WhyBee отвечает на вопросы детей 3–11 лет. Данные ребёнка принадлежат родителю, и мы собираем ровно то, без чего приложение не работает.
Редакция от 2026-10-13
Кто обрабатывает данные
Приложение WhyBee разрабатывает и поддерживает команда WhyBee. Мы решаем, какие данные обрабатываются в приложении, и отвечаем на обращения о них.
Вопросы о данных, доступе к ним и удалении — на support@whybee.app. Ответим на русском, украинском или английском.
Коротко
Мы не продаём данные — и не передаём их рекламным сетям. Рекламы и рекламного трекинга в приложении нет.
Сторонней аналитики нет — в приложении не установлено SDK аналитики или атрибуции.
Аудио остаётся на устройстве — распознавание речи ребёнка выполняется офлайн, на самом устройстве; запись не отправляется на сервер.
ИИ не получает личных данных — имя ребёнка, год рождения, e-mail родителя и внутренние идентификаторы в запросы к модели не попадают.
Родитель контролирует всё — может выгрузить архив данных семьи, удалить профиль ребёнка или весь аккаунт и отозвать согласие.
Какие данные мы обрабатываем
Вопросы могут касаться чувствительных тем (здоровье, семья, переживания). Мы обрабатываем такие тексты исключительно для ответа и обеспечения безопасности — включая показ поддерживающего текста, — не строим на них профилей и не используем ни для чего другого.
Аккаунт родителя — адрес e-mail и язык интерфейса. Пароль хранит и проверяет провайдер аутентификации — мы пароль не видим и не храним.
Профиль ребёнка — имя (годится любое — можно указать псевдоним) и год рождения. Год нужен, чтобы выбрать одну из трёх возрастных полос, на языке которой формулируется ответ. Ещё — выбранный рассказчик озвучки.
Вопросы и ответы — текст вопроса ребёнка, сгенерированный ответ и результат проверки безопасности (в том числе категория, по которой вопрос или ответ был заблокирован). Текст вопроса ребёнок формулирует сам и технически может включить в него личные сведения — такой текст обрабатывается как обычный вопрос и уходит на генерацию и модерацию, автоматически вычистить его мы не можем; объясните ребёнку, что личные данные в вопросах не нужны.
Темы интересов и счётчики — темы вопросов («динозавры», «космос»), число заданных вопросов, карточки знаний и идеи подарков — то, из чего собирается родительский обзор.
Родительские настройки — дневные лимиты, тихие часы, запрещённые категории и кастомные стоп-темы, настройки доставки обзора.
Уведомления — push-токен устройства и платформа, если родитель разрешил уведомления, и адрес e-mail для писем.
Подписка — событие о покупке целиком, как его присылает сервис подписок RevenueCat (идентификатор покупателя, тип события, продукт, окружение и остальные поля события), и производный от него статус доступа. Платёжные реквизиты обрабатывает Apple — мы их не получаем никогда.
Технические данные — ключи идемпотентности запросов и счётчики ограничения частоты. PIN родительской зоны хранится на устройстве и на сервер не передаётся. IP-адрес в базе данных мы не храним; одноразовый код из редиректа входа вырезается из запроса до записи в журнал.
Микрофон и голос
Ребёнок может задать вопрос голосом. Распознавание речи выполняется на самом устройстве: аудиозапись не уходит на наши серверы и никуда не сохраняется — на сервер отправляется только распознанный текст вопроса.
Ответ озвучивает нейронная модель, работающая на самом устройстве: текст ответа для озвучки наружу не отправляется. Файлы моделей распознавания и озвучки приложение скачивает один раз, а большую модель распознавания само скачивает только по Wi-Fi (по мобильной сети — только если вы нажмёте «Скачать сейчас»); это загрузка общедоступных файлов, сведения о ребёнке, вопросы и ответы при ней не передаются. Функция «семейного голоса» (озвучка голосом близкого по записанному образцу) в приложении не включена; если она появится, для неё потребуется отдельное согласие владельца голоса, отзываемое в любой момент.
Зачем мы это обрабатываем
Данные обрабатываются для перечисленного ниже. Правовые основания (если к вам применим GDPR): исполнение договора с родителем — для работы приложения и подписки; согласие родителя — для обработки данных ребёнка; наш законный интерес — для безопасности сервиса и защиты от злоупотреблений; исполнение юридических обязанностей — для ответа на законные требования уполномоченных органов и защиты наших прав.
Ответить ребёнку — сформулировать ответ на уровне его возрастной полосы.
Проверить безопасность — фильтр до генерации, независимая проверка готового ответа и запись события в аудит. Без пройденной проверки ответ не показывается.
Показать родителю — обзор интересов, отчёт о приватности, журнал блокировок без текстов и уведомление в тревожных случаях.
Соблюдать родительские правила — лимиты, тихие часы, запрещённые темы.
