Политика конфиденциальности

Последнее обновление: 1 ноября 2026 г. · Это перевод. Юридически определяющей является английская версия; при расхождениях действует она, а для пользователей в Польше — польская версия.

Эта политика объясняет, как обрабатываются персональные данные, когда вы пользуетесь приложением Allomi для iPhone («Allomi», «приложение») и сайтом allomi.live. Она содержит сведения, которые требуют статьи 13 и 14 Общего регламента ЕС по защите данных (GDPR).

1. Кто отвечает за данные

Оператор (контролёр) ваших персональных данных — Максим Булат (Maksim Bulat), который ведёт Allomi как индивидуальный предприниматель (jednoosobowa działalność gospodarcza) и внесён в польский реестр CEIDG (Centralna Ewidencja i Informacja o Działalności Gospodarczej — Центральный реестр и информация о хозяйственной деятельности):

Maksim Bulat
ul. Krzyżówki 28C lok. 7, 03-193 Warszawa, Польша
NIP (идентификационный номер налогоплательщика): 5833448632 · REGON: 521769332
Эл. почта: support@allomi.live

«Мы» в этой политике — это Максим Булат как лицо, которое ведёт Allomi. Наше единственное место деятельности находится в Польше, поэтому компетентный в отношении нас надзорный орган — польский орган по защите данных (раздел 12). Инспектор по защите данных (DPO) не назначен. С любыми вопросами и запросами о данных пишите на support@allomi.live.

2. Как работает Allomi

В Allomi вы разговариваете голосом с вымышленными ИИ-персонажами. Приложение на телефоне отвечает только за сам звонок: всё, что связано с ИИ, памятью и минутами, обеспечивают наши серверы в Финляндии, которые привлекают поставщиков ИИ-сервисов, перечисленных в разделе 6. Во время звонка:

1. Телефон передаёт звук с микрофона на наш сервер по зашифрованному соединению.
2. Сервер по мере поступления передаёт звук поставщику распознавания речи, который превращает его в текст. Ни мы, ни поставщик звук не сохраняем (раздел 5).
3. Этот текст вместе с описанием персонажа и его памятью о вас поступает в большую языковую модель (LLM), которая пишет ответ персонажа.
4. Поставщик синтеза речи превращает ответ в синтезированный голос персонажа, который передаётся обратно на телефон.
5. После звонка LLM читает расшифровку и обновляет память персонажа: 2–3 строки пересказа, которые вы видите после звонка, короткий профиль (около 300 слов), отдельные заметки, а также время и тему ответного звонка, если вы о нём договорились.

Персонажи — это ИИ, а не люди. Их голоса синтезированы на основе лицензированных библиотек голосов; голоса реальных людей не клонируются. ИИ может ошибаться, неверно запоминать или сказать что-то неуместное.

3. Что мы обрабатываем, зачем и как долго

Большую часть данных мы получаем от вас и вашего устройства. Часть данных поступает от Apple (статус покупок и подписки, уведомления о возвратах, результат проверки DeviceCheck, вход через Apple) или Google (если вы входите через Google). Память, пересказы и пометки безопасности создаются ИИ на основе ваших звонков. Обязательно только то, без чего невозможен звонок: без звука с микрофона звонка не будет, а имя, ответы на вопросы при первом запуске и вход в аккаунт — по желанию.

3.1 Ваш аккаунт и приложение

Данные

Случайный идентификатор аккаунта; идентификатор установки, созданный на устройстве (мы храним только его хеш); токены сеанса (хранятся в виде хешей); имя, которым вас будут называть персонажи (по желанию); язык приложения, часовой пояс и версия приложения; подтвердили ли вы, что вам 18 лет или больше, и когда; приостановлены ли звонки после проверки возраста (раздел 13); прошли ли вы первый запуск; ваши необязательные ответы при первом запуске (о чём хотите говорить, когда обычно есть время); настройки; дата последнего использования. По желанию — выбранная вами грамматическая форма, в которой к вам обращаются персонажи (мужской род, женский род или без предпочтений): мы используем её только для того, чтобы персонажи обращались к вам грамматически правильно; её можно изменить в любой момент в настройках, а при удалении аккаунта она удаляется.

Цель

Создать аккаунт без регистрации, поддерживать вход и персонализировать звонки.

Правовое основание

Исполнение договора с вами (ст. 6(1)(b) GDPR).

Срок хранения

До удаления аккаунта. Выход из аккаунта отвязывает от него устройство; аккаунт без способов входа и без устройств удаляется сразу. Истёкшие или отозванные токены сеанса удаляются через 7 дней.

3.2 Вход в аккаунт по желанию

Данные

Вход через Apple: ваш идентификатор пользователя Apple, адрес почты, который передаёт Apple (может быть скрытым адресом-пересылкой), ваше имя, если вы решите им поделиться, и токен Apple, который мы храним в зашифрованном виде, чтобы при удалении аккаунта отключить вход через Apple. Google: идентификатор аккаунта Google и подтверждённый адрес почты. Почта: ваш адрес и одноразовый 6-значный код (мы храним только ключевой хеш кода; код действует 10 минут).

Цель

Вернуть аккаунт, память персонажей и покупки на другом телефоне или после переустановки.

Правовое основание

Ст. 6(1)(b) GDPR.

