Согласие на обработку данных о здоровье и интимной жизни
Главное
- Что это за данные: цикл, симптомы, измерения Apple Health, отметки близости и то, что ты сама пишешь о самочувствии Лунному Оракулу.
- Куда они уходят: данные цикла — на наш сервер; в языковую модель Google (Gemini) — то, что перечислено в разделе 3.
- Чего мы не делаем: не используем эти данные для рекламы, не строим по ним рекламные профили, не продаём и не передаём никому для их собственных целей.
- Это добровольно. Отказ от любой необязательной части не закрывает доступ к тому, за что ты заплатила.
- Отозвать можно в любой момент, прямо в приложении, тем же движением, которым согласие давалось: в веб-приложении это уже работает, в приложении для iPhone появится со следующей сборкой — и отзыв в веб-приложении закрывает Оракула и там тоже. Подробно — раздел 7.
1. Какие данные покрывает это согласие
| Категория | Что конкретно |
|---|---|
| Цикл | дата начала цикла, длина цикла, длительность менструации, отметки и события цикла, задержки, пауза трекера (момент и поставила ли ты её сама из чек-ина задержки), история циклов и производные расчёты, которые ты видишь в приложении |
| Apple Health (iPhone) | менструальный поток, сон, вариабельность сердечного ритма, пульс покоя, температура запястья во сне, симптомы цикла |
| Интимная жизнь | отметки близости, которые ты ставишь в календаре |
| Разговор с Оракулом | то, что ты пишешь о самочувствии, состоянии и переживаниях. Это ты пишешь сама, и в этом состоит услуга — но по закону это тоже данные о здоровье |
Перечень выше — это то, что приложение читает у Apple Health. Он станет одинаковым в системном запросе разрешений, в политике приватности и здесь — с выходом iOS-сборки, которая просит разрешение на все шесть типов.
На экране согласия перед Оракулом перечень другой, и короче: пять сигналов, без менструального потока — сон, вариабельность сердечного ритма, пульс покоя, температура запястья во сне, симптомы цикла. Разница осмысленная, а не редакторская. Галочка в щите управляет одним: уедет ли сигнал вместе с твоим сообщением Оракулу. Эти пять считаются на самом телефоне и у нас не хранятся, поэтому выключить их — значит, что не уедет ничего. Менструальный поток идёт отдельной дорогой: он синхронизируется с календарём и хранится на нашем сервере как событие цикла, из него собран сам трекер, и снятая галочка в щите его оттуда не убрала бы. Обещать галочкой такое управление было бы неправдой, поэтому его там нет — а настоящие рычаги названы в разделе 7: доступ к чтению отзывается в настройках iPhone, сохранённые события цикла удаляются вместе с данными.
Про паузу трекера — и про то, чего мы не спрашиваем. Когда трекер ставится на паузу, мы записываем момент паузы, а если ты поставила её сама из чек-ина задержки (сообщения о задержке с кнопкой «поставить трекер на паузу») — ещё и это: паузу, которую выбрала ты, и паузу, которую автоматика ставит сама после 180 дней без отметок, нельзя путать. Почему цикла нет, мы не спрашиваем и не храним — ни беременность, ни менопаузу, ни лечение. Отметка о происхождении паузы выводится из задержки, которую ты уже отметила, и покрывается этим согласием вместе с остальными данными цикла. А вопрос, который мы задаём после отмены подписки, к этому согласию не относится: ни один из его вариантов не говорит о твоём теле — подробнее в разделе 2.2 политики приватности.
2. Зачем мы их обрабатываем
- чтобы вести календарь цикла и показывать, где ты в нём находишься;
- чтобы утренняя рекомендация соответствовала твоей фазе, а не была общей;
- чтобы Лунный Оракул отвечал именно тебе, а не абстрактной женщине;
- чтобы сигналы тела из Apple Health помогали тебе лучше понимать собственное состояние;
- чтобы паузу трекера, которую ты выбрала сама, не путать с паузой, которую поставила автоматика.
