Политика приватности

Обновлено: 2026-10-09

Главное за минуту

1. Кто обрабатывает данные

Оператор персональных данных — Индивидуальный предприниматель Долматова Елена Геннадьевна, ОГРНИП 325774600419082, адрес регистрации: 119333, г. Москва, Ленинский проспект, д. 52, кв. 138.

Обращения по вопросам обработки персональных данных — на адрес электронной почты [email protected], в Telegram @lunnaya_care или письмом по адресу регистрации.

Эта политика составлена по праву Российской Федерации и относится к аккаунтам, зарегистрированным в России: какое лицо обслуживает аккаунт, решает страна регистрации, а не язык интерфейса. Аккаунты, зарегистрированные за пределами России, обслуживает другое лицо по своим документам.

2. Что мы собираем и где это лежит

Три разных ответа на вопрос «где мои данные», и их важно не путать.

Карт и платёжных реквизитов мы не видим и не храним: оплата проходит на стороне платёжного сервиса или магазина приложений.

2.1. Когда мы сами начинаем писать реже

Если за 90 дней мы отправили тебе пять сообщений или больше — в бот, пушем или письмом — и за всё это время от тебя не было ни одного действия, мы записываем момент, с которого сами понижаем частоту своих сообщений. Это не отписка и не блокировка: с этого момента тебе приходит не чаще одного сообщения в месяц и только из короткого списка — редкое личное событие цикла, метафорическая карта, день рождения, приглашение вернуться. Про деньги и доступ мы не молчим никогда: подтверждение оплаты, проблема с картой, предупреждение о скором списании, отключение автопродления, недооформленная оплата, уведомление о слиянии аккаунтов и то, что владелица пишет адресно, приходят как приходили. Оплаченное не трогается: пока действует подписка или пробный период, утренняя рекомендация и остальные оплаченные сообщения идут как шли. Не приглушаются и сообщения о состоянии самого трекера — например, что он поставлен на паузу после 180 дней без отметок: это не рассылка, а изменение того, что мы про тебя знаем, и молчать о нём нельзя.

Действием мы считаем переход по ссылке из письма, любое действие в боте, в приложении или в веб-версии и платёж. Открытие письма действием не считается. Почтовые программы открывают письма и сами, без тебя, а у той, кто читает с выключенными картинками, «открытия» не случится никогда — поэтому в этом расчёте открытия не участвуют, хотя от почтового сервиса мы их получаем вместе с переходами.

Ничего нового о тебе эта отметка не собирает: она выводится из наших же журналов доставки — что и когда мы отправили — и из того, что ответа не было. Снимается она первым же твоим действием, при ближайшей проверке, и дальше мы пишем как раньше. Если мы не уверены, что переходы из писем вообще до нас доезжают (например, их приём сломался), приглушение не применяется ни к кому: ошибаться мы предпочитаем в сторону лишнего сообщения, а не молчания. Основание — наш законный интерес (ст. 6 ч. 1 п. 7 152-ФЗ): не писать в пустоту той, кто не отвечает. Твоих прав он не ущемляет: вернуть прежнюю частоту можно одним действием, а настройки уведомлений и отписка от почты работают как работали.

2.2. Один вопрос после отмены подписки

Когда ты отключаешь автопродление, мы — уже после того, как отмена прошла, — задаём один вопрос: что стало причиной. Ответ — один тап по одному из пяти вариантов: «сейчас не отслеживаю цикл», «дорого», «мало пользы для меня», «что-то не работало», «другое». Кнопка «Не отвечать» равноправна: пропуск мы не записываем вовсе, а отмена уже состоялась и от ответа не зависит. Вопрос задаётся и в телеграм-боте, и в веб-приложении — одинаковый, с теми же пятью вариантами и той же кнопкой пропуска.

Если ты ответила, мы храним: какой вариант, каким способом оплачивалась подписка, где ты ответила и когда. Свободного текста в вопросе нет — нечего и хранить. Ни один из вариантов не спрашивает о твоём теле: «сейчас не отслеживаю цикл» — про то, как ты пользуешься приложением, а не про то, что с тобой происходит, и почему цикл не отслеживается, мы не спрашиваем. Один ответ на одну отмену: если в течение двух дней ты ответишь иначе, новый ответ заменит прежний.

Зачем это нам: видеть, почему уходят, и не говорить лишнего на прощание — той, кто сейчас не отслеживает цикл, мы не пишем «ежедневные подсказки замолчат» и «подсказки продолжат приходить». Основание — наш законный интерес (ст. 6 ч. 1 п. 7 152-ФЗ); твоих прав он не ущемляет: вопрос можно пропустить, а ответ удаляется вместе с аккаунтом целиком (раздел 12). В рекламные и аналитические сервисы ответ не уходит.

3. Здоровье и интимная жизнь

Данные цикла, симптомы и измерения Apple Health — это данные о состоянии здоровья. Отметки близости — это данные об интимной жизни. Российский закон (ст. 10 152-ФЗ) относит обе категории к специальным и разрешает их обработку только с твоего согласия.

Мы говорим об этом прямо, а не прячем отметки близости внутрь «данных цикла»: они отдельные, они особые, и они попадают в контекст Лунного Оракула — в виде «близость — сегодня / вчера», за последние двое суток. Если тебе этого не нужно, не ставь отметку.