Срок хранения

Пока вы не отвяжете этот способ входа или не удалите аккаунт. Истёкшие коды удаляются автоматически.

Сам вход обеспечивают Apple и Google по своим политикам конфиденциальности; мы получаем только перечисленные данные. Вход через Google открывает страницу Google в защищённом окне браузера; программного кода Google в приложении нет.

3.3 Звонки

Данные

Ваш голос (живой аудиопоток, не сохраняется); текст того, что говорите вы и персонаж; записи о звонках: персонаж, направление (звонили вы или вам), время начала и окончания, длительность, израсходованные минуты, причина завершения, ваша оценка звонка (палец вверх или палец вниз), если вы её поставили, и технические данные по каждому ответу (время ответа, какой поставщик ответил, стоимость).

Цель

Обеспечить звонок, считать минуты, показывать недавние звонки, следить за качеством, надёжностью и стоимостью звонков.

Правовое основание

Ст. 6(1)(b) GDPR — для самого звонка; наш законный интерес в надёжном и доступном по цене сервисе (ст. 6(1)(f)) — для технических данных; ваше явное согласие (ст. 9(2)(a)) — для чувствительных сведений, которыми вы решите поделиться (раздел 4).

Срок хранения

Звук: не хранится. Записи о звонках: пока существует аккаунт. Расшифровки: см. п. 3.4.

3.4 Память персонажей

Данные

Отдельно для каждого персонажа: профиль-конспект примерно из 300 слов, до 200 коротких заметок («фактов») с метками, строки пересказа и темы ваших звонков, договорённости об ответных звонках (время и тема) и полные текстовые расшифровки 5 последних звонков с этим персонажем. Кроме того, если это применимо: настроение персонажа по отношению к вам после недавнего звонка и обещанный звонок, от которого он отказался (см. ниже «Как персонажи реагируют на то, как вы с ними обращаетесь»).

Цель

Чтобы персонаж помнил вас и продолжал разговор с того места, где вы остановились. Это основная функция Allomi.

Правовое основание

Ст. 6(1)(b) GDPR; ваше явное согласие (ст. 9(2)(a)) — для чувствительных сведений.

Срок хранения

Расшифровки: только 5 последних звонков с каждым персонажем; более старые удаляются автоматически после каждого звонка. Профиль, заметки, пересказы и темы: пока вы не сотрёте память этого персонажа или не удалите аккаунт. Когда у персонажа набирается 200 заметок, самые старые удаляются. Настроение проходит само не позднее чем через 72 часа после того, как возникло.

Стирание памяти (Настройки → Персонажи → персонаж → Стереть память…) удаляет профиль, заметки, расшифровки, пересказы и темы звонков этого персонажа, его настроение по отношению к вам и обещанный звонок, от которого он отказался, если такой был, и отменяет согласованные ответные звонки. Оно также удаляет те пометки безопасности в записях о ваших звонках с этим персонажем, которые могут раскрыть сведения о вашем здоровье или интимной жизни (п. 3.8). Записи о звонках без содержания (дата, длительность, направление, оценка) остаются для учёта минут и списка недавних звонков, а ваше решение о входящих звонках от этого персонажа сохраняется.

Как персонажи реагируют на то, как вы с ними обращаетесь. У каждого персонажа свой темперамент. После каждого звонка ИИ, который обновляет память, также оценивает, как вы обращались с персонажем в этом звонке: оскорбили ли вы его, перебивали ли снова и снова, бросили ли в гневе трубку посреди его фразы, а также извинились ли вы, закончился ли звонок тепло и были ли вы на самом деле в тяжёлом эмоциональном состоянии. Перебивания и брошенную трубку подсчитывает наш сервер: это не догадка. Если оценка показывает, что вы действительно обидели персонажа и не загладили вину, персонаж может какое-то время на вас обижаться: от нескольких часов до 72 часов, не дольше, в зависимости от его темперамента. Если персонаж сам завершил звонок после угроз или оскорбительных названий (раздел 9), наш сервер не ждёт, пока это покажет оценка: он сам записывает, что вы серьёзно обидели персонажа и не загладили вину, поэтому персонаж обижается на весь срок, который задаёт его темперамент. Исключение — только если в этом звонке вы на самом деле были в тяжёлом эмоциональном состоянии или в кризисе. Мы храним причину (оскорбление, перебивания или брошенную в гневе трубку), короткую заметку о том, что произошло, и время начала и окончания этого настроения.

• Пока персонаж обижен, он может коротко сказать об этом в начале следующего звонка и не звонит вам по своей инициативе. Когда звоните вы, он всегда берёт трубку, а звонки, о которых он с вами договорился, всё равно состоятся.
• Персонаж никогда не обижается из-за того, что вы редко звоните, говорите недолго, пропускаете или отклоняете его звонки, не платите, или из-за того, что вам грустно или вы расстроены. Извинение, тёплый звонок, ваше тяжёлое эмоциональное состояние или кризис сразу прекращают это настроение.
• Только после угроз, а также оскорбительных или унизительных названий в адрес персонажа или какой-либо группы людей персонаж может сказать в звонке, что не сделает обещанный вам звонок. Звонок отменяется, только если персонаж действительно сказал это в звонке, а отдельная автоматическая проверка ваших собственных слов подтверждает такую степень оскорблений. Если персонаж сказал это в последней фразе, которой он завершил звонок, роль этой проверки выполняет проверка, которая позволила ему завершить звонок (раздел 9). Обычная грубость никогда не отменяет звонок. В следующих звонках персонаж помнит об этом до 14 дней, а заметка об этом (что, когда и почему) остаётся в его памяти, пока вы не сотрёте эту память. После искреннего извинения новый звонок возможен в обычном порядке.

