Политика приватности

Обновлено: 2026-09-03  ·  English version

Главное за минуту

1. Кто обрабатывает данные

Связаться с нами: @lunnaya_care в Telegram.

2. Что мы собираем и где это лежит

Три разных ответа на вопрос «где мои данные», и их важно не путать.

Карт и платёжных реквизитов мы не видим и не храним: оплата проходит на стороне платёжного сервиса или магазина приложений.

2.1. Когда мы сами начинаем писать реже

Если за 90 дней мы отправили тебе пять сообщений или больше — в бот, пушем или письмом — и за всё это время от тебя не было ни одного действия, мы записываем момент, с которого сами понижаем частоту своих сообщений. Это не отписка и не блокировка: с этого момента тебе приходит не чаще одного сообщения в месяц и только из короткого списка — редкое личное событие цикла, метафорическая карта, день рождения, приглашение вернуться. Про деньги и доступ мы не молчим никогда: подтверждение оплаты, проблема с картой, предупреждение о скором списании, отключение автопродления, недооформленная оплата, уведомление о слиянии аккаунтов и то, что владелица пишет адресно, приходят как приходили. Оплаченное не трогается: пока действует подписка или пробный период, утренняя рекомендация и остальные оплаченные сообщения идут как шли. Не приглушаются и сообщения о состоянии самого трекера — например, что он поставлен на паузу после 180 дней без отметок: это не рассылка, а изменение того, что мы про тебя знаем, и молчать о нём нельзя.

Действием мы считаем переход по ссылке из письма, любое действие в боте, в приложении или в веб-версии и платёж. Открытие письма действием не считается. Почтовые программы открывают письма и сами, без тебя, а у той, кто читает с выключенными картинками, «открытия» не случится никогда — поэтому в этом расчёте открытия не участвуют, хотя от почтового сервиса мы их получаем вместе с переходами.

Ничего нового о тебе эта отметка не собирает: она выводится из наших же журналов доставки — что и когда мы отправили — и из того, что ответа не было. Снимается она первым же твоим действием, при ближайшей проверке, и дальше мы пишем как раньше. Если мы не уверены, что переходы из писем вообще до нас доезжают (например, их приём сломался), приглушение не применяется ни к кому: ошибаться мы предпочитаем в сторону лишнего сообщения, а не молчания. Основание — наш законный интерес (ст. 6 ч. 1 п. 7 152-ФЗ): не писать в пустоту той, кто не отвечает. Твоих прав он не ущемляет: вернуть прежнюю частоту можно одним действием, а настройки уведомлений и отписка от почты работают как работали.

2.2. Один вопрос после отмены подписки

Когда ты отключаешь автопродление, мы — уже после того, как отмена прошла, — задаём один вопрос: что стало причиной. Ответ — один тап по одному из пяти вариантов: «сейчас не отслеживаю цикл», «дорого», «мало пользы для меня», «что-то не работало», «другое». Кнопка «Не отвечать» равноправна: пропуск мы не записываем вовсе, а отмена уже состоялась и от ответа не зависит. Вопрос задаётся и в телеграм-боте, и в веб-приложении — одинаковый, с теми же пятью вариантами и той же кнопкой пропуска.

Если ты ответила, мы храним: какой вариант, каким способом оплачивалась подписка, где ты ответила и когда. Свободного текста в вопросе нет — нечего и хранить. Ни один из вариантов не спрашивает о твоём теле: «сейчас не отслеживаю цикл» — про то, как ты пользуешься приложением, а не про то, что с тобой происходит, и почему цикл не отслеживается, мы не спрашиваем. Один ответ на одну отмену: если в течение двух дней ты ответишь иначе, новый ответ заменит прежний.

Зачем это нам: видеть, почему уходят, и не говорить лишнего на прощание — той, кто сейчас не отслеживает цикл, мы не пишем «ежедневные подсказки замолчат» и «подсказки продолжат приходить». Основание — наш законный интерес (ст. 6 ч. 1 п. 7 152-ФЗ); твоих прав он не ущемляет: вопрос можно пропустить, а ответ удаляется вместе с аккаунтом целиком (раздел 12). В рекламные и аналитические сервисы ответ не уходит.

