Політика конфіденційності

Редакція від 12 жовтня 2026 р. Це основна (юридично переважна) версія документа; версії іншими мовами надано для зручності.

1. Хто обробляє дані

Володілець персональних даних — фізична особа-підприємець Рясна Софія Володимирівна (ФОП Рясна С. В.), РНОКПП 3872001402; місцезнаходження: Україна, 08205, Київська обл., Бучанський р-н, місто Ірпінь, вул. Кобилянської Ольги, будинок 1в/9, квартира 16; телефон +380 75 245 00 87. Далі — «ми».

Усі питання щодо даних — доступ, виправлення, видалення, відкликання згоди, скарги: hello@kiralang.app.

Політику складено відповідно до Закону України «Про захист персональних даних», а для користувачів з ЄЕЗ і Великої Британії — також відповідно до GDPR і UK GDPR. Вона стосується застосунку Kira Lang для Android та iOS і сайту kiralang.app.

2. Які дані й навіщо

2.1. Прогрес навчання — на вашому пристрої

Пройдені уроки, вивчені слова, досвід (XP), серія днів, кристали, обраний рівень та інтереси, відповіді на запитання під час першого запуску. Ці дані зберігаються на телефоні й потрібні, щоб показувати прогрес і добирати сцени. Повністю до нас вони не вивантажуються — лише невеликий зріз разом із реплікою (п. 2.5).

2.2. Резервна копія

Якщо в налаштуваннях телефона ввімкнено резервне копіювання (Google на Android, iCloud на iPhone), дані застосунку потрапляють у вашу копію. Це робить система, а не ми: доступу до вашої копії в нас немає. На Android до копії входить усе сховище застосунку: ім’я, відповіді на запитання знайомства, прогрес, налаштування, відмітки згод і віку, збережені скарги на відповіді ШІ (з початком тексту відповіді) та кеш права PRO разом із токеном покупки. Кнопка «Видалити мої дані» очищає сховище на телефоні, але вже створену хмарну копію не видаляє, а якщо відновити застосунок із такої копії, ці дані повернуться на пристрій. Видалити копію чи вимкнути копіювання можна в налаштуваннях телефона.

2.3. Мікрофон і розпізнавання мовлення

Мікрофон вмикається, лише коли ви утримуєте кнопку розмови; у фоні запис не ведеться ніколи. Поки кнопку натиснуто, застосунок записує вашу репліку (не довше хвилини) і надсилає запис на наш сервер, а сервер — постачальнику розпізнавання мовлення (OpenAI), щоб перетворити його на текст. Запис потрібен лише для цього: ми не зберігаємо його після того, як отримано текст; у застосунок повертається тільки текст.

Якщо наш сервер недоступний, застосунок розпізнає мовлення засобами телефона — на самому пристрої або через системний сервіс розпізнавання, залежно від налаштувань. У такому разі запис нам не надсилається.

2.4. Озвучення відповідей

Репліки Кіри озвучує сервіс синтезу мовлення (OpenAI): йому передається текст відповіді Кіри. Кіра може звертатися до вас на ім’я, якщо ви його вказали, тож ім’я може опинитися в тексті для озвучення. Готовий звук тимчасово зберігається в кеші в пам’яті нашого сервера, спільному для всіх користувачів і не пов’язаному з вашим ідентифікатором, доки його не витіснять новіші записи або сервер не перезапустять. Якщо сервер недоступний, відповідь озвучує синтезатор телефона.

2.5. Розмова з Кірою

Кіра — штучний інтелект, а не людина. Її відповіді створює мовна модель, а не співробітник чи викладач.

