Политика конфиденциальности

1. Кто мы

Здесь описано, какие данные обрабатывают приложение GalleryGo («приложение», «мы») и этот сайт и зачем. Сервис предоставляет Alexey Vikarchuk.

2. Фото и видео

Приложение анализирует фотобиблиотеку на устройстве средствами Apple (PhotoKit и Vision); у видео анализируются несколько кадров. Результаты, в том числе что изображено на фото (например, «еда», «собака», «пляж»), хранятся в локальной базе на iPhone. Мы не загружаем на свои серверы фото, видео, превью, имена файлов и координаты мест съёмки. Для анализа библиотека из iCloud не скачивается; только когда вы открываете фото на весь экран, iOS может загрузить из iCloud это одно фото.

Чтобы искать по месту, приложение группирует места съёмки в участки около 11 км и отправляет в сервис геокодирования Apple — тот же, что используют «Фото» и «Карты», — центр каждого участка, а не место съёмки какого-либо фото. Полученные названия городов и стран хранятся на устройстве.

Удаление фото и видео, сжатие фото и видео и сохранение только фото из Live Photo выполняются на устройстве после вашего подтверждения в приложении и в системном окне iOS. Удалённое и заменённые оригиналы iOS переносит в альбом «Недавно удалённые», откуда их можно восстановить в течение 30 дней.

Ещё приложение хранит на устройстве кэш превью и сохранённые поиски. Их можно удалить в разделе «Профиль → Очистить данные приложения»; локальная база анализа удаляется вместе с приложением.

3. Аккаунт

Вход — через Apple. Мы получаем уникальный идентификатор пользователя Apple и храним его вместе с языком интерфейса, вашим выбором «Помогать улучшать GalleryGo» и датами создания и изменения аккаунта. Имя и email мы не запрашиваем. Чтобы при удалении аккаунта отозвать вход через Apple, мы также храним в зашифрованном виде выданный Apple для этого токен.

При покупке пакета приложение передаёт Apple внутренний идентификатор вашего аккаунта (не имя и не email), чтобы покупка зачислилась на нужный аккаунт.

4. ИИ-функции

Некоторые функции отправляют на наш сервер текстовые описания фото — но никогда сами изображения. Там их обрабатывают ИИ-провайдеры, действующие по нашему поручению: OpenAI и TypeSafe.

ИИ-поиск. Текст запроса, язык интерфейса, текущая дата и список того, что найдено в галерее (например, «пляж», «собака»), отправляются в OpenAI, чтобы понять, что вы ищете. Чтобы подобрать подходящие фото, TypeSafe получает запрос, места из вашей галереи с числом фото (только названия, например «Стамбул, Турция») и описания фото-кандидатов, вычисленные на устройстве: метки содержимого, числовые характеристики (например, резкость, качество, эстетика, число лиц и открыты ли глаза, размер, разрешение, возраст в днях), признаки вроде «скриншот», «документ» или «избранное», есть ли у фото геометка и Live Photo ли это (только «да» или «нет»), а также текст, распознанный на фото (до 2 000 символов, без номеров карт и адресов почты). Видео описывается так же — по нескольким своим кадрам, с пометкой «видео» и длительностью; сами кадры телефон не покидают.

Голосовой поиск. Пока вы удерживаете кнопку микрофона в поле поиска, GalleryGo использует микрофон и превращает запрос в текст прямо на iPhone — запись не покидает устройство. Только если iPhone не может распознать запрос сам (например, у него нет офлайн-модели вашего языка) и вы это разрешили, запись (до 30 секунд) и язык интерфейса отправляются на наш сервер, где её распознаёт OpenAI. Мы не храним запись; полученный текст используется как обычный набранный запрос. Отключить это можно в профиле.

Сортировка. Категории («Плохое качество», «Документы», «Скриншоты» и другие) вычисляются на устройстве. Если приложение не уверено, что за кадр перед ним — фото, мем, ненужный снимок, снимок экрана или документ, — после анализа галереи оно автоматически отправляет описание этого кадра в TypeSafe. Описание такое же, как выше, текст сокращается до 300 символов; дополнительно указано, снят ли кадр камерой или сохранён из интернета или чата (по метаданным файла), где на нём текст, есть ли животные, QR-код, эмодзи или стикеры, и ближайшие подписи из фиксированного набора («мем с подписью», «ценник», «чек»…) от модели, которую приложение скачивает с нашего сервера или из нашей сети доставки контента. На iPhone с Apple Intelligence описание может включать короткую подпись, которую составила модель Apple на самом устройстве; модели велено не указывать имена, номера и адреса, а приложение дополнительно вырезает номера карт и адреса почты. Избранное на сортировку не отправляется никогда.

Похожие фото. Чтобы выбрать лучший кадр в серии похожих, приложение может отправить числовые характеристики фото этой серии.