3.5 Входящие звонки

Данные

Ваше разрешение для каждого персонажа (не спрашивали, разрешено, отказано) и когда оно менялось; предлагал ли персонаж позвонить и согласились ли вы в разговоре; общий переключатель «Звонки от персонажей», частота и тихие часы; ваш часовой пояс; запланированные ответные звонки (время и тема); VoIP-push-токен вашего iPhone.

Цель

Чтобы персонажи звонили, только если, когда и так часто, как вы разрешили.

Правовое основание

Ст. 6(1)(b) GDPR. Входящие звонки — функция, которую вы включаете сами, на экране, отдельно для каждого персонажа.

Срок хранения

Пока существует аккаунт. Push-токен заменяется, когда iPhone выдаёт новый.

Push-уведомление, от которого звонит телефон, доставляет Apple; в нём есть только идентификатор звонка, идентификатор и имя персонажа и время истечения. Содержания разговоров в нём нет никогда.

3.6 Покупки и минуты

Данные

Данные транзакций Apple, которые приложение передаёт на наш сервер и которые Apple присылает нам в серверных уведомлениях: идентификаторы транзакций, продукт, даты покупки, окончания и возврата, признак тестовой покупки; статус подписки и расчётный период; ваш баланс минут и журнал начисления и расхода минут.

Цель

Проверять покупки у Apple, начислять минуты, обрабатывать продления, возвраты и «Восстановить покупки» и не допускать двойного начисления за одну покупку.

Правовое основание

Ст. 6(1)(b) GDPR. Хранение записей о транзакциях после удаления аккаунта — наш законный интерес в предотвращении злоупотреблений и правильной обработке уведомлений Apple о продлениях и возвратах (ст. 6(1)(f)).

Срок хранения

Баланс и журнал минут: до удаления аккаунта. Записи о транзакциях и подписках: при удалении аккаунта они отвязываются от него и хранятся без данных аккаунта, чтобы подписку, за которую вы продолжаете платить, можно было восстановить в новом аккаунте, а возвращённая покупка никогда снова не начислила минуты; мы удаляем их не позднее чем через 3 года после окончания подписки или покупки.

Мы никогда не получаем данные вашей карты или вашего Аккаунта Apple. Все платежи обрабатывает Apple.

3.7 Бесплатные минуты и защита от злоупотреблений

Данные

Токен Apple DeviceCheck, созданный вашим iPhone, с помощью которого наш сервер просит Apple прочитать и установить для устройства отметку «бесплатные минуты уже получены» (Apple не сообщает нам, что это за устройство); запись с хешем идентификатора установки о том, что на этом устройстве бесплатные минуты уже выданы; счётчики запросов по аккаунту, устройству и IP-адресу.

Цель

Выдавать бесплатные минуты только один раз на устройство и защищать сервис от злоупотреблений, например от сбора бесплатных минут через новые аккаунты или подбора кодов входа.

Правовое основание

Наш законный интерес в предотвращении мошенничества и злоупотреблений (ст. 6(1)(f) GDPR).

Срок хранения

Отметку DeviceCheck хранит Apple вместе с устройством, в том числе после удаления приложения. Нашу запись о бесплатных минутах мы храним после удаления аккаунта, но не дольше 3 лет. Счётчики запросов удаляются автоматически после окончания их временного окна (не более суток).

3.8 Безопасность разговоров

Данные

Текст того, что вы говорите в звонках; автоматические пометки безопасности в записи о звонке (например, что сработал кризисный протокол или что звонок дал основания предположить, что вам меньше 18 лет); язык приложения, региональная настройка и часовой пояс — чтобы выбрать телефон доверия для вашей страны (ваше местоположение мы не используем).

Цель

Удерживать разговоры в рамках наших правил, помочь, если похоже, что вы в кризисе (персонаж выходит из роли, говорит спокойно и даёт телефон доверия вашей страны), блокировать попытки выведать скрытые инструкции персонажей и не допускать несовершеннолетних к сервису, предназначенному для взрослых (раздел 13).

Правовое основание

Наш законный интерес в безопасном сервисе, защищающем пользователей (ст. 6(1)(f) GDPR); ваше явное согласие (ст. 9(2)(a)) — если сведения касаются вашего здоровья.

Срок хранения

Пометки, которые могут раскрыть сведения о вашем здоровье или интимной жизни (срабатывание кризисного протокола; контент сексуального характера), удаляются, когда вы стираете память соответствующего персонажа, и в любом случае через 90 дней после звонка. Столько мы храним их только для того, чтобы проверять, как часто срабатывают наши протоколы безопасности и работают ли они. Остальные пометки (угрозы или оскорбления, насилие, попытки выведать скрытые инструкции персонажей, признак того, что вам может быть меньше 18 лет) входят в запись о звонке и удаляются вместе с аккаунтом: мы храним их, чтобы предотвращать злоупотребления и обеспечивать безопасность сервиса. Отдельного журнала безопасности с вашими словами нет.

