Політика приватності

Хто обробляє дані

Застосунок WhyBee розробляє та підтримує команда WhyBee. Ми визначаємо, які дані обробляються в застосунку, і відповідаємо на звернення щодо них.

Питання про дані, доступ до них і видалення — на support@whybee.app. Відповімо українською, російською або англійською.

Коротко

• Ми не продаємо дані — і не передаємо їх рекламним мережам. Реклами та рекламного трекінгу в застосунку немає.
• Сторонньої аналітики немає — у застосунку не встановлено SDK аналітики чи атрибуції.
• Аудіо залишається на пристрої — розпізнавання мовлення дитини виконується офлайн, на самому пристрої; запис не надсилається на сервер.
• ШІ не отримує особистих даних — ім’я дитини, рік народження, e-mail батьків і внутрішні ідентифікатори до запитів до моделі не потрапляють.
• Батьки контролюють усе — можуть завантажити архів даних родини, видалити профіль дитини або весь акаунт і відкликати згоду.

Які дані ми обробляємо

Запитання можуть стосуватися чутливих тем (здоров’я, родина, переживання). Ми обробляємо такі тексти виключно для відповіді та забезпечення безпеки — включно з показом підтримувального тексту, — не будуємо на них профілів і не використовуємо ні для чого іншого.

• Акаунт батьків — адреса e-mail і мова інтерфейсу. Пароль зберігає та перевіряє провайдер аутентифікації — ми пароль не бачимо і не зберігаємо.
• Профіль дитини — ім’я (годиться будь-яке — можна вказати псевдонім) і рік народження. Рік потрібен, щоб обрати одну з трьох вікових смуг, мовою якої формулюється відповідь. Ще — обраний оповідач озвучення.
• Запитання та відповіді — текст запитання дитини, згенерована відповідь і результат перевірки безпеки (у тому числі категорія, за якою запитання чи відповідь було заблоковано). Текст запитання дитина формулює сама й технічно може включити в нього особисті відомості — такий текст обробляється як звичайне запитання і йде на генерацію та модерацію, автоматично вичистити його ми не можемо; поясніть дитині, що особисті дані в запитаннях не потрібні.
• Теми інтересів і лічильники — теми запитань («динозаври», «космос»), кількість поставлених запитань, картки знань та ідеї подарунків — те, з чого складається батьківський огляд.
• Батьківські налаштування — денні ліміти, тихі години, заборонені категорії та власні стоп-теми, налаштування доставки огляду.
• Повідомлення — push-токен пристрою і платформа, якщо батьки дозволили повідомлення, та адреса e-mail для листів.
• Підписка — подію про покупку цілком, як її надсилає сервіс підписок RevenueCat (ідентифікатор покупця, тип події, продукт, середовище та інші поля події), і похідний від неї статус доступу. Платіжні реквізити обробляє Apple — ми їх не отримуємо ніколи.
• Технічні дані — ключі ідемпотентності запитів і лічильники обмеження частоти. PIN батьківської зони зберігається на пристрої й на сервер не передається. IP-адресу в базі даних ми не зберігаємо; одноразовий код із редиректу входу вирізається із запиту до запису в журнал.

Мікрофон і голос

Дитина може поставити запитання голосом. Розпізнавання мовлення виконується на самому пристрої: аудіозапис не йде на наші сервери й нікуди не зберігається — на сервер надсилається лише розпізнаний текст запитання.

Відповідь озвучує нейронна модель, що працює на самому пристрої: текст відповіді для озвучення назовні не надсилається. Файли моделей розпізнавання та озвучення застосунок завантажує один раз, а велику модель розпізнавання сам завантажує лише через Wi-Fi (мобільною мережею — лише якщо ви натиснете «Завантажити зараз»); це завантаження загальнодоступних файлів, відомості про дитину, запитання й відповіді при цьому не передаються. Функція «родинного голосу» (озвучення голосом близької людини за записаним зразком) у застосунку не увімкнена; якщо вона з’явиться, для неї потрібна буде окрема згода власника голосу, яку можна відкликати будь-коли.

Для чого ми це обробляємо

Дані обробляються для переліченого нижче. Правові підстави (якщо до вас застосовний GDPR): виконання договору з батьками — для роботи застосунку та підписки; згода батьків — для обробки даних дитини; наш законний інтерес — для безпеки сервісу та захисту від зловживань; виконання юридичних обов’язків — для відповіді на законні вимоги уповноважених органів і захисту наших прав.

• Відповісти дитині — сформулювати відповідь на рівні її вікової смуги.
• Перевірити безпеку — фільтр до генерації, незалежна перевірка готової відповіді та запис події в аудит. Без пройденої перевірки відповідь не показується.
• Показати батькам — огляд інтересів, звіт про приватність, журнал блокувань без текстів і повідомлення в тривожних випадках.
• Дотримуватися батьківських правил — ліміти, тихі години, заборонені теми.
• Забезпечити підписку — визначити, чи активний платний доступ у родини.
• Захистити сервіс — обмеження частоти запитів і захист від зловживань.

