Политика конфиденциальности

Редакция от 12 октября 2026 г. Юридически основная версия — украинская; эта — перевод для русскоязычных пользователей.

1. Кто обрабатывает данные

Владелец (контролёр) персональных данных — физическое лицо-предприниматель Рясна София Владимировна (ФЛП Рясна С. В.), РНОКПП 3872001402; адрес: Украина, 08205, Киевская обл., Бучанский р-н, г. Ирпень, ул. Ольги Кобылянской, д. 1в/9, кв. 16; телефон +380 75 245 00 87. Далее — «мы».

Все вопросы о данных — доступ, исправление, удаление, отзыв согласия, жалобы: hello@kiralang.app.

Политика составлена по Закону Украины «О защите персональных данных», а для пользователей из ЕЭЗ и Великобритании — также по GDPR и UK GDPR. Она описывает приложение Kira Lang для Android и iOS и сайт kiralang.app.

2. Какие данные и зачем

2.1. Прогресс обучения — на вашем устройстве

Пройденные уроки, выученные слова, опыт (XP), серия дней, кристаллы, выбранный уровень и интересы, ответы на вопросы при первом запуске. Эти данные хранятся на телефоне и нужны, чтобы показывать прогресс и подбирать сцены. Целиком к нам они не выгружаются — только небольшой срез вместе с репликой (п. 2.5).

2.2. Резервная копия

Если в настройках телефона включено резервное копирование (Google на Android, iCloud на iPhone), данные приложения попадают в вашу копию. Это делает система, а не мы: доступа к вашей копии у нас нет. На Android в копию входит всё хранилище приложения: имя, ответы на вопросы знакомства, прогресс, настройки, отметки согласий и возраста, сохранённые жалобы на ответы ИИ (с началом текста ответа) и кэш права PRO вместе с токеном покупки. Кнопка «Удалить мои данные» очищает хранилище на телефоне, но уже созданную облачную копию не удаляет, а если восстановить приложение из такой копии, эти данные вернутся на устройство. Удалить копию или отключить копирование можно в настройках телефона.

2.3. Микрофон и распознавание речи

Микрофон включается, только когда вы удерживаете кнопку разговора; в фоне запись не ведётся никогда. Пока кнопка нажата, приложение записывает вашу реплику (не дольше минуты) и отправляет запись на наш сервер, а сервер — поставщику распознавания речи (OpenAI), чтобы превратить её в текст. Запись нужна только для этого: мы её не сохраняем после того, как получен текст; в приложение возвращается только текст.

Если наш сервер недоступен, приложение распознаёт речь средствами телефона — на самом устройстве либо через системный сервис распознавания, в зависимости от настроек. В этом случае запись нам не отправляется.

2.4. Озвучка ответов

Реплики Киры озвучивает сервис синтеза речи (OpenAI): ему передаётся текст ответа Киры. Кира может обращаться к вам по имени, если вы его указали, так что имя может оказаться в тексте для озвучки. Готовый звук временно хранится в кэше в памяти нашего сервера, общем для всех пользователей и не связанном с вашим идентификатором, пока его не вытеснят новые записи или сервер не перезапустят. Если сервер недоступен, ответ озвучивает синтезатор телефона.

2.5. Разговор с Кирой

Кира — искусственный интеллект, а не человек. Её ответы создаёт языковая модель, а не сотрудник или преподаватель.

Чтобы Кира могла ответить, текст вашей реплики и несколько предыдущих реплик диалога передаются на наш сервер и далее поставщику языковой модели (OpenAI). Вместе с ними уходит учебный контекст: имя, если вы указали его при знакомстве (чтобы Кира обращалась к вам по имени), уровень, родной язык и язык интерфейса, тема и слова урока, слова из повторения, выбранные темы, ответы анкеты о манере исправлений и о том, как вам говорится вслух, самооценка речи, а также страна из настроек телефона — по ней протокол безопасности называет линию помощи вашей страны. На сервере ваши реплики и этот контекст не сохраняются и не пишутся в журнал. Исключения касаются текстов ответов Киры, а не ваших реплик (в них может быть ваше имя, если Кира обращалась к вам по имени): если вы нажимаете «перевод» под ответом Киры, её текст уходит на наш сервер и в OpenAI, а готовый перевод лежит в общем кэше сервера 30 дней без связи с вашим идентификатором; про кэш озвучки — п. 2.4.

Перед первой репликой приложение спрашивает разрешение на эту передачу. Отозвать его можно в любой момент: Профиль → «Как всё работает» → «Реплики для ИИ». Без разрешения Кира не отвечает.

Не передаются: ваши контакты, содержимое телефона, данные карты.

