Конфіденційність

Хто відповідає за ваші дані

Власник і оператор Голосника — ФОП Торкотюк Оксана Петрівна, ЄДРПОУ/ІПН 2915615688. З питань про дані пишіть на golosnik.ip@gmail.com або через сторінку Підтримка.

Що ми збираємо і навіщо

• Дані для входу. Email або Google-акаунт і технічний ідентифікатор (firebase_uid) через Firebase Auth. Навіщо: щоб ви могли увійти й користуватись акаунтом.
• Профіль. Обраний вами @нікнейм і Community ID (ГЛС), за яким вас знаходять. Опційно — фото профілю, якщо ви його завантажили. Навіщо: щоб люди вас впізнавали.
• Пристрої. Для кожного вашого пристрою: публічні ключі, назва пристрою, платформа, версія системи й застосунку, час останньої активності. Навіщо: безпечний вхід, шифрування, можливість відкликати загублений телефон.
• Токен push-сповіщень (FCM). Технічний код вашого пристрою від Google. Навіщо: щоб доставити вхідний дзвінок, нове повідомлення чи сигнал «Рятуйте», коли застосунок закритий.
• Дзвінки. Службові дані для встановлення з'єднання: хто кому телефонує. Зміст розмови ми не бачимо (див. нижче).
• Повідомлення в дорозі. Зашифрований лист лежить на сервері, доки пристрій адресата його не забере (див. «Скільки ми зберігаємо»).
• Список довірених «Рятуйте». До п'яти довірених (за Community ID) і статус їхньої згоди. Зберігається на сервері, щоб список пережив заміну телефона.
• Журнал сигналів «Рятуйте». Хто запустив сигнал, коли, кому розіслано, хто натиснув «ПРИЙНЯВ», коли й ким сигнал завершено. Без координат.
• Гаманець і підписки. Баланс, історія транзакцій і статус підписок. Оплату проводить Google Play; номер вашої картки ми не бачимо.
• Номер телефону — лише якщо ви самі його додали і дали згоду на пошук за ним.

Місцезнаходження

• Точне місце (GPS) береться лише в момент, коли ви самі запускаєте «Рятуйте», коли застосунок відкритий. Воно один раз передається обраним вами довіреним, які прийняли ваш запит, і не зберігається на нашому сервері й не записується в журнали. Воно проходить через сервіс push-сповіщень Google (FCM) як частина повідомлення.
• Приблизне місце використовується, лише коли ви натискаєте кнопку визначення області для місцевих тривог і погоди. Область визначається на вашому пристрої: координати з нього не йдуть, на сервер передається лише номер області чи району.
• Фонове місце ми не збираємо. Застосунок не стежить за вами, коли ви ним не користуєтесь.

«Рятуйте»: що відбувається з сигналом

Поки сигнал активний, на вашому телефоні працює службове сповіщення: воно подає короткий звук, за яким вас можна знайти, і раз на кілька хвилин надсилає серверу позначку «телефон живий» — без координат. Якщо позначка зникає більше ніж на 10 хвилин, довірені, які прийняли ваш запит, отримують сповіщення «маяк мовчить», один раз. Сигнал завершується, коли ви його вимкнете, або автоматично через 24 години. Одноразовий ключ маяка на сервері зберігається лише у вигляді хешу.

Чого ми не бачимо

• Зміст дзвінків. Голосові й відеодзвінки йдуть напряму між пристроями (P2P) з наскрізним шифруванням DTLS-SRTP. Коли прямого з'єднання немає, трафік іде через службовий ретранслятор, але вже зашифрованим: розшифрувати його ретранслятор не може.
• Зміст повідомлень. Текст шифрується на пристрої відправника для кожного пристрою адресата (X25519, HKDF-SHA256, XChaCha20-Poly1305). Сервер тримає лише зашифрований рядок. Історія чату живе тільки на пристроях.
• Сирий номер телефону. Якщо ви його додали, у базі лишається односторонній криптографічний хеш (HMAC): з нього номер не відновити.

Чесно про метадані: поки зашифрований лист лежить у скриньці, сервер знає, хто кому і коли його надіслав; після доставки цей слід видаляється разом із листом. Для дзвінка сервер знає, хто кому телефонує, бо без цього з'єднання не відбулося б, але архівних журналів дзвінків не веде. «Немає ворога» — про зміст спілкування, а не про магію.