Щоб Кіра могла відповісти, текст вашої репліки й кілька попередніх реплік діалогу передаються на наш сервер і далі постачальнику мовної моделі (OpenAI). Разом із ними йде навчальний контекст: ім’я, якщо ви вказали його під час знайомства (щоб Кіра зверталася до вас на ім’я), рівень, рідна мова й мова інтерфейсу, тема й слова уроку, слова з повторення, обрані теми, відповіді анкети про манеру виправлень і про те, як вам говориться вголос, самооцінка мовлення, а також країна з налаштувань телефона — за нею протокол безпеки називає лінію допомоги вашої країни. На сервері ваші репліки й цей контекст не зберігаються й не пишуться в журнал. Винятки стосуються текстів відповідей Кіри, а не ваших реплік (у них може бути ваше ім’я, якщо Кіра зверталася до вас на ім’я): якщо ви натискаєте «переклад» під відповіддю Кіри, її текст іде на наш сервер і до OpenAI, а готовий переклад лежить у спільному кеші сервера 30 днів без зв’язку з вашим ідентифікатором; про кеш озвучення — п. 2.4.

Перед першою реплікою застосунок питає дозволу на цю передачу. Відкликати його можна будь-коли: Профіль → «Як усе працює» → «Репліки для ШІ». Без дозволу Кіра не відповідає.

Не передаються: ваші контакти, вміст телефона, дані картки.

Будь ласка, не пишіть і не промовляйте в діалозі паролі, номери карток та іншу чутливу інформацію — це навчальна розмова, вона обробляється автоматично. У правилах Кіри записано, що вона не просить номерів карток, паролів і кодів, документів, точної адреси, телефону чи пошти, у рольових сценах користується вигаданими даними, а особисті дані, які ви самі написали, не повторює. Це інструкції для мовної моделі, а не технічна заборона: модель може помилитися. Ми не використовуємо ваші репліки для навчання моделей; постачальник за своїми умовами теж не використовує для цього дані, отримані через API, і зберігає журнали контролю зловживань до 30 днів.

Інші люди. Якщо ви в розмові називаєте інших людей або розповідаєте про них, ці відомості обробляються так само, як уся репліка: вони йдуть на наш сервер і до OpenAI та на сервері не зберігаються; підстава — наш законний інтерес у наданні вам сервісу (розділ 3). Не називайте повних імен, контактів і чутливих подробиць про інших людей: для практики мови вони не потрібні (так само в умовах використання, розділ 13).

Явні фрази про небезпеку. Наш сервер перевіряє кожну вашу репліку на явні фрази про самогубство, самоушкодження чи насильство (розпізнаються фрази 13 мовами застосунку й італійською). Перевірка виконується до перевірки лімітів: у такій реплиці ліміти й екран підписки не застосовуються. Якщо фразу знайдено, Кіра відповідає за протоколом безпеки й називає лінію допомоги вашої країни; якщо мовна модель не відповіла або не назвала номер лінії, сервер сам підставляє повідомлення з номером. Текст такої репліки не зберігається й не потрапляє в журнал; сервер лише додає одиницю до знеособленого добового лічильника за мовою знайденої фрази — без вашого ідентифікатора. Сама репліка, як і кожна інша, іде до OpenAI (див. вище); спрацювання не створює повідомлення чи запису про вас.

2.6. Скарги на відповіді ШІ та відгуки

Якщо ви скаржитеся на відповідь Кіри, застосунок зберігає на пристрої й надсилає нам причину скарги, початок тексту відповіді Кіри (до 400 знаків), урок, версію застосунку, мову й платформу разом з анонімним ідентифікатором (п. 2.10). Це потрібно, щоб налаштовувати фільтри.

Відгуки про застосунок. У профілі є форма «Допомогти зробити Кіру кращою», а після кількох уроків застосунок може сам запитати, як справи. Якщо ви надсилаєте відгук, на наш сервер ідуть обрані причини, ваш текст (до 500 знаків), версія застосунку, мова інтерфейсу, платформа й анонімний ідентифікатор. Ім’я та пошту не запитуємо. Не пишіть у відгук те, чого не хотіли б нам повідомляти: текст іде як є.

Скарги й відгуки читає власник застосунку й використовує їх лише для роботи над продуктом. Вони зберігаються на нашому сервері разом з анонімним ідентифікатором: не більше тисячі останніх записів, старі витісняються новими; строку зберігання в часі, крім цього, немає. Запис видаляється, коли його витіснять новіші, коли ви натиснете «Видалити мої дані» або коли спливе 12-місячний строк неактивності (розділ 6).