Обеспечить подписку — определить, активен ли платный доступ у семьи.
Защитить сервис — ограничение частоты запросов и защита от злоупотреблений.
Что уходит в ИИ
Ответы ребёнку формирует модель Claude компании Anthropic, а не человек, и ИИ может ошибаться. Модель получает только то, без чего нельзя ответить и проверить ответ, и Anthropic не использует эти данные для обучения моделей.
Что уходит — текст вопроса и предыдущие вопросы и ответы той же беседы, чтобы ответ был связным; возрастная полоса (одно из трёх значений), чтобы ответ подходил по возрасту; темы интересов (например «динозавры», «космос») и описания тем, которые родитель попросил не обсуждать; служебные отметки для проверки безопасности, например выбранный режим ответа.
Проверка каждого ответа — вопрос проверяется до того, как модель начнёт отвечать, а каждый готовый ответ — ещё раз, отдельным независимым запросом, прежде чем его увидит ребёнок. Ответ, не прошедший проверку, не показывается.
Родительский обзор и идеи подарков — недельное письмо родителю и список идей подарков модель составляет по темам интересов; для них уходят только язык письма, темы и число вопросов за неделю — без текстов вопросов и без имени.
Что не уходит никогда — имя ребёнка, год рождения, e-mail родителя, идентификаторы аккаунта и другие внутренние идентификаторы из нашей базы, голос и аудиозаписи. Если ребёнок сам назовёт имя в вопросе, оно уйдёт вместе с вопросом — объясните ребёнку, что личные сведения в вопросах не нужны.
Хранение у Anthropic — запросы и ответы удаляются в пределах 30 дней, а данные для недельного письма — сразу после получения результата и в любом случае не позже чем через 29 дней. Исключение вне нашего контроля: запрос, который автоматические системы безопасности Anthropic пометят как небезопасный, может храниться у них до 2 лет, а оценки этих систем — до 7 лет.
Защита данных детей
Сервис спроектирован с учётом требований к защите данных детей — COPPA (США) и GDPR для данных детей (ЕС и Великобритания). О ребёнке мы собираем минимум: имя и год рождения для профиля, а тексты вопросов храним ограниченный срок; имя, год рождения и идентификаторы ребёнка в ИИ не отправляются.
В детском интерфейсе есть объяснения по возрасту о безопасном использовании ИИ: что WhyBee — это ИИ-помощник, а не человек, что он может ошибаться и что с непонятным или тревожным стоит идти ко взрослому.
Кому мы передаём данные
Мы привлекаем поставщиков услуг, которые обрабатывают данные по нашему поручению. Мы не продаём данные и не передаём их рекламным сетям и брокерам данных.
Мы можем раскрыть данные, если этого требует закон или обязательное решение уполномоченного органа, а также в объёме, необходимом для защиты прав и безопасности детей, других пользователей и сервиса. Раскрывается минимум необходимого; где это законно и возможно, мы вас уведомим.
При реорганизации или передаче сервиса данные могут быть переданы правопреемнику на условиях не хуже настоящей политики; о такой передаче мы сообщим.
Anthropic PBC — генерация ответа и независимая проверка безопасности.
Amazon Web Services (Amazon SES) — доставка писем родителю, включая письма аутентификации — код подтверждения адреса и код восстановления доступа; письма обрабатываются в регионе eu-north-1 (Стокгольм).
Apple (Apple Push Notification service, APNs) — доставка push-уведомлений на устройство родителя: Apple получает push-токен, текст самого уведомления и служебные ключи, чтобы уведомление открыло нужный экран (для тревожного уведомления — внутренний номер профиля ребёнка, без имени и возраста). Уведомление хранится у Apple только до доставки на устройство; условия APNs входят в Apple Developer Program License Agreement. Android (FCM) не подключён.
Supabase — аутентификация родителя: вход и восстановление доступа; письма аутентификации доставляет наш почтовый вендор.
RevenueCat — учёт статуса подписки.
Apple — оплата и управление подпиской в App Store.
Railway — хостинг серверной части и базы данных приложения.
Porkbun — приём почты на адреса домена: письмо в поддержку — и ответ на недельное письмо — пересылается в наш ящик; вендор видит ваш обратный адрес и текст письма.
Google (Gmail) — почтовый ящик поддержки: хранит переписку с вами, пока мы её не удалим.
Данные детей и родительское согласие
Аккаунт создаёт и подтверждает только взрослый. У ребёнка нет отдельного аккаунта, входа и переписки с другими людьми: детская часть приложения работает внутри родительского аккаунта, и все данные ребёнка принадлежат родителю.
Согласие на обработку данных ребёнка даёт сам родитель — в приложении, после входа в свой аккаунт и до того, как ребёнок сможет задать первый вопрос. Экран согласия заранее объясняет, что мы обрабатываем и что ответы формирует модель Claude компании Anthropic; согласие засчитывается, только когда родитель сам его подтвердит, и от него можно отказаться. Пока согласия нет, профиль ребёнка не создаётся и вопросы в ИИ не уходят.