Устаревшие скриншоты. Для скриншотов старше двух недель приложение отправляет в TypeSafe распознанный текст (до 300 символов, без номеров карт и адресов почты) и их возраст в днях, чтобы определить, нужна ли ещё эта информация.

Тексты запросов и эти описания мы не храним. По каждому ИИ-запросу записываются только провайдер, тип операции и число проанализированных фото — чтобы ИИ-функции оставались бесплатными и в пределах добросовестного использования. Сжатие фото и видео, превращение Live Photo в фото и еженедельные напоминания работают только на устройстве: напоминание — локальное уведомление iPhone, на сервер для него ничего не отправляется.

5. Покупки и баланс

Оплату обрабатывает Apple; платёжных данных мы не видим. Чтобы пополнить баланс, мы проверяем подписанную транзакцию App Store и храним её идентификатор, продукт, среду, статус и число файлов. Если Apple сообщает о возврате денег, с баланса снимается не больше файлов, чем добавила эта покупка (баланс не уходит ниже нуля); если Apple отменяет возврат, файлы возвращаются.

Когда вы удаляете, сжимаете или превращаете файлы, мы записываем, сколько файлов обработано, сколько места освобождено и завершилась ли операция, — это ваш баланс и статистика в профиле. Пока операция идёт, файлы резервируются на балансе; неиспользованные резервы истекают и удаляются автоматически. Какие именно фото обработаны, мы не получаем.

Запросы на возврат. Если вы разрешили «Помогать улучшать GalleryGo» (приложение спрашивает один раз; по умолчанию выключено, изменить можно в профиле) и потом попросите Apple вернуть деньги за покупку, мы сообщим Apple, какую долю покупки вы использовали, и нашу рекомендацию: вернуть полностью, если вы ничего не использовали или удаление не удалось, частично — если использовали часть, не возвращать — если использовали всё. Решение принимает Apple. Больше ничего мы не передаём, а без вашего согласия не отвечаем на запрос Apple вовсе. Получить или удалить эти данные у Apple можно на privacy.apple.com.

6. Отчёты о сбоях

Только если вы разрешили «Помогать улучшать GalleryGo», приложение отправляет отчёты о сбоях в Sentry; без согласия Sentry не запускается. В них — техническая информация об ошибке, модель устройства и версии iOS и приложения, без скриншотов, фото, текстов запросов, путей к файлам и персональных идентификаторов.

7. Поддержка

Если вы пишете нам через форму в приложении или на этом сайте, мы получаем указанные вами email и сообщение, язык интерфейса, а из приложения — ещё его версию и идентификатор аккаунта. Сообщение доставляется в наш почтовый ящик поддержки через почтового провайдера и на нашем сервере не хранится. Переписку мы храним столько, сколько нужно, чтобы ответить и решить ваш вопрос.

8. Сайт и служебные запросы

Этот сайт не использует cookies, аналитику и сторонние скрипты. Приложение также обращается к нашему серверу, чтобы проверить обновления и скачать языковые файлы и модели анализа; в этих запросах только техническая информация, например версия приложения и платформы. IP-адрес наш сервер использует только для ограничения частоты запросов и не сохраняет; хостинг-провайдер может недолго хранить стандартные технические журналы.

9. Чего мы не делаем

• Не показываем рекламу и не используем рекламные и трекинговые SDK.
• Не продаём и не передаём ваши данные третьим лицам, кроме перечисленных выше обработчиков.
• Не обучаем на ваших данных ИИ-модели.

10. Хранение и удаление

Данные хранятся, пока существует аккаунт. Записи об использовании ИИ удаляются через 90 дней. Удалить аккаунт можно в любой момент в приложении: «Профиль → Удалить аккаунт». Это удаляет аккаунт, сессии, баланс и записи об использовании и отзывает вход через Apple. Неиспользованный баланс при удалении аккаунта сгорает.

Остаётся только запись о том, что транзакция App Store (идентификатор, продукт, среда, статус) уже зачислена или возвращена, — без связи с вами, чтобы одну покупку нельзя было зачислить дважды. Письма, которые вы отправили в поддержку, остаются в нашем почтовом ящике.

11. Безопасность

Все соединения идут по HTTPS. Токены обновления хранятся на сервере только в виде хешей, а токены сессий не хранятся вовсе. Токен Apple хранится в зашифрованном виде. Доступ к серверу и базе данных ограничен.

12. Дети

Приложение не предназначено для детей младше 13 лет, и мы сознательно не собираем их данные.

13. Ваши права

В зависимости от того, где вы живёте (например, по GDPR), у вас есть право получить, исправить и удалить свои данные, а также возразить против их обработки. Удалить аккаунт и все связанные с ним данные можно в приложении; по остальным вопросам напишите нам на support@gallerygo.com.

14. Изменения

Мы обновим эту страницу, когда изменится обработка данных, и поменяем дату «Обновлено».

15. Контакты

Alexey Vikarchuk, support@gallerygo.com.