2.7. Покупки

Підписка оформлюється й оплачується через Google Play або App Store. Даних картки ми не бачимо й не зберігаємо — їх обробляє магазин. Нам надходить чек покупки (токен): за ним сервер перевіряє в магазині, що підписка активна, і зберігає право PRO, стан підписки та історію списань (дата, план, статус — без реквізитів картки). Сам токен чека лежить на сервері разом із правом PRO до видалення даних або до закінчення строку зберігання (розділ 6).

До кожної покупки застосунок додає код, обчислений з вашого анонімного ідентифікатора (з коду сам ідентифікатор відновити не можна). Магазин повертає його в чеку й у повідомленнях про платіж; за ним наш сервер може співвіднести покупку з вашим анонімним ідентифікатором, навіть якщо застосунок давно не відкривали.

2.8. Аналітика в застосунку

Застосунок надсилає в Google Firebase Analytics події про користування: відкриття застосунку, кроки знайомства (номер кроку, а не ваші відповіді), проходження перевірки віку (без вашої відповіді), рішення щодо згод і нагадувань, показ екрана підписки, спроби покупки й відновлення та їх результат (із сумою й валютою, які повідомляє магазин), початок розмови, завершення уроку, скарги на відповіді ШІ (код причини й номер уроку) та відгуки (коди причин), відкриття сповіщень, користування окремими функціями застосунку. За цими подіями видно, де люди застрягають, — без цього зміни в навчанні вносилися б наосліп. У параметрах подій — лише номери уроків, коди причин, джерел і екранів, числа, ідентифікатор плану, сума й валюта. Вміст розмов, ваше ім’я, відповіді на запитання знайомства та слова, які ви вивчаєте, в аналітику не потрапляють. Крім подій, Firebase сам збирає технічні відомості: модель пристрою, версію ОС, країну, мову та ідентифікатор установки застосунку, який створює сам Firebase. Цей ідентифікатор — не «Номер звернення» (п. 2.10): свій анонімний ідентифікатор ми в аналітику не передаємо.

У країнах ЄЕЗ, у Великій Британії та Швейцарії аналітика й звіти про збої вмикаються лише після вашої згоди на першому екрані; до відповіді жодних подій аналітики й звітів про збої не надсилається (анонімний вхід і перевірка застосунку, п. 2.10, від цього вибору не залежать). В інших країнах вони ввімкнені за замовчуванням. Чи потрібна згода, застосунок визначає на самому телефоні — за країною в мовних налаштуваннях або за часовим поясом, а не за IP-адресою чи SIM-карткою; якщо визначити не вдалося, діє те саме, що в інших країнах: аналітику ввімкнено, її можна вимкнути. Вимкнути можна будь-коли: Профіль → «Як усе працює» → «Аналітика»; відмова діє одразу.

2.9. Звіти про помилки

Якщо в застосунку щось ламається, звіт іде в Google Firebase Crashlytics: текст помилки, стек викликів, модель телефона, версія ОС і версія застосунку. Вмісту розмов, ваших слів і прогресу у звіті немає. Вимикається тим самим перемикачем, що й аналітика.

2.10. Анонімний ідентифікатор і сповіщення

Щоб сервер розумів, чиї перед ним запити, застосунок під час запуску, якщо ідентифікатора ще немає (перший запуск або після очищення даних), отримує анонімний ідентифікатор Firebase Authentication. Він не пов’язаний з вашим ім’ям, поштою чи акаунтом Google або Apple. Він потрібен, щоб рахувати денний ліміт безкоштовних хвилин, відрізняти передплатника від інших і не віддавати платні відповіді будь-кому. Цей самий ідентифікатор показано в застосунку як «Номер звернення»; він живе, доки ви не видалите застосунок, не очистите його дані або не натиснете «Видалити мої дані».

