Политика конфиденциальности Molim

Molim — приложение, в котором учат сербский по карточкам. Здесь написано, что оно о тебе знает, зачем ему это, где всё это лежит и как это убрать. Без тумана и без слов, которые надо перечитывать дважды: если после этого текста остался вопрос — напиши, ответим тем же языком.

Если коротко

• Учиться можно, ничего о себе не рассказывая: ни имени, ни почты, ни номера телефона на входе не спрашивают.
• С первого запуска у приложения есть безымянный аккаунт — случайный номер, к которому привязан твой прогресс. Почты и имени в нём нет.
• Почта появляется, только если ты сам решишь завести аккаунт: она нужна ровно для того, чтобы вернуть прогресс на новом телефоне.
• Статистика обезличена. Ни одна буква из того, что ты печатаешь в упражнениях, в правках и в письмах, туда не уходит.
• Разговор с персонажем — единственное место, где написанное тобой уходит наружу: отвечает языковая модель, и без твоей реплики ответить ей нечем. У нас беседа не сохраняется нигде.
• Аккаунт и всё, что к нему привязано, стирается одной кнопкой: «Профиль» → «Удаление аккаунта». Два исключения — имя в списке «Hvala», которое к аккаунту нарочно не привязано и убирается по письму, и обезличенная статистика, которую выключает переключатель внизу этого текста.
• Данные не продаём, рекламы в приложении нет, рекламным сетям не передаём ничего.

Кто за это отвечает

За приложение и за данные в нём отвечает разработчик Molim — Никита Шмырев. Это не корпорация: письмо на privacy@molim.talk читает тот же человек, который пишет код. Этот адрес — для всего, что связано с данными: узнать, что о тебе есть, поправить, забрать копию, удалить.

Если вы пользуетесь версией приложения из RuStore, обработку данных регулирует отдельная политика: molim.talk/ru/privacy. Настоящий текст — про версии из App Store и Google Play; российский контур данных их не касается — кроме оплаты на сайте: запись о таком платеже хранится на нашем сервере в России (раздел «Если ты купишь Molim+»).

Что нужно, чтобы начать

Ничего. Приложение не спрашивает имени, почты и номера телефона, не просит доступ к контактам, камере, фотографиям и геопозиции — таких разрешений у него просто нет. Спросит оно за всё время о двух вещах: можно ли присылать напоминания и можно ли включить микрофон в упражнении, где сербское слово надо произнести вслух. Отказ не ломает ни того, ни другого.

При первом запуске приложение молча заводит себе безымянный аккаунт на сервере: случайный номер, без почты и без имени. Он нужен, чтобы выученное не зависело от одного телефона. Значит, копия прогресса уезжает в облако ещё до того, как ты о чём-то попросил, — говорим прямо, потому что догадаться об этом неоткуда.

Что уходит в облако

Облако — это Supabase, регион Франкфурт: данные лежат в Европейском союзе и никуда из него не уезжают. Связь шифруется, а доступ к строкам разделён на уровне самой базы — твои строки видит только твой аккаунт.

• Прогресс по каждому слову: какие карточки ты уже видел, когда их пора показать снова, сколько раз вспомнил и сколько раз слово ускользнуло.
• Серия: сколько дней подряд занимаешься, какой был лучший результат и сколько раз возвращался после перерыва.
• Сколько новых слов ты взял в каждый из дней — по этой цифре считается дневная норма.
• Служебная строка о том, что аккаунт существует: язык приложения и результат первого замера уровня.
• Подписка: что куплено, где куплено и до какого числа действует. В приложении оплаты пока нет; строки здесь появляются после покупки на сайте или в магазине приложений.
• Правки к карточкам: какая карточка, что с ней не так, твой комментарий и — если сам поставил галочку — имя для списка «Hvala».
• Письма о приложении из профиля: что написал, к чему отнёс, версия приложения и система — iOS или Android.
• Счётчики разговора с персонажем: сколько реплик и сцен пришлось на каждый день и сколько раз ты просил перевод или подсказку. Три числа и дата — по ним работает бесплатный пробник и потолок в подписке. Самих бесед в этой таблице нет ни строчки.