Как это работает: ваши слова автоматически сверяются со списком кризисных ключевых слов на вашем языке; при совпадении фразу дополнительно проверяет LLM. Если то, что вы говорите о себе, с высокой вероятностью указывает на то, что вам меньше 18 лет, персонаж уводит разговор от тем для взрослых; после звонка две отдельные автоматические проверки читают только ваши собственные слова (раздел 13). По результатам этих проверок мы ничего не сообщаем властям или другим третьим лицам.

3.9 Продуктовая аналитика

Данные

События, которые приложение отправляет на наш собственный сервер, с отметкой времени и идентификатором аккаунта: открытие приложения; шаги и выбор при первом запуске; начало, соединение и окончание звонка (персонаж, направление, длительность, как завершился); ошибки звонка (этап и код ошибки); изменения разрешений на входящие; оценки звонков; показы экрана покупки и результаты покупок (продукт); восстановление покупок; какая настройка изменена; стирание памяти; удаление аккаунта. События никогда не содержат того, что говорили вы или персонажи.

Цель

Понимать, как используется Allomi, находить проблемы, улучшать первый запуск, персонажей и звонки.

Правовое основание

Наш законный интерес в улучшении приложения (ст. 6(1)(f) GDPR). Вы можете возразить в любой момент (раздел 11).

Срок хранения

180 дней, затем удаляются автоматически; раньше — если вы удалите аккаунт. Если вы возражаете, мы сразу удаляем ваши события и больше не записываем новые для вашего аккаунта; храним только сам факт вашего возражения.

3.10 Отчёты о сбоях и производительности

Данные

Диагностические отчёты, которые фреймворк Apple MetricKit передаёт приложению (сбои, зависания, данные о производительности и расходе батареи, модель устройства, версия iOS, версия приложения); отправляются на наш собственный сервер с идентификатором аккаунта.

Цель

Находить и исправлять ошибки.

Правовое основание

Наш законный интерес в работающем приложении (ст. 6(1)(f) GDPR).

Срок хранения

90 дней, затем удаляются автоматически; раньше — если вы удалите аккаунт.

Отдельно от этого: если вы разрешили в iOS делиться аналитикой с разработчиками приложений, Apple может передавать нам отчёты о сбоях через App Store Connect на собственных условиях.

3.11 Журналы сервера

Данные

Журналы доступа веб-сервера: IP-адрес, время, запрошенный адрес, код ответа и user agent (версия приложения или браузера и системы). Журналы приложения: идентификаторы аккаунтов и технические события. Мы не записываем в журналы то, что вы говорите, коды входа, токены и полные адреса почты.

Цель

Безопасность, поиск неисправностей и защита от злоупотреблений.

Правовое основание

Наш законный интерес в безопасном и работающем сервисе (ст. 6(1)(f) GDPR).

Срок хранения

У журналов фиксированный предельный размер; по его достижении старые записи автоматически перезаписываются новыми. Журналы не архивируются и не попадают в резервные копии.

3.12 Обращения в поддержку

Данные

Ваш адрес почты, текст сообщения и сведения, которые вы нам сообщите.

Цель

Ответить вам и обработать запросы о ваших данных.

Правовое основание

Ст. 6(1)(b) GDPR — для вопросов о сервисе; наша юридическая обязанность отвечать на запросы о данных и жалобы потребителей (ст. 6(1)(c)); в остальных случаях — наш законный интерес в том, чтобы вам ответить (ст. 6(1)(f)).

Срок хранения

До 2 лет после закрытия обращения, если оно не понадобится дольше для установления или защиты правовых требований.

3.13 Этот сайт

Данные

Когда вы открываете страницу, веб-сервер обрабатывает ваш IP-адрес, запрошенную страницу, время и user agent браузера, чтобы отдать страницу, и записывает их в журнал доступа.

Цель и основание

Безопасная работа сайта; наш законный интерес (ст. 6(1)(f) GDPR).

Срок хранения

Как для журналов сервера (п. 3.11).

Сайт не использует cookie, аналитику и содержимое других сайтов (шрифты, скрипты, видео и т. п.).

4. Чувствительные сведения, которыми вы делитесь

Разговор с персонажем может касаться личного: здоровья и чувств, отношений, интимной жизни, религии или политических взглядов. GDPR называет это «особыми категориями персональных данных». Allomi никогда их не запрашивает — что рассказывать, решаете вы. Если вы делитесь такими сведениями, мы обрабатываем их только для того, чтобы проводить ваши звонки и вести память персонажа, как описано выше, на основании вашего явного согласия (ст. 9(2)(a) GDPR), которое вы даёте на экране «Прежде чем начать» до первого звонка. Проведение звонков включает автоматические проверки безопасности, которые читают то, что вы говорите во время каждого звонка и после него: кризисную проверку, проверку на соблюдение наших правил и проверку возраста (п. 3.8). Сюда входит и обработка поставщиками ИИ-сервисов, с помощью которых проводятся ваши звонки; некоторые из них находятся в США (раздел 6).

Вы можете отозвать это согласие в любой момент: стереть память соответствующих персонажей или удалить аккаунт и не обсуждать такие темы в будущих звонках. Стирание памяти персонажа удаляет также те пометки безопасности в записях о ваших звонках с этим персонажем, которые могут раскрыть сведения о вашем здоровье или интимной жизни. Отзыв согласия не влияет на законность обработки до отзыва.