Що йде в ШІ

Відповіді дитині формує модель Claude компанії Anthropic, а не людина, і ШІ може помилятися. Модель отримує лише те, без чого не можна відповісти й перевірити відповідь, і Anthropic не використовує ці дані для навчання моделей.

• Що йде — текст запитання та попередні запитання й відповіді тієї самої бесіди, щоб відповідь була зв’язною; вікова смуга (одне з трьох значень), щоб відповідь пасувала до віку; теми інтересів (наприклад «динозаври», «космос») та описи тем, які батьки попросили не обговорювати; службові позначки для перевірки безпеки, наприклад обраний режим відповіді.
• Перевірка кожної відповіді — запитання перевіряється до того, як модель почне відповідати, а кожна готова відповідь — ще раз, окремим незалежним запитом, перш ніж її побачить дитина. Відповідь, яка не пройшла перевірку, не показується.
• Батьківський огляд та ідеї подарунків — щотижневий лист батькам і список ідей подарунків модель складає за темами інтересів; для них ідуть лише мова листа, теми та кількість запитань за тиждень — без текстів запитань і без імені.
• Що не йде ніколи — ім’я дитини, рік народження, e-mail батьків, ідентифікатори акаунта та інші внутрішні ідентифікатори з нашої бази, голос і аудіозаписи. Якщо дитина сама назве ім’я в запитанні, воно піде разом із запитанням — поясніть дитині, що особисті відомості в запитаннях не потрібні.
• Зберігання в Anthropic — запити й відповіді видаляються в межах 30 днів, а дані для щотижневого листа — одразу після отримання результату і в будь-якому разі не пізніше ніж через 29 днів. Виняток поза нашим контролем: запит, який автоматичні системи безпеки Anthropic позначать як небезпечний, може зберігатися в них до 2 років, а оцінки цих систем — до 7 років.

Захист даних дітей

Сервіс спроєктований з урахуванням вимог до захисту даних дітей — COPPA (США) і GDPR для даних дітей (ЄС і Велика Британія). Про дитину ми збираємо мінімум: ім’я та рік народження для профілю, а тексти запитань зберігаємо обмежений строк; ім’я, рік народження та ідентифікатори дитини до ШІ не надсилаються.

У дитячому інтерфейсі є пояснення за віком про безпечне використання ШІ: що WhyBee — це ШІ-помічник, а не людина, що він може помилятися і що з незрозумілим чи тривожним варто йти до дорослого.

Кому ми передаємо дані

Ми залучаємо постачальників послуг, які обробляють дані за нашим дорученням. Ми не продаємо дані й не передаємо їх рекламним мережам і брокерам даних.

Ми можемо розкрити дані, якщо цього вимагає закон або обов’язкове рішення уповноваженого органу, а також в обсязі, необхідному для захисту прав і безпеки дітей, інших користувачів та сервісу. Розкривається мінімум необхідного; де це законно й можливо, ми вас повідомимо.

У разі реорганізації або передачі сервісу дані можуть бути передані правонаступнику на умовах не гірших за цю політику; про таку передачу ми повідомимо.

• Anthropic PBC — генерація відповіді та незалежна перевірка безпеки.
• Amazon Web Services (Amazon SES) — доставка листів батькам, зокрема листів автентифікації — коду підтвердження адреси та коду відновлення доступу; листи обробляються в регіоні eu-north-1 (Стокгольм).
• Apple (Apple Push Notification service, APNs) — доставка push-повідомлень на пристрій батьків: Apple отримує push-токен, текст самого повідомлення і службові ключі, щоб повідомлення відкрило потрібний екран (для тривожного повідомлення — внутрішній номер профілю дитини, без імені та віку). Повідомлення зберігається в Apple лише до доставки на пристрій; умови APNs входять до Apple Developer Program License Agreement. Android (FCM) не підключений.
• Supabase — аутентифікація батьків: вхід і відновлення доступу; листи автентифікації доставляє наш поштовий вендор.
• RevenueCat — облік статусу підписки.
• Apple — оплата та керування підпискою в App Store.
• Railway — хостинг серверної частини та бази даних застосунку.
• Porkbun — приймання пошти на адреси домену: лист у підтримку — і відповідь на тижневий лист — пересилається до нашої скриньки; вендор бачить вашу зворотну адресу і текст листа.
• Google (Gmail) — поштова скринька підтримки: зберігає листування з вами, доки ми його не видалимо.

Дані дітей і батьківська згода

Акаунт створює та підтверджує лише доросла людина. У дитини немає окремого акаунта, входу та листування з іншими людьми: дитяча частина застосунку працює всередині батьківського акаунта, і всі дані дитини належать батькам.

Згоду на обробку даних дитини дають самі батьки — у застосунку, після входу у свій акаунт і до того, як дитина зможе поставити перше запитання. Екран згоди заздалегідь пояснює, що ми обробляємо і що відповіді формує модель Claude компанії Anthropic; згода зараховується, лише коли батьки самі її підтвердять, і від неї можна відмовитися. Поки згоди немає, профіль дитини не створюється й запитання до ШІ не надсилаються.