Если ты завёл аккаунт, рядом хранится почта и пароль в виде отпечатка, по которому сам пароль не восстановить. Пароля мы не видим и увидеть не можем.

Там же Supabase ведёт журнал входов: когда заходили, когда завели аккаунт, когда меняли почту — с самой почтой и с адресом в сети, откуда пришёл запрос. Он нужен ровно для одного: разобраться, если в аккаунт полезли чужие руки. Кнопка «Удалить аккаунт» стирает и его — записи об аккаунте не переживают сам аккаунт.

Что остаётся на телефоне

Приложение офлайн-первое: всё, что нужно для занятия, лежит на самом телефоне и работает без сети.

• Прогресс: карточки, расписание повторений, серия, дневной счётчик.
• Настройки: время напоминаний, выбранный голос озвучки, твои ответы про статистику и про микрофон.
• Черновики: правки и письма, написанные без сети, ждут связи прямо на телефоне.
• Список «Hvala», сохранённый с прошлого захода, чтобы он открывался и в самолёте.
• Ключ от аккаунта — в защищённом хранилище системы: Keychain на iPhone, Keystore на Android.

Удалишь приложение — всё это исчезает вместе с ним. Облачная копия при этом остаётся: её убирает кнопка «Удалить аккаунт».

Напоминания

Напоминания считает сам телефон. Приложение смотрит, сколько карточек созрело, и ставит уведомление на выбранный тобой час — без сервера и без интернета. Значит: пуш-токена у нас нет, расписание твоих занятий никуда не отправляется, и никто, кроме телефона, не знает, что ты сегодня не заглянул.

Микрофон

В одном упражнении сербское слово надо произнести вслух. Микрофон там нужен ровно для одного: заметить, что ты заговорил, и дождаться, пока договоришь, — чтобы карточка не сменилась посреди слова. Разрешение спрашивается в тот момент, когда это упражнение выпадает впервые, а не при установке.

Что приложение слышит: громкость. Одно число, много раз в секунду, — по нему видно, стало ли вокруг громче, чем было. Слов оно не разбирает и произношение не оценивает: распознавания сербского на телефоне не существует ни у одного разработчика, и мы его не делаем. Сказанное тобой никуда не отправляется — ни к нам, ни к кому-либо ещё: звук не покидает телефон и нигде не сохраняется. В сеть приложение в это время ходить может — за синхронизацией прогресса и обезличенной статистикой, о которых сказано выше, — но записанного там нет.

Честная подробность про то, как это устроено. Громкость приходит из статуса записи, а запись у обеих систем идёт в файл: другого способа получить это число нет. Файл заводится системой в служебной папке телефона на те несколько секунд, пока ты смотришь на карточку, и стирается сразу, как только упражнение кончилось. Приложение его ни разу не открывает и не читает — из всей записи ему нужно одно число. Если приложение закрылось прямо посреди упражнения, файл остаётся в служебной папке, пока телефон не вычистит её сам; никуда за пределы телефона он и в этом случае не уходит.

Микрофон включается только на время самого упражнения и гаснет, как только ты ответил или ушёл с карточки. В фоне он не работает — такой возможности у приложения нет в самой сборке. Откажешься дать разрешение — упражнение останется прежним: скажешь слово вслух и нажмёшь «Дальше» сам.

Озвучка

Слова и примеры озвучены живыми голосами, и файлов этих много. Часть лежит прямо в приложении, а остальное оно подкачивает с нашего сервера molim.talk по мере того, как ты доходишь до новых тем: иначе установка весила бы вдвое больше, а платит за неё твой мобильный тариф.

Что при этом видит сервер: обычные следы любого скачивания — адрес в сети, с которого пришёл запрос, имя файла, время и подпись программы. По ним понятно, что кто-то с такого-то адреса взял такое-то слово; ни почты, ни номера аккаунта в запросе нет, и с твоим аккаунтом эти строки нигде не сводятся. Ходит приложение туда только за звуком: ничего о тебе оно не отправляет.