Ідентифікатор отримується ще до екранів згоди, бо без нього сервер не прийме жодного запиту. Тоді ж застосунок проходить перевірку справжності — Firebase App Check (на Android через Google Play Integrity): Google отримує відомості про застосунок і пристрій, а наш сервер — підтвердження, що запит надійшов від справжнього застосунку, а не від автоматичного скрипта. Firebase також створює ідентифікатор установки застосунку. Ці операції не залежать від вашого вибору щодо аналітики.

Для сповіщень з новинами й підказками застосунок отримує від Firebase Cloud Messaging токен пристрою й передає його нашому серверу — але лише якщо ви самі ввімкнули «Новини та підказки» (за замовчуванням вимкнено) і дозволили сповіщення в системі. Вимкнути: Профіль → «Нагадування». Нагадування й дзвінки Кіри не є сповіщеннями з нашого сервера: застосунок ставить їх на розклад на самому телефоні.

Вхід в акаунт. Реєстрації в застосунку немає: адресу пошти й пароль ми не запитуємо. Виняток — службовий акаунт, який Kira Lang видає окремим людям, наприклад перевіряльнику магазину застосунків. Якщо ви входите в такий акаунт («Увійти» на першому екрані), Firebase Authentication обробляє адресу пошти й пароль цього акаунта (пароль зберігається лише у вигляді хеша), а наш сервер отримує від Firebase підписаний токен з ідентифікатором акаунта та ознакою права PRO; адреса пошти в наших даних не зберігається. Якщо вам такого акаунта не видавали, це вас не стосується.

3. Правові підстави

• Виконання договору (умов використання): розмова, розпізнавання й озвучення мовлення, підписка й право PRO, ліміти, скарги, підтримка — ст. 11 Закону України «Про захист персональних даних», ст. 6(1)(b) GDPR.
• Згода: аналітика й звіти про збої в ЄЕЗ, Великій Британії та Швейцарії, сповіщення з новинами й підказками (ви вмикаєте їх самі), адреса пошти, залишена раніше у формі на сайті, аналітика й пікселі на сайті — ст. 6(1)(a) GDPR. Згоду можна відкликати будь-коли; це не впливає на законність обробки до відкликання.
• Законний інтерес: аналітика й звіти про збої в інших країнах (з можливістю відмовитися), захист сервісу від зловживань, зокрема анонімний вхід і перевірка справжності застосунку, протокол безпеки, технічні журнали й резервні копії сервера, знеособлена статистика сервера, скарги й відгуки, які ви надсилаєте, відомості про інших людей, названих у вашій реплиці, — ст. 6(1)(f) GDPR.

4. Чого ми не робимо

• Не продаємо й не передаємо дані рекламним мережам і брокерам даних.
• Не показуємо рекламу в застосунку.
• Не створюємо профілів для таргетингу.
• Не вимагаємо реєстрації: акаунта й пароля в застосунку немає.
• Не читаємо ваших файлів, контактів, дзвінків і листування.

5. Кому передаються дані

OpenAI, Google Firebase, Hetzner, Resend і Google у Play Console обробляють дані за нашим дорученням і з описаною тут метою. Магазини застосунків (Google Play, Apple App Store) обробляють дані платежу як самостійні оператори за власними правилами; так само діють на сайті Google, Meta і TikTok (розділ 8). Передача за межі України та ЄЕЗ: Google сертифіковано за EU-US Data Privacy Framework; для OpenAI діють стандартні договірні умови ЄС в угоді про обробку даних; передача з України ґрунтується на виконанні договору з вами (ст. 29 Закону України «Про захист персональних даних»).

