Приватность данных

Архитектура приватности

LifeCopilot построен вокруг простой границы: чувствительные жизненные сигналы остаются на устройстве, пока вы явно не включите функцию, которой нужна защищённая серверная обработка.

Local-first

Сырые сигналы остаются у вас

Приложение рассчитывает Energy Score и дневной контекст на устройстве. Серверная обработка включается отдельно для конкретных сигналов.

Сырая локация локальноТочные GPS-координаты используются на устройстве. На сервер могут попасть только именованные места: дом, работа, спортзал — без latitude/longitude.
Сырое аудио локальноГолосовые записи обрабатываются на устройстве. Текстовое резюме может обрабатываться позже только при вашем разрешении.
Идентификаторы хэшируютсяПрямые идентификаторы устройства не отправляются. В release используются хэши и минимизированные account identifiers.
Без рекламных IDLifeCopilot не использует IDFA, GAID и рекламные профили.
Карта данных

Что может уйти с устройства и что не уходит

Сервер получает минимум, нужный для sync, AI-памяти, безопасности аккаунта и поддержки, только для включённых вами функций.

Может обрабатываться на серверах DuoHuman с согласием

  • Именованные места, время нахождения и переходы без точных координат
  • Агрегированное время по категориям приложений без списка установленных приложений
  • Настроение, энергия и стресс как числовые значения
  • Агрегированные метрики здоровья: шаги, сон, средняя ЧСС
  • Задачи, цели и заметки после PII-scrubbing при включённой серверной обработке
  • AI-чат и память, когда вы используете AI-коуча
  • Хэши email/устройства, записи согласий и технические логи

Не отправляется на серверы DuoHuman

  • Точные GPS latitude/longitude
  • Сырые голосовые записи и аудиофайлы
  • Список установленных приложений
  • Рекламные идентификаторы IDFA/GAID
  • Прямые идентификаторы устройства
  • Имена, фамилии и физические адреса до деперсонализации
  • Данные для продажи, рекламного таргетинга или маркетинговой передачи
Разрешения

Чувствительный доступ объясняется заранее

Перед чувствительными разрешениями Android или iOS LifeCopilot показывает prominent disclosure: что доступно, зачем и как отключить.

Фоновая локация

Для именованных мест и контекста дня. Отключается в системных настройках или настройках приватности LifeCopilot.

Usage Stats

Для категорий экранного времени, не для передачи списка приложений.

Данные здоровья

Для Energy Score и восстановления. Health Connect, Apple Health и носимые устройства требуют явного разрешения.

Микрофон и календарь

Голосовые заметки и календарный контекст опциональны; сырое аудио не загружается, календарь деперсонализируется.

AI и память

AI-обработка ограничена

AI-коуч использует только разрешённые данные. Долгосрочная память — это структурированные факты и summaries, а не неограниченная копия вашей жизни.

PII-scrubbing

Заметки и AI-чат очищаются от персональных идентификаторов перед серверной памятью или инсайтами, где это возможно.

Управляемая память

Долгосрочная память улучшает инсайты со временем и может быть удалена через настройки аккаунта и приватности.

Хранение

История улучшает инсайты, удаление доступно

LifeCopilot хранит долгую историю, пока аккаунт активен, потому что закономерности требуют времени. Данные можно экспортировать или удалить.

ДанныеСрокКонтроль
События, настроение, активность и планыПока аккаунт активенЭкспорт или удаление
AI-инсайты и памятьДо удаления памяти или аккаунтаУправление памятью и удаление аккаунта
Технические логиДо 90 днейОграниченное операционное хранение
AI call logsДо 365 днейОперационное хранение и защита от злоупотреблений
Платёжные записиДо 7 лет, если требуется закономТолько юридическое хранение

Удаление аккаунта запускает каскадное удаление через GDPR deletion workflow с учётом законных и технических окон хранения.

Sync

Синхронизация зашифрована и опциональна

Sync между компонентами LifeCopilot идёт через E2E-зашифрованный канал. Сервер не должен видеть raw-данные в транзите.

Согласие по сигналамКаждый тип данных можно включать или выключать отдельно.
User-controlled flushВы контролируете, что отправляется и когда sync разрешён.
Агрегаты вместо rawГде нужна серверная обработка, приложение предпочитает агрегаты, хэши и деперсонализированные значения.
Границы

Privacy обещание

Это продуктовые границы, под которые проектируется и документируется LifeCopilot.

  • Мы не продаём персональные данные.
  • Мы не используем данные для рекламного таргетинга.
  • Мы не загружаем raw GPS и raw audio.
  • Мы не передаём список установленных приложений.
  • LifeCopilot не является медицинским изделием и не даёт медицинских рекомендаций.

Полные юридические детали

Полная Политика конфиденциальности содержит реквизиты оператора, сроки хранения, права пользователей, региональные уведомления и контакты.

Открыть Политику конфиденциальности