Політика конфіденційності

Персоналізація працює на вашому пристрої. Усе, що гамір знає про ваше читання — теми, які вас зачіпають, джерела, на які підписуєтеся, картки, які пропускаєте, — зашифроване і залишається на вашому iPhone. На сервери гамір цей профіль не потрапляє.

На сервер потрапляє мінімум, потрібний для роботи: ваш обліковий запис, джерела підписки і трохи анонімної телеметрії. Якщо ввімкнути синхронізацію (Налаштування → Конфіденційність і безпека → Синхронізація між пристроями), профіль також синхронізується між вашими пристроями Apple через iCloud, а збережені статті зберігаються у вашому акаунті — щоб вони були з вами й на пристрої іншої платформи.

гамір розробляє одна людина. гамір не відстежує і ніколи не буде відстежувати вас для маркетингу чи показу реклами.

Ваш профіль читання — теми, теги, домени та джерела, які вас цікавлять, і пости, які ви пропустили, — формується з ваших гортань і натискань. Профіль зашифрований AES-GCM-256, ключ зберігається в iOS Keychain. З увімкненою синхронізацією зашифрований профіль передається між пристроями Apple через iCloud Key-Value Storage, а ключ — через iCloud Keychain; завдяки наскрізному шифруванню Apple ні Apple, ні гамір не можуть його прочитати.

Деякі джерела ваш пристрій отримує напряму, минаючи сервери гамір, — джерела обмеженого рівня, джерела, яких гамір не веде, приватні джерела з теки, яку вам передали, та імпортовані списки читання. Такі джерела, теки, в які ви їх кладете, закладки з них, а також ваші виділення й відстежувані слова залишаються на вашому пристрої; з увімкненою синхронізацією вони реплікуються між пристроями Apple через ваш iCloud private database (CloudKit), окремо від iCloud Keychain. Сервери гамір цих даних не бачать; з увімкненим Advanced Data Protection записи зашифровані наскрізно — навіть Apple не може їх прочитати. (Джерела, що потребують входу для отримання, працюють інакше — див. облікові дані нижче.)

Коли ви передаєте теку іншій людині, застосунок запечатує її — назву, джерела і приватні адреси в ній — у файл або QR-код, зашифрований кодом, який ви передаєте окремо. Ні файл, ні код не потрапляють на сервери гамір. Теку відкриває пристрій отримувача: джерела з каталогу він відстежує через свій акаунт, як будь-які інші, а приватні адреси залишаються на його пристрої.

Застосунок містить хешовані сигнатури матеріалів сексуального насильства над дітьми і відхиляє відповідне джерело ще до будь-якого запиту. Це дайджести, а не слова, і відхилення нікуди нічого не надсилає.

Ваші взаємодії — що ви пропускаєте, що відкриваєте, скільки читаєте — ніколи не зберігаються на серверах гамір у прив'язці до вашого акаунта; вони лише формують рекомендації на вашому телефоні. Єдиний слід, що залишає пристрій, — описані нижче анонімні події використання, і вони не мають зв'язку з акаунтом.

З увімкненою синхронізацією єдине, що з вашого читання записується на сервери гамір, — збережені статті (див. «Збережені статті» нижче); сервер також використовує їх, щоб добирати рекомендації для вашого акаунта. Пропуски, відкриття і час читання в будь-якому разі залишаються на пристрої.

Обмежений режим (батьківський контроль) працює на пристрої. PIN опікуна зберігається лише в keychain пристрою у вигляді солоного хешу — він ніколи не залишає пристрій, і гамір не може його побачити чи відновити.

гамір не навчає моделей на ваших звичках читання або історії пропусків. Класифікатор тем тренується на промаркованих статтях, не на діях користувачів.

Усе нижче зберігається, доки існує ваш обліковий запис, якщо не зазначено інше.

Дані акаунта — серверно згенерований UUID, ваш нікнейм і URL аватара, якщо провайдер його надсилає.

Ідентифікатори входу — запис для кожного провайдера, яким ви користувалися (Apple, Google, GitHub): стабільний ID і URL аватара. Email, який повертає провайдер, ми не зберігаємо — застосунок тримає його лише на вашому пристрої, щоб ви бачили, який це акаунт.

Підписки на джерела — стрічки та джерела, які ви додали, теки, в які ви їх групуєте, і результат розгляду джерел, поданих вами до публічного каталогу.

Облікові дані приватних джерел (лише якщо ви їх додаєте) — коли джерело потребує входу чи токена для отримання, ці дані зберігаються зашифрованими і використовуються лише щоб отримувати це джерело для вас. Видаляються, коли ви їх від'єднуєте, прибираєте джерело або видаляєте акаунт.

Збережені статті (синхронізація за бажанням) — типово ваш список збереженого живе на пристрої; збереження не потрапляє в акаунт, доки ви не ввімкнете синхронізацію (Налаштування → Конфіденційність і безпека → Синхронізація між пристроями). З увімкненою синхронізацією збереження записуються у ваш акаунт, тож список може слідувати за вами між пристроями, а гамір також тримає наскрізно зашифровану резервну копію індексу збереженого — на сервері лише шифротекст; ключ залишається на ваших пристроях. Закладки з джерел, які отримує сам пристрій, на сервер не потрапляють ніколи.

