PBC (модели Claude), США;
• Google LLC (модели Gemini), США.

Какая модель основная, а какая резервная (на случай перегрузки), мы меняем в настройках сервера; запрос всегда уходит одному из этих двух провайдеров. Сейчас основная - [заполнить: модели на проде]. Провайдеры обрабатывают запросы как наши обработчики по своим условиям для API: [заполнить: подписанные DPA; что провайдеры не обучают модели на запросах; срок хранения запросов у провайдера; для Gemini - платный уровень API]. Нового провайдера ИИ мы подключаем только после договора с ним и обновления этой политики.

У себя мы ведём журнал вызовов ИИ - модель, токены, цена, вид запроса, успех, - без текста запросов и ответов.

Оценки ИИ приблизительны и могут ошибаться: ты видишь результат и правишь его до сохранения.

Голосовой ввод

Диктовку распознаёт система телефона (на Android - служба распознавания речи, обычно Google; на iPhone - Apple). Запись голоса к нам не приходит, мы получаем только готовый текст. Система может обрабатывать звук на серверах Google или Apple по их правилам.

Тренер на базе ИИ (Claude через MCP)

Ты можешь сам подключить свой аккаунт Claude к Simstim (протокол MCP, вход по OAuth). Тогда твой Claude читает и записывает твои данные по твоим просьбам - это передача по твоему указанию, и Anthropic здесь - твой поставщик по твоему договору с ним. Отключить - «Вход и сеансы» в приложении или переключатель «Тренер видит мои данные» в «Приватности».

6. Кому данные могут попасть

Наши обработчики

На iPhone пушей пока нет.

Сервисы, которые подключаешь ты

Это самостоятельные компании со своими политиками. Данные туда и оттуда идут только после подключения и только по включённым переключателям (Профиль → Приложения → сервис). Ключи и токены хранятся у нас на сервере; при отключении мы их удаляем.

Отключение сервиса в Simstim не отзывает доступ на стороне сервиса: для Strava отзови его в настройках Strava (Settings → My Apps). Уже забранные тренировки остаются у нас, пока ты их не удалишь или не удалишь аккаунт; забранные из Strava - не дольше 7 дней.

Health Connect и Apple Health

Работают на телефоне: Google и Apple от нас ничего не получают. Читаем - только то, что ты разрешил в системном окне: шаги, этажи, сон, пульс, пульс покоя, HRV, SpO₂, дыхание, температуру, вес, тренировки с маршрутом. Пишем обратно (если включено): итоги еды дня (ккал и БЖУ), вес и состав тела, тренировки из других источников. Что из этого забирать и записывать - переключатели в Профиль → Приложения → Здоровье. Данные из Health Connect используются только для работы Simstim, не для рекламы и не передаются третьим лицам, кроме случаев из этой политики.

Карты

Чтобы показать маршрут тренировки, телефон сам загружает подложку карты: на Android - у OpenFreeMap (данные OpenStreetMap), на iPhone - у Apple Maps. Поставщик карты видит IP-адрес телефона и какие квадраты карты запрошены - то есть примерный район маршрута. Сам маршрут им не передаётся.

Друзья

• Друзья видят только области, которые ты открыл в «Приватности»: тренировки, награды, шаги - по умолчанию друзьям; вес и тело, еда, сон - по умолчанию только тебе. Для каждой области можно выбрать «только я», «друзья» или «все» («все» - любой, кто вошёл в Simstim).
• Маршрут тренировки друзьям не показывается никогда; вес в тренировке - только если открыто тело.
• Найти тебя можно только по точному логину или почте и только если ты это разрешил (по умолчанию - друзьям твоих друзей).
• Блюдо, которым ты поделился, уходит снимком - состав и фото. Ссылку на блюдо может открыть любой, кто вошёл в Simstim и получил её.
• Рейтинг шагов среди друзей - можно выключить.

«Друзья рядом»

Выключено по умолчанию. Если включишь, телефон, пока Simstim открыт на экране, передаёт по Bluetooth временную случайную метку - без имени устройства, логина и места - и слушает метки рядом. На сервер уходят только услышанные метки - без силы сигнала, времени и координат. Пара «рядом» заводится, только если вы друзья и «Рядом» включено у обоих; срок пары короткий, истёкшее стирается, а выключение сразу стирает все твои метки и пары.

Поддержка

Без твоего обращения сотрудник видит только карточку без личных данных: логин, почту, даты, число записей, подключённые сервисы без их настроек, сеансы без токенов, ошибки синхронизации. Настройки (приватность, уведомления, устройства, входы) и твои записи он открывает только по твоему открытому обращению: для записей нужен отдельный допуск на 30 минут, к одному человеку, с причиной. Каждый просмотр пишется в журнал, а ты получаешь уведомление и видишь историю в приложении (Приватность → «Доступ поддержки»). Фото, маршруты и сырые ответы сервисов поддержка не видит.

По закону

Мы раскрываем данные государственным органам только при обязательном по закону запросе и в минимально нужном объёме - [заполнить/юрист: порядок и уведомление пользователя].

Чего мы не делаем

Не продаём данные, не передаём их для рекламы и не используем для профилирования в рекламных целях. В приложении и на сайте нет рекламы, трекеров и cookie-аналитики.