6. Скільки зберігаємо

• На пристрої — доки ви не видалите застосунок, не очистите його дані або не натиснете «Видалити мої дані». Хмарна копія телефона (п. 2.2) живе за правилами системи.
• Репліки й записи голосу — на нашому сервері не зберігаються після відповіді; у постачальника моделі — журнали контролю зловживань до 30 днів.
• Переклад і звук відповідей Кіри — переклад, який ви запросили натисканням, лежить у спільному кеші сервера 30 днів; звук озвучення — у кеші пам’яті сервера, обмеженому за обсягом, доки його не витіснять новіші записи або сервер не перезапустять. Кеші не пов’язані з вашим ідентифікатором.
• Скарги й відгуки — не більше тисячі останніх записів; строку зберігання в часі, крім цього, немає. Видаляються разом з іншими серверними даними: за кнопкою «Видалити мої дані» або через 12 місяців неактивності.
• Відомості про підписку й лічильники на сервері (право PRO і токен чека покупки, стан підписки, історія списань у застосунку, денні лічильники, адреса для сповіщень, відмітка останнього звернення) — до кнопки «Видалити мої дані» в профілі, а без неї — 12 місяців від останнього звернення застосунку до сервера; поки підписка діє, їх не видаляють. Платіжні документи зберігає магазин за своїми правилами.
• Знеособлена статистика сервера (добові лічильники подій і помилок та приблизна кількість різних користувачів за добу, з якої ідентифікатори відновити не можна) — 90 днів.
• Аналітика й звіти про збої у Google Firebase — строк визначається налаштуваннями цих сервісів у консолі Firebase та правилами Google.
• Технічні журнали сервера — без вмісту запитів, обмежені за обсягом і витісняються новими записами.
• Резервні копії сервера — щодобові, зберігається 14 останніх; у них можуть лишатися й дані, які ви вже видалили, — до 14 днів, доки старіші копії не буде замінено новішими.
• Адреса пошти, залишена раніше у формі на сайті — до відписки або до завершення закритого тесту, залежно від того, що настане раніше.

7. Заявка в закритий тест

Раніше на головній сторінці сайту була форма, де можна було залишити адресу пошти, щоб потрапити до списку тестувальників. Тепер форми на сайті немає. Якщо ви залишили адресу раніше, ми поводимося з нею так, як описано нижче. У самому застосунку такої форми немає: він, як і раніше, працює без реєстрації.

Адресу потрібно було підтвердити. Після надсилання форми ми писали один лист із посиланням підтвердження. Поки ви не перейдете за посиланням, адреса нікуди не потрапляє й інших листів не буде. Так ми переконуємося, що адресу залишив її власник, а не хтось сторонній.

• Що зібрано: адреса електронної пошти, дата звернення й мова сторінки.
• Навіщо: підтвердити адресу, додати її до списку тестувальників Google Play і один раз написати, коли доступ відкриється.
• Підстава: ваша згода, підтверджена переходом за посиланням із листа.
• Де зберігається: на нашому сервері. Це виняток із загального правила «усе на пристрої», і ми називаємо його прямо.
• Кому передаємо: сервісу доставки пошти Resend, щоб лист дійшов, і Google, коли додаємо підтверджену адресу до списку тестувальників у Play Console. Більше нікому.
• Розсилки немає. Регулярних листів ми не надсилаємо.

Відписка видаляє адресу. Посилання є в кожному листі, у Gmail працює вбудована кнопка. Ми не переносимо вас до «списку тих, хто відписався», а стираємо адресу; у нас лишається тільки незворотний хеш, за яким не можна відновити ні адресу, ні список одержувачів, — він потрібен лише для того, щоб випадково не написати вам знову.

Окремо ведеться службовий журнал доставки: коли і з яким результатом надсилався лист. Адрес у ньому немає, лише домен і такий самий незворотний хеш, і зберігається обмежена кількість останніх записів.

8. Аналітика на сайті kiralang.app

Усе, що описано вище, стосується застосунку. На сайті збір влаштовано інакше.

Під час першого заходу сайт питає згоду на аналітику й рекламні пікселі. Доки ви не натиснете «Прийняти», не завантажується жоден сторонній скрипт і не ставиться жодне куки. Якщо ви натиснули «Відхилити» — не завантажується нічого й надалі; сайт при цьому працює повністю.

Якщо ви погодилися, підключаються:

• Google Analytics 4 — скільки людей заходить, з яких сторінок і з яких країн. IP-адреса знеособлюється.
• Meta Pixel і TikTok Pixel — щоб розуміти, яка реклама приводить людей, і не показувати її тим, хто вже встановив застосунок.

