Приватність і безпека

Коротко

• Ваші дані потрібні, щоб Brain Buffer працював: щоб зберігати нагадування, розуміти повідомлення й надсилати сповіщення. Ми їх не продаємо.
• Реклами зараз немає. Якщо вона з'явиться, ми попередимо заздалегідь, оновивши ці правила. Рекламу, підібрану за вашими даними, покажемо лише з вашої окремої згоди.
• Повідомлення й фото документів обробляє мовна модель Claude компанії Anthropic (США). Голосових повідомлень у Telegram-боті ми зараз не розпізнаємо й нікуди не передаємо.
• Нагадування про збережені місця перевіряє сам телефон. Для нагадування «біля супермаркету» телефон надсилає свою позицію на наш сервер — але лише поки таке нагадування у вас є.
• Родина бачить нагадування, які вам поставила, і вашу реакцію на них. Де ви, родина не бачить.
• Brain Buffer — помічник, а не наглядач: нагадування може запізнитися або не прийти. Для важливого майте ще один спосіб. Рецептів і медичних документів з фото не розпізнаємо — це не медичний застосунок.
• Історію чату зберігаємо, поки існує акаунт. Вибір строку зберігання й кнопка «видалити все» — в розробці.
• Зараз триває бета-тестування: текст повідомлень зберігається лише для тестувальників, зашифрованим, до 14 днів (розділ 8).
• Написати нам: privacy@telegramaireminder.com.

1. Хто відповідає за дані

Сервіс надає й персональні дані обробляє ФОП Ощипок О. В., Україна.

Копію всіх своїх даних можна завантажити й самостійно: у вебі — Налаштування → «Усі мої дані», у Telegram-боті — команда /mydata. Питання, запити на копію чи видалення даних — на privacy@telegramaireminder.com. Відповідаємо протягом 30 днів.

Окремий пункт «Запит щодо даних» у застосунку, на сайті й у боті — в розробці.

2. Що ми збираємо, навіщо, де і як довго

Номер телефону ми не збираємо.

Неактивні акаунти. Акаунт не видаляємо лише через те, що ви давно не заходили: річні нагадування мають працювати.

Резервні копії. Щоночі ми робимо зашифровану копію бази (без довідкових даних карти) і тримаємо її 14 днів у приватному сховищі Supabase (ЄС); старші копії видаляються автоматично. Тож видалене з бази ще до 14 днів може лишатися в цих копіях. З них ми лише відновлюємо базу після збою — і тоді знову видаляємо акаунти, які їхні власники видалили після того, як копію зроблено: для цього поруч із копіями 14 днів лежить зашифрований список номерів видалених акаунтів.

На якій підставі

• Договір: щоб працював сервіс, який ви обрали. Сюди входять нагадування, історія, мовна модель, сповіщення, місця й родина. Згоди на це ми не просимо, бо без цієї обробки сервіс не може працювати.
• Законний інтерес: безпека, виправлення помилок і листування з вами. Сюди входять журнали, спроби входу, дані оновлень і лічильники подій — без них не захистити акаунти й не з'ясувати, чому нагадування не прийшло, — а також листи на нашу адресу і повідомлення про проблеми: щоб відповісти, відсіяти спам і позначити, про що лист. Проти цього можна заперечити (розділ 14).
• Ваш вибір, який можна скасувати, і сервіс працюватиме далі. Сюди входять синхронізація календаря, пропозиції частих місць, зберігання фото й можливість знаходити вас за псевдонімом чи поштою. Пошук за псевдонімом і поштою вимкнено, доки ви його не ввімкнете (вибір псевдоніма в чаті вмикає його — бот про це скаже). З 3 жовтня 2026 року так для всіх акаунтів, зокрема створених раніше.
• Вимоги закону. Сюди входять записи про платежі.