3. Здоровье и интимная жизнь

Данные цикла, симптомы и измерения Apple Health — это данные о состоянии здоровья. Отметки близости — это данные об интимной жизни. Российский закон (ст. 10 152-ФЗ) относит обе категории к специальным и разрешает их обработку только с твоего согласия.

Мы говорим об этом прямо, а не прячем отметки близости внутрь «данных цикла»: они отдельные, они особые, и они попадают в контекст Лунного Оракула — в виде «близость — сегодня / вчера», за последние двое суток. Если тебе этого не нужно, не ставь отметку.

Пауза трекера — что мы про неё храним и чего не спрашиваем. Когда трекер ставится на паузу, мы записываем момент паузы, а если ты поставила её сама из чек-ина задержки (сообщения о задержке с кнопкой «поставить трекер на паузу») — ещё и это: твой выбор нельзя путать с работой автоматики, которая ставит паузу сама, если менструация не отмечалась 180 дней. Почему цикла нет, мы не спрашиваем и не храним — ни беременность, ни менопаузу, ни лечение, ничего: ни одному экрану и ни одному сообщению приложения это не нужно. Отметка о происхождении паузы — часть данных цикла, выведенная из задержки, которую ты уже отметила, и покрывается тем же согласием на обработку данных о здоровье (раздел 1). Живёт она ровно столько, сколько живёт та самая пауза: как только ты снова отмечаешь цикл, отметка стирается, а пауза, которую поставила автоматика, её не наследует — иначе через полгода наша же запись сказала бы про тебя неправду.

А как это согласие берётся — скажем по каждой двери отдельно, без обобщений.

• Веб-приложение. Экран согласия перед первым разговором с Оракулом поднимается: перечень того, что уходит в модель, ссылки на документы, которые он покрывает, одна галочка и кнопка «Принимаю». Согласие неделимо — три основания принимаются вместе, одним движением, отдельных переключателей у его частей нет. Либо ты согласна и пользуешься Оракулом, либо он тебе недоступен. Без «Принимаю» разговор не начинается, и промежуточного состояния «показан, но пропускает» у нас нет.
• Приложение для iPhone. Экрана согласия там пока нет: он приезжает только со следующей сборкой через App Store, а её сроки от нас зависят не полностью. До неё Оракул в приложении работает так же, как работал до этой редакции, — и основанием остаётся этот документ, а не отметка, которой у тебя не было (см. следующий пункт).
• Регистрация. Отдельные отметки о согласии при регистрации показываются только в англоязычных версиях — в телеграм-боте, в веб-приложении и в приложении для iPhone. В русскоязычных версиях такого шага нет вовсе, и мы не станем делать вид, что твоё согласие где-то там уже лежит: до выхода экрана согласия основанием для русской аудитории служит этот документ и то, что ты сама пришла к Оракулу и оплатила его.

Отзыв работает иначе, и это важно: он серверный, и он доступен с первого дня — в веб-приложении, Настройки → «Согласия», независимо от того, поднялся ли уже экран согласия. Если ты отзовёшь согласие там, Оракул закроется везде, включая iPhone, где экрана согласия ещё нет. Кнопка, которая не действует на соседней двери, — это не отзыв, а вид отзыва.

4. Apple Health — что именно мы читаем

Сегодня, если у тебя iPhone и ты подключила Apple Health, приложение просит доступ к одному типу данных — к менструальному потоку. Больше ни к чему.

После выхода следующей сборки для iPhone перечень станет таким, и только таким:

• менструальный поток,
• сон,
• вариабельность сердечного ритма,
• пульс покоя,
• температура запястья во сне,
• симптомы цикла.

