TempoLife — Политика конфиденциальности

Контролёр данных

Контролёром ваших персональных данных является:

• Разработчик: команда TempoLife / Probyte OÜ
• Приложение: TempoLife (org.tyrnpuu.medix)
• E-mail: info@tempolife.app
• Веб-сайт: tempolife.app

Настоящая политика описывает, как приложение TempoLife собирает, использует, хранит и защищает ваши персональные данные в соответствии с GDPR (Регламент 2016/679) и эстонским Законом о защите персональных данных.

Какие данные мы собираем

2.1 Данные учётной записи

• Имя и e-mail (при регистрации или через Google Sign-In)
• Аватар (по желанию)
• Дата рождения, пол, рост, вес — только при вашем добровольном вводе

2.2 Данные о здоровье (GDPR ст. 9 — особая категория)

• Дневник питания (калории, БЖУ, фото)
• Шаги, активность, тренировки
• Длительность и фазы сна, бодрствование
• Настроение, уровень стресса и заметки о самочувствии
• Вес тела и окна голодания
• Пульс (из Health Connect)

2.3 Технические данные

• Тип устройства, ОС, версия приложения (User-Agent)
• IP-адрес (логи сервера, хранятся макс. 90 дней)
• Идентификатор сессии (PHP session, CSRF-токен)

2.4 Чего мы НЕ собираем

• Историю местоположений и местоположение в фоновом режиме — необязательный поиск ресторанов использует ваше местоположение только во время поиска и не сохраняет его (см. раздел 2g)
• Идентификаторы устройства (IMEI, Advertising ID, MAC)
• Контакты, журналы звонков, SMS
• Данные других приложений — с одним исключением: если вы подключите Android Health Connect, мы читаем те типы данных о здоровье, на которые вы дали явное разрешение (см. раздел 2a)
• Вашу галерею фотографий — доступ к камере и изображениям используется только для того фото еды, которое вы сами снимаете или выбираете (см. раздел 2b)

Android Health Connect

На Android приложение TempoLife может читать данные о здоровье и физической активности из Health Connect — встроенного в Android хранилища данных. Это полностью добровольно. Ничего не читается до тех пор, пока вы не подключите Health Connect в приложении и не дадите разрешение отдельно на каждый тип данных на собственном экране разрешений Android.

Что мы читаем

• Шаги — дневное количество шагов
• Сон — сессии сна и фазы сна (глубокий, лёгкий, REM, бодрствование)
• Пульс — измерения пульса
• Пульс в покое — рассчитанные устройством измерения пульса в покое
• Вариабельность сердечного ритма (ВСР, RMSSD) — значение в миллисекундах для тренда восстановления
• Тренировки — тип, начало, окончание, длительность и, при наличии, расстояние и энергозатраты
• Вес тела — измерения веса

Мы запрашиваем только доступ на чтение. TempoLife ничего не записывает обратно в Health Connect.

Зачем это приложению

Эти данные используются для итогов активности, анализа сна, тренда веса и экрана «Сердце»: последнего измерения, личной 28-дневной базовой линии пульса в покое, контекста активности/сна/поста/медитации/настроения, тренировочных зон и восстановления пульса, а также немедицинского обзора восстановления на основе пульса в покое, ВСР, сна и недавней нагрузки.

Откуда берутся данные

Health Connect — это хранилище на вашем собственном устройстве, в которое пишут другие приложения и устройства, например Samsung Health или Garmin. TempoLife читает то, что уже находится в Health Connect. Мы не подключаемся к этим сервисам напрямую и не видим ничего, кроме тех типов данных, на которые вы дали разрешение. Сам Health Connect работает на вашем устройстве; его подключение не отправляет ваши данные в Google.

Сколько истории

При отдельном доступе к истории TempoLife может читать до 12 месяцев шагов, сна и веса. Модуль «Сердце» читает до 35 дней пульса в покое и ВСР для базовой линии и до 30 дней тренировок. Без доступа к истории Health Connect ограничивает историю примерно 30 днями. Общий импорт пульса ограничен последними 7 днями; более частые измерения сохраняются около недавних тренировок для зон и восстановления через 1/2 минуты. Далее читаются только новые и изменённые записи с небольшим перекрытием.

Где они хранятся

Прочитанные из Health Connect данные передаются по HTTPS/TLS и хранятся в вашей учётной записи TempoLife на наших серверах в Эстонии (ЕС) — точно так же, как данные, введённые вручную. Их видите только вы.

Чего мы с ними никогда не делаем

• Данные Health Connect никогда не используются для рекламы или маркетинга, для персонализированной рекламы или рекламы по интересам, а также для создания рекламных аудиторий.
• Они никогда не передаются рекламным сетям, рекламным платформам, брокерам данных или перепродавцам информации.
• Они никогда не продаются — никому и ни для каких целей.
• Они никогда не включаются в аналитические или рекламные события, отправляемые из приложения.
• Они не передаются никакой третьей стороне для её собственных целей.