Пожалуйста, не пишите и не произносите в диалоге пароли, номера карт и другую чувствительную информацию — это учебный разговор, он обрабатывается автоматически. В правилах Киры записано, что она не просит номера карт, пароли и коды, документы, точный адрес, телефон или почту, в ролевых сценах пользуется вымышленными данными, а личные данные, которые вы сами написали, не повторяет. Это инструкции для языковой модели, а не техническое ограничение: модель может ошибиться. Мы не используем ваши реплики для обучения моделей; поставщик по своим условиям тоже не использует для этого данные, полученные через API, и хранит журналы контроля злоупотреблений до 30 дней.

Другие люди. Если вы в разговоре называете других людей или рассказываете о них, эти сведения обрабатываются так же, как вся реплика: они уходят на наш сервер и в OpenAI и на сервере не сохраняются; основание — наш законный интерес в предоставлении вам сервиса (раздел 3). Не называйте полных имён, контактов и чувствительных подробностей о других людях: для практики языка они не нужны (так же в условиях использования, раздел 13).

Явные фразы об опасности. Наш сервер проверяет каждую вашу реплику на явные фразы о самоубийстве, самоповреждении или насилии (распознаются фразы на 13 языках приложения и на итальянском). Проверка выполняется до проверки лимитов: в такой реплике лимиты и экран подписки не применяются. Если фраза найдена, Кира отвечает по протоколу безопасности и называет линию помощи вашей страны; если языковая модель не ответила или не назвала номер линии, сервер сам подставляет сообщение с номером. Текст такой реплики не сохраняется и не попадает в журнал; сервер лишь добавляет единицу к обезличенному суточному счётчику по языку найденной фразы — без вашего идентификатора. Сама реплика, как и любая другая, уходит в OpenAI (см. выше); срабатывание не создаёт сообщения или записи о вас.

2.6. Жалобы на ответы ИИ и отзывы

Если вы жалуетесь на ответ Киры, приложение сохраняет на устройстве и отправляет нам причину жалобы, начало текста ответа Киры (до 400 знаков), урок, версию приложения, язык и платформу вместе с анонимным идентификатором (п. 2.10). Это нужно, чтобы настраивать фильтры.

Отзывы о приложении. В профиле есть форма «Помочь сделать Киру лучше», а после нескольких уроков приложение само может спросить, как идут дела. Если вы отправляете отзыв, на наш сервер уходят выбранные причины, ваш текст (до 500 знаков), версия приложения, язык интерфейса, платформа и анонимный идентификатор. Имя и почта не запрашиваются. Не пишите в отзыв то, что не хотели бы нам сообщать: текст уходит как есть.

Жалобы и отзывы читает владелец приложения и использует их только для работы над продуктом. Они хранятся на нашем сервере вместе с анонимным идентификатором: не более тысячи последних записей, старые вытесняются новыми; срока хранения по времени, помимо этого, нет. Запись удаляется, когда её вытеснят новые, когда вы нажмёте «Удалить мои данные» или когда истечёт 12-месячный срок неактивности (раздел 6).

2.7. Покупки

Подписка оформляется и оплачивается через Google Play или App Store. Данных карты мы не видим и не храним — их обрабатывает магазин. Нам приходит чек покупки (токен): по нему сервер проверяет у магазина, что подписка активна, и хранит право PRO, состояние подписки и историю списаний (дата, план, статус — без реквизитов карты). Сам токен чека лежит на сервере вместе с правом PRO до удаления данных или до истечения срока хранения (раздел 6).

К каждой покупке приложение добавляет код, вычисленный из вашего анонимного идентификатора (по коду сам идентификатор восстановить нельзя). Магазин возвращает его в чеке и в уведомлениях о платеже; по нему наш сервер может сопоставить покупку с вашим анонимным идентификатором, даже если приложение давно не открывали.

2.8. Аналитика в приложении

Приложение отправляет в Google Firebase Analytics события об использовании: открытие приложения, шаги знакомства (номер шага, а не ваши ответы), прохождение проверки возраста (без вашего ответа), решения о согласиях и напоминаниях, показ экрана подписки, попытки покупки и восстановления и их результат (с суммой и валютой, которые сообщает магазин), начало разговора, завершение урока, жалобы на ответы ИИ (код причины и номер урока) и отзывы (коды причин), открытие уведомлений, использование отдельных функций приложения. По этим событиям видно, где люди застревают, — без этого правки в обучение вносились бы вслепую. В параметрах событий — только номера уроков, коды причин, источников и экранов, числа, идентификатор плана, сумма и валюта. Содержимое разговоров, ваше имя, ответы на вопросы знакомства и слова, которые вы учите, в аналитику не попадают. Помимо событий, Firebase сам собирает технические сведения: модель устройства, версия ОС, страна, язык и идентификатор установки приложения, который создаёт сам Firebase. Этот идентификатор — не «Номер обращения» (п. 2.10): свой анонимный идентификатор мы в аналитику не передаём.

