Політика конфіденційності

Персоналізація працює на вашому пристрої. Усе, що гамір знає про ваше читання — теми, які вас зачіпають, джерела, на які підписуєтеся, картки, які пропускаєте, — зашифроване і залишається на вашому iPhone. Між пристроями Apple воно синхронізується через iCloud Keychain. На сервери гамір такий профіль усталено не потрапляє.

На сервер потрапляє мінімум, потрібний для роботи: ваш обліковий запис, джерела підписки, статті, які ви зберігаєте, і трохи анонімної телеметрії. Профіль читання та історія взаємодій синхронізуються з сервером лише якщо ви це ввімкнете (Налаштування → Приватність і безпека → Синхронізувати збережене з сервером) — щоб той самий профіль працював і на пристроях інших платформ.

гамір розробляє одна людина. гамір не відстежує і ніколи не буде відстежувати вас для маркетингу чи показу реклами.

Ваш профіль читання — теми, теги, домени та джерела, які вас цікавлять, і пости, які ви пропустили, — формується з ваших гортань і натискань. Профіль зашифрований AES-GCM-256, ключ зберігається в iOS Keychain, а зашифроване навантаження синхронізується між пристроями Apple через iCloud Keychain. Завдяки наскрізному шифруванню Apple, ні Apple, ні гамір не можуть його прочитати.

Деякі джерела ваш пристрій отримує напряму, минаючи сервери гамір — джерела обмеженого рівня та імпортовані списки читання. Такі джерела — і закладки з них — залишаються на вашому пристрої; з увімкненою синхронізацією вони реплікуються між пристроями Apple через ваш iCloud private database (CloudKit), окремо від iCloud Keychain. Сервери гамір цих даних не бачать; з увімкненим Advanced Data Protection записи зашифровані наскрізно — навіть Apple не може їх прочитати. (Джерела, що потребують входу для отримання, працюють інакше — див. облікові дані нижче.)

Ваші взаємодії — що ви пропускаєте, що відкриваєте, скільки читаєте — ніколи не зберігаються на серверах гамір у прив'язці до вашого акаунта; вони лише формують рекомендації на вашому телефоні. Єдиний слід, що залишає пристрій, — описані нижче анонімні події використання, і вони не мають зв'язку з акаунтом.

Якщо ввімкнути синхронізацію (Налаштування → Приватність і безпека → Синхронізувати збережене з сервером), історія взаємодій записується на сервер гамір, щоб інші пристрої у вашому акаунті могли читати той самий профіль. Видаляється при видаленні акаунта.

Обмежений режим (батьківський контроль) працює на пристрої. PIN опікуна зберігається лише в keychain пристрою у вигляді солоного хешу — він ніколи не залишає пристрій, і гамір не може його побачити чи відновити.

гамір не навчає моделей на ваших звичках читання або історії пропусків. Класифікатор тем тренується на промаркованих статтях, не на діях користувачів.

Усе нижче зберігається, доки існує ваш обліковий запис, якщо не зазначено інше.

Дані акаунта — серверно згенерований UUID, ваш нікнейм і URL аватара, якщо провайдер його надсилає.

Ідентифікатори входу — запис для кожного провайдера, яким ви користувалися (Apple, Google, GitHub): стабільний ID і URL аватара. Email, який повертає провайдер, ми не зберігаємо — застосунок тримає його лише на вашому пристрої, щоб ви бачили, який це акаунт.

Підписки на джерела — стрічки та джерела, які ви додали, теки, в які ви їх групуєте, і результат розгляду джерел, поданих вами до публічного каталогу.

Облікові дані приватних джерел (лише якщо ви їх додаєте) — коли джерело потребує входу чи токена для отримання, ці дані зберігаються зашифрованими і використовуються лише щоб отримувати це джерело для вас. Видаляються, коли ви їх від'єднуєте, прибираєте джерело або видаляєте акаунт.