Anthropic, Google і наш поштовий сервіс (зараз Resend) розташовані в США, тож частина даних залишає Україну та ЄС. Передачу до Anthropic захищають Стандартні договірні умови ЄС (рішення Єврокомісії 2021/914), включені в їхню угоду про обробку даних; до EU-U.S. Data Privacy Framework Anthropic не входить. Google і Resend сертифіковані за EU-U.S. Data Privacy Framework, а в угоді Resend про обробку даних є ще й Стандартні договірні умови. Для людей в Україні ця передача також потрібна для виконання договору: розбір ваших повідомлень моделлю і є сервіс.

3. Місцеперебування

Нагадування про збережені місця («коли прийду додому»)

• Місце (назву, координати, радіус) зберігаємо в акаунті, щоб воно працювало на всіх ваших пристроях.
• Чи ви вже на місці, перевіряє сам телефон: він порівнює свою позицію й видимі Wi-Fi-мережі зі збереженими. Поточна позиція для цього на сервер не надсилається.
• Порівняння за Bluetooth-пристроями й NFC-мітками в коді є, але ще не перевірене — вважайте його в розробці.
• Коли нагадування спрацює, телефон повідомляє серверу, яке саме нагадування спрацювало. Так воно з'являється в історії на всіх ваших пристроях. Отже, сервер знає, коли спрацювало нагадування про місце, але не бачить, де ви були між спрацюваннями.
• Коли ви зберігаєте місце «тут», телефон один раз надсилає точні координати, ідентифікатори Wi-Fi-мереж поруч і назви підключених Bluetooth-пристроїв. Ідентифікатори мереж і пристроїв зберігаємо лише як хеші. Хеш ускладнює відновлення ідентифікатора, але не робить його неможливим. Місце також можна вибрати на карті або надіслати боту геопозицію в Telegram.
• Якщо часовий пояс ще не задано, ми можемо визначити його з першої отриманої позиції.
• Окремо від цього ви можете вказати країну й місто в налаштуваннях. Це ваша відповідь, а не дані з телефона: країна вирішує, які функції доступні у вашій країні, а за назвою міста ми один раз визначаємо його координати, щоб рахувати схід і захід сонця та погоду. Якщо ви не вкажете нічого, країну ми можемо припустити з часового поясу телефона або зі збереженого вами місця — і завжди показуємо, що саме припустили.

«Біля супермаркету, банкомата, АЗС…»

• Для такого нагадування потрібна база місць, тому телефон надсилає свою позицію на наш сервер. Робить він це лише поки у вас є активне нагадування такого типу, тобто поки ви користуєтеся цією функцією.
• Позиція надходить приблизно раз на 2 хвилини. Частіше — лише якщо ви самі ввімкнете швидшу синхронізацію: у «миттєвому» режимі приблизно раз на 30 секунд.
• Там, де в нас є власна копія даних OpenStreetMap — зараз це Україна, — сервер шукає місця в ній, і позиція не виходить за межі нашого сервера. Де такої копії немає (за кордоном або в зовсім безлюдній місцевості), сервер питає сервіс OpenStreetMap Overpass: туди йдуть лише координати й радіус пошуку, без даних акаунта.
• Позицію в акаунт не записуємо. Коли нагадування спрацює, в історії з'явиться запис із назвою знайденого місця й відстанню до нього.
• Коли ви видалите останнє таке нагадування, телефон перестає надсилати позицію — протягом кількох хвилин, щойно оновиться список нагадувань на пристрої.

Інші сенсори

• Нагадування «коли підключуся до Wi-Fi» і «коли йду / їду» перевіряє сервер. Для цього телефон надсилає назву мережі або тип руху.
• Про заряд, заряджання й кроки телефон повідомляє сервер, навіть якщо відповідного нагадування у вас немає. Якщо нагадування немає, сервер нічого з цього не зберігає; надсилати це лише тим, кому воно потрібне, — в розробці.
• Функція «Пропонувати часті місця» за замовчуванням вимкнена. Якщо її ввімкнути, журнал відвіданих точок веде лише телефон і нікуди його не надсилає. Вимкнення функції стирає журнал. Якщо на телефоні ввімкнено резервне копіювання Android, журнал може потрапити в копію у вашому Google-акаунті.
• Доступ до геопозиції можна будь-коли забрати в налаштуваннях Android. Тоді перестануть працювати лише нагадування, пов'язані з місцями.