Когда сборка выйдет, этот перечень из шести типов будет одинаков в трёх местах: в системном запросе разрешений, в заметках для проверки Apple и здесь. Это перечень того, что приложение читает у Apple Health.

А на экране согласия перед Оракулом перечень другой — и короче на один пункт. Это не оплошность, а разные вещи. Галочка «сигналы тела» в щите охватывает пять сигналов: сон, вариабельность сердечного ритма, пульс покоя, температура запястья во сне и симптомы цикла. Менструального потока в ней нет.

Потому что галочка отвечает ровно на один вопрос: уедет ли этот сигнал вместе с моим сообщением Оракулу. Пять сигналов выше считаются на самом телефоне и приезжают с конкретным вопросом; у нас они не хранятся, и выключенная галочка означает, что не уедет ничего. Менструальный поток идёт другой дорогой: он синхронизируется с календарём и хранится у нас на сервере как событие цикла (сроки — в разделе 8), потому что из него собран сам трекер. Поставить его в ту же галочку значило бы обещать управление, которого у тебя в этом месте нет: сняв её, ты не убрала бы поток с сервера.

Поэтому им управляют другими рычагами, и они настоящие: доступ к чтению — системными настройками iPhone (Настройки → Конфиденциальность → Здоровье → WooMoon), уже сохранённые события цикла — удалением данных (раздел 11 «Твои права» и раздел 12).

Как это работает

• Менструальный поток синхронизируется с нашим сервером: он становится событием цикла, чтобы календарь совпадал с системным трекером. Обратно в Apple Health мы записываем только то, что ты отметила сама, и удаляем только те записи, которые сделали мы.
• Всё остальное — сон, вариабельность сердечного ритма, пульс покоя, температура запястья, симптомы — на сервер не отправляется, не записывается и не читается (историческая таблица прежней схемы ещё существует, см. раздел 8). Эти измерения считаются на самом телефоне и приезжают вместе с конкретным вопросом Оракулу, чтобы он мог сказать «ты спала меньше обычного», а не гадать.
• В сам разговор попадают не показания приборов, а сравнение с твоей же обычной нормой за последние недели: «ниже её обычного», «чуть выше». Миллисекунды, удары в минуту и градусы в модель не уходят. Единственное число, которое произносится, — длительность сна.
• Если измерение старше трёх дней, оно не используется вовсе: несвежий сигнал хуже, чем никакого.
• Если ты не дала разрешение на какой-то тип, Apple Health отдаёт по нему пустоту — и блок про тело просто не собирается. Оракул работает и без него. Оговорка, которая важна именно сейчас: Apple Health отдаёт пустоту одинаково и когда данных нет, и когда доступ не запрашивался, — отличить одно от другого приложение не может. Пока не вышла сборка из абзаца выше, по пяти типам из шести доступ не запрашивается, а значит и данных не приходит.

Чего мы с этими данными не делаем

Не используем для рекламы и маркетинга. Не строим по ним профили для показа объявлений. Не продаём и не передаём никому для их собственных целей. Не отправляем в веб-аналитику и в системы измерения рекламы. Единственная цель — помочь тебе лучше понимать собственное состояние.

Отозвать доступ можно в любой момент в системных настройках iPhone: Настройки → Конфиденциальность → Здоровье → WooMoon. Приложение продолжит работать, просто без этой части.

5. Что уходит в Google (Gemini)

Тексты, которые пишет для тебя приложение, генерирует языковая модель Google — Gemini. Это внешний обработчик, и ниже перечислено, что именно он получает.

5.1. Утренняя рекомендация и другие тексты приложения

Сюда относятся дневная рекомендация, подсказки лунного дня, описания дня в календаре. В модель уходит:

• номер дня цикла и длина цикла, название и описание фазы,
• число дней задержки, если ты её отметила,
• лунные данные дня: лунный день, созвездие, день недели и их описания.

Ни имени, ни города, ни даты рождения, ни электронной почты здесь нет. Сигналов тела здесь тоже нет: с 25 августа 2026 года данные Apple Health доступны только Лунному Оракулу и в утреннюю рекомендацию не попадают.