Збережені статті (синхронізація за бажанням) — типово ваш список збереженого живе на пристрої; збереження не потрапляє в акаунт, доки ви не ввімкнете синхронізацію (Налаштування → Приватність і безпека → Синхронізувати збережене з сервером). З увімкненою синхронізацією збереження записуються у ваш акаунт, тож список може слідувати за вами між пристроями, а гамір також тримає наскрізно зашифровану резервну копію індексу збереженого — на сервері лише шифротекст; ключ залишається на ваших пристроях. Закладки з джерел, які отримує сам пристрій, на сервер не потрапляють ніколи.

Токен сповіщень (за згодою) — APNs-токен разом із мовою пристрою, часовим поясом і версією застосунку, потрібними для надсилання й локалізації сповіщень; лише якщо ви ввімкнули push. Скидається при виході або вимкненні сповіщень і автоматично видаляється після тривалої неактивності.

Анонімні події використання — покази, перегляди екранів, час на картці. Зберігаються без колонки user_id, тож рядки неможливо повторно прив'язати до вас. Автоматично видаляються через 180 днів. Цей потік можна повністю вимкнути (Налаштування → Приватність і безпека → Аналітика); вимкнення також відкидає ще не надіслані події.

Скарги на контент — якщо ви повідомляєте про статтю, гамір зберігає скаргу (статтю, причину, ваш акаунт) на час розгляду. Видаляється разом з акаунтом.

Журнал модерації — спроби додати заблоковані джерела, пов'язані з акаунтом, який це робив; використовується лише для запобігання зловживанням. Зберігається до 2 років; при видаленні акаунта прив'язку до користувача знімають, лишається лише знеособлений запис. Для протидії обходу банів гамір може також фіксувати, що той самий пристрій з'являвся в кількох акаунтах — зберігається хеш токена пристрою, ніколи не сире значення.

Контрольний журнал — події, важливі для приватності (наприклад, видалення акаунта), записуються з одностороннім хешем ідентифікатора акаунта без інших ідентифікуючих даних — щоб гамір міг довести, що подія відбулася, коли акаунта вже немає.

Звіти про збої та помилки — стек-трейси надсилаються до власного трекера помилок. Ідентифікатори користувачів, заголовки запиту і cookie вирізаються до надсилання кожного звіту — на вашому пристрої для збоїв застосунку, на сервері для серверних помилок. Жоден сторонній сервіс цих даних не отримує.

Операційні логи (HTTP-запити, фонові завдання) — кілька днів максимум, потім автоматично видаляються.

Apple обробляє вбудовані покупки через StoreKit; номер картки і платіжні дані до гамір не доходять. Статус підписника гамір перевіряє на пристрої через StoreKit, щоб відкрити переваги — жодні дані про покупку не надсилаються на сервери гамір і не зберігаються там.

Дані акаунта, ідентифікатори входу, підписки, облікові дані приватних джерел, збережені статті: стаття 6(1)(b) — необхідно для надання сервісу.

Токен сповіщень: стаття 6(1)(a) — згода. Ввімкніть через системний діалог push, відкличте будь-коли.

Анонімні події, скарги на контент, журнал модерації, контрольний журнал, звіти про збої: стаття 6(1)(f) — законний інтерес у вимірюванні роботи продукту, запобіганні зловживанням і підтримці стабільності, врівноважений мінімізацією даних (немає user_id у телеметрії, знеособлене зберігання модерації, хешовані ідентифікатори в контрольному журналі, очищення стек-трейсів).

Провайдери входу — Apple, Google, GitHub. Коли ви обираєте одного, він проводить автентифікацію; гамір зберігає ідентифікатор і аватар, які провайдер передає. Будь-який email чи ім'я використовуються лише для завершення входу й не зберігаються на наших серверах.

Apple Push Notification — використовується лише якщо ви ввімкнули push.

Apple iCloud Keychain + iCloud Key-Value Storage — використовуються для зашифрованої синхронізації локального профілю. гамір не бачить вмісту; Apple виступає контролером даних для цього каналу.

Apple StoreKit — обробляє вбудовані покупки.

Хостинг та інфраструктура — хмарний провайдер у регіоні EU West надає сервери, бази даних і операційне логування.

Мережа доставки контенту — застосунок завантажує файли локальної ML-моделі з CDN. Як будь-який вебхост, CDN бачить IP-адресу вашого пристрою для цього завантаження — і більше нічого.