Скільки ми зберігаємо

• Зашифровані повідомлення: до того, як пристрій адресата їх забере, але не довше 30 днів; далі видаляються автоматично. Також одразу видаляються листи, адресовані відкликаному пристрою.
• Токен push-сповіщень: до виходу з акаунта, відкликання пристрою чи видалення акаунта.
• Фото профілю: до того, як ви його заміните чи видалите акаунт; при видаленні акаунта зникає одразу.
• Журнал сигналів «Рятуйте» і список довірених: поки існує ваш акаунт; видаляються за вашим запитом.
• Дані гаманця й платежів: стільки, скільки цього вимагає законодавство про бухгалтерський і фінансовий облік.
• Сигнал «Рятуйте»: активний сигнал закривається автоматично через 24 години.

Кому ми довіряємо обробку даних

Технічна робота Голосника спирається на зовнішні сервіси. Кожен обробляє лише те, що потрібно для його частини роботи:

• Google (Firebase Auth, Firebase Cloud Messaging, Google Play, Play Billing) — вхід в акаунт, доставка push-сповіщень, оплата підписок і розповсюдження застосунку;
• Railway — наш бекенд: сигналінг дзвінків, скринька повідомлень, тарифи, гаманець, спільна база даних із маркетплейсом Базар;
• Cloudflare — робота сайту й зберігання медіафайлів;
• Anthropic (Claude API) — генерація тексту для ШІ-поштівок і ШІ-секретаря фахівців;
• Google (Gemini Imagen) та Replicate — генерація фонових зображень для поштівок; у запиті немає тексту й особистих даних.

Ці сервіси можуть обробляти дані за межами України й Європейського економічного простору, зокрема в США. Ми обираємо постачальників із загальноприйнятими гарантіями захисту даних. Ми не продаємо ваші дані й не передаємо їх третім особам для їхніх власних цілей.

Спільні дані з Базаром

Голосник і Базар (маркетплейс) — частини однієї екосистеми Толока й використовують спільний акаунт за firebase_uid та спільний гаманець. Це означає єдиний баланс на обидва застосунки, а не передачу історії спілкування чи дзвінків між проектами: цих даних Базар не отримує і не бачить.

Як ми захищаємо дані

Локальні дані на пристрої (історія чатів, нотатки до контактів, журнал «Рятуйте») шифруються (AES-256-GCM), а ключ лежить у захищеному сховищі пристрою. Зв'язок із сервером іде по захищеному каналу (HTTPS/WSS). Запити до сервера підписуються ключем вашого пристрою. Доступ до адмін-панелі захищено двофакторною автентифікацією та списком дозволених IP-адрес, усі дії адміністраторів фіксуються в незмінному журналі аудиту. Автоматичне резервне копіювання застосунку в хмару вимкнено: ключ шифрування не переноситься на новий телефон, тож перенесення нотаток виконується окремим файлом, який ви створюєте самі.

Видалення акаунта й ваші права

Як видалити акаунт у застосунку: відкрийте «Посвідку», розділ «Акаунт», оберіть «Видалити акаунт» і підтвердіть, набравши свій Community ID. Якщо застосунок уже не встановлено, напишіть на golosnik.ip@gmail.com з пошти, на яку зареєстровано акаунт, і вкажіть свій Community ID.

Що відбувається:

• одразу: вхід в акаунт закривається, усі ваші пристрої відкликаються, токени push-сповіщень і фото профілю видаляються, нікнейм знімається з профілю;
• решту персональних даних (профіль, список довірених, журнал сигналів, технічні записи) ми остаточно видаляємо протягом 30 днів після вашого звернення на пошту вище — виняток становлять записи, які закон зобов'язує зберігати, наприклад фінансова історія;
• сам Community ID після видалення ніколи не видається іншій людині — без жодних даних про вас ми зберігаємо лише факт, що він зайнятий.

Ваші права. Ви можете запросити доступ до своїх даних, їх виправлення, видалення, обмеження чи заперечення проти обробки, а також отримати їх копію. Звертайтесь на пошту вище. Якщо вважаєте, що ми порушили ваші права, ви можете звернутись до Уповноваженого Верховної Ради України з прав людини, а якщо ви перебуваєте в ЄС — до наглядового органу з захисту даних у своїй країні.

Підстави обробки. Виконання угоди з вами (акаунт, дзвінки, повідомлення, гаманець), ваша згода (місце, пошук за номером, push-сповіщення), законний інтерес (безпека сервісу, запобігання зловживанням) і вимоги закону (облік).

Діти

Голосник не призначений для осіб молодше 16 років, і ми свідомо не збираємо їхні дані. Якщо ви дізналися, що дитина створила акаунт, напишіть нам, і ми його видалимо.

Зміни політики

Ми оновлюємо цю політику разом з розвитком продукту; дата чинної редакції вказана внизу сторінки. Суттєві зміни анонсуємо в застосунку. З питань — сторінка Підтримка.