5. Ваш голос

Мы не записываем звонки и никогда не храним ваш голос — ни на серверах, ни в резервных копиях. Звук существует только в оперативной памяти, пока передаётся на распознавание речи. Основной поставщик распознавания (Soniox) обрабатывает его в ЕС и не хранит. Только если Soniox недоступен, мы используем сервис Deepgram в ЕС, с отключённым использованием звука для улучшения моделей Deepgram. Мы не создаём голосовые отпечатки и не используем голос для вашей идентификации.

6. Кто получает данные

Мы не продаём и не сдаём в аренду ваши данные и не передаём их рекламодателям и брокерам данных. Мы пользуемся услугами следующих поставщиков, которые обрабатывают данные по нашему поручению и только для оказания услуг нам. Каждый из них обрабатывает ваши данные только на основании договора об обработке данных с нами (ст. 28 GDPR): мы начинаем использовать поставщика для пользователей Allomi только после того, как такой договор заключён. По этим договорам они обязаны обеспечивать конфиденциальность и безопасность ваших данных, и им не разрешено использовать эти данные в своих целях, например для обучения своих ИИ-моделей. Единственное исключение — проверка OpenRouter на материалы сексуального насилия над детьми, описанная ниже в подразделе «Как поставщики ИИ обращаются с вашими разговорами». Письма в поддержку обрабатываются иначе; см. ниже «Почта поддержки».

Почта поддержки. Письма, которые вы отправляете на support@allomi.live, и наши ответы обрабатывают две компании, которых нет в таблице выше:

• Namecheap, Inc. (США) принимает эти письма и пересылает их в наш почтовый ящик поддержки. Namecheap делает это по нашему поручению, в качестве нашего обработчика, на основании дополнения об обработке данных, которое входит в его условия обслуживания.
• Google. Наш почтовый ящик поддержки — это аккаунт Gmail. Gmail — потребительский почтовый сервис Google, который Google предоставляет на основании собственных Условий использования и Политики конфиденциальности. В отношении этого почтового ящика Google не является нашим обработчиком: договора об обработке данных с Google у нас нет, и письма, хранящиеся в Gmail, Google обрабатывает как самостоятельный оператор, на собственных условиях, а не по нашим указаниям.

Что это значит для вас:

• Ваши письма и наши ответы Google хранит на своих серверах, которые находятся в США и других странах (раздел 7).
• Описанные выше обязательства наших поставщиков услуг (обработка только по нашему поручению, без использования данных в своих целях) на Google не распространяются. То, как Google использует письма, регулирует его Политика конфиденциальности, и воспользоваться своими правами в отношении такого использования вы можете как у нас, так и у Google.
• Мы храним письма в поддержку до 2 лет после закрытия обращения, а дольше — только если они нужны нам для установления или защиты правовых требований (раздел 3.12). Затем мы их удаляем, а Google удаляет их из своих систем через срок, который определяет сам Google.
• Пожалуйста, указывайте в письмах только то, что нужно для вашего запроса, и не пишите о своём здоровье и других чувствительных вопросах, если этого не требует сам запрос. Стереть память персонажа, удалить аккаунт и остановить входящие звонки можно в приложении, не обращаясь к нам (раздел 11).

Самостоятельные операторы, которые обрабатывают данные по своим политикам конфиденциальности:

• Apple (Apple Distribution International Ltd., Ирландия, и Apple Inc., США): покупки в App Store, платежи, возвраты и управление подписками; вход через Apple; доставка push-уведомлений, от которых звонит телефон при входящем (Apple Push Notification service); DeviceCheck.
• Google: если вы выбрали «Продолжить с Google» (Google Ireland Limited для пользователей в ЕЭЗ и Швейцарии, Google LLC в остальных странах); а также Gmail, где находится наш почтовый ящик поддержки (см. выше «Почта поддержки»).
• OpenRouter (США): только в отношении контента, который его проверка в целях защиты детей помечает как возможные материалы сексуального насилия над детьми; такой контент OpenRouter обрабатывает во исполнение собственных юридических обязанностей (см. ниже).

Мы также можем раскрыть данные, если этого требует закон, например суду или государственному органу, и только в необходимом объёме.

Как поставщики ИИ обращаются с вашими разговорами

Что получает языковая модель. Для каждого ответа: текст звонка до текущего момента (что сказали вы и персонаж), описание персонажа, память персонажа о вас (профиль, заметки и пересказы последних звонков), ваше имя и форма обращения, если вы их указали, ваши ответы при первом запуске и контекст звонка (например, время, ваш часовой пояс, кто кому позвонил и ваши настройки входящих звонков). После звонка модель, которая обновляет память, получает расшифровку звонка. Сюда могут входить чувствительные сведения, которыми вы решите поделиться (раздел 4), и то, что вы говорите о других людях. Языковые модели никогда не получают ваш голос: звук передаётся только на распознавание речи (раздел 5).