Скачанное остаётся на телефоне и второй раз не запрашивается. Удалишь приложение — уйдёт вместе с ним.

Сайт molim.talk

Сайт без cookie и без счётчиков: страницы — просто страницы, никакая аналитика на них не стоит. В журналах хостинга, как у любого сайта, остаются адреса запросов (IP); они ни с чем не сводятся и стираются при ротации журналов.

У сайта есть личный кабинет — molim.talk/account. Он хранит твою сессию входа (токены и почту) в localStorage твоего браузера: это твоё устройство, не наш сервер, и выход из кабинета её стирает. Вход в кабинет по коду на почту — тот же аккаунт, что в приложении.

Статистика

Чтобы понимать, работает приложение или только кажется, мы считаем обезличенную статистику. Считает её PostHog, и мы держим его европейское облако — eu.i.posthog.com, данные остаются в ЕС.

Событий немного, и все они про приложение, а не про тебя. Мы отмечаем:

• что приложение открыли — по этому считается, возвращаются ли к нему на второй и седьмой день
• что первое знакомство началось, на каком экране остановилось, дошло до конца или его пролистали
• сколько слов из двадцати ты отметил знакомыми в самом начале — по этой цифре подбирается дневная норма новых слов
• какую из четырёх целей ты выбрал при знакомстве — она задаёт порядок тем; цель обозначена служебным кодом, а не своими словами
• что занятие началось, сколько карточек в нём было и чем оно кончилось — дошло до конца или закрылось на середине
• что занятие запустили с экрана «Темы» и какую тему выбрали — тема обозначена служебным кодом, а не своим названием
• что первое занятие оказалось настоящим, а не «открыл и закрыл»
• что ответ на конкретную карточку приняли или не приняли — единственное событие, которое по умолчанию выключено; включаем, только когда разбираем сами слова
• что серия дожила до трёх, семи, четырнадцати или тридцати дней и что очередное слово перешло в выученные
• что экран подписки показали, закрыли или довели до покупки и что именно к нему привело — запертая колода, норма дня, первое выученное слово или неделя серии; колода и повод обозначены служебными кодами
• что новые слова на сегодня закончились, а в открытых колодах они ещё есть, и что бесплатные колоды пройдены целиком — по этим двум отметкам видно, где бесплатная часть упирается в границу
• что экран с рассказом о напоминаниях показали и что ты на нём ответил — до системного вопроса телефона
• что на просьбу о напоминаниях ответили «да» или «нет»
• что подсказку про кнопку «Не слышу» показали — она бывает один раз за всё время
• что разговор с персонажем начался и чем кончился: с кем говорил, новичок ты в сербском или уже нет, сколько реплик получилось и дошёл ли до цели сцены — персонаж обозначен служебным кодом, а из самой беседы не уходит ни буквы
• что в разговоре понадобился перевод реплики или подсказка, чем ответить, — по ним видно, где сербского не хватает
• что разговор упёрся в границу бесплатного и показал экран Molim+ — и обо что именно упёрся

В свойствах события — только цифры, флажки и служебные обозначения латиницей: номер карточки, код темы, вид упражнения. Всё остальное отсекает отдельный фильтр в коде — и по названию поля (почта, имя, ввод), и по самому значению: строку, которая читается как речь, он не пропустит даже под мирным именем. Это не «мы стараемся», а условие, которое проверяют тесты.

Вместе с событием библиотека PostHog прикладывает версию приложения, модель телефона, систему и её версию, язык, часовой пояс и размер экрана. И случайный номер устройства, который приложение придумывает само — он не связан ни с почтой, ни с аккаунтом.

Определение страны по адресу в сети выключено. Но запрос всё равно идёт по сети, и IP-адрес доходит до серверов PostHog — так же, как до любого сайта, который ты открываешь. Запись экрана, опросы и удалённые переключатели в библиотеке выключены тоже.