4. Родина

Родина ділиться нагадуваннями, а не місцеперебуванням.

Рідні бачать

• ваше ім'я в родині. Кожен учасник може будь-коли переглянути, хто зараз у родині, кого запрошено і чи йде голосування за вилучення;
• контакт, на який надіслано запрошення (пошту, псевдонім чи Telegram);
• нагадування, які вони поставили вам: текст, умову і чи воно на паузі. Якщо ви таке нагадування змінюєте, ставите на паузу, видаляєте чи позначаєте виконаним, автор отримує про це повідомлення;
• вашу реакцію (👍 ❤️ 🙂 😞) на поставлене вам нагадування, а також скільки разів воно спрацювало — крім нагадувань, прив'язаних до місця (див. нижче);
• повідомлення в сімейному чаті та реакції на них. Учасник може надіслати гучний сигнал, який звучить навіть на беззвучному телефоні; конкретну людину можна заглушити;
• розклад, який вони вам надсилають: якщо у вас уже є розклад з тією самою назвою, а їхній новіший, він замінить ваш, і вам прийде про це повідомлення. Той, хто надсилає, дізнається дату останньої зміни вашого розкладу.

Рідні не бачать

• де ви зараз і де були;
• ваші збережені місця, власні нагадування й нотатки;
• ваші налаштування для родини — кого ви заглушили і як ви називаєте рідних;
• ваші пристрої й сеанси входу.

Нагадування, прив'язане до місця (а також до Wi-Fi, Bluetooth-пристрою чи NFC-мітки), яке вам поставив хтось із родини: автор не бачить, чи й скільки разів воно спрацювало, і вашої реакції на нього. Чесно про те, що лишається: якщо ви позначите його виконаним, автор отримає про це повідомлення, як і для будь-якого нагадування; одноразове нагадування після спрацювання зникає з його списку. Таке нагадування можна видалити чи поставити на паузу — автор дізнається лише про це.

Правила

• До родини потрапляють лише ті, хто прийняв запрошення. Запросити можна за поштою, псевдонімом або через Telegram. Посилання-запрошення діє 7 днів, шестизначний код — 10080 хвилин, і код підтверджує той, хто запрошує.
• Знайти вас за поштою чи псевдонімом, щоб запросити, можна лише якщо ви це дозволили: це вимкнено, доки ви не ввімкнете (вибір псевдоніма в чаті вмикає й одразу про це каже). Запрошення посиланням і кодом працює завжди.
• Контакт, на який надіслано запрошення, потрібен лише для цього запрошення: через 30 днів після того, як його прийняли, відхилили чи воно минуло, запис видаляємо разом із контактом.
• Вийти з родини можна будь-коли, нічиє підтвердження не потрібне.
• Коли хтось виходить з родини або його вилучають, нагадування між ним і рештою роз'єднуються: те, що він вам поставив, лишається у вас як ваше власне, а він його більше не бачить, не може змінити й не отримує про нього повідомлень. Так само й навпаки — з тим, що поставили йому ви.
• Учасники родини рівні між собою, зокрема й у вилученні: попросити вилучити іншого може будь-хто, а відбувається це, коли погодяться всі інші учасники або коли погодиться сам учасник, якого вилучають. Якщо за 24 години ніхто не відповів, завершити вилучення може той, хто створив родину, — це на випадок, коли людина недоступна, наприклад загубила телефон; відмова — теж відповідь і цю можливість закриває. У родині з двох людей «усі інші» — це одна людина, тож її рішення остаточне.
• Вилученого учасника можна запросити знову — на загальних умовах: він має прийняти запрошення.
• Кожен сам обирає, як називати інших у родині («мама», «Іра»); ці імена бачить лише він.
• Імена учасників — і ті, якими ви називаєте рідних, — передаються мовній моделі, щоб вона зрозуміла прохання на кшталт «нагадай мамі».
• Спільне нагадування, прив'язане до місця, і кнопка «Я на місці» — в розробці. «Я на місці» надсилатиметься лише тоді, коли ви самі її натиснете, і рідні побачать назву місця, яку ви вибрали, а не координати.

