Політика конфіденційності Ellumo

English version

Дата набрання чинності: {{EFFECTIVE_DATE}}

1. Хто ми

Ellumo — диктофон, який розпізнає й підсумовує твої записи. Його надає {{LEGAL_NAME}}, {{ADDRESS}}, {{COUNTRY}} («ми»). Ми — контролер персональних даних, описаних тут. Питання й запити: privacy@ellumo.app.

2. Коротко

• Облікового запису немає. Твоя бібліотека — записи, транскрипти, підсумки, чати — зберігається на твоєму телефоні.
• Свої ключі: записи й транскрипти йдуть з телефона одразу до вибраного тобою AI-провайдера, через твій ключ і за твоєю угодою з ним. Ми їх не отримуємо.
• Ellumo Cloud: запис іде через наш сервер у Groq для розпізнавання (з підпискою — в OpenAI, коли Groq зайнятий чи недоступний), а транскрипт і твої запитання — в Anthropic для підсумків і відповідей. Наш сервер тримає транскрипт і підсумок 10 хвилин і не зберігає аудіо. Ти погоджуєшся на це в застосунку, перш ніж Ellumo Cloud увімкнеться.
• Жодної реклами, стеження чи аналітичного SDK. Звіти про збої йдуть у Sentry, лише якщо ти їх увімкнеш. Під час запуску застосунок питає в Expo, чи є виправлення його коду (розділ 4.4).
• Налаштування › Видалити всі дані прибирає все, що застосунок тримає на телефоні.

3. Що залишається на телефоні

Записи, транскрипти, підсумки, позначки, чати із записами, налаштування й API-ключі зберігаються на твоєму пристрої. Ключі лежать у Keychain (iOS) або захищеному сховищі Android і доступні лише тоді, коли пристрій розблоковано.

Назви й короткі підсумки записів можуть показуватися на твоїх екранах поза застосунком: у віджетах, Live Activity, сповіщеннях, на Apple Watch і в Android-віджеті, зокрема на екрані блокування. Сповіщення плануються на самому пристрої; push-сповіщень ми не використовуємо.

Запис і розпізнавання на пристрої працюють без інтернету й нічого нікуди не надсилають.

4. Що виходить за межі телефона і коли

4.1 Свої ключі

Коли ти підключаєш свій ключ, застосунок надсилає дані напряму цьому провайдеру:

• Для розпізнавання (якщо воно не на телефоні): аудіо запису — в OpenAI, Google Gemini або на OpenAI-сумісний сервер, адресу якого ти вводиш.
• Для підсумків і відповідей: текст транскрипту і твої запитання — в Anthropic, OpenAI, Google Gemini або на твій OpenAI-сумісний сервер.

Запит містить твій ключ, тож провайдер обробляє дані у твоєму обліковому записі, за своїми умовами й політикою конфіденційності. Ми цих даних не отримуємо й не можемо їх побачити чи видалити. Аудіо, завантажене у Files API Google Gemini, застосунок не видаляє; Google видаляє його після власного строку зберігання.

4.2 Ellumo Cloud

Коли ти користуєшся Ellumo Cloud:

• аудіо запису йде на наш сервер, а той передає його в Groq для розпізнавання. Якщо в тебе є підписка Ellumo Cloud, а Groq зайнятий чи недоступний, сервер передає для розпізнавання в OpenAI ту частину запису, яку Groq не прийняв; у пробному періоді запис чекає на Groq;
• текст транскрипту, запити на підсумок і твої запитання йдуть на наш сервер, а той передає їх в Anthropic (Claude) для підсумків і відповідей.

З кожним запитом застосунок надсилає випадковий ідентифікатор користувача, токен встановлення (розділ 5), платформу й версію застосунку, твою мову й номер версії твоєї згоди на Ellumo Cloud. Наш сервер не передає ні ідентифікатор, ні токен встановлення, ні IP-адресу в Groq, OpenAI чи Anthropic. Вони обробляють дані від нашого імені (розділ 7). Groq і Anthropic зберігають їх обмежений час за своїми умовами. За правилами щодо даних, які OpenAI публікує для свого API розпізнавання, OpenAI не використовує аудіо для навчання й не зберігає його (ні копії для перевірки на зловживання, ні збереженого стану застосунку). Перед першим використанням Ellumo Cloud застосунок питає твою згоду; якщо відмовишся, нічого не надсилається. Коли до Ellumo Cloud додається новий сервіс, він нічого від тебе не отримує, доки ти не погодишся з текстом, який його називає: застосунок спитає про це, коли ти наступного разу обереш Ellumo Cloud.