Пауза трекера — что мы про неё храним и чего не спрашиваем. Когда трекер ставится на паузу, мы записываем момент паузы, а если ты поставила её сама из чек-ина задержки (сообщения о задержке с кнопкой «поставить трекер на паузу») — ещё и это: твой выбор нельзя путать с работой автоматики, которая ставит паузу сама, если менструация не отмечалась 180 дней. Почему цикла нет, мы не спрашиваем и не храним — ни беременность, ни менопаузу, ни лечение, ничего: ни одному экрану и ни одному сообщению приложения это не нужно. Отметка о происхождении паузы — часть данных цикла, выведенная из задержки, которую ты уже отметила, и покрывается тем же согласием на обработку данных о здоровье (раздел 1). Живёт она ровно столько, сколько живёт та самая пауза: как только ты снова отмечаешь цикл, отметка стирается, а пауза, которую поставила автоматика, её не наследует — иначе через полгода наша же запись сказала бы про тебя неправду.

Основание — твоё согласие, и оно разное для двух частей продукта.

• Календарь и утренняя рекомендация — согласие на обработку данных о здоровье. Оно же покрывает передачу данных цикла для утренней рекомендации получателям ИИ из раздела 5.
• Лунный Оракул — отдельное согласие из трёх документов: на обработку и передачу в модель, на трансграничную передачу и на обработку специальных категорий.

А как это согласие берётся — скажем по каждой двери отдельно, без обобщений.

• Экран согласия перед Оракулом — в веб-приложении и в приложении для iPhone начиная с версии 1.0.28: перечень того, что уходит в модель, ссылки на три документа, одна галочка и кнопка «Принимаю». Согласие неделимо — три основания принимаются вместе, одним движением, отдельных переключателей у его частей нет. Либо ты согласна и пользуешься Оракулом, либо он тебе недоступен. Без «Принимаю» разговор не начинается.
• Старые версии приложения для iPhone. В версии 1.0.27 экран согласия устроен по-старому, с отдельными переключателями, а в версиях до 1.0.27 его нет вовсе, и Оракул там отвечает без него, пока ты не обновишь приложение.
• Регистрация. С 25.09.2026 на последнем шаге регистрации — в телеграм-боте, в веб-приложении и в приложении для iPhone — ты принимаешь документы двумя отдельными отметками: оферту, эту политику и согласие на обработку персональных данных — и согласие на обработку данных о здоровье. Какие документы показать, решает страна регистрации, а не язык интерфейса; время согласия мы записываем. У аккаунтов, зарегистрированных раньше, ничего не меняется и повторно мы не спрашиваем: тогда отдельные отметки были только в англоязычных версиях, и тем, кто регистрировался на русском, мы не станем ссылаться на отметку, которой они не ставили.

Отзыв — серверный: Настройки → Согласия (в приложении для iPhone и в веб-приложении). Отозвав согласие в одном месте, ты закрываешь Оракула везде, включая старые версии приложения без экрана согласия. Кнопка, которая не действует на соседней двери, — это не отзыв, а вид отзыва.

4. Apple Health — что именно мы читаем

Если у тебя iPhone и ты подключила Apple Health, приложение читает шесть типов данных, и только их:

• менструальный поток,
• сон,
• вариабельность сердечного ритма,
• пульс покоя,
• температура запястья во сне,
• симптомы цикла.

Этот перечень одинаков в трёх местах: в системном запросе разрешений, в заметках для проверки Apple и здесь. Это перечень того, что приложение читает у Apple Health.

iPhone спрашивает о нём двумя отдельными запросами, и это разные вещи. Менструальный поток запрашивается, когда ты подключаешь Apple Health: он синхронизируется с календарём и хранится у нас на сервере как событие цикла (сроки — в разделе 8), потому что из него собран сам трекер. Пять остальных сигналов — сон, вариабельность сердечного ритма, пульс покоя, температура запястья во сне и симптомы цикла — iPhone спрашивает отдельным системным запросом, один раз, после того как ты приняла согласие на Лунного Оракула. Отказ в нём ничего не закрывает: ни Оракула, ни оплаченного. Отдельной галочки «сигналы тела» на экране согласия нет — ими управляет разрешение самого iPhone.

Рычаги настоящие: доступ к чтению — системными настройками iPhone (Настройки → Конфиденциальность → Здоровье → WooMoon), уже сохранённые события цикла — удалением данных (раздел 11 «Твои права» и раздел 12).

Как это работает

• Менструальный поток синхронизируется с нашим сервером: он становится событием цикла, чтобы календарь совпадал с системным трекером. Обратно в Apple Health мы записываем только то, что ты отметила сама, и удаляем только те записи, которые сделали мы.
• Всё остальное — сон, вариабельность сердечного ритма, пульс покоя, температура запястья, симптомы — на сервер не отправляется, не записывается и не читается (историческая таблица прежней схемы ещё существует, см. раздел 8). Эти измерения считаются на самом телефоне и приезжают вместе с конкретным вопросом Оракулу, чтобы он мог сказать «ты спала меньше обычного», а не гадать.
• В сам разговор попадают не показания приборов, а сравнение с твоей же обычной нормой за последние недели: «ниже её обычного», «чуть выше». Миллисекунды, удары в минуту и градусы в модель не уходят. Единственное число, которое произносится, — длительность сна.
• Если измерение старше трёх дней, оно не используется вовсе: несвежий сигнал хуже, чем никакого.
• Если ты не дала разрешение на какой-то тип, Apple Health отдаёт по нему пустоту — и блок про тело просто не собирается. Оракул работает и без него. Оговорка, которая важна именно сейчас: Apple Health отдаёт пустоту одинаково и когда данных нет, и когда доступ не дан, — отличить одно от другого приложение не может.