Поділитися посиланням — не лише з родиною

Ви можете дати посилання на свій розклад чи нагадування. Хто його відкриє, побачить їхній текст — таким, яким він є зараз у вас, — і зможе взяти собі копію. Сторінка посилання не показує, хто ним поділився. Посилання діє, доки ви його не зупините; копії, які вже взяли, лишаються в тих, хто їх взяв. Ми бачимо лише кількість переглядів і копій — не те, хто це був.

5. Мовна модель і голос

• Повідомлення, які ви пишете в застосунку, на сайті чи в Telegram-боті, а також фото розкладів обробляють мовні моделі Claude компанії Anthropic (США). Разом із повідомленням модель отримує назви ваших збережених місць, імена учасників родини і ваші налаштування часу. Без цього вона не зрозуміє, що означає «вдома» чи «зранку».
• Координат ваших місць моделі не передаємо — лише назви. Фото йде на розпізнавання в повній якості, але без даних про місце й час зйомки (EXIF): їх ми прибираємо ще до розпізнавання, як і перед збереженням.
• За умовами Anthropic для розробників ці дані не використовують для навчання моделей і видаляють протягом 30 днів; довше — до 2 років — зберігають лише запити, позначені як порушення правил використання. Це умови Anthropic, а не наші.
• Відповіді в чаті формує мовна модель, а не людина. Це сказано й у самому чаті — підписом біля поля введення, а в Telegram-боті — у привітанні.
• Рецептів і медичних документів з фото ми не розпізнаємо (розділ 6): модель лише визначає, що це такий документ, і ми нічого з нього не беремо.
• Голос у застосунку розпізнає служба розпізнавання мовлення на вашому телефоні. Зазвичай це Google, але залежить від налаштувань телефона. Ми отримуємо лише текст. Сповіщення вголос читає сам телефон.
• Голосові повідомлення в Telegram-боті зараз не розпізнаються: бот просить написати текстом, а аудіо не завантажує й нікуди не передає. Якщо розпізнавання повернеться, то лише через сервіс із договором про обробку даних — і спершу ми оновимо цей розділ.
• План і уроки курсу модель складає сама — з вашого запиту на курс.
• Як захищено передачу цих даних у США — у розділі 2 («На якій підставі»).
• Модель може помилитися, тому перевіряйте, що саме створилося.

6. Рецепти й медичні документи

Brain Buffer — не медичний застосунок і медичних даних не обробляє. Рецептів, призначень лікаря й інших медичних документів з фото ми не розпізнаємо.

• якщо на фото такий документ, мовна модель лише визначає це, нічого з нього не переписуючи, — а ми нічого з нього не зберігаємо й відповідаємо, що такі фото не підтримуються;
• нагадування, які ви пишете самі, — ваш текст; медичних подробиць у ньому ми не просимо.

Brain Buffer не призначений бути медичним виробом і не дає медичних порад. Якщо нагадування, яке ви поставили, розходиться з призначенням лікаря чи інструкцією до ліків, правильними вважайте призначення та інструкцію.

7. Чому нагадування може не прийти

Brain Buffer — помічник, а не наглядач. Ми дбаємо, щоб нагадування приходили вчасно, але гарантувати цього не можемо: вони доходять через ваш телефон, браузер, Telegram і служби доставки сповіщень. Нагадування може запізнитися або не прийти, якщо:

• телефон вимкнений або без інтернету;
• Android обмежив роботу застосунку у фоні, наприклад для економії заряду, або після перезавантаження телефона ви ще не відкривали застосунок;
• сповіщення чи доступ до геопозиції вимкнені;
• немає сигналу GPS, зокрема під час повітряних тривог;
• збоїть сервіс, від якого ми залежимо: Google Firebase, Telegram, хостинг.

