Архитектура приватности
LifeCopilot построен вокруг простой границы: чувствительные жизненные сигналы остаются на устройстве, пока вы явно не включите функцию, которой нужна защищённая серверная обработка.
Сырые сигналы остаются у вас
Приложение рассчитывает Energy Score и дневной контекст на устройстве. Серверная обработка включается отдельно для конкретных сигналов.
Что может уйти с устройства и что не уходит
Сервер получает минимум, нужный для sync, AI-памяти, безопасности аккаунта и поддержки, только для включённых вами функций.
Может обрабатываться на серверах DuoHuman с согласием
- Именованные места, время нахождения и переходы без точных координат
- Агрегированное время по категориям приложений без списка установленных приложений
- Настроение, энергия и стресс как числовые значения
- Агрегированные метрики здоровья: шаги, сон, средняя ЧСС
- Задачи, цели и заметки после PII-scrubbing при включённой серверной обработке
- AI-чат и память, когда вы используете AI-коуча
- Хэши email/устройства, записи согласий и технические логи
Не отправляется на серверы DuoHuman
- Точные GPS latitude/longitude
- Сырые голосовые записи и аудиофайлы
- Список установленных приложений
- Рекламные идентификаторы IDFA/GAID
- Прямые идентификаторы устройства
- Имена, фамилии и физические адреса до деперсонализации
- Данные для продажи, рекламного таргетинга или маркетинговой передачи
Чувствительный доступ объясняется заранее
Перед чувствительными разрешениями Android или iOS LifeCopilot показывает prominent disclosure: что доступно, зачем и как отключить.
Фоновая локация
Для именованных мест и контекста дня. Отключается в системных настройках или настройках приватности LifeCopilot.
Usage Stats
Для категорий экранного времени, не для передачи списка приложений.
Данные здоровья
Для Energy Score и восстановления. Health Connect, Apple Health и носимые устройства требуют явного разрешения.
Микрофон и календарь
Голосовые заметки и календарный контекст опциональны; сырое аудио не загружается, календарь деперсонализируется.
AI-обработка ограничена
AI-коуч использует только разрешённые данные. Долгосрочная память — это структурированные факты и summaries, а не неограниченная копия вашей жизни.
PII-scrubbing
Заметки и AI-чат очищаются от персональных идентификаторов перед серверной памятью или инсайтами, где это возможно.
Управляемая память
Долгосрочная память улучшает инсайты со временем и может быть удалена через настройки аккаунта и приватности.
История улучшает инсайты, удаление доступно
LifeCopilot хранит долгую историю, пока аккаунт активен, потому что закономерности требуют времени. Данные можно экспортировать или удалить.
| Данные | Срок | Контроль |
|---|---|---|
| События, настроение, активность и планы | Пока аккаунт активен | Экспорт или удаление |
| AI-инсайты и память | До удаления памяти или аккаунта | Управление памятью и удаление аккаунта |
| Технические логи | До 90 дней | Ограниченное операционное хранение |
| AI call logs | До 365 дней | Операционное хранение и защита от злоупотреблений |
| Платёжные записи | До 7 лет, если требуется законом | Только юридическое хранение |
Удаление аккаунта запускает каскадное удаление через GDPR deletion workflow с учётом законных и технических окон хранения.
Синхронизация зашифрована и опциональна
Sync между компонентами LifeCopilot идёт через E2E-зашифрованный канал. Сервер не должен видеть raw-данные в транзите.
Privacy обещание
Это продуктовые границы, под которые проектируется и документируется LifeCopilot.
- Мы не продаём персональные данные.
- Мы не используем данные для рекламного таргетинга.
- Мы не загружаем raw GPS и raw audio.
- Мы не передаём список установленных приложений.
- LifeCopilot не является медицинским изделием и не даёт медицинских рекомендаций.
Полные юридические детали
Полная Политика конфиденциальности содержит реквизиты оператора, сроки хранения, права пользователей, региональные уведомления и контакты.