Политика конфиденциальности

Кто мы

Eat & Lift создаёт Nedeveon EOOD, компания, зарегистрированная в Болгарии. Мы решаем, как и зачем используются данные, описанные в этой политике. Поэтому мы являемся контролёром данных по смыслу Общего регламента по защите данных (GDPR) ЕС и Великобритании.

Эта политика распространяется на приложения Eat & Lift для iPhone, Apple Watch и Android, сайт eatnlift.com и письма, которые ты нам отправляешь. Она действует для версии 2 приложений и новее.

Написать нам можно на [email protected], а нашему специалисту по защите данных на [email protected].

Что остаётся на телефоне

Всё, что ты записываешь, сначала хранится на твоём телефоне: приёмы пищи, продукты и рецепты, тренировки и программы, вес, вода, активность, сон, цели, планы, фото прогресса, а также твой чат и заметки с ИИ-тренером. Вести дневник и пользоваться им можно офлайн и без аккаунта. ИИ-тренеру, поиску новых продуктов, резервным копиям и обмену нужен интернет.

Ничего из твоего дневника не попадает к нам, пока ты не используешь одну из функций ниже. В каждом разделе сказано, что эта функция отправляет и зачем.

Твой аккаунт

Аккаунт не обязателен. Он нужен для ИИ-тренера, резервных копий и личных ссылок с друзьями. Если ты его создаёшь, нам нужны данные ниже, чтобы его вести. Войти можно через Apple, Google или адрес электронной почты:

• Apple: имя и адрес электронной почты (или скрытый адрес Apple для пересылки) и токен, подтверждающий вход.
• Google: имя, адрес электронной почты и токены, которые Google передаёт приложению для подтверждения входа.
• Электронная почта: имя, адрес электронной почты и пароль. Приложение хеширует пароль до того, как он покинет телефон, а наш сервер хеширует его ещё раз, поэтому мы его никогда не видим.

В аккаунте хранятся идентификатор, адрес электронной почты и имя. Письма для подтверждения адреса или сброса пароля отправляются через Resend.

Зашифрованные резервные копии

Резервные копии и синхронизация между устройствами входят в Premium. Когда ты входишь в аккаунт с Premium, резервные копии дневника создаются автоматически с первой записи, а приложение само создаёт пароль резервной копии. Отключить резервные копии можно в разделе Настройки → Резервные копии → Резервная копия и синхронизация, там же можно удалить копию с наших серверов. Восстановить уже имеющуюся копию можно бесплатно.

Без Premium или с отключёнными резервными копиями дневник хранится только на телефоне. Его можно в любой момент экспортировать в разделе Настройки → Локальные данные → Экспортировать дневник в файл .eatnlift (zip-архив с твоими записями и фото) и хранить где угодно. Файл не зашифрован: любой, к кому он попадёт, сможет его прочитать, поэтому храни его в надёжном месте.

Когда резервные копии включены, телефон создаёт ключ и шифрует дневник и фото (AES-256-GCM) до того, как что-либо будет загружено. Ключ хранится в связке ключей телефона и через неё попадает на другие твои устройства (на iPhone через Связку ключей iCloud). Мы также храним копию ключа, защищённую паролем резервной копии, чтобы его можно было восстановить на новом телефоне. Пароль никогда не покидает твои устройства.

• Что мы видим: только метаданные. Это твой аккаунт, идентификаторы, даты, время и размеры зашифрованных записей и фото, какие из них удалены, сколько места они занимают, и хешированный код, который проверяет правильность ключа, не раскрывая сам ключ.
• Чего мы не видим: твоих данных и фото.

Фото загружаются без геопозиции и данных камеры. Если потерять связку ключей и пароль резервной копии, открыть копию не сможет никто, даже мы.

ИИ-тренер

Функции ИИ: чат с тренером (на iPhone и Apple Watch), сканирование еды и этикеток, Быстрый ввод текстом, голосом или по фото, описание и уточнение записей, оценка калорий тренировок, реакции, итоги недели, планы, а также заметки и журнал тренера. Они входят в Premium, требуют аккаунта и включаются только после того, как ты примешь условия ИИ в приложении.

Перед этим приложение показывает «Что видит твой тренер»: имя, возраст, пол, рост, вес, уровень активности, цели, приёмы пищи, тренировки, воду, активность, сон и восстановление, продукты, программы, планы и фото. Изначально всё включено, и любой пункт можно отключить сразу или позже в разделе Настройки → ИИ-тренер.

