Политика конфиденциальности Whenomatic
Whenomatic — приложение для автоматизаций на телефоне: правило — это триггер и следующие за ним шаги. Коротко: правила выполняются на вашем телефоне, и то, что телефон читает, на нём и остаётся. Данные уходят с устройства, только когда вы пользуетесь функцией, которой нужен сервер (ассистент, погода, карта), или когда ваше правило отправляет что-то по выбранному вами адресу. Ниже перечислены все такие случаи.
1. Кто мы и как с нами связаться
Whenomatic разрабатывает и публикует FlorencoTech (Игорь Василенко, индивидуальный разработчик) — он же оператор данных, описанных здесь.
Вопросы о данных, запросы на копию и удаление: whenomatic@gmail.com.
2. Что остаётся на телефоне
Правила проверяет и выполняет само приложение, на устройстве. Для этого оно может читать то, что вы ему разрешили: геолокацию, события календаря, контакты, датчики и физическую активность, состояние Wi-Fi и Bluetooth, буфер обмена, файлы в одной выбранной вами папке, заряд и состояние экрана. Каждое разрешение запрашивается, только когда оно нужно вашему правилу, и его можно отозвать в настройках Android.
Эти сведения обрабатываются на телефоне и нам не передаются. Они покидают телефон, только если ваше правило вставляет их в сообщение, запрос или письмо (раздел 3.6).
Установленные приложения. Приложение смотрит список приложений на телефоне, чтобы вы могли выбрать приложение в правиле («открыть приложение», «приложение установлено»). Список используется только на устройстве и никуда не отправляется, кроме шагов, которые вы добавили сами.
3. Что уходит с телефона и кому
3.1. Ассистент: бесплатные запросы через наш сервер
Ассистент превращает вашу фразу в черновик правила. Без своего ключа запрос идёт через наш сервер, а он передаёт его в Google Gemini API на платном тарифе.
- Что отправляется: текст, который вы написали, предыдущие реплики разговора, текущий черновик правила и — только если запрос о Bluetooth-устройствах — имена сопряжённых устройств (их адреса подставляются уже на телефоне).
- Google. На платном тарифе Google не использует эти запросы для улучшения своих продуктов и хранит их 55 дней для защиты от злоупотреблений (Gemini API Additional Terms of Service, Политика конфиденциальности Google). Здесь Google — наш обработчик.
- Что хранит наш сервер:
- случайный идентификатор установки, который создаёт приложение (он не выводится из свойств устройства), и остаток бесплатных запросов при нём;
- по каждой сессии: страну (две буквы, определяется по IP-адресу), время, модель, число токенов, стоимость и исход — 90 дней, потом только в суммах по дням без идентификатора установки;
- сам IP-адрес в нашу базу не записывается: он используется в памяти, чтобы определить страну, и в виде хэша с ежедневно меняющейся солью — чтобы ограничить число запросов с одного адреса.
- Хостинг. Сервер работает на Railway. HTTP-логи самого Railway записывают IP-адрес каждого запроса и хранятся 30 дней; наши логи приложения содержат метод, путь, код ответа и время, но не текст ваших запросов. Резервные копии базы хранятся до 89 дней.
- Текст ваших запросов и ответы ассистента на нашем сервере не хранятся — кроме случая, когда вы пожаловались на ответ (3.3).
- Приблизительное местоположение. Страна по IP-адресу — это приблизительное местоположение. Она нужна, чтобы предлагать бесплатного ассистента только там, где он доступен, и чтобы защищаться от злоупотреблений.
3.2. Ассистент со своим ключом
Если вы вписали свой ключ Gemini API, запросы идут с телефона напрямую в Google, минуя наш сервер, на условиях вашего собственного проекта Google. Если проект на бесплатном уровне, Google может использовать запросы для улучшения своих продуктов, и их могут читать люди (Gemini API Additional Terms of Service). В Европейской экономической зоне, Великобритании и Швейцарии используйте только ключ проекта с включённой оплатой. Ключ хранится на телефоне в зашифрованном виде (раздел 6) и нам не передаётся.
3.3. «Почему не сработало?» и жалоба на ответ
Из журнала можно спросить ассистента, почему правило не выполнилось. Приложение отправляет запись журнала и само правило, предварительно убрав из них номера телефонов, адреса почты, координаты, адреса устройств, имена сетей Wi-Fi, идентификаторы NFC-меток и вписанные в правило учётные данные. Секреты ({secret:имя}) передаются только именем, значение — никогда. Запрос идёт тем же путём, что в 3.1 или 3.2.
Если вы пожаловались на ответ ассистента, наш сервер хранит ответ, ваш запрос, черновик, причину и ваш комментарий 12 месяцев, чтобы мы могли исправить проблему.