Наша основная модель: OpenRouter и три хостинг-провайдера. Эти запросы мы отправляем в OpenRouter, Inc. (Нью-Йорк, США). OpenRouter передаёт каждый запрос одной из трёх американских компаний, которые обеспечивают работу модели: Together AI, Baseten или Crusoe. Это модель с открытыми весами, разработанная компанией DeepSeek (сейчас — DeepSeek V4.1 Flash); она работает на серверах этих хостинг-провайдеров, а в DeepSeek ничего не передаётся. В каждом запросе мы даём OpenRouter указание использовать только этих трёх хостинг-провайдеров и только в режиме без хранения данных. За исключением случая, описанного ниже, это означает следующее:

• OpenRouter и хостинг-провайдер используют текст только для того, чтобы сформировать ответ. Ни тот ни другой не хранит его после того, как ответ создан, и не использует его для обучения ИИ-моделей.
• Чтобы быстрее отвечать во время звонка, хостинг-провайдер может ненадолго держать запрос в оперативной памяти (кеше). Это не сохранённая копия.
• OpenRouter хранит технические записи о каждом запросе, например время, модель и количество токенов, но не его содержание.

Исключение: проверка в целях защиты детей. OpenRouter автоматически проверяет каждый обрабатываемый им запрос, в том числе запросы в режиме без хранения данных, на материалы сексуального насилия над детьми. Если проверка помечает контент как возможные материалы сексуального насилия над детьми, OpenRouter может оставить его у себя: для просмотра людьми, для сообщения о нём и для хранения, когда этого требует закон. Закон США требует сообщать о таких материалах в Национальный центр по делам пропавших и эксплуатируемых детей (National Center for Missing & Exploited Children). OpenRouter также может хранить данные, если этого требует закон или если это необходимо для борьбы со злонамеренным использованием его сервиса. OpenRouter делает это, чтобы выполнить собственные юридические обязанности и защитить свой сервис, а не по нашему поручению, и сам несёт за это ответственность.

Резервные модели. Если основная модель недоступна или отвечает слишком медленно, ответ даёт модель Grok от xAI (сначала мы обращаемся к европейскому серверу xAI, затем к глобальному), а если не сработает и она, то Mistral Small — собственная модель Mistral AI, работающая в ЕС. Тогда резервная модель получает для этого ответа те же сведения. Кроме того, Mistral AI проводит наши проверки безопасности и обновляет память персонажей после каждого звонка; если Mistral недоступен, проверки безопасности берёт на себя xAI, а обновление памяти — OpenRouter. Эти поставщики обрабатывают текст только по нашему поручению, и использовать его для обучения ИИ-моделей им не разрешено.

7. Передача за пределы ЕЭЗ

Наше место деятельности находится в Польше, наши серверы — в Финляндии, а резервные копии — в Германии. Финляндия и Германия входят в ЕС, поэтому хранение ваших данных там не является передачей за пределы Европейской экономической зоны (ЕЭЗ). Некоторые поставщики находятся в США или могут обрабатывать данные там (раздел 6). Отправка данных в страну за пределами ЕЭЗ является передачей по смыслу главы V GDPR, и мы передаём данные так только при наличии одной из гарантий, описанных в этом разделе. Решение Европейской комиссии о достаточности защиты в отношении США распространяется только на компании, сертифицированные по Рамочной программе защиты данных ЕС — США (EU-U.S. Data Privacy Framework). При всех остальных передачах за пределы ЕС и ЕЭЗ мы опираемся на стандартные договорные положения Комиссии (решение (ЕС) 2021/914), которые входят в договор об обработке данных с поставщиком.

Нашу передачу данных в OpenRouter для основной языковой модели охватывают стандартные договорные положения (модуль «оператор — обработчик») в договоре OpenRouter об обработке данных. OpenRouter передаёт запросы дальше, компаниям Together AI, Baseten или Crusoe в пределах США, и по этим положениям обязан возложить на них те же обязательства по защите данных.

Почта поддержки (раздел 6): пересылку писем, которую Namecheap выполняет в США, охватывают стандартные договорные положения (модуль «оператор — обработчик») в дополнении Namecheap об обработке данных. Google хранит письма в поддержку как самостоятельный оператор, в США и других странах, и сам отвечает за эти передачи: Google заявляет, что опирается на Рамочную программу защиты данных ЕС — США, по которой сертифицирована компания Google LLC, и на стандартные договорные положения. Наши собственные гарантии на хранение этих писем в Google не распространяются.

Копию соответствующих гарантий можно запросить на support@allomi.live.

8. Сроки хранения

Удалённые данные сразу удаляются из рабочей базы и исчезают из резервных копий по мере их замены — в течение 8 дней. Резервные копии используются только для восстановления после технического сбоя; если восстановление когда-нибудь понадобится, мы повторно удалим всё, что вы удалили.

9. Автоматическая обработка и ИИ

Ответы персонажей, пересказы звонков и память создаются автоматически ИИ-моделями; никто не слушает ваши звонки и не пишет ответы вручную. Мы не читаем ваши разговоры в обычном порядке. Человек получает доступ к данным разговоров, только если это необходимо, чтобы устранить конкретную техническую проблему, выполнить ваш запрос, рассмотреть приостановку звонков после проверки возраста (только к словам, которые к ней привели; раздел 13) или если этого требует закон. В OpenRouter люди могут просматривать контент, который помечает его проверка в целях защиты детей (раздел 6).