• Что отправляется: твои сообщения и недавняя переписка, добавленные фото и голосовые записи (до минуты), заметки, файлы и журнал тренера, а также те части дневника, которые ты разрешаешь. Среди них могут быть данные из Apple Health или Health Connect, например сон, вес или активность. Фото прогресса никогда не отправляются.
• Когда: когда ты используешь функцию ИИ, а пока ИИ включён, ещё и в фоне: реакции на то, что ты записываешь, включая данные из Apple Health или Health Connect, итоги недели и упорядочивание заметок тренера. Это происходит без открытия чата.
• Куда: через наш сервер в OpenRouter, Inc., который передаёт данные компании, запускающей модель ИИ, вместе с замаскированным идентификатором, по которому тебя нельзя узнать. Наш сервер не хранит запросы, а мы работаем только с поставщиками ИИ, которые ничего не хранят (нулевое хранение данных) и никогда не обучают модели на твоих данных. Запросы обрабатываются только для того, чтобы ответить тебе. Модели и запускающие их компании могут меняться; эти правила остаются.
• Что мы храним: для каждого запроса, какая модель и какой поставщик ответили, сколько это заняло и сколько стоило, чтобы учитывать твой недельный лимит. Никогда не содержание. Мы также храним запись о твоём согласии: когда оно дано, к какой версии условий ИИ оно относится, выбранного поставщика и разрешения, а также платформу, версию приложения и язык.

Твой чат с тренером, а также его заметки и журнал остаются на телефоне и попадают в зашифрованную резервную копию, если резервные копии включены. Тренер сам делает заметки, пока вы общаетесь, чтобы помнить главное; читать и удалять их можно в разделе Настройки → ИИ-тренер → Журнал.

Если вместо этого использовать собственный ключ OpenRouter, ключ остаётся в связке ключей телефона, а запросы идут с телефона прямо в OpenRouter по условиям OpenRouter и никогда не проходят через нас. Когда ты вставляешь ссылку, чтобы тренер её прочитал, телефон сам загружает эту страницу, поэтому тот сайт видит запрос и твой IP-адрес.

Apple Health и Health Connect

Подключать Apple Health (iPhone) или Health Connect (Android) не обязательно, а что приложению можно читать и записывать, ты выбираешь в настройках телефона.

• Что оно может читать: вес, рост, пол, дату рождения, шаги, активную энергию, тренировки, питание, воду, сон, пульс в покое и вариабельность сердечного ритма.
• Что оно может записывать: отмеченные приёмы пищи с их нутриентами, воду, взвешивания и завершённые тренировки.

Эти данные нужны, чтобы заполнять дневник, ставить цели и показывать историю. Импортированные приёмы пищи, вода, вес, тренировки и дневная активность становятся записями дневника, поэтому попадают в зашифрованные резервные копии и экспорт. Исходные показатели сна, пульса в покое и вариабельности сердечного ритма остаются только на телефоне. Когда ИИ включён, тренер видит данные о здоровье, которые ты разрешаешь, как описано выше.

Если отозвать доступ приложения в настройках телефона, дальнейшие чтение и запись прекращаются. То, что уже есть в дневнике, при этом не удаляется, и то, что видит ИИ, не меняется: этим управляют в разделе Настройки → ИИ-тренер.

Данные о здоровье никогда не используются для рекламы или маркетинга, никогда не продаются и никогда не передаются для этих целей. Мы используем Health Connect по правилам Google Play для приложений о здоровье и политике разрешений Health Connect, включая требования ограниченного использования. Мы используем Apple Health по правилам Apple.

Приложение для Apple Watch записывает тренировки в Apple Health и работает через iPhone. Само оно никогда не связывается с нашими серверами; тренировки, которые оно записывает, и то, что ты говоришь через него тренеру, обрабатываются так же, как всё остальное в этой политике.

Друзья и ссылки

Делиться с друзьями бесплатно и не обязательно.