Чего мы с этими данными не делаем

Не используем для рекламы и маркетинга. Не строим по ним профили для показа объявлений. Не продаём. Не отправляем в веб-аналитику и в системы измерения рекламы. Единственная цель — помочь тебе лучше понимать собственное состояние. Одна оговорка, и она важная: сравнения, которые уезжают вместе с твоим вопросом Оракулу, получают получатели ИИ из раздела 5 — и мы передаём их только для ответа, но kie.ai и DeepSeek работают без договора с нами и могут обрабатывать полученное и в собственных целях как самостоятельные операторы, а DeepSeek, как мы исходим, может использовать его для обучения своих моделей (раздел 5.3).

Отозвать доступ можно в любой момент в системных настройках iPhone: Настройки → Конфиденциальность → Здоровье → WooMoon. Приложение продолжит работать, просто без этой части.

5. Что уходит в языковые модели

Тексты, которые пишет для тебя приложение, — и утреннюю рекомендацию, и ответы Лунного Оракула — генерирует языковая модель внешнего получателя. Получателей три, и названы они поимённо:

Получатели на дату редакции 5 (25.09.2026): основной получатель — kie.ai → DeepSeek; резерв на случай недоступности основного — Google. Внутри этого перечня и на этих условиях поставщик модели может меняться без нового согласия; новый получатель или новые условия обработки — только с новым согласием.

• NEXUSAI SERVICES LLC (kie.ai) — API-агрегатор kie.ai: принимает запрос, обрабатывает его моделью DeepSeek и возвращает ответ. Адрес: 118 Krameria St, Denver, CO 80220, США. Страна обработки: Соединённые Штаты Америки — kie.ai не раскрывает, где именно исполняется модель; по его публичным заявлениям — на серверах в США. Обучение на данных: политика конфиденциальности kie.ai не говорит, используется ли содержимое запросов через API для обучения моделей. Срок хранения: не раскрыт — политика конфиденциальности kie.ai срок хранения содержимого запросов не называет. Соглашение об обработке данных: не подтверждено — отдельного соглашения с kie.ai у нас нет. Статус получателя: если использует данные сверх передачи модели — обрабатывает их в собственных целях как самостоятельный оператор, а не по поручению Оператора; договора с kie.ai нет.
• Hangzhou DeepSeek Artificial Intelligence Co., Ltd. (DeepSeek) — разработчик модели DeepSeek, которой пишется ответ основного получателя; возможный получатель: kie.ai не раскрывает, где именно исполняется модель, и нельзя исключить, что содержимое запросов передаётся компании DeepSeek в КНР, поэтому оператор исходит из худшего случая. Адрес: Room 1201, Building West 1, Huijin International Mansion, No. 169 Huancheng North Road, Gongshu District, Hangzhou, Zhejiang, Китайская Народная Республика. Страна обработки: возможно, Китайская Народная Республика — если содержимое запросов передаётся компании DeepSeek. Обучение на данных: условия открытой платформы DeepSeek не описывают использование полученных данных для обучения; оператор исходит из того, что DeepSeek может использовать их для обучения своих моделей, и отказаться от этого через приложение нельзя. Срок хранения: не раскрыт — условия открытой платформы DeepSeek срок хранения не описывают. Соглашение об обработке данных: не подтверждено — отдельного соглашения с DeepSeek у нас нет. Статус получателя: может обрабатывать полученные данные и в собственных целях как самостоятельный оператор, а не только по поручению Оператора; договора с DeepSeek нет.
• Google LLC (Google) — владелец модели Gemini, которая пишет ответ (платный тариф Gemini API). Адрес: 1600 Amphitheatre Parkway, Mountain View, CA 94043, США. Страна обработки: Соединённые Штаты Америки и другие страны, где у Google есть вычислительные мощности: Google обрабатывает и может временно кешировать данные в собственной инфраструктуре. Обучение на данных: по условиям платного тарифа Gemini API Google не использует запросы и ответы для обучения моделей и улучшения своих продуктов и не отдаёт их с этой целью на просмотр людям. Срок хранения: журнал запросов и ответов ведётся ограниченное время — только для выявления нарушений правил использования и раскрытия по закону. Соглашение об обработке данных: подтверждено оператором 19.09.2026 (Paid Services Gemini API). Статус получателя: обрабатывает данные по поручению Оператора на условиях платного тарифа Gemini API.

История изменений перечня — страница получателей данных для ИИ.

Ниже перечислено, что именно они получают.

5.1. Утренняя рекомендация и другие тексты приложения

Сюда относятся дневная рекомендация, подсказки лунного дня, описания дня в календаре. Их пишет модель тех же получателей, что перечислены выше. В модель уходит:

• номер дня цикла и длина цикла, название и описание фазы,
• число дней задержки, если ты её отметила,
• лунные данные дня: лунный день, созвездие, день недели и их описания.

Ни имени, ни даты рождения, ни электронной почты здесь нет. Сигналов тела и отметок близости здесь тоже нет: данные Apple Health доступны только Лунному Оракулу и в утреннюю рекомендацию не попадают. Основание этой передачи, в том числе за пределы России, — согласие на обработку данных о здоровье (см. раздел 7 этой политики).