Отозвать согласие можно в любой момент — напишите на support@whybee.app: после отзыва детские функции снова блокируются. Удалить аккаунт вместе со всеми данными семьи можно в родительской зоне в любой момент, с согласием или без.
Мы не строим рекламных профилей детей, не показываем рекламу и не используем бесконечные ленты и «серии» для удержания.
Сколько мы храним данные
Тексты вопросов и ответов — 90 дней, затем ежедневная автоматическая обработка обезличивает их. Темы и счётчики остаются как агрегат — событие без текста уже является агрегатом.
Доставленные уведомления — 30 дней после доставки, затем строка удаляется.
Профиль и настройки — пока существует аккаунт. Удаление профиля ребёнка удаляет каскадом всё, что с ним связано; удаление аккаунта — всю семью и учётную запись в провайдере аутентификации.
У Anthropic — запросы к модели и её ответы удаляются в пределах 30 дней, данные для недельного письма — сразу после получения результата, не позже чем через 29 дней. Исключение вне нашего контроля: контент, помеченный автоматическими системами доверия и безопасности Anthropic (например заблокированный небезопасный вопрос), может храниться у них до 2 лет, а классификационные оценки — до 7 лет.
Отбитые адреса у SES — адрес, на который письмо не доставилось или пришла жалоба на спам, попадает в список подавления SES без срока давности. При удалении аккаунта мы отдельно просим SES убрать оттуда адрес и повторяем запрос при сбоях.
Переписка с поддержкой — лежит в почтовом ящике, пока мы её не удалим; после удаления провайдер стирает её — около 2 месяцев на полное стирание из активных систем и до 6 месяцев жизни в зашифрованных резервных копиях.
Карточки знаний — живут вместе с профилем ребёнка и не попадают под окно обезличивания текстов: карточка не цитирует вопрос дословно — это требование проверяет модерация.
Резервные копии — остаточные копии удалённых данных могут ограниченное время сохраняться в резервных копиях инфраструктуры и удаляются по циклу их ротации; из рабочих систем данные исчезают сразу.
Права родителя
Выгрузка, отчёт, исправление и удаление доступны в приложении, отзыв согласия — через поддержку. Если что-то не получается — напишите на support@whybee.app.
Доступ и выгрузка — полный архив данных семьи выгружается из родительской зоны (не чаще раза в час).
Отчёт о приватности — в родительской зоне видно активные согласия, окна хранения, отсечку, начиная с которой тексты обезличиваются, список субпроцессоров и сводку блокировок без текстов.
Исправление — имя, год рождения и настройки правятся в приложении.
Удаление — профиль ребёнка или весь аккаунт удаляется из родительской зоны.
Отзыв согласия — в любой момент — письмом на support@whybee.app.
Жалоба — если вы в ЕС, ЕЭЗ или Великобритании — вы можете обратиться в надзорный орган по защите данных по месту жительства.
Публичная ссылка на список идей
Родитель может сам создать публичную ссылку на список идей подарков ребёнка. По ссылке доступен замороженный снимок: темы и идеи — без имени ребёнка и без других данных семьи. Ссылка отзывается в приложении, после отзыва перестаёт открываться, и активной может быть только одна ссылка на ребёнка.
Больше ничего из данных семьи публично не доступно: остальные экраны требуют входа родителя.
Как мы защищаем данные
Шифрование канала — весь трафик приложения идёт по HTTPS; письма отправляются только по защищённому соединению — если сервер получателя его не поддерживает, письмо не отправляется вовсе.
Разделение окружений — тестовые окружения не содержат реальных данных семей и работают на отдельных базах.
Минимальные журналы — в журналах сервера нет текстов вопросов и ответов — это закреплено проверкой сборки. IP-адрес не сохраняется в базе и не используется для профилирования; в техническом журнале доступа сетевой адрес соединения может появляться.
Доступ — к боевым данным имеет доступ минимальный круг разработчиков — по необходимости.
Передача данных за пределы страны
Наши поставщики — компании из ЕС и США, поэтому данные могут обрабатываться за пределами вашей страны. Письма родителям обрабатываются в ЕС (регион eu-north-1, Стокгольм). Данные продукта передаются на условиях договоров с поставщиками, включающих стандартные договорные условия защиты данных; переписка с поддержкой идёт как обычная электронная почта.
Изменения политики
Мы обновляем эту страницу вместе с продуктом; дата редакции указана в шапке. О существенных изменениях сообщим в приложении или письмом на адрес аккаунта.
Связаться с нами
Напишите на support@whybee.app, если хотите узнать, какие данные о вашей семье у нас есть, исправить или удалить их, отозвать согласие или сообщить о проблеме с приватностью.