3.4. Google Play Integrity
Чтобы бесплатные запросы получало настоящее приложение на настоящем устройстве, приложение запрашивает вердикт у Google Play Integrity. Для этого Google Play обрабатывает сведения об устройстве и приложении на своих условиях. Наш сервер получает вердикт и сохраняет только то, пройден ли он; сырой вердикт не хранится, а сам токен — не дольше 14 дней. Кроме того, Google Play может запомнить для нас несколько бит на устройство, чтобы переустановка приложения не обнуляла бесплатные запросы.
3.5. Погода и карта
- Open-Meteo. Шаги погоды и погодные предупреждения отправляют в Open-Meteo координаты, округлённые до сетки 0,05° (около 5 км). Open-Meteo хранит логи запросов до 90 дней. Данные о погоде: Open-Meteo, CC BY 4.0.
- OpenStreetMap. Когда вы выбираете место на карте, приложение загружает тайлы карты у OpenStreetMap Foundation. Запросы тайлов раскрывают район карты, который вы смотрите (после «моё местоположение» — то место, где вы находитесь), и ваш IP-адрес. Картографические данные © участники OpenStreetMap.
- Сервисы Google Play определяют геолокацию, геозоны и физическую активность на устройстве по политике конфиденциальности Google.
3.6. Адреса, которые вы вписали в правила
Правило может отправить данные по адресу, который вы указали: веб-запрос (вебхук), сообщение в Telegram, ntfy.sh или другой мессенджер, письмо через ваш почтовый сервер, MQTT-брокер. Что и куда уходит, решаете вы, когда пишете правило; приложение только доставляет. У нас нет доступа к этим данным, для них действует политика получателя. Перед сохранением правила, которое отправляет данные за пределы телефона, приложение показывает, какие из этих путей оно использует.
4. Что приложение хранит на телефоне
Правила и их история, сохранённые места, переменные, журнал последних 200 запусков, монитор событий и чат с ассистентом хранятся в закрытой области приложения. Журнал и монитор событий можно очистить в приложении, а всё сразу — очисткой данных приложения или его удалением.
5. Резервная копия Android
Если резервное копирование Android включено, правила и настройки попадают в резервную копию вашего аккаунта Google и восстанавливаются на новом телефоне. Журнал, монитор событий, чат с ассистентом, переменные, секреты и ваш ключ API исключены и из облачной копии, и из переноса с устройства на устройство. Доступа к вашей резервной копии у нас нет.
6. Безопасность
Секреты, которые вы используете в правилах, и ваш ключ API хранятся зашифрованными ключом из Android Keystore. Они никогда не попадают в журнал, экспорт и резервную копию. Все соединения из раздела 3, которые приложение устанавливает само, идут по HTTPS; открытые адреса http:// за пределами вашей локальной сети приложение не принимает.
7. Экспорт и ссылки
Когда вы экспортируете правила в файл или делитесь правилом, файл содержит само правило: шаги, тексты и адреса. Секреты входят только ссылкой ({secret:имя}), без значений. Проверьте, что в правиле, прежде чем им делиться.
8. Возраст
Whenomatic предназначен для людей от 18 лет: ассистент работает на Gemini API, который этого требует. Мы сознательно не собираем данные детей.
9. Ваши права и удаление данных
Вы можете запросить копию данных, которые наш сервер хранит о вашей установке, попросить исправить или удалить их, возразить против их обработки. Напишите на whenomatic@gmail.com и приложите «ID для поддержки» из настроек ассистента в приложении — без него мы не отличим ваши записи от чужих. Отвечаем в течение 30 дней.
По запросу мы удаляем остаток, сессии и жалобы этой установки. Копии в резервных копиях Railway исчезают, когда истекает их срок (до 89 дней), HTTP-логи Railway — через 30 дней, копии запросов у Google — через 55 дней по условиям Google; сократить эти сроки мы не можем. Если вы живёте в ЕС, Великобритании или другой стране с законом о защите данных, вы также можете пожаловаться в свой надзорный орган.
Если вы пишете нам, мы храним ваш адрес и переписку столько, сколько нужно, чтобы ответить и выполнить запрос.
10. Аналитика и отчёты о сбоях
В приложении нет SDK аналитики, рекламы и отчётов о сбоях. Google Play может собирать статистику сбоев и производительности (Android vitals), если вы разрешили это в настройках устройства; мы видим её только в обобщённом виде.
11. Изменения политики
Если приложение начнёт обращаться с данными по-новому, мы обновим эту страницу до выхода такой версии и поменяем дату вверху. О существенных изменениях также напишем в «Что нового» в Google Play.