7. Передача за пределы ЕС

Основное хранение - в ЕС. За пределы ЕС данные уходят: провайдерам ИИ в США (раздел 5), Google для пушей, поставщику карты, а также в сервисы, которые ты сам подключил (многие из них работают в США). Для наших обработчиков механизм передачи - [заполнить: EU-US Data Privacy Framework и/или стандартные договорные условия Еврокомиссии; как запросить копию]. Передача в подключённые тобой сервисы идёт по твоему указанию.

8. Сколько хранятся

При удалении аккаунта журнал входов остаётся без логина и устройства, а записи о допусках поддержки - без твоих данных: они нужны, чтобы показать, кто и когда имел доступ.

9. Твои права и как ими пользоваться

Прямо в приложении

• Скачать все данные - Профиль → Приватность → «Скачать все данные»: файл JSON со всеми записями, учётной записью, настройками, согласиями, подписками, друзьями и блюдами, которыми вы делились. Фото, ряды точек тренировок и ключи сервисов в файл пока не входят - их можно получить по запросу.
• Исправить - любую запись можно поправить или удалить; поля, поправленные руками, синхронизация не перезаписывает.
• Ограничить - что видят друзья, поиск, рейтинг, тренер, «рядом» - в «Приватности»; что забирать и отправлять - в настройках каждого сервиса.
• Удалить аккаунт - «Удалить аккаунт и данные» с паролем: аккаунт и все данные стираются сразу (из резервных копий - в течение 14 дней).
• Отозвать согласие на данные о здоровье - это удаление аккаунта: без этих данных сервис не работает. Сначала можно скачать данные.

Через запрос

Напиши на [заполнить: адрес] или в поддержку из приложения: доступ, копия в машиночитаемом виде, исправление, удаление, ограничение, возражение, список получателей. Если ты забыл пароль, удаление идёт через поддержку: аккаунт отключается сразу, данные стираются через 7 дней (за это время удаление можно отменить). Личность подтверждаем через твой аккаунт или письмом на его почту. Отвечаем в течение месяца (ЕС, Великобритания; можно продлить ещё на два при сложном запросе, предупредим) или 45 дней (штаты США; можно продлить ещё на 45). Если мы отказали, можно обжаловать отказ ответом на наше письмо - рассмотрим в течение 45 дней.

Ты вправе пожаловаться в надзорный орган по защите данных своей страны (в ЕС), в ICO (Великобритания) или генеральному прокурору своего штата (США).

10. Безопасность

Только HTTPS; пароли - хешем scrypt, токены и коды - хешем sha256; защита от перебора; данные каждого человека изолированы на уровне сервера; сотрудники - с ролями, двухфакторным входом и журналом действий; доступ к записям - только по обращению и на 30 минут. Нет защиты, которая гарантирует всё: если случится утечка, мы сообщим тебе и надзорным органам в сроки, которые требует закон. [заполнить: шифрование резервных копий и ключей сервисов, когда будет]

11. Возраст

Simstim - для людей от 16 лет. Если мы узнаем, что аккаунт принадлежит человеку младше, мы его удалим.

12. Данные о здоровье потребителя (Вашингтон, Невада и другие штаты США)

Этот раздел - наша политика о данных о здоровье потребителя по Washington My Health My Data Act и похожим законам.

• Какие данные: вес и состав тела, рост, пол, год рождения, цели по весу, еда и её фото, сон, пульс, HRV, SpO₂, дыхание, температура, тренировки с маршрутом, самочувствие и заметки, а также выводы из них (норма еды, готовность, оценка тела, оценки ИИ).
• Источники: ты, Health Connect / Apple Health, подключённые тобой сервисы, расчёты Simstim и ИИ.
• Зачем: только чтобы работал сервис - хранить, считать и показывать тебе, делиться с теми, кого ты выбрал.
• Кому передаём: обработчикам из раздела 6 (Hetzner, Anthropic, Google); сервисам и друзьям - по твоему указанию. Аффилированных лиц нет. Не продаём.
• Согласие: на сбор - галочка при регистрации; на передачу - подключение сервиса, открытие областей друзьям и отправка на оценку ИИ.
• Права: узнать, какие данные есть и кому переданы (со списком получателей), удалить - в том числе у обработчиков, отозвать согласие; как - раздел 9, с обжалованием отказа.
• Геозоны вокруг медицинских учреждений мы не используем.

13. Для жителей Калифорнии

За последние 12 месяцев мы собирали категории данных из раздела 2: идентификаторы (почта, логин), данные о здоровье, точную геолокацию (только маршруты тренировок), данные о действиях в сервисе. Мы не продаём и не «делимся» личными данными в смысле CCPA (для рекламы); чувствительные данные используем только для работы сервиса, поэтому ссылка «Limit the Use» не нужна. Сигнал Global Privacy Control мы уважаем - передачи для рекламы у нас нет в любом случае. Права знать, удалить, исправить и не подвергаться дискриминации - раздел 9; запрос можно подать через уполномоченного представителя с твоим письменным разрешением.

14. Изменения политики

У политики есть версия (в шапке). При существенных изменениях мы сообщим в приложении до того, как они вступят в силу, и, если изменение касается согласия на данные о здоровье, попросим согласие заново. Версию, которую ты принял, мы храним вместе с согласием. Прежние версии - [заполнить: где опубликован архив].

15. Контакты

[заполнить: оператор, адрес для писем, почта по вопросам данных, представители в ЕС и UK]