Выключить сбор можно там же, где ты читаешь этот текст: внизу экрана «Политика конфиденциальности» есть переключатель. Он не «перестаёт отправлять» — после него приложение вообще не создаёт клиент PostHog, и в сеть не уходит ни одного запроса. То, что успело накопиться до нажатия и ещё не ушло, тоже не отправляется: очередь выбрасывается вместе с клиентом.

То, что ты пишешь сам

Флажок «тут что-то не так» на карточке и «Написать про приложение» в профиле — это твои слова, и они попадают к нам как есть. Читаем их только затем, чтобы поправить карточку или экран. В статистику текст не уходит: человек может написать что угодно, включая личное.

Имя в списке «Hvala» появляется только по галочке, которую ты ставишь сам, и имя ты придумываешь сам — это не имя из аккаунта и не почта. Список публичный, поэтому каждая строка проходит через наши руки, прежде чем стать видимой. Передумал — напиши, уберём.

Отдельно — почта на сайте. Если ты оставил адрес в форме «позовите в бету», он попадает в наш список ожидания и живёт там, пока идёт закрытый запуск: по нему придёт одно письмо с приглашением. Передумал — напиши на privacy@molim.talk, уберём. К аккаунту в приложении этот список не привязан.

Одна честная деталь: строка в списке «Hvala» нарочно не связана с твоим аккаунтом — иначе публичное имя выдавало бы, кто прислал правку. Из-за этого при удалении аккаунта она сама не исчезает: чтобы её убрать, нужно письмо от тебя.

Разговор с персонажем

В приложении есть разговор: официант в кафане, таксист, властник, шальтер МУП — сербский текстом, с целью сцены и подсказками. Появляется он не во всех сборках сразу; если карточки «Разговор» на главном экране нет, этот раздел тебя пока не касается.

Отвечает в нём языковая модель, и это единственное место в приложении, где написанное тобой уходит наружу: чтобы ответить, модель должна прочитать твою реплику. Иначе разговора не бывает. Вместе с репликой уходит начало сцены, ответы персонажа и список сербских слов из твоих повторений — те, которые персонаж должен пустить в дело. Ни почты, ни номера аккаунта в этом запросе нет: к модели обращается наш сервер, от своего имени.

Отвечает модель gpt-5.6-luna от OpenAI, обращаемся к ней напрямую. Её серверы за пределами Европейского союза, и что происходит с текстом на их стороне, решают правила OpenAI: для программных обращений они обещают не учить на присланном свои модели и держать его недолго — ровно чтобы разобрать злоупотребления. Это единственная часть пути, которой распоряжаемся не мы, поэтому скажем прямо: не пиши персонажу того, чего не сказал бы незнакомому человеку в кафане. Если мы поменяем модель, поменяется и имя в этом абзаце.

У нас беседа не сохраняется. Ни в базе, ни в журналах сервера — сервер её пересказывает модели и забывает. Разговор живёт в памяти телефона, пока открыт экран, и уходит вместе с ним: истории разговоров в приложении нет. На нашей стороне остаются только цифры — сколько сцен и реплик было за день, чтобы работали бесплатный пробник и потолок в подписке, — и итог сцены в твоей статистике: сколько реплик получилось и сколько слов из повторения ты пустил в дело.

Если ты купишь Molim+

Купить можно двумя путями, и данные в них разные. В магазине приложений — Apple, Google или RuStore: там платёж целиком их, мы узнаём только, что покупка состоялась, какой это товар и до какого числа действует.

Второй путь — оплата прямо на сайте molim.talk: разово, картой или через Систему быстрых платежей, а если включишь сам — подпиской с автопродлением, картой. Он нужен тем, кому магазины не подходят. Тогда у нас появляются: адрес почты, который ты укажешь при оплате, сумма, дата, номер платежа и срок купленного доступа; при оплате через СБП банк сообщает нам и имя плательщика. Номер карты не появляется никогда: платёж проводит банк «Точка», карту ты вводишь на его странице, и связка с картой для подписки хранится у него же. Чек присылает сервис фискализации — имя оператора фискальных данных будет в самом чеке. Запись о платеже хранится на нашем сервере в России. Доступ привязывается к той почте, с которой оплатил, — по ней приложение его и найдёт, на любом телефоне.