5.2. Лунный Оракул

Разговор с Оракулом устроен иначе: он должен понимать, с кем говорит. С каждым твоим сообщением в модель уходит:

• текст твоего сообщения;
• недавние реплики этого же разговора — до пятидесяти последних, с твоего устройства;
• короткий конспект памяти (до 600 знаков), который тоже хранится у тебя на устройстве;
• твоё имя — так, как ты его указала;
• твой возраст числом лет; сама дата рождения не уходит;
• где ты в цикле: фаза, день, длина цикла, последние интервалы, дата последней менструации;
• сигналы тела из Apple Health, если ты разрешила их чтение на iPhone (см. раздел 4): сон, вариабельность сердечного ритма, пульс покоя, температура запястья во сне и симптомы цикла — в виде сравнения с твоей же обычной нормой, а не показаний приборов;
• отметки близости за вчера и сегодня, если они есть;
• положения твоей натальной карты по сохранённому у нас расчёту: асцендент (лагна); знак каждого из двенадцати домов и его управитель; знак и дом каждой из девяти планет с её достоинством, ретроградностью и сожжением; аспекты между планетами; накшатра Луны с её падой, управителем, божеством, символом и её границами в знаках; йоги в карте с описанием того, как они сложились, и классические йоги, которых в карте нет, с причиной; йога-карака; природно и функционально (для твоего асцендента) благотворные, неблаготворные и нейтральные планеты, а также планеты, которые по классическому тексту (BPHS) дают йогу для твоего асцендента, планеты смешанной или условной природы и пары планет, не образующие йогу, с пояснением из текста; текущие махадаша и антардаша — без дат начала и конца. Дата, время и место рождения и градусы не передаются, но вместе с возрастом эти положения позволяют довольно точно определить дату и приблизительное время рождения;
• полный текст сегодняшней рекомендации, которую ты уже получила;
• заголовки статей библиотеки, прогноз недели, особые дни, архетип: натальная накшатра, натальный раши и натальный лунный день;
• отметка о том, какие данные рождения заполнены в профиле — дата, время, место, — без самих значений;
• вид и дата сообщений, которые мы тебе отправили за неделю — без их текста.

Один твой вопрос может стоить нескольких обращений к модели: на ответ (если модель запрашивает расчёт по карте — ещё одно, уже с результатом расчёта, см. раздел 5.2.1) и на пересборку того самого конспекта памяти.

Что из этого можно выключить, а что нет. По отдельности — ничего: согласие неделимо. Всё из списка выше едет, пока ты пользуешься Оракулом, — и данные цикла, и сигналы Apple Health, если ты разрешила их чтение, и отметки близости, и имя, возраст числом лет и положения натальной карты. Отдельной галочки «не отправлять имя» у нас нет, и мы не делаем вид, что есть.

Отдельных переключателей у частей согласия нет, и это решение, а не недоделка. Либо ты согласна и пользуешься Оракулом, либо он тебе недоступен; согласие целиком отзывается одной кнопкой, и отзыв закрывает Оракула. Натальная карта — это и есть то, за чем женщина к Лунному Оракулу приходит: выключить её значит выключить сам продукт, а частичное согласие означало бы ответ на контексте, про который тебе сказали, что мы его не читаем. Мы ничего из этого не прячем за галочкой, которая всё равно не может быть снята, — мы называем состав прямо здесь и в тексте щита, который ты видишь перед первым разговором.

5.2.1. Дополнительные расчёты по твоей просьбе

Если ты сама попросишь разобрать карту, модель может запросить у нас расчёт — и получить больше, чем перечисленные выше положения карты, которые уходят всегда. Механизм включён в веб-приложении и в приложении для iPhone. Что модель может получить, дословно по составу:

• подробности натальной карты: навамша;
• периоды даш: текущие махадаша и антардаша с датами начала и конца, следующий период или последовательность махадаш;
• текущие транзиты: положения планет относительно твоей натальной Луны, их оценка, особые транзиты;
• разбор на момент вопроса (прашна): карта момента, в который ты спросила, её выводы и оценка; для неё модель называет категорию твоего вопроса.

Модель просит расчёт только тогда, когда ты сама спрашиваешь о своей карте. Данные рождения — дата, время и место — и твои текущие координаты за пределы нашего сервера при этом не уходят: считает наш собственный сервис на том же сервере, а в модель попадает только результат расчёта. Скажем честно: по датам периодов даш дату и время рождения можно восстановить ещё точнее, чем по положениям карты.

Что не уходит в модель никогда: адрес электронной почты, телефон, идентификатор Telegram, платёжные данные и статус подписки, точные дата и время рождения, координаты места рождения, коды входа.

5.3. Что получатели делают с полученным

Условия у получателей разные, и мы обязаны назвать их точно, потому что «не хранит» было бы неправдой.

Google. По условиям Gemini API (раздел «Paid Services → How Google Uses Your Data»):

Дословно, на языке оригинала (многоточия в квадратных скобках — наши пропуски, всё остальное — текст Google без изменений):

Наш перевод (не цитата, а пересказ смысла): Google не использует запросы — включая системные инструкции, кешированное содержимое и файлы — и ответы для улучшения своих продуктов и обрабатывает их по своему соглашению об обработке данных для продуктов, где Google выступает обработчиком. При этом Google ведёт журнал запросов и ответов в течение ограниченного времени — исключительно для выявления и предотвращения нарушений правил использования и для обязательного раскрытия по закону. Эти данные могут храниться транзитно или кешироваться в любой стране, где у Google или его агентов есть мощности.