В странах ЕЭЗ, в Великобритании и Швейцарии аналитика и отчёты о сбоях включаются только после вашего согласия на первом экране; до ответа никаких событий аналитики и отчётов о сбоях не отправляется (анонимный вход и проверка приложения, п. 2.10, от этого выбора не зависят). В других странах они включены по умолчанию. Нужно ли согласие, приложение определяет на самом телефоне — по стране в языковых настройках или по часовому поясу, а не по IP-адресу или SIM-карте; если определить не удалось, действует то же, что в других странах: аналитика включена, её можно выключить. Выключить можно в любой момент: Профиль → «Как всё работает» → «Аналитика»; отказ действует сразу.

2.9. Отчёты об ошибках

Если в приложении что-то ломается, отчёт уходит в Google Firebase Crashlytics: текст ошибки, стек вызовов, модель телефона, версия ОС и версия приложения. Содержимого разговоров, ваших слов и прогресса в отчёте нет. Выключается тем же переключателем, что и аналитика.

2.10. Анонимный идентификатор и уведомления

Чтобы сервер понимал, чьи перед ним запросы, приложение при запуске, если идентификатора ещё нет (первый запуск или после очистки данных), получает анонимный идентификатор Firebase Authentication. Он не связан с вашим именем, почтой или аккаунтом Google или Apple. Он нужен, чтобы считать дневной лимит бесплатных минут, отличать подписчика от остальных и не отдавать платные ответы кому попало. Этот же идентификатор показан в приложении как «Номер обращения»; он живёт, пока вы не удалите приложение, не очистите его данные или не нажмёте «Удалить мои данные».

Идентификатор получается ещё до экранов согласия, потому что без него сервер не примет ни одного запроса. Тогда же приложение проходит проверку подлинности — Firebase App Check (на Android через Google Play Integrity): Google получает сведения о приложении и устройстве, а наш сервер — подтверждение, что запрос пришёл от настоящего приложения, а не от автоматического скрипта. Firebase также создаёт идентификатор установки приложения. Эти операции не зависят от вашего выбора по аналитике.

Для уведомлений с новостями и подсказками приложение получает от Firebase Cloud Messaging токен устройства и передаёт его нашему серверу — но только если вы сами включили «Новости и подсказки» (по умолчанию выключено) и разрешили уведомления в системе. Выключить: Профиль → «Напоминания». Напоминания и звонки Киры не являются уведомлениями с нашего сервера: приложение ставит их по расписанию на самом телефоне.

Вход в аккаунт. Регистрации в приложении нет: адрес почты и пароль мы не запрашиваем. Исключение — служебный аккаунт, который Kira Lang выдаёт отдельным людям, например проверяющему магазина приложений. Если вы входите в такой аккаунт («Войти» на первом экране), Firebase Authentication обрабатывает адрес почты и пароль этого аккаунта (пароль хранится только в виде хеша), а наш сервер получает от Firebase подписанный токен с идентификатором аккаунта и признаком права PRO; адрес почты в наших данных не сохраняется. Если вам такой аккаунт не выдавали, это вас не касается.

3. Правовые основания

• Исполнение договора (условий использования): разговор, распознавание и озвучка речи, подписка и право PRO, лимиты, жалобы, поддержка — ст. 11 Закона Украины «О защите персональных данных», ст. 6(1)(b) GDPR.
• Согласие: аналитика и отчёты о сбоях в ЕЭЗ, Великобритании и Швейцарии, уведомления с новостями и подсказками (вы включаете их сами), адрес почты, оставленный ранее в форме на сайте, аналитика и пиксели на сайте — ст. 6(1)(a) GDPR. Согласие можно отозвать в любой момент; это не влияет на законность обработки до отзыва.
• Законный интерес: аналитика и отчёты о сбоях в других странах (с возможностью отказа), защита сервиса от злоупотреблений, в том числе анонимный вход и проверка подлинности приложения, протокол безопасности, технические журналы и резервные копии сервера, обезличенная статистика сервера, жалобы и отзывы, которые вы отправляете, сведения о других людях, названных в вашей реплике, — ст. 6(1)(f) GDPR.