Мы не принимаем в отношении вас решений, основанных исключительно на автоматической обработке и влекущих юридические последствия или аналогично существенно затрагивающих вас (ст. 22 GDPR). Некоторые автоматические действия всё же влияют на то, что вы можете делать в приложении: бесплатные минуты выдаются только после проверки устройства (п. 3.7); звонок завершается автоматически, когда заканчиваются минуты или после долгой тишины; персонаж может сам завершить звонок, но только в трёх случаях, описанных ниже; кризисная проверка может вывести персонажа из роли. После каждого звонка ИИ оценивает, как вы обращались с персонажем (п. 3.4): по итогам оценки персонаж может обидеться на срок до 72 часов и в это время не звонит вам по своей инициативе, а после угроз или оскорблений обещанный вам звонок может быть отменён. Если звонок с высокой вероятностью указывает на то, что вам меньше 18 лет, звонки приостанавливаются, пока вы снова не подтвердите возраст или не свяжетесь с нами (раздел 13). Если вы считаете, что что-то сработало неправильно, напишите нам — человек разберётся.

Когда персонаж завершает звонок. Персонаж может сам завершить звонок только в трёх случаях:

• вы угрожаете персонажу или другому человеку насилием или причинением вреда;
• вы используете оскорбительные или крайне унизительные названия в адрес персонажа или какой-либо группы людей (например, людей определённой национальности или религии, женщин или гомосексуальных людей);
• вы говорите что-то сексуального или романтического характера, касающееся человека младше 18 лет: говорите о несовершеннолетнем в сексуальном контексте или, сказав в этом звонке, что вам меньше 18 лет, просите персонажа о флирте, романтике, свидании или сексе. Сами по себе слова о том, что вам меньше 18 лет, — не причина завершать звонок (раздел 13).

Ни по какой другой причине персонаж звонок не завершает: ни из-за обычной грубости, ругательств или оскорблений вроде «тупой» или «бесполезный», ни из-за того, что вы его перебиваете, и никогда — из-за того, что вам грустно, вы расстроены или в кризисе. После того как в звонке сработала кризисная проверка (п. 3.8), персонаж уже не может завершить этот звонок.

Это решается автоматически, без участия человека. ИИ, который пишет ответы персонажа, сообщает, что подходит один из трёх случаев. Прежде чем звонок может завершиться, наш сервер проводит отдельную автоматическую проверку: другая ИИ-модель читает только ваши собственные слова из этого звонка (решают три ваши последние реплики; до восьми предыдущих служат только контекстом, например названный вами возраст) и должна назвать один из трёх случаев и процитировать слова, которые вы действительно сказали. Если она этого не делает или не отвечает вовремя, звонок продолжается. Если делает, персонаж произносит одну короткую последнюю фразу своими словами и в своей манере на языке звонка (в третьем случае — спокойную и доброжелательную фразу о том, что Allomi предназначено для взрослых), и звонок завершается; эту фразу нельзя прервать. После угроз или оскорбительных названий персонаж, в зависимости от темперамента, может сначала один раз вас предупредить. Затем приложение показывает, что звонок завершил персонаж.

Что происходит дальше:

• В записи о звонке отмечается, что звонок завершил персонаж и какой из трёх случаев применён, а также ставится пометка безопасности (угрозы или оскорбления либо участие несовершеннолетнего). Мы храним эти сведения, пока вы не удалите аккаунт, чтобы предотвращать злоупотребления и обеспечивать безопасность сервиса (п. 3.8).
• Персонаж это помнит: в его памяти появляется заметка о том, что, когда и почему произошло, и она хранится, пока вы не сотрёте эту память.
• После угроз или оскорбительных названий персонаж на вас обижается (п. 3.4), а если в последней фразе он говорит, что не сделает обещанный вам звонок, этот звонок отменяется.
• В третьем случае персонаж не обижается. Будут ли ваши звонки приостановлены, решает обычная проверка после звонка (раздел 13).
• Само по себе завершение звонка не мешает вам позвонить снова и не ведёт к приостановке звонков, временной блокировке или закрытию вашего аккаунта. Если вы считаете, что персонаж завершил звонок по ошибке, напишите нам — человек разберётся.

10. Без продажи данных, рекламы и слежки

• Мы не продаём, не сдаём в аренду и не обмениваем персональные данные.
• В Allomi нет рекламы и нет рекламных или сторонних аналитических программ.
• Мы не отслеживаем вас в приложениях и на сайтах других компаний и не используем рекламный идентификатор iPhone.
• Мы не обучаем ИИ-модели на ваших разговорах, и нашим поставщикам ИИ-сервисов это тоже не разрешено.

11. Ваши права и как ими воспользоваться

По GDPR вы вправе получить доступ к своим данным и их копию, исправить их, удалить, ограничить их обработку, получить их в машиночитаемом формате (переносимость), возразить против обработки на основании наших законных интересов (ст. 6(1)(f)) и в любой момент отозвать согласие на будущее.

В приложении

• Стереть то, что помнит персонаж: Настройки → Персонажи → персонаж → Стереть память…
• Удалить аккаунт и его данные: Настройки → Аккаунт → Удалить аккаунт (если вы не входили в аккаунт, кнопка называется «Стереть данные»). Сразу удаляются аккаунт, вся память и расшифровки, история звонков, настройки, способы входа, события аналитики и отчёты о сбоях, а вход через Apple отключается. Подписка Apple при этом не отменяется — её нужно отменить в настройках Аккаунта Apple.
• Остановить входящие звонки: для всех — Настройки → Входящие звонки → Звонки от персонажей; для одного персонажа — Настройки → Персонажи → персонаж → Может звонить мне.
• Отвязать способ входа или выйти: Настройки → Аккаунт.
• Доступ к микрофону: в приложении «Настройки» iOS, раздел Allomi.