Актуальный текст условий: ai.google.dev/gemini-api/terms.

kie.ai (NEXUSAI SERVICES LLC) — основной получатель: API-агрегатор, который обрабатывает запрос моделью DeepSeek. Где именно исполняется модель, kie.ai не раскрывает; по его публичным заявлениям — на серверах в США. Его политика конфиденциальности не говорит, сколько хранится содержимое запросов через API и используется ли оно для обучения. Договора об обработке данных с kie.ai у нас нет: если он использует данные сверх передачи модели, он делает это в собственных целях как самостоятельный оператор.

DeepSeek (Hangzhou DeepSeek Artificial Intelligence Co., Ltd., КНР) — возможный получатель: нельзя исключить, что kie.ai передаёт содержимое запросов компании DeepSeek в Китай, и мы исходим из этого худшего случая. Политика конфиденциальности DeepSeek к таким данным не применяется; применяются условия открытой платформы DeepSeek, а они не описывают ни срок хранения, ни использование полученных данных для обучения. Мы исходим из того, что такое использование возможно, и отказаться от него через приложение нельзя. Договора с DeepSeek у нас нет, и DeepSeek может обрабатывать данные в собственных целях как самостоятельный оператор.

Google — резерв на случай недоступности основного получателя. Внутри перечня из раздела 5 поставщик модели может меняться без нового согласия; новый получатель или новые условия обработки — только с новым согласием.

5.4. Почему мы не пишем «мы это анонимизируем»

Потому что такое заявление ничего не доказывает: проверить его снаружи невозможно, а значит оно ничем не отличается от обещания. Вместо него мы перечисляем состав передачи выше и стараемся, чтобы перечень был точным.

6. Кому ещё уходят данные

• Telegram — если ты пользуешься ботом. Telegram получает твой идентификатор чата и полный текст всех сообщений бота, включая рекомендации.
• Apple — доставка push-уведомлений (токен устройства и текст уведомления, в котором может быть твоё имя), покупки в App Store, измерение установок из рекламы Apple Search Ads.
• Brevo — сервис рассылки писем: адрес получателя и текст письма. В письмах бывает контент, производный от цикла: например, дневная рекомендация с картинкой фазы.
• Prodamus — оплата картой для российской аудитории. Мы не передаём ему твоё имя, телефон и почту; обратно в уведомлении об оплате приходят почта и телефон плательщицы и попадают в наш журнал платежей.
• AppsFlyer, Google Analytics, Meta, Google Ads — измерение рекламы и воронки. Данные цикла, тела, близости и содержание разговоров с Оракулом туда не передаются никогда — это запрещено фильтром в коде, а не только правилом. Имя, почта и телефон туда тоже не уходят, а номер аккаунта никогда не уходит в открытом виде. Что туда всё-таки уходит, по получателям:
  • Google Analytics, с нашего сервера — события воронки и покупок по закрытому списку в коде (например: открытие приложения, регистрация, показ экрана подписки, переход к оплате, пробный период, покупка, продление, отмена) с тарифом, ценой и валютой. Они привязаны к идентификатору куки _ga твоего браузера, если он есть, а иначе — к хешу номера аккаунта с секретной солью. Это псевдонимный идентификатор, а не анонимный. Кроме того, Google Analytics получает то, что его счётчик в веб-приложении шлёт прямо из браузера, — см. разделы 10 и 14.
  • Meta, с нашего сервера — только если ты пришла к нам из рекламы Meta: событие (регистрация, пробный период, покупка, подписка, нажатие кнопки на нашем лендинге или расчёт на странице панчанги), его сумма, валюта и время, адрес страницы без параметров и два идентификатора Meta — идентификатор клика по объявлению (fbc) и идентификатор куки браузера Meta (fbp), если он у тебя есть. Твой IP-адрес, данные браузера (user-agent), почту, телефон и номер аккаунта наш сервер в Meta не передаёт. IP-адрес и данные браузера посетителей сайта для рекламы мы больше не храним, а прежние записи, сделанные для этой цели, удалены 9 октября 2026 года. В журналах (логах) сервера IP-адрес и данные браузера по-прежнему записываются, как на любом веб-сервере (раздел 16). Собственный пиксель Meta на нашем сайте — другое дело: он сам передаёт в Meta твой IP-адрес и данные браузера прямо из браузера — см. ниже и раздел 14.
  • Google Ads, с нашего сервера — только если ты пришла к нам из рекламы Google: идентификатор клика по объявлению (gclid, gbraid или wbraid), событие (регистрация, пробный период, покупка, подписка, нажатие кнопки на нашем лендинге или расчёт на странице панчанги), его время, сумма и валюта, а также хеш номера события, чтобы оно не засчиталось дважды. Ни IP-адреса, ни данных браузера, ни имени, почты или телефона.
  • AppsFlyer (приложение для iPhone) — измерение установок из рекламы и события в приложении: показ экрана подписки, переход к оплате, начало пробного периода, покупка (с тарифом, ценой и валютой). SDK AppsFlyer в приложении не собирает рекламный идентификатор (IDFA), но получает идентификатор устройства для разработчика (IDFV), твой IP-адрес, модель устройства и версию системы, а также собственный идентификатор установки; после входа приложение передаёт ему ещё и хеш номера аккаунта. Этот хеш сделан без секретной соли, поэтому тот, кто уже знает номер, может его сопоставить: это псевдонимный идентификатор, а не анонимный. AppsFlyer передаёт эти события в Meta и Google, где мы даём рекламу, вместе со своим идентификатором устройства и своей разметкой кампаний, чтобы они могли измерять наши кампании. Наш сервер может дополнительно отправлять в AppsFlyer события подписки (пробный период, покупка, начало подписки, продление, отмена, окончание, возврат) только с идентификатором установки AppsFlyer и тем же хешем; на момент этой редакции этот канал выключен.
  • С нашего сайта (лендинг, страница панчанги и страница сотрудничества; не из приложения) в Google и Meta прямо из браузера уходят просмотры страниц и другие события на странице (например, просмотр видеоинструкции) — там работают Google Tag Manager, Google Analytics и пиксель Meta, и, как любой код в браузере, они получают твой IP-адрес, данные браузера и свои куки. После расчёта на странице панчанги пиксель передаёт в Meta ещё и выбранный тобой город. Кнопка App Store на лендинге ведёт через ссылку AppsFlyer: при нажатии AppsFlyer получает твой IP-адрес, данные браузера и рекламные метки страницы (откуда ты пришла и название кампании). Подробности и разница между русской и английской версией — в разделе 14.
• Расчёты астрологии выполняет наш собственный сервис на том же сервере — данные рождения для этого шага сервер не покидают.
• Хостинг и промежуточный сервер. Весь исходящий трафик наших серверов идёт через промежуточный узел, поэтому обращения к получателям ИИ (Google, kie.ai), Brevo и Apple проходят через него.