5.2. Лунный Оракул

Разговор с Оракулом устроен иначе: он должен понимать, с кем говорит. С каждым твоим сообщением в модель уходит:

• текст твоего сообщения;
• недавние реплики этого же разговора — до пятидесяти последних, с твоего устройства;
• короткий конспект памяти (до 600 знаков), который тоже хранится у тебя на устройстве;
• твоё имя и город — так, как ты их указала;
• твой возраст числом лет; сама дата рождения не уходит;
• где ты в цикле: фаза, день, длина цикла, последние интервалы, дата последней менструации;
• сигналы тела из Apple Health, если ты дала доступ (см. раздел 4);
• отметки близости за вчера и сегодня, если они есть;
• производные твоей натальной карты: накшатра, раши, лунный день рождения, йоги, текущий период;
• полный текст сегодняшней рекомендации, которую ты уже получила;
• заголовки статей библиотеки, прогноз недели, особые дни, описание архетипа;
• вид и дата сообщений, которые мы тебе отправили за неделю — без их текста.

Один твой вопрос может стоить двух обращений к модели: одно на ответ, второе — на пересборку того самого конспекта памяти.

Что из этого можно выключить, а что нет. По отдельности — ничего: согласие неделимо. Всё из списка выше едет, пока ты пользуешься Оракулом, — и данные цикла, и сигналы Apple Health, и отметки близости, и имя, город, возраст числом лет и производные натальной карты. Отдельной галочки «не отправлять имя» у нас нет, и мы не делаем вид, что есть.

Отдельных переключателей у частей согласия нет, и это решение, а не недоделка. Либо ты согласна и пользуешься Оракулом, либо он тебе недоступен; согласие целиком отзывается одной кнопкой, и отзыв закрывает Оракула. Натальная карта — это и есть то, за чем женщина к Лунному Оракулу приходит: выключить её значит выключить сам продукт, а частичное согласие означало бы ответ на контексте, про который тебе сказали, что мы его не читаем. Мы ничего из этого не прячем за галочкой, которая всё равно не может быть снята, — мы называем состав прямо здесь и в тексте щита, который ты видишь перед первым разговором.

5.2.1. Расчёты по натальной карте по твоей просьбе

Если ты сама попросишь разобрать карту, модель может запросить у нас расчёт и получить полную натальную карту и периоды даш — то есть больше, чем перечисленные выше производные, — а также расчёт текущих транзитов или разбор карты на момент, когда ты задала вопрос. Данные рождения при этом за пределы нашего сервера не уходят: считает наш собственный сервис на том же сервере, а в модель попадает только краткий результат расчёта.

На момент публикации этой редакции механизм выключен и не работает ни в одном окружении. Мы описали его здесь заранее, потому что код выходит этим же релизом, а включение — отдельное решение: мы не хотим, чтобы новая передача данных однажды заработала под старым текстом. Когда включим, здесь будет сказано «включено» и дата.

Что не уходит в модель никогда: адрес электронной почты, телефон, идентификатор Telegram, платёжные данные и статус подписки, точные дата и время рождения, координаты места рождения, коды входа.

5.3. Что Google делает с полученным

Мы обязаны сказать это точно, потому что «не хранит» было бы неправдой. По условиям Gemini API (раздел «Paid Services → How Google Uses Your Data»):

Дословно, на языке оригинала (многоточия в квадратных скобках — наши пропуски, всё остальное — текст Google без изменений):

Наш перевод (не цитата, а пересказ смысла): Google не использует запросы — включая системные инструкции, кешированное содержимое и файлы — и ответы для улучшения своих продуктов и обрабатывает их по своему соглашению об обработке данных для продуктов, где Google выступает обработчиком. При этом Google ведёт журнал запросов и ответов в течение ограниченного времени — исключительно для выявления и предотвращения нарушений правил использования и для обязательного раскрытия по закону. Эти данные могут храниться транзитно или кешироваться в любой стране, где у Google или его агентов есть мощности.