Ці сервіси ставлять власні куки й отримують вашу IP-адресу, тип пристрою та адресу сторінки. Вони самостійні оператори: їхню обробку регулюють їхні політики — Google, Meta, TikTok.

Змінити рішення можна будь-коли: відкрити вибір знову. Ваш вибір зберігається в локальному сховищі браузера під ключем kira:consent — це не куки, і нікуди він не передається.

Сам сайт, крім цього, не ставить жодного куки й не веде власних лічильників.

9. Ваші права

Ви маєте право знати, які дані про вас обробляються, отримати їх копію, виправити, видалити, обмежити обробку, заперечити проти неї, відкликати згоду й перенести дані, а також подати скаргу до наглядового органу.

Як скористатися: напишіть на hello@kiralang.app і додайте «Номер звернення» із застосунку (Профіль → «Як усе працює»): акаунтів у нас немає, і знайти ваші дані ми можемо лише за ним. Відповідаємо протягом 30 днів.

Наглядові органи: в Україні — Уповноважений Верховної Ради України з прав людини; у ЄЕЗ — орган із захисту даних вашої країни; у Великій Британії — ICO.

10. Видалення даних

У застосунку: Профіль → «Видалити мої дані». Докладно — на сторінці kiralang.app/uk/delete.

Що стирається. На сервері — право PRO і токен чека, відомості про підписку й історія списань, добові лічильники, токен сповіщень, відмітка останнього звернення, відгуки й скарги на відповіді ШІ з вашим ідентифікатором. На телефоні — прогрес, слова, налаштування та відмітки згод і віку. Анонімний обліковий запис Firebase видаляється; якщо видалити його не вдалося, застосунок лише виходить із нього.

Що лишається.

• Резервні копії нашого сервера — до 14 днів (розділ 6).
• Хмарна копія вашого телефона (Google або iCloud), якщо вона була: її створила система, і кнопка її не видаляє; якщо відновити застосунок із такої копії, ці дані повернуться на пристрій. Видалити копію можна в налаштуваннях телефона (п. 2.2).
• Дані, які вже отримали Google (Firebase Analytics, Crashlytics) і OpenAI, — за строками й правилами цих компаній (розділи 5 і 6).
• Знеособлена статистика сервера без вашого ідентифікатора (розділ 6).

Підписку в магазині кнопка не скасовує. Скасуйте її в магазині (Google Play або App Store) — це окрема операція, і ми не можемо виконати її за вас; доки підписку не скасовано, списання тривають. Платіжні документи зберігає магазин за своїми правилами.

11. Вік

Сервіс призначено для осіб від 18 років — так застосунок заявлено й у магазинах. Під час першого запуску застосунок один раз питає вік і саму відповідь не зберігає. Даних неповнолітніх ми свідомо не збираємо. Інших способів визначити вік — за голосом, змістом розмов чи даними магазину — ми не використовуємо. Якщо в розмові ви прямо скажете, що вам менше 18 років, за правилами Кіри вона припиняє урок і радить поговорити про навчання з батьками, учителем чи іншим дорослим, якому ви довіряєте. Якщо нам стане відомо, що сервісом користується особа молодша 18 років, ми можемо припинити їй доступ і видалимо дані, які нам вдасться знайти за «Номером звернення» (умови використання, розділ 4). Якщо неповнолітня особа передала нам дані, напишіть на hello@kiralang.app — ми їх видалимо.

12. Безпека

Дані передаються лише зашифрованим з’єднанням (HTTPS). Сервер розташовано в ЄС, доступ до нього обмежено. Абсолютної безпеки в інтернеті не буває; якщо станеться витік, що може зачепити ваші права, ми повідомимо наглядовий орган і вас у строки, встановлені законом (для ЄЕЗ — протягом 72 годин).

13. Зміни політики

Ми можемо оновлювати цю політику. Кожна редакція має дату (угорі). Про суттєві зміни — нові дані, одержувачі чи цілі — ми повідомимо в застосунку до того, як вони наберуть чинності.