Для того, від чого залежать здоров'я, безпека, гроші чи строки, майте ще один спосіб: будильник, людину поруч, записаний графік.

8. Поточний період: бета-тестування й докладні записи

Цей розділ описує те, що відбувається зараз, поки триває бета-тестування. Коли воно закінчиться, ми приберемо цей розділ і видалимо зібране за ним.

Щоб швидко знаходити й виправляти помилки, нам потрібен текст реальних повідомлень. Але зібраний він лише в одних людей і в одному місці:

• текст повідомлень зберігається лише для тестувальників: це власник і ті, хто сам погодився. Для всіх інших ані журнали, ані аналітика тексту не містять — тільки довжину й результат розбору;
• текст тестувальника лежить лише зашифрованим в окремій таблиці на нашому сервері. Прочитати його можна тільки звідти, ключем, який зберігається в налаштуваннях сервера, а не в базі. Без ключа не записується нічого;
• у звичайних журналах сервера (їх веде Fly.io) тексту немає взагалі — звідти рядок уже не прибрати;
• аналітика подій («прийшло повідомлення», «створено нагадування») не зберігає змісту ні для кого, тестувальників теж, — лише лічильники;
• фрази тестувальників, які бот не зрозумів, збираються в окремий список — теж зашифрованими. Розробник щодня отримує лише їхню кількість, а самі фрази читає на нашому сервері. Щоб навчити модель, він пише вигаданий приклад: справжня фраза прикладом не стає;
• реакція 🙂 або 😞 на відповідь бота чи на нагадування доходить до розробника лише як позначка — без тексту, на який ви відреагували;
• розбираючи помилку, розробник може переглянути дані конкретного акаунта.

Скільки зберігаємо: кожен зашифрований запис живе не довше 14 днів, фраза в списку незрозумілих — 14 днів від останнього разу, коли вона трапилася. Видаляє їх щоденне завдання, не людина.

До 3 жовтня 2026 року правила були слабші: добірки фраз і тексти реакцій приходили розробникові в Telegram. Звідти автоматичне видалення не дістає, тож ці повідомлення розробник видаляє вручну.

Якщо ви не тестувальник, ваші повідомлення в ці записи не потрапляють. Тестувальник може вийти з тестування будь-коли: записи перестануть створюватися, а вже створені можна попросити видалити раніше строку.

9. Після релізу: діагностика й тестування

Усе в цьому розділі — в розробці. Ми описуємо це тут, щоб було видно, куди воно йде, а не щоб пообіцяти, що воно вже працює.

• Перемикач «Надсилати діагностику розробнику» пропонуватимемо на екрані, де ви приймаєте Умови використання. За замовчуванням він буде вимкнений, і Умови можна буде прийняти, не вмикаючи його. Якщо його ввімкнути, розробник отримуватиме фрази, які бот не зрозумів, звіти про збої (версія застосунку й Android, модель телефона, код помилки) та журнал перевірки місць (відстань, точність GPS, кількість видимих мереж — без координат і назв).
• Перемикач стосуватиметься лише цих додаткових звітів. Від нього не залежить, як обробляються ваші нагадування й повідомлення: цю обробку описано вище, і без неї сервіс не працює.
• Тестувальники. Можна буде стати тестувальником і отримувати нові функції раніше за інших. Тестувальник окремо погоджується, що розробник отримуватиме докладніші дані. Вийти з тестування можна буде будь-коли: докладні дані перестануть надходити, а вже надіслане можна попросити видалити. Тестувальником людина стає лише тоді, коли сама це вибрала.

10. Хто ще отримує дані

Ми передаємо дані сервісам, на яких Brain Buffer працює:

Цей перелік — той, що діє сьогодні, і він може змінюватись: сервіс може стати дорожчим, ненадійним або перестати підходити, і ми його замінимо. Актуальний перелік завжди тут, на цій сторінці. Якщо заміна суттєво змінює те, куди йдуть ваші дані — наприклад, в іншу країну, — ми повідомимо заздалегідь, як і про інші зміни умов (розділ 17). Без попередження може відбутись лише заміна, після якої дані йдуть туди ж або ближче — скажімо, з чужого сервера на наш власний.