Актуальный текст условий: ai.google.dev/gemini-api/terms.

5.4. Почему мы не пишем «мы это анонимизируем»

Потому что такое заявление ничего не доказывает: проверить его снаружи невозможно, а значит оно ничем не отличается от обещания. Вместо него мы перечисляем состав передачи выше и стараемся, чтобы перечень был точным.

6. Кому ещё уходят данные

• Telegram — если ты пользуешься ботом. Telegram получает твой идентификатор чата и полный текст всех сообщений бота, включая рекомендации.
• Apple — доставка push-уведомлений (токен устройства и текст уведомления, в котором может быть твоё имя), покупки в App Store, измерение установок из рекламы Apple Search Ads.
• Brevo — сервис рассылки писем: адрес получателя и текст письма. В письмах бывает контент, производный от цикла: например, дневная рекомендация с картинкой фазы.
• Prodamus — оплата картой для российской аудитории. Мы не передаём ему твоё имя, телефон и почту; обратно в уведомлении об оплате приходят почта и телефон плательщицы и попадают в наш журнал платежей.
• AppsFlyer, Google Analytics, Meta, Google Ads — измерение рекламы и воронки. Данные цикла, тела, близости и содержание разговоров с Оракулом туда не передаются никогда — это запрещено фильтром в коде, а не только правилом. Что туда всё-таки уходит, по получателям:
  • С нашего сервера — только коммерческие события (регистрация, пробный период, покупка) и непрозрачный идентификатор. Имени, почты, телефона и внутреннего номера аккаунта в этой отправке нет.
  • Meta получает вдобавок твой IP-адрес и строку браузера (user-agent) — открытым текстом, а также рекламные куки fbc и fbp, если они у тебя есть. «Непрозрачный идентификатор» это не покрывает, и мы не будем делать вид, что покрывает.
  • Google Analytics получает не только то, что шлёт сервер: в веб-приложении работает и счётчик Google в самом браузере — см. разделы 10 и 14.
  • С рекламной страницы сайта (не из приложения) в Google и Meta уходят просмотры страницы прямо из браузера — там работают Google Tag Manager, Google Analytics и пиксель Meta. Подробности и разница между русской и английской версией — в разделе 14.
• Расчёты астрологии выполняет наш собственный сервис на том же сервере — данные рождения для этого шага сервер не покидают.
• Хостинг и промежуточный сервер. Весь исходящий трафик наших серверов идёт через промежуточный узел, поэтому обращения к Google, Brevo и Apple проходят через него.

Мы не продаём персональные данные.

7. Передача за пределы страны

Отправка сообщения в Google (Gemini) — это трансграничная передача. Перечень стран заранее не определён: по условиям Google данные могут кешироваться в любой стране его присутствия. Через иностранные сервисы проходят также письма (Brevo), push-уведомления (Apple) и измерение рекламы.

8. Сколько мы храним

• Данные профиля, цикла, отметки близости, натальная карта, входящие сообщения — пока ты не удалишь аккаунт. Планового удаления «по сроку давности» у них нет, и мы не пишем сроков, которых не существует в коде.
• Переписка с Оракулом — пока ты сама её не сотрёшь. Мы её не храним вовсе. Записи о самом факте отправки (когда, с какой поверхности, без текста) живут в журнале событий — см. раздел 12.
• Измерения Apple Health — не записываем и не читаем. Таблица прежней схемы, куда они писались раньше, на сервере ещё существует: мы перестали в неё писать 25 августа 2026 года, а удалим её после того, как измерим на проде, что в ней осталось. Пока она есть, её чистит удаление аккаунта.
• Файловые логи серверов — 10 дней, дальше перезаписываются. Логи контейнеров ограничены по объёму, а не по сроку.
• Архив выгрузки твоих данных — 72 часа, потом удаляется.
• Отметка об удалённом аккаунте — необратимый хеш, хранится бессрочно: он не содержит персональных данных и нужен, чтобы пробный период нельзя было получить повторно.
• Финансовые записи (факт и даты платежей, идентификаторы транзакций) — остаются после удаления аккаунта, без привязки к твоему имени и контактам.
• Ответ на вопрос о причине отмены подписки — до удаления аккаунта; планового удаления по сроку у него нет.
• Отметка «пишем реже» — до первого твоего действия, которым она снимается; в любом случае не дольше, чем существует аккаунт.