Токен сповіщень (за згодою) — APNs-токен разом із мовою пристрою, часовим поясом і версією застосунку, потрібними для надсилання й локалізації сповіщень; лише якщо ви ввімкнули push. Скидається при виході або вимкненні сповіщень і автоматично видаляється після тривалої неактивності.

Анонімні події використання — покази, перегляди екранів, час на картці. Зберігаються без колонки user_id, тож рядки неможливо повторно прив'язати до вас. Автоматично видаляються через 180 днів. Цей потік можна повністю вимкнути (Налаштування → Конфіденційність і безпека → Аналітика); вимкнення також відкидає ще не надіслані події.

Скарги на контент — якщо ви повідомляєте про статтю, гамір зберігає скаргу (статтю, причину, ваш акаунт) на час розгляду. Видаляється разом з акаунтом.

Журнал модерації — коли джерело, яке ви подаєте до публічного каталогу, збігається зі списком безпеки, спробу записують за вашим акаунтом і використовують лише для запобігання зловживанням. Додавання джерела для себе слідів не лишає: джерело з матеріалами сексуального насильства над дітьми відхиляється одразу, а будь-яке інше заблоковане джерело повертається вам, щоб ви тримали його на своєму пристрої. Зберігається до 2 років; при видаленні акаунта прив'язку до користувача знімають, лишається лише знеособлений запис. Для протидії обходу банів гамір може також фіксувати, що той самий пристрій з'являвся в кількох акаунтах — зберігається хеш токена пристрою, ніколи не сире значення.

Контрольний журнал — події, важливі для приватності (наприклад, видалення акаунта), записуються з одностороннім хешем ідентифікатора акаунта без інших ідентифікуючих даних — щоб гамір міг довести, що подія відбулася, коли акаунта вже немає.

Звіти про збої та помилки (необов'язково) — стек-трейси надсилаються до власного трекера помилок. Їх можна будь-коли вимкнути (Налаштування → Конфіденційність і безпека → Звіти про збої та швидкодію); поки їх вимкнено, ні застосунок, ні сервер гамір не надсилають звітів про помилки у ваших запитах. Ідентифікатори користувачів, IP-адреси, заголовки запиту і cookie вирізаються до надсилання кожного звіту — на вашому пристрої для збоїв застосунку, на сервері для серверних помилок, — а сервер ще й приховує те, що ви шукали. Туди ж ідуть рядки журналу сервера з попередженнями й помилками — під тим самим перемикачем і так само без ідентифікаторів та адрес. Жоден сторонній сервіс цих даних не отримує. Видаляються через 90 днів.

Операційні логи (HTTP-запити з IP-адресою, user-agent, шляхом і часом; фонові завдання) — автоматично видаляються через 30 днів.

Apple обробляє вбудовані покупки через StoreKit; номер картки і платіжні дані до гамір не доходять. Статус підписника гамір перевіряє на пристрої через StoreKit, щоб відкрити переваги — жодні дані про покупку не надсилаються на сервери гамір і не зберігаються там.

Дані акаунта, ідентифікатори входу, підписки, облікові дані приватних джерел, збережені статті: стаття 6(1)(b) — необхідно для надання сервісу.

Токен сповіщень: стаття 6(1)(a) — згода. Ввімкніть через системний діалог push, відкличте будь-коли.

Анонімні події, скарги на контент, журнал модерації, контрольний журнал, звіти про збої: стаття 6(1)(f) — законний інтерес у вимірюванні роботи продукту, запобіганні зловживанням і підтримці стабільності, врівноважений мінімізацією даних (немає user_id у телеметрії, знеособлене зберігання модерації, хешовані ідентифікатори в контрольному журналі, очищення стек-трейсів). Для анонімних подій і звітів про збої є окремі перемикачі, тож ви можете будь-коли заперечити проти кожного з них (стаття 21).

Провайдери входу — Apple, Google, GitHub. Коли ви обираєте одного, він проводить автентифікацію; гамір зберігає ідентифікатор і аватар, які провайдер передає. Будь-який email чи ім'я використовуються лише для завершення входу й не зберігаються на наших серверах.

Apple Push Notification — використовується лише якщо ви ввімкнули push.

Apple iCloud — Key-Value Storage і Keychain для зашифрованого профілю та ваш iCloud private database (CloudKit) для джерел, закладок, виділень і відстежуваних слів, що живуть лише на пристрої. Використовується лише з увімкненою синхронізацією. гамір не бачить вмісту; Apple виступає контролером даних для цього каналу.

Apple StoreKit — обробляє вбудовані покупки.

Хостинг та інфраструктура — хмарний провайдер у регіоні EU West надає сервери, бази даних і операційне логування.

Мережа доставки контенту — застосунок завантажує файли локальної ML-моделі з CDN. Як будь-який вебхост, CDN бачить IP-адресу вашого пристрою для цього завантаження — і більше нічого.