• Личные ссылки защищены сквозным шифрованием. То, чем ты делишься с другом или подругой, шифруется на твоём телефоне, а ключ передаётся только внутри ссылки и никогда не попадает к нам. Мы храним зашифрованную ленту. Аккаунт нужен обеим сторонам, а срок действия неиспользованного приглашения истекает через 7 дней.
• Публичные ссылки (например, eatnlift.com/u/tvoe-imya) не зашифрованы. Любой, у кого есть ссылка, видит то, чем ты через неё делишься, и мы тоже. Срок у них не истекает: они работают, пока ты их не отключишь или не удалишь аккаунт. Отключённая ссылка сразу удаляется вместе с данными, которыми делились публично.
• Чем можно делиться: серия всегда включена, когда ты делишься. Всё остальное настраивается: калории и БЖУ за день, активность, шаги, сводки тренировок, вес, вода и сон. Друзья всегда видят твоё имя; публичная ссылка показывает его, только если включить эту опцию. Всё это можно в любой момент изменить для каждого друга и каждой ссылки.
• Ссылки для обмена отправляют приём пищи, день, тренировку, рецепт, план, продукт или программу. Чтобы создать ссылку, нужен Premium; открыть её можно бесплатно и без аккаунта. Они шифруются на твоём телефоне, а ключ находится в части ссылки после «#», которая никогда не попадает на наш сервер, поэтому открыть ссылку может любой, у кого она есть целиком. Мы храним зашифрованную копию, пока ты не отключишь ссылку или не удалишь аккаунт.
• Карточки для обмена создаются на твоём телефоне как изображения. Они отправляются туда, куда ты их отправишь.

Удаление человека из друзей удаляет всё, чем вы делились друг с другом. Отключение ссылки убирает её с наших серверов, но не удаляет копии или скриншоты, которые кто-то уже сделал.

Поиск продуктов и штрихкоды

Библиотека продуктов и рецепты встроены в приложение. Когда ты ищешь другие продукты, то, что ты вводишь (до 100 символов), отправляется на наш сервер. Когда ты сканируешь штрихкод, код тоже отправляется на наш сервер, который может поискать его в Open Food Facts, отправив только сам код. Наш сервер использует их только для поиска продукта и никогда не записывает их в журналы.

Подписки

Premium покупается через App Store или Google Play, которые обрабатывают оплату; мы никогда не видим твою карту. RevenueCat, Inc. отслеживает состояние подписки. Apple или Google сообщают RevenueCat о твоих покупках в Eat & Lift, а RevenueCat связывает их с идентификатором (твоего аккаунта или анонимным, если вход не выполнен). Приложение запускает RevenueCat только после того, как ты примешь эту политику. Данные о покупках мы храним столько, сколько требует бухгалтерское законодательство.

Уведомления и диагностика

Уведомления, включая реакции и напоминания тренера, создаются на твоём телефоне. У нас нет сервера, который бы их рассылал.

В приложении нет собственной аналитики или отчётов о сбоях. Если в настройках телефона включить отправку диагностики разработчикам приложений, Apple или Google присылают нам отчёты о сбоях и базовую статистику по Eat & Lift, по которым тебя нельзя узнать. Мы читаем их в App Store Connect и Google Play Console, чтобы исправлять ошибки.

Сайт

eatnlift.com не использует файлы cookie, аналитику или трекеры. Наш сервер записывает каждый запрос (твой IP-адрес, браузер и страницу), чтобы защищать сервис, а Cloudflare, Inc. маршрутизирует и защищает трафик.

Когда ты нам пишешь

Когда ты отправляешь нам письмо, мы используем твой адрес, сообщение и вложения, чтобы ответить и отслеживать обращение. Наша почта работает на Google Workspace.

Кто обрабатывает данные для нас

Эти компании обрабатывают данные по нашему поручению, каждая только для указанного:

Apple и Google также предоставляют вход, магазины приложений, платежи и платформы здоровья по своим собственным политикам конфиденциальности.

Где хранятся твои данные

Наши серверы и их резервные копии находятся в ЕС. Некоторые компании из списка выше работают за пределами Европейской экономической зоны, в основном в США, а OpenRouter передаёт запросы ИИ компаниям, запускающим модели ИИ, которые тоже могут быть за её пределами. Такие передачи основаны на гарантиях в условиях этих компаний, например на Рамочной программе конфиденциальности данных ЕС и США (Data Privacy Framework) или стандартных договорных условиях Европейской комиссии.