9. Если сообщение похоже на кризис

Если твоё сообщение Оракулу распознаётся как разговор о причинении себе вреда, оно обрабатывается отдельно: ты получаешь заранее написанный ответ с контактами помощи, без обращения к языковой модели. Такое сообщение не расходует твой дневной лимит и не блокируется никакими ограничениями.

Мы ведём счётчик числа таких обращений, чтобы заметить ненормальный объём (например, автоматическую атаку). Он считает количество, а не содержание. Мы не врачи и не служба психологической помощи, и Оракул не ставит диагнозов.

10. Аналитика

Мы ведём собственный журнал событий интерфейса, чтобы понимать, где приложение неудобно. В нём фильтр, запрещающий сохранять что-либо о цикле, симптомах, беременности, фертильности, овуляции, настроении, дневниковых записях, половой жизни, дате рождения, почте и телефоне — по названиям полей, на уровне кода. Событие «отметила менструацию» записывается вообще без подробностей.

С нашего сервера во внешнюю веб-аналитику (Google Analytics) уходит ещё меньше: только шаги воронки и покупки, по строгому списку в коде. События про цикл, рекомендации, медитации и Оракула туда не передаются — событие, которого нет в списке, не уезжает вовсе.

Но этим дело не ограничивается, и честнее сказать прямо. В веб-приложении, помимо серверной отправки, работает счётчик Google прямо в твоём браузере. Он загружается сразу при открытии страницы и шлёт в Google просмотр страницы вместе с её полным адресом. Навигация внутри веб-приложения меняет адрес — ?page=oracle, ?page=archetype, ?page=subscription, — поэтому по адресам страниц видно, какие экраны ты открывала, включая экран Оракула. Плюс, как и любой сайт, Google при этом видит твой IP-адрес. Содержания разговоров, данных цикла и тела в этом нет — но название открытого экрана есть.

Рекламная часть этого счётчика выключена в коде: рекламное хранение, рекламные идентификаторы и персонализация объявлений отключены, сигнал Google Signals выключен. Аналитическая часть — включена, и про куки см. раздел 14.

11. Твои права

• Получить копию данных. В приложении есть выгрузка: мы соберём архив и пришлём его на твою почту. Для этого на аккаунте должен быть указан адрес почты.
• Исправить. Профиль и данные цикла редактируются в приложении.
• Удалить. Кнопка удаления данных — в приложении, см. раздел 12.
• Отозвать согласие. В веб-приложении — Настройки → «Согласия». Кнопка одна, «Отозвать»: согласие неделимо, поэтому и отзывается целиком, а отзыв закрывает Оракула. Принять снова — один тап, без уточняющего вопроса: дать не должно быть дешевле, чем отозвать. Отзыв серверный: сделанный в веб-приложении, он закрывает Оракула и на iPhone, где своего экрана отзыва пока нет — он приезжает со следующей сборкой. Если нужно отозвать всё целиком, работает удаление данных (см. раздел 12). Отзыв не делает незаконным то, что было обработано до него.
• Возразить против обработки и пожаловаться в надзорный орган.

12. Что делает удаление аккаунта и чего оно не делает

Удаляется: данные цикла и события цикла, отметки близости, история циклов, натальная карта и данные рождения, входящие сообщения, токены уведомлений, состояние регистрации и сгенерированные для тебя тексты, ответы на вопрос о причине отмены подписки. Данные профиля обнуляются — вместе с отметкой «пишем реже» и отметками паузы трекера.