4.3 Покупки

Підписки й пакети хвилин продаються через App Store або Google Play. Платіжних даних ми ніколи не бачимо. Покупками керує RevenueCat: його SDK працює в кожній збірці, що може продавати Ellumo Cloud, у будь-якому режимі, і надсилає RevenueCat твій випадковий ідентифікатор, чеки магазину й базові дані про пристрій і застосунок (версію ОС і застосунку, мову, IP-адресу). Наш сервер питає RevenueCat, чи активна підписка, і отримує від нього події покупок (зокрема ідентифікатори транзакцій магазину).

4.4 Моделі розпізнавання й оновлення застосунку

Моделі для розпізнавання на пристрої завантажуються з Hugging Face (huggingface.co). Як і під час будь-якого завантаження, Hugging Face бачить твою IP-адресу. Нічого про твої записи не надсилається.

Під час кожного запуску, в будь-якому режимі, зокрема зі своїми ключами, застосунок питає сервер оновлень Expo, чи є новіша версія його коду для твоєї збірки, і завантажує її, якщо є. Якщо перевірка не вдалася або ти без інтернету, застосунок працює як завжди. Запит містить твою IP-адресу, випадковий ідентифікатор оновлень (розділ 5), платформу й те, яка версія застосунку та його коду працює. Якщо минулого разу застосунок зупинився з помилкою ще під час запуску, запит містить і текст цієї помилки (до 1024 символів), щоб невдале оновлення можна було відкликати; це не залежить від перемикача звітів про збої (розділ 4.5). Нічого з твоїх записів, транскриптів, підсумків, чатів чи ключів не надсилається.

4.5 Звіти про збої (вимкнені, доки ти їх не ввімкнеш)

Якщо ввімкнеш Налаштування › Приватність › Звіти про збої, застосунок надсилатиме звіт у Sentry, коли впаде або натрапить на серйозну помилку. Звіт містить тип помилки та її код, місце в коді застосунку, версію застосунку, модель пристрою й версію ОС і випадковий ідентифікатор звітів (розділ 5). Перш ніж звіт покине телефон, застосунок прибирає тексти помилок, параметри вебадрес і все, що схоже на ключ чи токен. Записів, транскриптів, підсумків, запитань чи ключів у звітах не буває ніколи. Вимкнеш перемикач — нові звіти припиняться одразу; звіт, який уже надсилається, ще може дійти, а все, що чекало на пристрої, видалиться.

4.6 Пошта й форма зворотного звʼязку

Якщо ти напишеш нам листа або скористаєшся формою на https://ellumo.app/feedback, ми отримаємо текст і, якщо ти їх вкажеш, твою адресу, тип пристрою та версію застосунку. Ми використаємо їх лише для відповіді й щоб виправити те, про що ти пишеш, і зберігатимемо листування стільки, скільки для цього потрібно. Повідомлення з форми доставляє на нашу пошту поштовий сервіс Cloudflare; сайт не зберігає їхніх копій і не ставить куків. Щоб обмежити зловживання, сайт протягом хвилини рахує повідомлення з кожної мережевої адреси й не веде журналу адрес.

5. Ідентифікатори

• Ідентифікатор користувача: випадкове значення, створене на телефоні. RevenueCat і наш сервер використовують його, щоб повʼязати твої покупки й використання Ellumo Cloud. Видалити всі дані замінює його новим.
• Токен встановлення: випадкове значення в Keychain (iOS) або захищеному сховищі (Android). Наш сервер використовує його лише для того, щоб безкоштовний пробний період Ellumo Cloud надавався один раз на встановлення. Він залишається після Видалити всі дані; на iPhone — і після видалення застосунку, бо iOS зберігає записи Keychain; на Android зникає разом із застосунком.
• Ідентифікатор звітів про збої: лише якщо ти ввімкнеш звіти про збої, код Sentry у застосунку створює випадкове значення й додає його до звітів, щоб звіти з одного встановлення можна було відрізнити. Вимкнення звітів або Видалити всі дані видаляє його з телефона; якщо ввімкнеш їх знову, новий ідентифікатор діятиме з наступного запуску застосунку.
• Ідентифікатор оновлень: випадкове значення, яке код Expo у застосунку створює й надсилає з кожною перевіркою оновлень (розділ 4.4). Expo використовує його, щоб давати оновлення частині встановлень і рахувати, скільки встановлень працює з кожним оновленням. Він не повʼязаний з ідентифікатором користувача чи токеном встановлення. Він залишається після Видалити всі дані, зникає разом із застосунком і може перейти на новий пристрій із резервною копією (розділ 9).