Мы не продаём персональные данные.

7. Передача за пределы страны

Отправка сообщения в языковую модель — это трансграничная передача: в Соединённые Штаты (kie.ai, Google — у Google, кроме того, в любую страну, где у него есть мощности) и, возможно, в Китайскую Народную Республику (DeepSeek). КНР входит в перечень государств, обеспечивающих адекватную защиту прав субъектов персональных данных (Приказ Роскомнадзора от 05.08.2022 № 128); США в него не входят, поэтому передача в США осуществляется на основании согласия (ч. 4 ст. 12 152-ФЗ). Согласие это разное для двух функций: для утренней рекомендации данные цикла уходят тем же получателям на основании согласия на обработку данных о здоровье, которое покрывает и эту передачу; для Лунного Оракула — на основании отдельного согласия на трансграничную передачу, которое принимается той же отметкой, что и остальное согласие на Оракула. Через иностранные сервисы проходят также письма (Brevo), push-уведомления (Apple) и измерение рекламы.

8. Сколько мы храним

• Данные профиля, цикла, отметки близости, натальная карта, входящие сообщения — пока ты не удалишь аккаунт. Планового удаления «по сроку давности» у них нет, и мы не пишем сроков, которых не существует в коде.
• Переписка с Оракулом — пока ты сама её не сотрёшь. Мы её не храним вовсе. Записи о самом факте отправки (когда, с какой поверхности, без текста) живут в журнале событий — см. раздел 12.
• Измерения Apple Health — не записываем и не читаем. Таблица прежней схемы, куда они писались раньше, на сервере ещё существует: мы перестали в неё писать 25 августа 2026 года, а удалим её после того, как измерим на проде, что в ней осталось. Пока она есть, её чистит удаление аккаунта.
• Файловые логи серверов — 10 дней, дальше перезаписываются. Логи контейнеров ограничены по объёму, а не по сроку.
• Архив выгрузки твоих данных — 72 часа, потом удаляется.
• Отметка об удалённом аккаунте — необратимый хеш, хранится бессрочно: он не содержит персональных данных и нужен, чтобы пробный период нельзя было получить повторно.
• Финансовые записи (факт и даты платежей, идентификаторы транзакций) — остаются после удаления аккаунта, без привязки к твоему имени и контактам.
• Ответ на вопрос о причине отмены подписки — до удаления аккаунта; планового удаления по сроку у него нет.
• Отметка «пишем реже» — до первого твоего действия, которым она снимается; в любом случае не дольше, чем существует аккаунт.
• Ответы на анкеты — до удаления аккаунта; удаляются вместе с ним целиком. Не передаются получателям ИИ; читает только команда WooMoon — чтобы улучшать продукт.

9. Если сообщение похоже на кризис

Если твоё сообщение Оракулу распознаётся как разговор о причинении себе вреда, оно обрабатывается отдельно: ты получаешь заранее написанный ответ с контактами помощи, без обращения к языковой модели. Такое сообщение не расходует твой дневной лимит и не блокируется никакими ограничениями.

Мы ведём счётчик числа таких обращений, чтобы заметить ненормальный объём (например, автоматическую атаку). Он считает количество, а не содержание. Мы не врачи и не служба психологической помощи, и Оракул не ставит диагнозов.

10. Аналитика

Мы ведём собственный журнал событий интерфейса, чтобы понимать, где приложение неудобно. В нём фильтр, запрещающий сохранять что-либо о цикле, симптомах, беременности, фертильности, овуляции, настроении, дневниковых записях, половой жизни, дате рождения, почте и телефоне — по названиям полей, на уровне кода. Событие «отметила менструацию» записывается вообще без подробностей.

С нашего сервера во внешнюю веб-аналитику (Google Analytics) уходит ещё меньше: только шаги воронки и покупки, по строгому списку в коде. События про цикл, рекомендации, медитации и Оракула туда не передаются — событие, которого нет в списке, не уезжает вовсе.