Остаётся, но перестаёт быть связанным с тобой: здесь строка не удаляется, а отвязывается — номер аккаунта в ней заменяется на пустоту, а прямые идентификаторы вычищаются. Так поступаем с финансовыми записями о подписке и платежах, с журналами платежей и вебхуков (из них вычищаются почта, телефон и IP-адрес), с записью о том, что согласие давалось, — и с частью записей аналитики: строка «в такой-то день произошло такое-то событие» остаётся, IP-адрес и идентификатор сессии из неё вычищаются, связь с тобой пропадает. Отдельно остаётся необратимый хеш удалённого аккаунта.

Но не со всей аналитикой, и разница в твою пользу. Счётчиков у нас два, и второй, более подробный, при удалении аккаунта стирается целиком, а не обезличивается. В нём как раз и лежит всё, что касается Лунного Оракула: что сообщение было отправлено, была ли пометка «астрологический вопрос», что ты видела экран согласия. Прежняя редакция этого абзаца говорила про аналитику одним словом «отвязывается» — это было верно ровно наполовину.

Чего удаление не делает сейчас, и мы говорим об этом прямо:

• Твой адрес, попавший в список рассылки нашего почтового сервиса (Brevo), оттуда автоматически не удаляется. Напиши нам — удалим вручную. Мы работаем над тем, чтобы это происходило само.
• Мы не отправляем автоматических запросов на удаление другим получателям данных — платформам доставки, сервисам измерения рекламы и языковой модели. То, что уже ушло, вернуть нельзя.
• Резервные копии базы данных удаление не переписывает. Стёртое остаётся в уже снятых копиях до тех пор, пока эти копии не будут перезаписаны или уничтожены. Срок их хранения у нас не определён — мы говорим об этом и в разделе 8, и здесь, потому что умолчать об этом в разделе про удаление было бы обманом.

13. Возраст

Единого порога у нас сейчас нет: он разный в зависимости от того, через какую дверь ты пришла. Пишем как есть.

• Телеграм-бот, русская версия — регистрация проходит начиная с 12 лет (и не проходит после 60). Отметка «несовершеннолетняя», которая закрывает покупку подписки, здесь не ставится: она ставится только при регистрации через приложение и веб-приложение. То есть у зарегистрировавшейся в русском боте девочки 13–15 лет покупка подписки не заблокирована.
• Телеграм-бот, английская версия — отказ младше 16 лет.
• Приложение для iPhone и веб-приложение — регистрация невозможна младше 13 лет; при возрасте 13–15 лет аккаунт создаётся с отметкой «несовершеннолетняя», и покупка подписки для него закрыта, а вместе с ней и Лунный Оракул, который работает только по подписке.

14. Куки и хранилище на устройстве

Веб-приложение ставит два вида файлов cookie, и прежняя редакция этого раздела называла только первый.

• Служебный сеансовый (mt_webapp_session) — для входа. Без него приложение не работает.
• Аналитический (_ga и производные) — его ставит счётчик Google Analytics, который загружается в браузере при открытии веб-приложения. Он ставится по умолчанию, без вопроса: ни баннера согласия, ни переключателя отказа от аналитики в интерфейсе сейчас нет. Технически он выставлен на нашем домене, но принадлежит стороннему счётчику, и мы называем его аналитическим куки третьей стороны, а не «служебным». Рекламных куки само веб-приложение не ставит: рекламное хранение, рекламные идентификаторы и персонализация объявлений в нём выключены в коде.

Но на рекламной странице, с которой начинается знакомство, всё иначе — и об этом нельзя умолчать. На нашем сайте-лендинге, на том же домене, работают Google Tag Manager, Google Analytics и пиксель Meta, а вместе с ним ставится рекламная кука _fbp (срок жизни — до 90 дней, домен .woomoon.app). Для русскоязычной версии страницы всё это включается по умолчанию, без баннера и без вопроса: и аналитика, и реклама. Для англоязычной версии по умолчанию всё выключено и включается только после явного согласия. То есть строгий вариант у нас существует и работает — он просто не применён к русской аудитории.