4. Чего мы не делаем

• Не продаём и не передаём данные рекламным сетям и брокерам данных.
• Не показываем рекламу в приложении.
• Не создаём профили для таргетинга.
• Не требуем регистрации: аккаунта и пароля в приложении нет.
• Не читаем ваши файлы, контакты, звонки и переписку.

5. Кому передаются данные

OpenAI, Google Firebase, Hetzner, Resend и Google в Play Console обрабатывают данные по нашему поручению и в описанных здесь целях. Магазины приложений (Google Play, Apple App Store) обрабатывают данные платежа как самостоятельные операторы по собственным правилам; так же действуют на сайте Google, Meta и TikTok (раздел 8). Передача за пределы Украины и ЕЭЗ: Google сертифицирован по EU-US Data Privacy Framework; для OpenAI действуют стандартные договорные условия ЕС в соглашении об обработке данных; передача из Украины основана на исполнении договора с вами (ст. 29 Закона Украины «О защите персональных данных»).

6. Сколько храним

• На устройстве — пока вы не удалите приложение, не очистите его данные или не нажмёте «Удалить мои данные». Облачная копия телефона (п. 2.2) живёт по правилам системы.
• Реплики и записи голоса — на нашем сервере не сохраняются после ответа; у поставщика модели — журналы контроля злоупотреблений до 30 дней.
• Перевод и звук ответов Киры — перевод, который вы запросили нажатием, лежит в общем кэше сервера 30 дней; звук озвучки — в кэше памяти сервера, ограниченном по объёму, пока его не вытеснят новые записи или сервер не перезапустят. Кэши не связаны с вашим идентификатором.
• Жалобы и отзывы — не более тысячи последних записей; срока хранения по времени, помимо этого, нет. Удаляются вместе с остальными серверными данными: по кнопке «Удалить мои данные» или через 12 месяцев неактивности.
• Сведения о подписке и счётчики на сервере (право PRO и токен чека покупки, состояние подписки, история списаний в приложении, дневные счётчики, адрес для уведомлений, отметка последнего обращения) — до кнопки «Удалить мои данные» в профиле, а без неё — 12 месяцев с последнего обращения приложения к серверу; пока подписка действует, они не удаляются. Платёжные документы хранит магазин по своим правилам.
• Обезличенная статистика сервера (суточные счётчики событий и ошибок и приблизительное число разных пользователей за сутки, по которому идентификаторы восстановить нельзя) — 90 дней.
• Аналитика и отчёты о сбоях в Google Firebase — срок определяется настройками этих сервисов в консоли Firebase и правилами Google.
• Технические журналы сервера — без содержимого запросов, ограничены по объёму и вытесняются новыми записями.
• Резервные копии сервера — ежесуточные, хранятся 14 последних; в них могут оставаться и данные, которые вы уже удалили, — до 14 дней, пока старые копии не будут заменены новыми.
• Адрес почты, оставленный ранее в форме на сайте — до отписки или до окончания закрытого теста, смотря что наступит раньше.

7. Заявка в закрытый тест

Раньше на главной странице сайта была форма, где можно было оставить адрес почты, чтобы попасть в список тестировщиков. Сейчас формы на сайте нет. Если вы оставили адрес раньше, мы обращаемся с ним так, как описано ниже. В самом приложении такой формы нет: оно по-прежнему работает без регистрации.

Адрес нужно было подтвердить. После отправки формы мы писали одно письмо со ссылкой подтверждения. Пока вы по ней не перейдёте, адрес никуда не попадает и больше писем не будет. Так мы убеждаемся, что адрес оставил его владелец, а не кто-то посторонний.

• Что собрано: адрес электронной почты, дата обращения и язык страницы.
• Зачем: подтвердить адрес, добавить его в список тестировщиков Google Play и один раз написать, когда доступ откроется.
• Основание: ваше согласие, подтверждённое переходом по ссылке из письма.
• Где хранится: на нашем сервере. Это исключение из общего правила «всё на устройстве», и мы называем его прямо.
• Кому передаём: сервису доставки почты Resend, чтобы письмо дошло, и Google, когда добавляем подтверждённый адрес в список тестировщиков в Play Console. Больше никому.
• Рассылки нет. Регулярных писем мы не отправляем.

Отписка удаляет адрес. Ссылка есть в каждом письме, в Gmail работает встроенная кнопка. Мы не переносим вас в «список отписавшихся», а стираем адрес; у нас остаётся лишь необратимый хеш, по которому нельзя восстановить ни адрес, ни список получателей, и который нужен единственно затем, чтобы случайно не написать вам снова.

Отдельно ведётся служебный журнал доставки: когда и с каким исходом уходило письмо. Адресов в нём нет, только домен и такой же необратимый хеш, и хранится он ограниченным числом последних записей.