Рекламний ідентифікатор ми не використовуємо й не стежимо за тобою в інших застосунках чи на сайтах.

6. Що зберігає наш сервер і як довго

7. Постачальники послуг і де вони

Коли дані виходять за межі ЄЕЗ, Великої Британії чи Швейцарії, ми спираємося на {{TRANSFER_MECHANISM}} (наприклад, стандартні договірні положення ЄС або EU–US Data Privacy Framework).

8. Навіщо ми обробляємо дані (правові підстави)

• Щоб надати послугу, яку ти просиш (договір): розпізнавання, підсумки й відповіді в Ellumo Cloud; покупки й стан підписки.
• Наші законні інтереси: надавати пробний період один раз на встановлення, запобігати зловживанням, контролювати витрати, захищати сервіс і доставляти виправлення застосунку (оновлення).
• Твоя згода: звіти про збої; а перед першим використанням Ellumo Cloud — твоя згода надсилати записи в Groq (а коли він зайнятий чи недоступний — в OpenAI) і Anthropic. Відкликати згоду можна будь-коли: вимкни звіти про збої або перейди на свої ключі.

9. Резервні копії

• iPhone та iPad: iOS додає записи й бібліотеку застосунку до резервної копії iCloud або копії на компʼютері, якщо вони в тебе ввімкнені. Ці копії зберігає Apple у твоєму Apple Account або твій компʼютер, а не ми. Моделі розпізнавання туди не потрапляють. Ключі й ідентифікатори ніколи не переходять на інший пристрій через резервну копію, крім ідентифікатора оновлень (розділ 5).
• Android: правила резервного копіювання застосунку виключають записи, бібліотеку, налаштування й ключі з копій Google і перенесення на новий пристрій; ідентифікатор оновлень туди входить.

10. Видалення даних

• Налаштування › Видалити всі дані видаляє записи, транскрипти, підсумки, чати, експорти, ключі й налаштування на телефоні, вимикає звіти про збої, видаляє звіти, що чекали на надсилання, та ідентифікатор звітів і дає тобі новий ідентифікатор користувача.
• Воно не видаляє раніше зроблених резервних копій (керуй ними в налаштуваннях пристрою), залишає токен встановлення й ідентифікатор оновлень (розділ 5), а записи нашого сервера за старим ідентифікатором зникнуть у строки з розділу 6. Щоб видалити їх раніше, напиши на privacy@ellumo.app; облікового запису немає, тож ми пояснимо, як надіслати ідентифікатор із телефона, щоб ми їх знайшли.
• Видалення застосунку на Android видаляє всі його дані. На iPhone iOS зберігає записи Keychain (твої ключі й токен встановлення) і після видалення застосунку: щоб прибрати ключі, спершу скористайся Видалити всі дані.
• Дані, які ти надіслав своєму провайдеру, регулює твоя угода з ним.

11. Твої права

Залежно від того, де ти живеш, ти можеш мати право отримати доступ до своїх персональних даних, виправити, видалити чи експортувати їх, заперечити проти обробки або обмежити її та відкликати згоду. Більшість твоїх даних — на телефоні й під твоїм контролем. Щодо даних на нашому сервері пиши на privacy@ellumo.app. Ти також можеш поскаржитися до місцевого органу із захисту даних.

12. Люди, яких ти записуєш

Ellumo записує все, що чує мікрофон. Ти відповідаєш за те, щоб попередити людей про запис і отримати їхню згоду там, де цього вимагає закон. Телефонні дзвінки Ellumo не записує.

13. Діти

Ellumo не призначений для дітей до 16 років, і ми свідомо не обробляємо їхніх даних. Якщо вважаєш, що дитина користувалася Ellumo Cloud, напиши нам — ми видалимо все, що знайдемо.

14. Безпека

Увесь обмін даними між застосунком, нашим сервером і постачальниками зашифровано (HTTPS). Ключі зберігаються в захищеному сховищі пристрою, а журнали застосунку їх маскують. Звіти про збої очищуються, як описано в розділі 4.5.

15. Зміни

Ми оновлюватимемо цю політику, коли змінюватиметься робота застосунку з даними, і змінюватимемо дату вище. Про суттєві зміни повідомимо в застосунку.

16. Контакти

{{LEGAL_NAME}}, {{ADDRESS}}, {{COUNTRY}} — privacy@ellumo.app