Почему так. Российский закон о персональных данных не требует баннера согласия на куки — обязанность спрашивать до загрузки счётчиков установлена европейскими правилами, под которые подпадает англоязычная аудитория. Поэтому строгий режим остаётся на английской версии, а русская работает без баннера. Разница не забыта и не является недоделкой — она соответствует тому, какие правила применяются к каждой из двух аудиторий. Отказаться от аналитики в русской версии сегодня нельзя, и мы говорим об этом прямо, а не умалчиваем.

Переписка с Оракулом в веб-версии лежит в хранилище браузера. У этого есть обратная сторона, о которой честнее сказать сразу: Safari очищает хранилище примерно через неделю без визитов, «очистить данные сайта» стирает разговор безвозвратно, а в приватном окне он не сохранится вовсе. Копии у нас нет, восстановить будет неоткуда.

15. Мобильное приложение — что добавляется на iPhone

• Идентификатор установки — случайный номер, который приложение создаёт себе само, чтобы различать устройства. С рекламными идентификаторами он не связан.
• Токен уведомлений — нужен, чтобы прислать напоминание, на которое ты подписалась. Хранится, пока ты не удалишь приложение, не выключишь уведомления или не удалишь аккаунт.
• Чеки покупок из App Store — чтобы активировать и восстанавливать подписку.
• Измерение установок из рекламы — Apple Search Ads и AppsFlyer. Рекламный идентификатор (IDFA) мы не собираем, запрос на отслеживание не показываем, потому что нам нечего отслеживать. Данные о здоровье и цикле рекламным сервисам не передаются.

Мы не собираем: точное местоположение в фоне, доступ к камере, микрофону, контактам, фотографиям. И не собираем отчёты о сбоях: в прежней редакции этого документа упоминался сервис Sentry — в приложении его нет.

16. Безопасность

Соединения шифруются (HTTPS). Доступ к серверам ограничен. В логах маскируются имя, город, координаты и часовой пояс. Логи живут 10 дней. Мы не считаем логи обезличенными и не полагаемся на это.

Ни один способ передачи и хранения не даёт стопроцентной защиты.

17. Запросы государственных органов

Для трекера цикла это вопрос не праздный, поэтому отвечаем прямо, а не молчанием.

Что мы можем сказать про сегодняшний день: специального порядка, автоматического интерфейса или «окна» для органов у нас не существует — ни в коде, ни в чьих-либо доступах. Никакого механизма выдачи данных, кроме обычного доступа наших администраторов к базе, нет.

Что важно понимать про сам объём: переписки с Оракулом у нас нет — её невозможно выдать по запросу, потому что её физически нет ни в базе, ни в резервных копиях. А вот данные цикла, отметки близости, профиль, почта, история платежей и записи о том, когда ты пользовалась Оракулом, у нас есть. Мы не будем обещать, что «никогда никому ничего не отдадим»: законные требования уполномоченных органов оператор игнорировать не может, и обещание обратного было бы пустым. На каких именно основаниях и в каком порядке это может произойти — вопрос, который у нас пока не проработан, и мы говорим об этом прямо, а не заполняем пробел красивой фразой.

18. Если данные утекут

Ни один способ защиты не даёт стопроцентной гарантии — это написано в разделе 16, и это не фигура речи. Утечка данных о цикле и интимной жизни — тот случай, когда молчание хуже самой утечки.

Честно про сегодняшний день: порядок действий на случай утечки — кого и в какой срок мы уведомляем, как определяем состав пострадавших данных, кто принимает решение — у нас не описан. Мы не пишем здесь срок в часах, которого не существует в наших регламентах, и не даём обещания, которое некому исполнять.

19. Изменения

Мы обновляем этот документ, когда меняется то, что он описывает; дата вверху меняется вместе с ним. Если появится новый вид данных, мы спросим согласие заново, а не расширим старое молча.