Но этим дело не ограничивается, и честнее сказать прямо. В веб-приложении, помимо серверной отправки, работает счётчик Google прямо в твоём браузере. Он загружается сразу при открытии страницы и шлёт в Google просмотр страницы вместе с её полным адресом. Навигация внутри веб-приложения меняет адрес — ?page=oracle, ?page=archetype, ?page=subscription, — поэтому по адресам страниц видно, какие экраны ты открывала, включая экран Оракула. Плюс, как и любой сайт, Google при этом видит твой IP-адрес. Содержания разговоров, данных цикла и тела в этом нет — но название открытого экрана есть.

Рекламная часть этого счётчика выключена в коде: рекламное хранение, рекламные идентификаторы и персонализация объявлений отключены, сигнал Google Signals выключен. Аналитическая часть — включена, и про куки см. раздел 14.

Что это значит для тебя в веб-приложении. Переключателя, который выключает этот счётчик, в веб-приложении нет. Пользуясь веб-приложением, ты понимаешь, что эта аналитика работает: мы используем её, чтобы развивать приложение и улучшать его работу и видеть, откуда в него приходят. Рекламные сигналы в ней выключены. Google получает идентификатор куки _ga и, как с любого сайта, твой IP-адрес (по словам Google, Google Analytics 4 IP-адреса не хранит). Номер аккаунта и идентификатор пользователя мы ему не передаём, а при открытии веб-приложения счётчик настроен так, чтобы не брать часть адреса после #, в которой Telegram передаёт данные для входа.

11. Твои права

• Получить копию данных. В приложении есть выгрузка: мы соберём архив и пришлём его на твою почту. Для этого на аккаунте должен быть указан адрес почты.
• Исправить. Профиль и данные цикла редактируются в приложении.
• Удалить. Кнопка удаления данных — в приложении, см. раздел 12.
• Отозвать согласие. Согласие на Лунного Оракула — Настройки → Согласия (в приложении для iPhone и в веб-приложении). Кнопка одна, «Отозвать»: согласие неделимо, поэтому и отзывается целиком, а отзыв закрывает Оракула. Принять снова — один тап, без уточняющего вопроса: дать не должно быть дешевле, чем отозвать. Отзыв серверный: сделанный в одном месте, он закрывает Оракула везде, включая старые версии приложения для iPhone без экрана согласия. Чтобы прекратить обработку данных о здоровье целиком — в том числе для календаря и рекомендаций, — работает удаление данных (см. раздел 12). Отзыв не делает незаконным то, что было обработано до него.
• Возразить против обработки — письмом на адрес из раздела 1.
• Обжаловать действия оператора в Роскомнадзор — уполномоченный орган по защите прав субъектов персональных данных — или в суд (ст. 17 152-ФЗ).

12. Что делает удаление аккаунта и чего оно не делает

Удаляется: данные цикла и события цикла, отметки близости, история циклов, натальная карта и данные рождения, входящие сообщения, токены уведомлений, состояние регистрации и сгенерированные для тебя тексты, ответы на вопрос о причине отмены подписки. Данные профиля обнуляются — вместе с отметкой «пишем реже» и отметками паузы трекера.

Остаётся, но перестаёт быть связанным с тобой: здесь строка не удаляется, а отвязывается — номер аккаунта в ней заменяется на пустоту, а прямые идентификаторы вычищаются. Так поступаем с финансовыми записями о подписке и платежах, с журналами платежей и вебхуков (из них вычищаются почта, телефон и IP-адрес), с записью о том, что согласие давалось, — и с частью записей аналитики: строка «в такой-то день произошло такое-то событие» остаётся, IP-адрес и идентификатор сессии из неё вычищаются, связь с тобой пропадает. Отдельно остаётся необратимый хеш удалённого аккаунта.

Но не со всей аналитикой, и разница в твою пользу. Счётчиков у нас два, и второй, более подробный, при удалении аккаунта стирается целиком, а не отвязывается. В нём как раз и лежит всё, что касается Лунного Оракула: что сообщение было отправлено, была ли пометка «астрологический вопрос», что ты видела экран согласия. Прежняя редакция этого абзаца говорила про аналитику одним словом «отвязывается» — это было верно ровно наполовину.

Чего удаление не делает сейчас, и мы говорим об этом прямо:

• Твой адрес, попавший в список рассылки нашего почтового сервиса (Brevo), оттуда автоматически не удаляется. Напиши нам — удалим вручную. Мы работаем над тем, чтобы это происходило само.
• Мы не отправляем автоматических запросов на удаление другим получателям данных — платформам доставки, сервисам измерения рекламы и получателям ИИ. То, что уже ушло, вернуть нельзя.
• Резервные копии базы данных удаление не переписывает. Стёртое остаётся в уже снятых копиях до тех пор, пока эти копии не будут перезаписаны или уничтожены. Срок их хранения у нас не определён — мы говорим об этом и в разделе 8, и здесь, потому что умолчать об этом в разделе про удаление было бы обманом.

13. Возраст

WooMoon — для тех, кому 16 лет и больше. Порог один на всех дверях: Телеграм-бот (русская и английская версии), веб-приложение и приложение для iPhone не дают зарегистрироваться младше 16 лет, и проверку делает наш сервер. Если тебе меньше 16, пожалуйста, не пользуйся WooMoon. Если вы родитель или опекун и считаете, что ваш ребёнок зарегистрировался, напишите нам по адресу из раздела 1 — мы удалим аккаунт.

14. Куки и хранилище на устройстве

Веб-приложение ставит два вида файлов cookie, и прежняя редакция этого раздела называла только первый.