Реклами й сторонніх лічильників аналітики зараз немає ні на сайті, ні в застосунку. Якщо з'явиться рекламна мережа, вона буде в цьому списку ще до того, як отримає будь-які дані (розділ 11).

Карти, пошук місць, маршрути й межі часових поясів спираються на дані OpenStreetMap: © OpenStreetMap contributors, ліцензія ODbL, https://www.openstreetmap.org/copyright. Межі часових поясів — з набору timezone-boundary-builder через бібліотеку timezonefinder; часовий пояс за координатами наш сервер визначає сам, не звертаючись до інших сервісів.

Доступ до сервера й бази має розробник. Розбираючи складну помилку, він може користуватися інструментами розробки, які показують дані з бази, — тоді ці дані бачить і той сервіс, у якому він працює.

11. Реклама

Зараз у Brain Buffer реклами немає. Якщо ми її додамо, то лише після оновлення цих правил, про яке попередимо заздалегідь (розділ 17).

• Рекламу, підібрану за вашими даними, покажемо лише з вашої окремої згоди.
• Для підбору реклами ми не використовуємо текст нагадувань, нотаток і повідомлень, фото, місця й геопозицію, дані про здоров'я та родину.
• Ми не продаємо ваші дані. Якщо сервіс колись перейде до іншого власника, дані перейдуть разом із ним — і ми попередимо про це заздалегідь.

12. Безпека

Що робимо ми

• Усі з'єднання йдуть лише через HTTPS. Застосунок з'єднується напряму з нашим сервером на Fly.io, сайт працює через Cloudflare.
• Увійти можна через Google, за посиланням на пошту, паролем, через Telegram-бот або швидким стартом у застосунку без пошти й пароля.
• Посилання для входу діє 24 години і спрацьовує лише один раз.
• Пароль зберігаємо лише як хеш Argon2id із сіллю. Пароль має бути не коротшим за 10 символів, кілька найочевидніших паролів заборонені. Для однієї адреси дозволено не більше 5 спроб входу на хвилину.
• На невдалий вхід завжди однакова відповідь, тож за нею не можна дізнатися, чи є акаунт із такою поштою. Самі невдалі спроби записуємо разом з IP-адресою та браузером, щоб помітити підбір пароля.
• Змінити пошту можна лише через посилання, надіслане на нову адресу. Воно діє 24 години й не дає входу в акаунт. На стару адресу приходить лист про зміну.
• База даних розміщена в Supabase (ЄС), дані на дисках зашифровані.
• Запрошення в родину може прийняти лише той, кого запросили. Вступ за шестизначним кодом додатково підтверджує той, хто запрошує.

Чого поки немає

• Ключ входу в застосунок діє довго й не має строку. Він зберігається в захищеному сховищі Android, але той самий ключ потрапляє і в інші місця: у сховище браузера на сайті, в адресу посилання «відкрити в застосунку» і у відповідь бота на прохання показати токен. Поводьтеся з ним як із паролем.
• Кнопка «Вийти» на сайті стирає ключ лише в цьому браузері, а на інших пристроях він діє далі. У застосунку кнопки виходу поки немає. Список пристроїв, де ви увійшли, вихід на всіх інших пристроях, вхід за QR-кодом і заміна ключа — в розробці. Якщо підозрюєте, що хтось отримав доступ до вашого акаунта, напишіть нам (розділ 1).
• Сповіщення в застосунок доставляє Google Firebase. Текст нагадування проходить через Firebase без наскрізного шифрування.
• Листування з Telegram-ботом, як і з будь-яким ботом, не має наскрізного шифрування.