И только за этим. Ни одна из перечисленных категорий не используется для рекламы, маркетинга, построения профилей или анализа поведения в чьих-либо коммерческих интересах.
3. Кому эти данные передаются
Получателя мы называем прямо, а не «технологическим партнёром».
Google (Gemini) — языковая модель, которая пишет тексты. В неё уходит:
- для утренней рекомендации — день и длина цикла, фаза и её описание, задержка, лунные данные дня;
- для Лунного Оракула — текст твоего сообщения, недавние реплики разговора и конспект памяти с твоего устройства, имя, возраст, город, положение в цикле и его история, сигналы тела из Apple Health (если ты дала доступ), отметки близости за вчера и сегодня, производные натальной карты и текст сегодняшней рекомендации.
Полный перечень и то, что Google делает с полученным, — в разделах 5 и 7 политики приватности. Коротко: по условиям платного тарифа Google не использует эти данные для улучшения своих продуктов, но хранит их ограниченное время для выявления злоупотреблений и может кешировать в любой стране своего присутствия. Это трансграничная передача, и согласие на неё запрашивается отдельно.
Куда эти данные не передаются: в рекламные и аналитические сервисы (AppsFlyer, Google Analytics, Meta, Google Ads) не уходит ничего из перечисленного в разделе 1.
Что записывается о самом согласии. Каждое нажатие — и выдачу, и отзыв — мы сохраняем отдельной строкой: область согласия, действие, редакция текста, который ты видела, поверхность, язык, время и твой IP-адрес. IP здесь — часть доказательства, что согласие давала именно ты и именно тогда. Эта строка переживёт удаление аккаунта, но при удалении из неё вычищается и номер аккаунта, и IP: остаётся «кто-то согласился на такую-то область такой-то редакции в такой-то момент».
Строки появляются оттуда, где экран согласия уже поднят, — раздел 6. Про то, что не попадает в этот журнал, скажем прямо: «экран показан» и «закрыла, не приняв» — это не согласие и не отказ от него, в журнал согласий они не пишутся вовсе и на твой доступ не влияют. Но и не исчезают: мы записываем их обычной строкой продуктовой аналитики, привязанной к твоему аккаунту, как и остальные события приложения, — чтобы видеть, понятен ли экран. Ни одной твоей галочки, ни одного слова в этой строке нет: только какие области экран показал и какую редакцию текста. Она стирается вместе с аккаунтом.
4. Где эти данные хранятся
- Данные цикла и отметки близости — на нашем сервере, пока ты не удалишь аккаунт.
- Измерения Apple Health — нигде. Они считаются на телефоне и едут вместе с конкретным вопросом Оракулу; серверной копии не существует.
- Переписка с Оракулом — только на твоём устройстве. У нас её нет. Стёрла — значит окончательно.
Одна оговорка, без которой предыдущая строка звучала бы шире, чем есть: каждое сообщение проходит через наш сервер — это он собирает контекст, обращается к модели и возвращает ответ. В этот момент текст сервер видит и обрабатывает, но не сохраняет. «Только на твоём устройстве» — про хранение. Сам факт отправки (когда и с какой поверхности, без текста) мы записываем в журнал событий.
5. Это добровольно
Согласие разделено на части, и они не равны между собой.
Без чего разговора с Оракулом не существует. Чтобы Оракул ответил, твоё сообщение должно уйти в модель и вернуться ответом — и уйти за пределы страны. Это не «доступ к твоим данным», это сама услуга. Отказ здесь означает «не хочу пользоваться Оракулом»; всё остальное — цикл, календарь, луна, рекомендации — продолжает работать как работало.
Что по желанию — и это ровно три слоя, не больше. Данные цикла в контексте разговора, сигналы Apple Health, отметки близости. Оракул работает без каждого из этих трёх — он просто будет знать о тебе меньше. Отказ от любого из них не закрывает доступ к оплаченной функции и ни к чему другому.