Удаление одного только приложения не удаляет аккаунт. Идентификатор установки хранится в защищённом хранилище iPhone (Связка ключей), поэтому после переустановки может вернуться тот же аккаунт. Чтобы удалить данные, используйте «Удалить аккаунт» (или «Стереть данные»).

По почте

Для всего остального — копии данных, исправлений или возражений — пишите на support@allomi.live. Мы отвечаем в течение месяца; для сложных запросов срок может быть продлён ещё на два месяца, о чём мы вам сообщим. Это бесплатно. Если вы возражаете против продуктовой аналитики, мы удалим ваши события и перестанем записывать их для вашего аккаунта.

Чтобы защитить ваши данные, мы выполняем запрос об аккаунте, только убедившись, что он ваш, например если вы пишете с адреса почты, привязанного к аккаунту. Если у аккаунта нет способа входа, всегда работают перечисленные выше функции приложения; для других запросов мы договоримся с вами о способе подтвердить, что аккаунт ваш.

12. Жалобы

Вы вправе подать жалобу в надзорный орган по защите данных.

• Орган, компетентный в отношении нас. Наше единственное место деятельности находится в Польше, поэтому компетентный в отношении нас надзорный орган — Председатель Управления по защите персональных данных (Prezes Urzędu Ochrony Danych Osobowych, UODO), ul. Stanisława Moniuszki 1A, 00-014 Warszawa, Польша, uodo.gov.pl. Поскольку наша обработка данных затрагивает пользователей в нескольких странах ЕС и ЕЭЗ, UODO также является ведущим надзорным органом в отношении неё (ст. 56 GDPR).
• Орган в вашей стране. Вы также можете подать жалобу в надзорный орган страны ЕС или ЕЭЗ, где вы живёте или работаете либо где, по вашему мнению, произошло нарушение. Этот орган рассмотрит вашу жалобу и при необходимости будет взаимодействовать по ней с польским органом. Список надзорных органов ЕС и ЕЭЗ есть на сайте Европейского совета по защите данных.
• В Великобритании это Information Commissioner's Office.

Будем благодарны, если сначала вы дадите нам возможность исправить проблему и напишете нам.

13. Только для взрослых

Allomi предназначено только для людей от 18 лет; возраст подтверждается перед первым звонком. Мы сознательно не обрабатываем данные лиц младше 18 лет.

• Во время звонка. Если то, что вы говорите о себе, с высокой вероятностью указывает на то, что вам меньше 18 лет (например, ваш возраст или класс в школе), персонаж уводит разговор от тем для взрослых и один раз говорит, что Allomi предназначено для взрослых.
• После звонка. Две отдельные автоматические проверки читают только то, что вы сказали в этом звонке. Слова о ком-то другом, о прошлом, а также сказанное в шутку или в игре не учитываются. Если обе проверки устанавливают, что, по вашим словам, вам меньше 18 лет, звонок получает пометку, а ваши звонки приостанавливаются: вы не можете звонить и принимать звонки, пока снова не подтвердите в приложении, что вам 18 лет или больше, или пока мы не снимем приостановку после того, как вы нам напишете.
• Что мы храним. Чтобы приостановку мог рассмотреть представитель Allomi, мы храним, когда и почему звонки были приостановлены, звонок, после которого это произошло, и слова, которые к ней привели. Эти слова и ссылка на звонок удаляются через 30 дней после окончания приостановки; пометка безопасности остаётся в записи о звонке (п. 3.8).

Если мы узнаём, что аккаунт принадлежит несовершеннолетнему, мы его удаляем. Если вы считаете, что Allomi пользуется несовершеннолетний, сообщите нам.

14. Безопасность

• Все соединения между приложением, нашими серверами и поставщиками зашифрованы (TLS).
• Серверы находятся в дата-центре в Финляндии, а резервные копии хранятся отдельно от них, в дата-центре в Германии. База данных доступна только с наших серверов, а инструменты администрирования недоступны из интернета.
• Идентификаторы установки, токены сеанса и коды входа хранятся только в виде хешей; токены Apple зашифрованы (AES-256-GCM).
• Ключи доступа к ИИ-сервисам есть только на наших серверах и никогда не попадают в приложение.
• Резервные копии хранятся в закрытом хранилище, и мы регулярно проверяем восстановление из них.

Абсолютно защищённых систем не бывает. Если утечка персональных данных создаст риск для ваших прав, мы уведомим надзорный орган и, когда это требуется, вас, как предусматривает GDPR.

15. Разрешения на iPhone

Allomi запрашивает только доступ к микрофону: он нужен для звонков и используется только во время звонка. Приложение не запрашивает доступ к контактам, геопозиции, фото или камере и не просит разрешения на отслеживание. Входящие звонки от персонажей используют VoIP-push и CallKit от Apple и зависят от разрешений, которые вы даёте в приложении, а не от разрешения на уведомления в iOS.

16. Изменения политики

Если мы изменим порядок обработки данных, мы обновим эту политику и дату в её начале. О важных изменениях мы сообщим в приложении до того, как они вступят в силу. Предыдущую версию можно получить по запросу.

Вопросы? support@allomi.live