Списки безпеки — сервер гамір періодично завантажує публічні блок-списки (oisd, StevenBlack hosts, abuse.ch, CERT.PL, OpenPhish тощо), щоб не пускати небезпечні джерела до публічного каталогу. Списки рухаються в один бік — жодні дані користувачів до цих проєктів не потрапляють.

гамір не використовує сторонні аналітичні SDK, рекламні мережі чи брокерів даних і не показує діалог App Tracking Transparency — ніщо тут не відстежує вас в інших застосунках.

Сервери гамір працюють у Європейському Союзі. Провайдери входу і сервіси Apple обробляють дані на власній інфраструктурі за власними політиками; передачі з боку Apple до інфраструктури США покриваються Стандартними договірними положеннями Apple з його дочірніми компаніями в ЄС.

Сайт hamir.app надає вхід, ці юридичні сторінки, сторінку статусу та невелику читалку для тих, хто ввійшов (ваша бібліотека і стрічки). Вхід на сайті встановлює строго необхідний сесійний cookie; жодних трекінгових чи рекламних cookie немає.

Коли ви відвідуєте сайт, сервер логує запит (IP-адресу, user-agent, шлях, час) на 30 днів — для операційних потреб і запобігання зловживанням, потім логи автоматично видаляються. Жодних сторонніх аналітик, рекламних трекерів чи запису сесій. Жодного стороннього CDN — ваш браузер спілкується з інфраструктурою хостингу напряму.

гамір має публічний конектор (MCP-сервер за адресою hamir.app/mcp), через який ШІ-асистенти, як-от Claude чи ChatGPT, можуть шукати в публічному каталозі джерел, статей і добірок гамір. Він не потребує акаунта і не бачить вашої бібліотеки, ваших джерел чи профілю читання.

Кожен виклик містить те, про що попросив асистент (наприклад, пошуковий запит), і мову. гамір використовує це, щоб відповісти, і не зберігає ні в базі, ні в логах, ні у звітах про помилки. Як і будь-який запит, виклик логується з IP-адресою, user-agent, шляхом і часом на 30 днів, а IP-адреса враховується в лімітах запитів, які скидаються протягом п'яти хвилин.

Звіти про помилки від цих викликів вимкнені, доки ви не ввімкнете їх у десктопному розширенні гамір. Ваша розмова лишається в провайдера асистента, за його власною політикою; гамір її ніколи не отримує.

Незалежно від країни проживання, ви можете експортувати свої дані (вбудований експорт акаунта), виправити нікнейм просто в застосунку, видалити акаунт у застосунку, та відкликати згоду на push-сповіщення (вимкніть у Налаштуваннях iOS або в застосунку). гамір прагне відповідати на запити щодо даних протягом місяця, як вимагає стаття 12 GDPR. Складні запити можуть зайняти до трьох місяців з попередженням.

Коли ви видаляєте акаунт, гамір видаляє всі записи акаунта (ідентифікатори входу, підписки на джерела і теки, збережене та історію взаємодій, скарги на контент, токени push, токени експорту, зашифровані резервні копії, приватні джерела з обліковими даними) і робить ваші токени недійсними. У журналі модерації лишаються тільки знеособлені записи, у контрольному журналі — тільки хешований ідентифікатор.

гамір — не для користувачів молодше 16. Якщо повідомлять про акаунт неповнолітнього, гамір його видаляє.

Якщо в гамір стається інцидент, що ставить ваші дані під ризик, гамір повідомляє постраждалих користувачів протягом 72 годин після виявлення, як вимагає стаття 33 GDPR — з поясненням, що сталося, які дані задіяні і що робити.

GDPR (ЄС / ЄЕЗ / Велика Британія). Якщо ви в ЄС, ЄЕЗ або Великій Британії, ви також маєте права на доступ (стаття 15), виправлення (16), видалення (17) і портабельність (20) — забезпечуються вбудованими функціями експорту, редагування нікнейма і видалення акаунта вище; обмеження або заперечення проти обробки (статті 18 та 21) — пишіть на hello@hamir.app; відкликання будь-якої наданої згоди (стаття 7(3)); і право подати скаргу до місцевого органу із захисту даних безпосередньо.

Каліфорнія (CCPA / CPRA). Ви також маєте права на знання, видалення, виправлення, відмову від продажу чи поширення (гамір не продає і не поширює для крос-контекстної реклами), обмеження використання чутливих даних (гамір таких не збирає за визначенням законів Каліфорнії), і недискримінацію за реалізацію будь-яких з цих прав.

Контролер даних. гамір створює та підтримує приватна особа зі Львова, Україна. Контакт з усіх питань захисту даних: hello@hamir.app або поштою: а/с 540, вул. Мартовича, 2, Львів, Україна.

Маєте додаткові запитання? Пишіть на hello@hamir.app. Про істотні зміни до цієї політики ви дізнаєтеся в застосунку або в нотатках до релізу до того, як вони набудуть чинності.