Чего этот выбор не покрывает. Вместе с сообщением в модель уходит и то, для чего отдельного переключателя у нас нет: имя, город, возраст числом лет и производные натальной карты. Отказаться от этого отдельно, продолжая пользоваться Оракулом, сегодня нельзя. Полный состав передачи — в разделе 5 политики приватности.
Ни одна отметка согласия не проставлена заранее. Кнопки «согласиться со всем» у нас нет.
6. Как даётся согласие
Согласие даётся отдельным утвердительным действием: перед первым разговором с Лунным Оракулом поднимается отдельный экран, где обязательная и необязательные части разделены и перечислены поимённо. Ни одна отметка не проставлена заранее. Мы сохраняем, что именно ты отметила, когда и какую редакцию текста видела.
Где этот экран уже есть. В веб-приложении — он приезжает с этой редакцией, но первые дни ещё не поднимается: у части женщин браузер держит старую версию приложения, в которой его попросту нет, и включить его сразу значило бы закрыть Оракула перед той, кому нечем ответить. Всё это время Оракул работает как вчера. Мы включаем экран, когда новая версия разошлась, — и с этого момента без «Принимаю» разговор не начинается; промежуточного состояния «показан, но пропускает» у нас нет. В приложении для iPhone экрана пока нет — он приезжает со следующей сборкой через App Store.
Про регистрацию — отдельно и честно. Отдельные отметки о согласии при регистрации показываются только в англоязычных версиях: в телеграм-боте, в веб-приложении и в приложении для iPhone. В русскоязычных версиях такого шага нет вовсе — и мы не станем ссылаться на согласие, которого ты не давала: до выхода экрана согласия основанием для русской аудитории служит этот документ и то, что ты сама пришла к Оракулу и оплатила его.
7. Отзыв
В веб-приложении отзыв работает — с этой редакции, и работает с первого дня, независимо от того, поднялся ли уже экран согласия. Настройки → «Согласия»: там же, где ты его давала. Каждая из пяти областей снимается своим переключателем. Три необязательных выключаются молча, одним движением, без уговоров. Любую из двух обязательных мы переспросим — не чтобы отговорить, а потому что её снятие закрывает Оракула, и это стоит увидеть до, а не после.
И он действует везде, а не только там, где ты его нажала. Согласие хранится на сервере, поэтому отзыв в веб-приложении закрывает Оракула и на iPhone — включая ту сборку, в которой экрана согласия ещё нет.
В приложении для iPhone своего экрана отзыва пока нет: он приезжает со следующей сборкой. До неё отозвать можно через веб-приложение — с тем же результатом — либо, если речь об отзыве целиком, удалить свои данные кнопкой удаления (что она делает и чего не делает, написано в разделе 12 политики приватности). Доступ к Apple Health отзывается независимо от нас, на уровне системы: Настройки → Конфиденциальность → Здоровье.
Что будет происходить после отзыва:
- отзыв обязательной части закрывает Лунного Оракула — и ничего больше;
- отзыв любой необязательной части ничего не закрывает: со следующего же сообщения соответствующий слой перестаёт собираться;
- доступ к Apple Health отзывается ещё и на уровне системы: Настройки → Конфиденциальность → Здоровье → WooMoon;
- переписку на своём устройстве ты стираешь сама — кнопкой «очистить разговор». Мы её не храним, поэтому и стирать нам нечего.
Честная оговорка: отозвать можно будущую передачу. То, что уже ушло в модель, вернуть нельзя — это верно для любого сервиса, и мы не будем делать вид, что у нас иначе.
Отзыв согласия — не то же самое, что удаление аккаунта. Если нужно второе, в приложении есть кнопка удаления данных; что она делает и чего не делает — в разделе 12 политики приватности.
8. Правовое основание
Для российской аудитории: ст. 10 152-ФЗ — обработка специальных категорий персональных данных (состояние здоровья, интимная жизнь) с согласия субъекта; ст. 12 — трансграничная передача.