Кому мы это отдаём

• Supabase — облако, где живут аккаунт и прогресс. Регион Франкфурт, Европейский союз.
• PostHog — обезличенная статистика. Европейское облако.
• Почтовая служба, подключённая к Supabase, — доставляет письма с кодами. Она видит адрес получателя и сам код.
• OpenAI — языковая модель, которая отвечает в разговоре с персонажем. Им уходит текст беседы, и больше ничего: ни почты, ни номера аккаунта. Серверы за пределами Европейского союза, подробности — в разделе про разговор.
• Хостинг сайта molim.talk — там же лежит озвучка, которую подкачивает приложение. Сервер в Европе.
• Apple и Google — магазины, через которые приложение устанавливается и однажды будет оплачиваться. Дополнительно мы им ничего не передаём.
• Банк «Точка» — проводит оплату на сайте и ведёт график списаний, если ты оформил подписку. Ему уходит почта и сумма — чтобы провести платёж и чтобы сервис фискализации прислал чек. Номер карты он нам не показывает.

Больше никому. Рекламных сетей, брокеров данных и «партнёров» в приложении нет, и появляться они не собираются. Данные не продаются — ни за деньги, ни в обмен на что-либо.

Сколько это живёт

• Аккаунт, прогресс, правки и письма живут, пока живёт аккаунт. Удалил аккаунт — исчезают в ту же минуту, все сразу.
• Обезличенные события статистики храним не дольше 12 месяцев.
• Прогресс на самом телефоне удаление аккаунта стирает тоже: приложение снова становится таким, как сразу после установки. Слова, расписание повторений, серия — всё уходит вместе с аккаунтом, и вернуть их будет нечем.

Как всё удалить

В приложении: «Профиль» → «Удаление аккаунта». Спросим один раз, а дальше уберём аккаунт вместе со всем, что было к нему привязано в облаке, — почтой, копией прогресса, серией, правками и письмами — и сотрём занятия на этом телефоне. Это навсегда: восстановить будет нечем даже нам.

Хочешь, чтобы ничего не осталось и на телефоне, — удали приложение. Нужна помощь или что-то пошло не так — напиши на privacy@molim.talk, удалим руками.

Твои права

Если ты в Европейском союзе, у тебя есть права по GDPR — и мы держим их для всех, а не только для тех, у кого европейская прописка:

• узнать, что именно о тебе есть, и получить копию в файле;
• поправить то, что записано неточно;
• удалить всё — кнопкой в приложении или письмом;
• попросить приостановить обработку, пока мы разбираемся;
• возразить против статистики — для этого достаточно переключателя, письма не нужно;
• отозвать согласие на имя в «Hvala», не объясняя причин;
• пожаловаться на нас в орган по защите данных: в своей стране, если живёшь в ЕС, или сербскому уполномоченному по защите персональных данных.

Просьбы приходят на privacy@molim.talk. Отвечаем не дольше десяти рабочих дней, обычно — за пару.

На чём всё держится с точки зрения закона: аккаунт и прогресс — чтобы сделать то, ради чего приложение поставили; статистика — наш законный интерес видеть, работает ли оно, и от неё можно отказаться одним движением; имя в «Hvala» — только твоё явное согласие.

Про возраст

Molim сделан для взрослых, которые переехали и разбираются с сербским по дороге, и специально для детей мы его не делаем. С четырнадцати лет аккаунт можно завести самому. Если тебе меньше — только вместе с родителем: решение про твои данные в этом возрасте принимает он. В части стран Европейского союза порог выше, до шестнадцати лет; там до этого возраста тоже нужен родитель.

Если этот текст изменится

Он лежит в том же месте, что и код приложения, и меняется вместе с ним. Поменяется что-то существенное — поменяется и дата вверху, а сам текст обновится и в приложении, и по публичной ссылке одновременно: он собирается из одного источника, поэтому разъехаться им нечем.

Куда писать

privacy@molim.talk — по любому вопросу из этого текста. И «Написать про приложение» в профиле, если удобнее прямо из приложения.