Що можете ви вже зараз

• Вийти з акаунта на сайті кнопкою «Вийти».
• Змінити ім'я та пошту в профілі.
• Задати або змінити пароль.
• Вибрати, скільки зберігати фото.
• Заборонити знаходити вас за псевдонімом чи поштою.
• Завантажити копію всіх своїх даних: на сайті — Налаштування → «Усі мої дані», у Telegram-боті — команда /mydata. Лише нагадування — у форматі JSON або CSV, у застосунку чи на сайті.
• Видалити акаунт з усіма даними — у застосунку, на сайті або командою /delete_account у боті. Видалення відбувається одразу.
• Забрати доступ до геопозиції, мікрофона чи календаря в налаштуваннях телефона.
• Вийти з родини.

13. Дані й зберігання

Уже можна: вибрати, скільки зберігати фото (не зберігати, 30, 90, 365 днів або завжди; за замовчуванням 365 днів); завантажити копію всіх даних; видалити окреме нагадування, нотатку чи місце; видалити акаунт з усіма даними.

В розробці — екран «Дані й зберігання» у застосунку й на сайті:

• вибір, скільки зберігати історію чату (1, 3 чи 12 місяців або поки існує акаунт), і автоматичне очищення;
• кнопка «видалити зараз» для історії, фото, місць, нотаток і нагадувань;
• остаточне стирання нотаток, прибраних в архів;
• команди в чаті: «що ви зберігаєте?» — коротка відповідь із посиланням сюди; «видали мої фото» — відкриє цей екран із уже позначеним, а видалить лише після вашого підтвердження.

Якщо ви видалите свою історію, у рідних залишаться їхні копії повідомлень, які ви надсилали в сімейний чат.

Що видалення акаунта не прибирає

• нагадування, які ви поставили рідним, — вони лишаються в них, уже без вашого імені;
• ваші повідомлення в сімейному чаті — вони лишаються в історії рідних;
• копії, які інші взяли за вашим посиланням, — вони належать їм;
• листи на нашу адресу — 12 місяців від отримання;
• записи про оплати — 3 роки й 3 місяці, як вимагає податковий облік.

Якщо родину створили ви, вона переходить до учасника, що найдовше в ній.

14. Ваші права

Ви можете:

• отримати копію даних — самостійно, як описано в розділі 13;
• виправити дані. Ім'я і пошту змінюєте самі, решту виправимо на запит;
• видалити дані — самостійно, кнопкою чи командою (розділ 13); якщо щось не виходить, напишіть нам (розділ 1);
• відмовитися від необов'язкового: зберігання фото, синхронізації календаря, пропозицій частих місць, пошуку вас за псевдонімом чи поштою, а згодом — діагностики, участі в тестуванні й персоналізованої реклами, якщо вона з'явиться;
• заперечити проти обробки, яка спирається на наш законний інтерес (розділ 2), — наприклад, лічильників подій чи позначки листа мовною моделлю. Ми припинимо обробляти так ваші дані, якщо не маємо вагомих підстав, що переважають ваші інтереси, і пояснимо своє рішення;
• обмежити обробку — попросити тимчасово лише зберігати дані й нічого більше з ними не робити: поки ми перевіряємо дані, правильність яких ви оскаржуєте, або ваше заперечення; якщо обробка незаконна, а видаляти дані ви не хочете; якщо нам дані вже не потрібні, а вам — потрібні, щоб захистити свої права;
• поскаржитися Уповноваженому Верховної Ради України з прав людини. Якщо ви в ЄС, скаргу можна подати до органу захисту даних своєї країни.

Як ми перевіряємо, що запит від вас. Запит, надісланий із застосунку, сайту чи бота, де ви вже увійшли, вважаємо вашим. Перед видаленням акаунта чи надсиланням повної копії попросимо ще раз підтвердити. Копій документів не просимо. Чи існує акаунт із певною адресою, у відповідь не повідомляємо.

15. Діти

Сервіс призначений для людей від 13 років. Якщо вам менше 16, користуватися ним можна з дозволу когось із батьків або опікуна. Це правило з Умов використання.