Как долго мы их храним

Как мы их защищаем

Резервные копии, личные ссылки и ссылки для обмена шифруются на твоём телефоне до загрузки, поэтому даже мы не можем их прочитать. Публичные ссылки и запросы ИИ защищены так, как описано в их разделах. Всё передаётся по зашифрованным соединениям и хранится на зашифрованных дисках. Доступ к серверам есть только у людей, которые ими управляют, и этот доступ защищён двухфакторной аутентификацией. Мы обновляем свои системы и следим за злоупотреблениями.

Почему мы имеем на это право

• Чтобы работали приложение и твой аккаунт, включая резервные копии, ссылки, поиск продуктов и подписки: это необходимо для оказания услуги, которую ты запрашиваешь (ст. 6(1)(b) GDPR).
• Для данных о здоровье: то, что ты записываешь, остаётся на телефоне или шифруется так, что мы не можем это прочитать. Когда мы всё же обрабатываем такие данные, для функций ИИ или публичной ссылки, которую ты публикуешь, мы опираемся на твоё явное согласие (ст. 6(1)(a) и 9(2)(a)), которое ты даёшь, включая эти функции. Доступ к Apple Health или Health Connect тоже является твоим явным согласием, данным в настройках телефона, и сам по себе не позволяет ИИ или кому-либо ещё видеть твои данные.
• Для функций ИИ: твоё согласие (ст. 6(1)(a)).
• Чтобы сервис был безопасным и чтобы пресекать злоупотребления, в том числе с помощью журналов запросов: наш законный интерес в безопасном сервисе (ст. 6(1)(f)).
• Чтобы отвечать на твои письма: наш законный интерес в том, чтобы помочь тебе (ст. 6(1)(f)).
• Для данных о покупках: наша юридическая обязанность (ст. 6(1)(c)).

Отзыв согласия прекращает дальнейшую обработку, но не делает незаконным то, что было до этого. Предоставлять нам что-либо не обязательно: без аккаунта не работают только функции, которым он нужен. Мы не принимаем автоматизированных решений, которые влекут для тебя юридические последствия или аналогичным образом существенно на тебя влияют.

Твои права

Ты можешь запросить доступ к своим данным, их исправление, удаление или перенос. Также можно потребовать ограничения обработки, возразить против обработки на основании нашего законного интереса и отозвать любое данное согласие. Большую часть этого можно сделать в приложении:

• Удалить аккаунт: Настройки → Профиль → Удалить аккаунт.
• Забрать свои данные: Настройки → Локальные данные → Экспортировать дневник.
• Изменить, что видит ИИ, или выключить его: Настройки → ИИ-тренер.
• Отключить или удалить резервные копии: Настройки → Резервные копии.

При удалении аккаунта с наших серверов удаляются твои резервные копии, ссылки для обмена, публичные ссылки, друзья и ленты друзей, а также данные подписки. Дневник остаётся на телефоне. Данные о покупках хранятся 10 лет, как требует бухгалтерское законодательство, а данные об использовании ИИ и записи о согласии остаются только в форме, по которой тебя нельзя узнать. Журналы удаляются по истечении сроков хранения, указанных в таблице выше, а всё удалённое исчезает из резервных копий нашей базы данных в течение 30 дней. Удаление аккаунта не отменяет подписку: отмени её в своём аккаунте App Store или Google Play.

Ты также можешь попросить нас удалить аккаунт без приложения или воспользоваться любым другим правом, написав на [email protected]. По возможности пиши с адреса, привязанного к аккаунту; если это невозможно, мы попросим то, что нужно, чтобы убедиться, что аккаунт твой. Мы отвечаем в течение месяца.

Также можно подать жалобу в надзорный орган по защите данных. Наш надзорный орган: Комиссия по защите персональных данных Болгарии (cpdp.bg), бульвар Проф. Цветан Лазаров, 2, 1592 София.

Если ты живёшь в США: мы не продаём твою личную информацию и не передаём её для рекламы. Ты можешь спросить, какие данные у нас есть, попросить их исправить или удалить, и мы не будем относиться к тебе иначе из-за такой просьбы.

Возраст

Eat & Lift предназначен для людей от 18 лет. Мы не храним данные людей, о которых знаем, что им меньше 18 лет, и удаляем их, если узнаём, что они у нас есть.

Изменения

Когда политика меняется, мы обновляем её здесь с новой датой и сообщаем тебе в приложении до того, как вступит в силу существенное изменение.

Контакты

Nedeveon EOOD, Болгария. Пиши на [email protected] или нашему специалисту по защите данных на [email protected].