Списки безпеки — сервер гамір періодично завантажує публічні блок-списки (oisd, StevenBlack hosts, abuse.ch, CERT.PL, OpenPhish тощо), щоб оцінювати і блокувати небезпечні джерела. Списки рухаються в один бік — жодні дані користувачів до цих проєктів не потрапляють.

гамір не використовує сторонні аналітичні SDK, рекламні мережі чи брокерів даних і не показує діалог App Tracking Transparency — ніщо тут не відстежує вас в інших застосунках.

Сервери гамір працюють у Європейському Союзі. Провайдери входу і сервіси Apple обробляють дані на власній інфраструктурі за власними політиками; передачі з боку Apple до інфраструктури США покриваються Стандартними договірними положеннями Apple з його дочірніми компаніями в ЄС.

Сайт hamir.app надає вхід, ці юридичні сторінки, сторінку статусу та невелику читалку для тих, хто ввійшов (ваша бібліотека і стрічки). Вхід на сайті встановлює строго необхідний сесійний cookie; жодних трекінгових чи рекламних cookie немає.

Коли ви відвідуєте сайт, сервер логує запит (IP-адресу, user-agent, шлях, час) на кілька днів — для операційних потреб і запобігання зловживанням, потім логи автоматично видаляються. Жодних сторонніх аналітик, рекламних трекерів чи запису сесій. Жодного стороннього CDN — ваш браузер спілкується з інфраструктурою хостингу напряму.

Незалежно від країни проживання, ви можете експортувати свої дані (вбудований експорт акаунта), виправити нікнейм просто в застосунку, видалити акаунт у застосунку, та відкликати згоду на push-сповіщення (вимкніть у Налаштуваннях iOS або в застосунку). гамір прагне відповідати на запити щодо даних протягом місяця, як вимагає стаття 12 GDPR. Складні запити можуть зайняти до трьох місяців з попередженням.

Коли ви видаляєте акаунт, гамір видаляє всі записи акаунта (ідентифікатори входу, підписки на джерела і теки, збережене та історію взаємодій, скарги на контент, токени push, токени експорту, зашифровані резервні копії, приватні джерела з обліковими даними) і робить ваші токени недійсними. У журналі модерації лишаються тільки знеособлені записи, у контрольному журналі — тільки хешований ідентифікатор.

гамір — не для користувачів молодше 16. Якщо повідомлять про акаунт неповнолітнього, гамір його видаляє.

Якщо в гамір стається інцидент, що ставить ваші дані під ризик, гамір повідомляє постраждалих користувачів протягом 72 годин після виявлення, як вимагає стаття 33 GDPR — з поясненням, що сталося, які дані задіяні і що робити.

GDPR (ЄС / ЄЕЗ / Велика Британія). Якщо ви в ЄС, ЄЕЗ або Великій Британії, ви також маєте права на доступ (стаття 15), виправлення (16), видалення (17) і портабельність (20) — забезпечуються вбудованими функціями експорту, редагування нікнейма і видалення акаунта вище; обмеження або заперечення проти обробки (статті 18 та 21) — пишіть на hello@hamir.app; відкликання будь-якої наданої згоди (стаття 7(3)); і право подати скаргу до місцевого органу із захисту даних безпосередньо.

Каліфорнія (CCPA / CPRA). Ви також маєте права на знання, видалення, виправлення, відмову від продажу чи поширення (гамір не продає і не поширює для крос-контекстної реклами), обмеження використання чутливих даних (гамір таких не збирає за визначенням законів Каліфорнії), і недискримінацію за реалізацію будь-яких з цих прав.

Контролер даних. гамір створює та підтримує приватна особа зі Львова, Україна. Контакт з усіх питань захисту даних: hello@hamir.app або поштою: а/с 540, вул. Мартовича, 2, Львів, Україна.

Маєте додаткові запитання? Пишіть на hello@hamir.app. Про істотні зміни до цієї політики ви дізнаєтеся в застосунку або в нотатках до релізу до того, як вони набудуть чинності.