Вік ми не питаємо й не перевіряємо — способу підтвердити його ми не маємо, а збирати задля цього документи чи ще якісь дані про вас не будемо. Тому це правило, а не перевірка: Brain Buffer не адресований дітям, ми не робимо його привабливим для них і не визначаємо, скільки вам років, за тим, що ви пишете.

Дорослий може додати дитину в родину й ставити їй нагадування. Окремих ролей «батько» й «дитина» в сервісі немає: усі учасники родини мають однакові права, і дитина бачить та може робити те саме, що й решта.

16. Дані з Google

Користуватися Brain Buffer з акаунтом Google можна двома способами. Обидва — за бажанням.

• Вхід через Google (сайт і застосунок). Ми отримуємо ідентифікатор вашого Google-акаунта, адресу пошти та імʼя (області доступу openid, email, profile). Ідентифікатор повʼязує Google-акаунт з акаунтом Brain Buffer; пошта стає адресою акаунта, якщо її ще немає, — для входу й листів про акаунт; імʼя — лише якщо ви не вибрали власне. Контактів, файлів чи чогось іще ми не просимо.
• Google Календар (застосунок Android, лише якщо ви підключили його в налаштуваннях). Телефон читає назву й час початку найближчих подій вашого основного календаря — до 50 на 30 днів уперед — і надсилає їх на наш сервер, а той перетворює їх на нагадування (подія на весь день нагадує зранку того дня). Запрошення, які ви відхилили, і події, які додав сам Brain Buffer, не беруться. Коли календар підключено і ви створюєте для себе разове нагадування на певний час, телефон додає його подією до вашого основного календаря. Доступ до календаря лишається на телефоні: ні пароля Google, ні ключа доступу до календаря наш сервер не отримує. Область доступу — calendar.events.owned: лише календарі, що належать вам. Тексти нагадувань, зроблених з подій, люди з нашої команди не читають — адмінка їх не показує.

Куди це йде: наша база даних і хостинг — щоб ці функції працювали. Імпортовані події в мовну модель не потрапляють. Ми не продаємо дані з Google, не використовуємо їх для реклами й не навчаємо на них моделей штучного інтелекту — ні своїх, ні чужих.

Використання й передача в будь-який інший застосунок інформації, отриманої від Google API, відповідають Google API Services User Data Policy (https://developers.google.com/terms/api-services-user-data-policy), зокрема вимогам Limited Use.

Як припинити: відключіть календар у налаштуваннях застосунку — це знімає й доступ Brain Buffer у Google (нагадування, вже створені з подій, лишаються, доки ви їх не видалите); або приберіть доступ на https://myaccount.google.com/permissions; видалення акаунта видаляє Google-ідентифікатор, пошту й нагадування, створені з подій.

17. Зміни в цих правилах

• Умови використання — це договір. Ця сторінка лише пояснює, що відбувається з даними; приймати її не треба.
• Кожна версія цієї сторінки має номер і дату — вони вгорі. Архів попередніх версій і запис про те, яку версію Умов ви прийняли, — в розробці.
• Як повідомляємо. Про зміни розповідаємо коротко, як в описі оновлення: «Що змінилося».
• Коли. Про суттєві зміни попереджаємо заздалегідь — щонайменше за 30 днів до того, як вони почнуть діяти, окрім змін, яких негайно вимагає закон, платформа або безпека. Дрібні правки (друкарські помилки, уточнення без зміни суті) лише оновлюють дату.
• Що може змінитися: ціни, ліміти безкоштовного плану, набір функцій — зокрема безкоштовна функція може стати платною — і поява реклами.
• Окрема згода. Якщо зміна означає нове використання вже зібраних даних, на яке закон вимагає згоди (наприклад, персоналізована реклама), ми окремо запитаємо. Поки ви не погодилися, нове використання не починається.
• Оплачений період діє на тих умовах, за якими ви платили, до його завершення.
• Якщо не погоджуєтеся, можете вивантажити дані й попросити видалити акаунт. Вивантаження й видалення доступні завжди.