• Служебный сеансовый (mt_webapp_session) — для входа. Без него приложение не работает.
• Аналитический (_ga и производные) — его ставит счётчик Google Analytics, который загружается в браузере при открытии веб-приложения. Он ставится по умолчанию, без вопроса: ни баннера согласия, ни переключателя отказа от аналитики в интерфейсе сейчас нет. Технически он выставлен на нашем домене, но принадлежит стороннему счётчику, и мы называем его аналитическим куки третьей стороны, а не «служебным». Рекламных куки само веб-приложение не ставит: рекламное хранение, рекламные идентификаторы и персонализация объявлений в нём выключены в коде.

Но на рекламной странице, с которой начинается знакомство, всё иначе — и об этом нельзя умолчать. На нашем сайте-лендинге, на том же домене, работают Google Tag Manager, Google Analytics и пиксель Meta, а вместе с ним ставится рекламная кука _fbp (срок жизни — до 90 дней, домен .woomoon.app). Для русскоязычной версии страницы всё это включается по умолчанию, без баннера и без вопроса: и аналитика, и реклама. Для англоязычной версии по умолчанию всё выключено и включается только после явного согласия. То есть строгий вариант у нас существует и работает — он просто не применён к русской аудитории. Страницы панчанги и сотрудничества на том же сайте устроены так же. Одно исключение действует в обеих версиях: кнопка App Store ведёт через ссылку AppsFlyer для любого посетителя, с согласием или без, и AppsFlyer видит нажатие (раздел 6).

Почему так. Российский закон о персональных данных не требует баннера согласия на куки — обязанность спрашивать до загрузки счётчиков установлена европейскими правилами, под которые подпадает англоязычная аудитория. Поэтому строгий режим остаётся на английской версии, а русская работает без баннера. Разница не забыта и не является недоделкой — она соответствует тому, какие правила применяются к каждой из двух аудиторий. Отказаться от аналитики в русской версии сегодня нельзя, и мы говорим об этом прямо, а не умалчиваем.

Переписка с Оракулом в веб-версии лежит в хранилище браузера. У этого есть обратная сторона, о которой честнее сказать сразу: Safari очищает хранилище примерно через неделю без визитов, «очистить данные сайта» стирает разговор безвозвратно, а в приватном окне он не сохранится вовсе. Копии у нас нет, восстановить будет неоткуда.

15. Мобильное приложение — что добавляется на iPhone

• Идентификатор установки — случайный номер, который приложение создаёт себе само, чтобы различать устройства. С рекламными идентификаторами он не связан.
• Токен уведомлений — нужен, чтобы прислать напоминание, на которое ты подписалась. Хранится, пока ты не удалишь приложение, не выключишь уведомления или не удалишь аккаунт.
• Чеки покупок из App Store — чтобы активировать и восстанавливать подписку.
• Измерение установок из рекламы — Apple Search Ads и AppsFlyer. Рекламный идентификатор (IDFA) мы не собираем, запрос на отслеживание не показываем. При этом AppsFlyer получает идентификатор устройства для разработчика (IDFV), твой IP-адрес, модель устройства и версию системы, собственный идентификатор установки и хеш номера аккаунта — что именно и зачем, перечислено в разделе 6. Данные о здоровье и цикле рекламным сервисам не передаются.

Мы не собираем: точное местоположение в фоне, доступ к камере, микрофону, контактам, фотографиям. И не собираем отчёты о сбоях: в прежней редакции этого документа упоминался сервис Sentry — в приложении его нет.

16. Безопасность

Соединения шифруются (HTTPS). Доступ к серверам ограничен. Логи сервера записывают IP-адрес и данные браузера запросов; имя, город, координаты и часовой пояс в них маскируются. Логи живут 10 дней. Мы не считаем логи обезличенными и не полагаемся на это.

Ни один способ передачи и хранения не даёт стопроцентной защиты.

17. Запросы государственных органов

Для трекера цикла это вопрос не праздный, поэтому отвечаем прямо, а не молчанием.

Что мы можем сказать про сегодняшний день: специального порядка, автоматического интерфейса или «окна» для органов у нас не существует — ни в коде, ни в чьих-либо доступах. Никакого механизма выдачи данных, кроме обычного доступа наших администраторов к базе, нет.

Что важно понимать про сам объём: переписки с Оракулом у нас нет — её невозможно выдать по запросу, потому что её физически нет ни в базе, ни в резервных копиях. А вот данные цикла, отметки близости, профиль, почта, история платежей и записи о том, когда ты пользовалась Оракулом, у нас есть. Мы не будем обещать, что «никогда никому ничего не отдадим»: законные требования уполномоченных органов оператор игнорировать не может, и обещание обратного было бы пустым. На каких именно основаниях и в каком порядке это может произойти — вопрос, который у нас пока не проработан, и мы говорим об этом прямо, а не заполняем пробел красивой фразой.

18. Если данные утекут

Ни один способ защиты не даёт стопроцентной гарантии — это написано в разделе 16, и это не фигура речи. Утечка данных о цикле и интимной жизни — тот случай, когда молчание хуже самой утечки.

Честно про сегодняшний день: порядок действий на случай утечки — кого и в какой срок мы уведомляем, как определяем состав пострадавших данных, кто принимает решение — у нас не описан. Мы не пишем здесь срок в часах, которого не существует в наших регламентах, и не даём обещания, которое некому исполнять.

19. Изменения

Мы обновляем этот документ, когда меняется то, что он описывает; дата вверху меняется вместе с ним. Если появится новый вид данных, мы спросим согласие заново, а не расширим старое молча.