8. Аналитика на сайте kiralang.app

Всё, что описано выше, относится к приложению. У сайта сбор устроен иначе.

При первом заходе сайт спрашивает согласие на аналитику и рекламные пиксели. До того как вы нажмёте «Принять», не загружается ни один сторонний скрипт и не ставится ни одной куки. Если вы нажали «Отклонить» — не загружается ничего и дальше; сайт при этом работает полностью.

Если вы согласились, подключаются:

• Google Analytics 4 — сколько людей заходит, с каких страниц и из каких стран. IP-адрес обезличивается.
• Meta Pixel и TikTok Pixel — чтобы понимать, какая реклама приводит людей, и не показывать её тем, кто уже установил приложение.

Эти сервисы ставят собственные куки и получают ваш IP-адрес, тип устройства и адрес страницы. Они самостоятельные операторы: их обработка регулируется их политиками — Google, Meta, TikTok.

Изменить решение можно в любой момент: открыть выбор заново. Ваш выбор хранится в локальном хранилище браузера под ключом kira:consent — это не кука и никуда не передаётся.

Сам сайт, помимо этого, не ставит ни одной куки и не ведёт собственных счётчиков.

9. Ваши права

Вы вправе узнать, какие данные о вас обрабатываются, получить их копию, исправить, удалить, ограничить обработку, возразить против неё, отозвать согласие и перенести данные, а также подать жалобу в надзорный орган.

Как воспользоваться: напишите на hello@kiralang.app и приложите «Номер обращения» из приложения (Профиль → «Как всё работает»): аккаунтов у нас нет, и найти ваши данные мы можем только по нему. Отвечаем в течение 30 дней.

Надзорные органы: в Украине — Уполномоченный Верховной Рады Украины по правам человека; в ЕЭЗ — орган по защите данных вашей страны; в Великобритании — ICO.

10. Удаление данных

В приложении: Профиль → «Удалить мои данные». Подробно — на странице kiralang.app/delete.

Что стирается. На сервере — право PRO и токен чека, сведения о подписке и история списаний, суточные счётчики, токен уведомлений, отметка последнего обращения, отзывы и жалобы на ответы ИИ с вашим идентификатором. На телефоне — прогресс, слова, настройки и отметки согласий и возраста. Анонимная учётная запись Firebase удаляется; если удалить её не удалось, приложение лишь выходит из неё.

Что остаётся.

• Резервные копии нашего сервера — до 14 дней (раздел 6).
• Облачная копия вашего телефона (Google или iCloud), если она была: её создала система, и кнопка её не удаляет; если восстановить приложение из такой копии, эти данные вернутся на устройство. Удалить копию можно в настройках телефона (п. 2.2).
• Данные, которые уже получили Google (Firebase Analytics, Crashlytics) и OpenAI, — по срокам и правилам этих компаний (разделы 5 и 6).
• Обезличенная статистика сервера без вашего идентификатора (раздел 6).

Подписку в магазине кнопка не отменяет. Отмените её в магазине (Google Play или App Store) — это отдельная операция, и мы не можем сделать её за вас; пока подписка не отменена, списания продолжаются. Платёжные документы хранит магазин по своим правилам.

11. Возраст

Сервис предназначен для лиц 18 лет и старше — так приложение заявлено и в магазинах. При первом запуске приложение один раз спрашивает возраст и сам ответ не сохраняет. Данные несовершеннолетних мы сознательно не собираем. Других способов определить возраст — по голосу, содержанию разговоров или данным магазина — мы не используем. Если в разговоре вы прямо скажете, что вам меньше 18 лет, по правилам Киры она прекращает урок и советует поговорить об учёбе с родителями, учителем или другим взрослым, которому вы доверяете. Если нам станет известно, что сервисом пользуется лицо младше 18 лет, мы можем прекратить ему доступ и удалим данные, которые нам удастся найти по «Номеру обращения» (условия использования, раздел 4). Если несовершеннолетний передал нам данные, напишите на hello@kiralang.app — мы удалим их.

12. Безопасность

Данные передаются только по зашифрованному соединению (HTTPS). Сервер находится в ЕС, доступ к нему ограничен. Абсолютной безопасности в интернете не бывает; если произойдёт утечка, которая может затронуть ваши права, мы уведомим надзорный орган и вас в сроки, установленные законом (для ЕЭЗ — в течение 72 часов).

13. Изменения политики

Мы можем обновлять эту политику. У каждой редакции есть дата (вверху). О существенных изменениях — новые данные, получатели или цели — мы сообщим в приложении до того, как они вступят в силу.