Відкликати згоду можна будь-коли — напишіть на support@whybee.app: після відкликання дитячі функції знову блокуються. Видалити акаунт разом з усіма даними родини можна в батьківській зоні будь-коли, зі згодою чи без.

Ми не будуємо рекламних профілів дітей, не показуємо рекламу й не використовуємо безкінечні стрічки та «серії» для утримання.

Скільки ми зберігаємо дані

• Тексти запитань і відповідей — 90 днів, потім щоденна автоматична обробка їх анонімізує. Теми та лічильники залишаються як агрегат — подія без тексту вже є агрегатом.
• Доставлені повідомлення — 30 днів після доставки, потім рядок видаляється.
• Профіль і налаштування — поки існує акаунт. Видалення профілю дитини каскадом видаляє все, що з ним пов’язано; видалення акаунта — усю родину та обліковий запис у провайдера аутентифікації.
• У Anthropic — запити до моделі та її відповіді видаляються в межах 30 днів, дані для щотижневого листа — одразу після отримання результату, не пізніше ніж через 29 днів. Виняток поза нашим контролем: контент, позначений автоматичними системами довіри та безпеки Anthropic (наприклад заблоковане небезпечне запитання), може зберігатися в них до 2 років, а класифікаційні оцінки — до 7 років.
• Відбиті адреси в SES — адреса, на яку лист не доставився або надійшла скарга на спам, потрапляє до списку блокування SES без строку давності. Під час видалення акаунта ми окремо просимо SES прибрати звідти адресу й повторюємо запит у разі збоїв.
• Листування з підтримкою — лежить у поштовій скриньці, доки ми його не видалимо; після видалення провайдер стирає його — близько 2 місяців на повне стирання з активних систем і до 6 місяців у зашифрованих резервних копіях.
• Картки знань — живуть разом із профілем дитини й не потрапляють під вікно анонімізації текстів: картка не цитує запитання дослівно — цю вимогу перевіряє модерація.
• Резервні копії — залишкові копії видалених даних можуть обмежений час зберігатися в резервних копіях інфраструктури й видаляються за циклом їх ротації; з робочих систем дані зникають одразу.

Права батьків

Вивантаження, звіт, виправлення і видалення доступні в застосунку, відкликання згоди — через підтримку. Якщо щось не виходить — напишіть на support@whybee.app.

• Доступ і вивантаження — повний архів даних родини вивантажується з батьківської зони (не частіше разу на годину).
• Звіт про приватність — у батьківській зоні видно активні згоди, вікна зберігання, відсічку, починаючи з якої тексти анонімізуються, список субпроцесорів і зведення блокувань без текстів.
• Виправлення — ім’я, рік народження та налаштування змінюються в застосунку.
• Видалення — профіль дитини або весь акаунт видаляється з батьківської зони.
• Відкликання згоди — будь-коли — листом на support@whybee.app.
• Скарга — якщо ви в ЄС, ЄЕЗ або Великій Британії — ви можете звернутися до наглядового органу із захисту даних за місцем проживання.

Публічне посилання на список ідей

Батьки можуть самі створити публічне посилання на список ідей подарунків дитини. За посиланням доступний заморожений знімок: теми та ідеї — без імені дитини й без інших даних родини. Посилання відкликається в застосунку, після відкликання перестає відкриватися, і активним може бути лише одне посилання на дитину.

Більше нічого з даних родини публічно не доступно: інші екрани вимагають входу батьків.

Як ми захищаємо дані

• Шифрування каналу — весь трафік застосунку йде через HTTPS; листи надсилаються лише захищеним з’єднанням — якщо сервер отримувача його не підтримує, лист не надсилається взагалі.
• Розділення середовищ — тестові середовища не містять реальних даних родин і працюють на окремих базах.
• Мінімальні журнали — у журналах сервера немає текстів запитань і відповідей — це закріплено перевіркою збірки. IP-адреса не зберігається в базі й не використовується для профілювання; у технічному журналі доступу мережева адреса з’єднання може з’являтися.
• Доступ — до бойових даних має доступ мінімальне коло розробників — за потреби.

Передача даних за межі країни

Наші постачальники — компанії з ЄС і США, тому дані можуть обробляти за межами вашої країни. Листи батькам обробляються в ЄС (регіон eu-north-1, Стокгольм). Дані продукту передаються на умовах договорів із постачальниками, що включають стандартні договірні умови захисту даних; листування з підтримкою іде як звичайна електронна пошта.

Зміни політики

Ми оновлюємо цю сторінку разом із продуктом; дата редакції вказана в шапці. Про суттєві зміни повідомимо в застосунку або листом на адресу акаунта.

Зв’язатися з нами

Напишіть на support@whybee.app, якщо хочете дізнатися, які дані про вашу родину в нас є, виправити або видалити їх, відкликати згоду чи повідомити про проблему з приватністю.

Умови використання
Підтримка