Отзыв доступа

• В приложении: отключите Health Connect в настройках приложения. После этого TempoLife перестаёт читать новые данные.
• На устройстве: Настройки Android → Health Connect → Разрешения приложений → TempoLife, где можно убрать отдельные типы данных или весь доступ сразу. Health Connect также ведёт собственный журнал того, какие приложения читали ваши данные.

Отзыв доступа прекращает все дальнейшие чтения. Уже синхронизированные данные остаются в вашей учётной записи TempoLife, чтобы история не пропала незаметно — вы можете выгрузить их в любой момент (раздел 8), и они удаляются безвозвратно при удалении учётной записи (раздел 8a).

Камера и фотографии еды

TempoLife запрашивает доступ к камере ровно с одной целью: сфотографировать приём пищи, чтобы он распознался автоматически и его не пришлось вводить вручную. Вместо съёмки можно выбрать уже существующее изображение. Разрешение запрашивается только при первом использовании этой функции, и приложение никогда не снимает в фоновом режиме.

Фото покидает устройство

Распознавание еды происходит не на вашем телефоне. После вашего подтверждения фото передаётся по HTTPS стороннему AI-сервису распознавания изображений — основному Google (Gemini) и резервному Anthropic (Claude AI) — который возвращает распознанные продукты и их примерную пищевую ценность. Это передача ваших данных третьей стороне за пределы приложения, и она происходит только после того, как вы явно согласились в диалоге приложения. Если вы не согласны, никакое фото не отправляется, а еду по-прежнему можно записывать вручную.

Что происходит с фотографией

• Перед отправкой из изображения удаляются метаданные EXIF и GPS.
• Фото отправляется только в момент запроса и затем удаляется с серверов поставщика в соответствии с нашими соглашениями с ним (см. раздел 4).
• При обычной AI-обработке сохраняются только запись и пищевая ценность. Исключение — JPEG публичного архива с отдельным согласием (раздел 2e).
• Фотографии еды никогда не используются для рекламы и никогда не продаются.

Согласие и защита от злоупотреблений в анонимном предпросмотре

Для предпросмотра без аккаунта мы храним не более 2 дней только псевдонимный сетевой субъект, сформированный секретным ключом отдельно для каждого дня, версию согласия и время события. Запись не содержит фото, результата AI, записи о еде, рекламного идентификатора или аккаунта и никогда не объединяется с маркетинговой аналитикой. Основание для доказательства согласия — ваше согласие при каждом использовании и обязанность подтвердить его (ст. 6(1)(a) и ст. 7 GDPR); краткосрочное ограничение запросов основано на нашем законном интересе предотвращать злоупотребления сервисом и несоразмерные расходы на AI (ст. 6(1)(f)).

Поскольку предпросмотр работает без аккаунта, эту запись нельзя включить в экспорт аккаунта или надёжно использовать для установления личности. Она удаляется автоматически не позднее чем через 2 дня. Чтобы реализовать право или заявить возражение, свяжитесь с нами по адресу из раздела 12; мы объясним практическое ограничение и выполним проверяемый запрос в возможном объёме.

Доступ к камере можно отозвать в любой момент в Настройках Android → Приложения → TempoLife → Разрешения. Остальная часть приложения продолжит работать как обычно.

Сообщество и лента Tempo

Сообщество — необязательная функция. Если вы им не пользуетесь, ваши данные не передаются другим пользователям.

Что видят другие

• Профиль: отображаемое имя, выбранный эмодзи, уровень и баллы.
• Рейтинг: имя, уровень и сумма баллов. Вы можете скрыть себя из рейтинга (Сообщество → Конфиденциальность).
• Челленджи: участие и прогресс в тех челленджах, к которым вы присоединились.
• Сообщения: то, что вы сами отправляете. Обмен сообщениями возможен только между друзьями.
• Лента: созданные вами публикации, истории, фотографии, опросы, комментарии, реакции и подписки. Для каждой публикации или истории вы выбираете аудиторию.

Данные из журналов здоровья не публикуются автоматически. Если отдельно включить категорию активности в настройках ленты, подписчики смогут видеть ограниченную сводку: число шагов, количество записанных приёмов пищи, длительность сна или голодания, достижение либо сам факт отметки веса. Точный вес, строки дневника, заметки, маршруты, настроение, пульс и другие данные Health Connect не показываются.

Жалобы и блокировка

В профиле каждого пользователя есть Заблокировать и Пожаловаться. Блокировка прекращает общение в обе стороны. При жалобе мы сохраняем, кто её подал, ссылку на содержимое и причину, чтобы рассмотреть её и при необходимости удалить контент или заблокировать аккаунт.

Хранение

Сообщения, публикации ленты и другой контент сообщества хранятся, пока вы не удалите контент или аккаунт. Истории истекают через 24 часа; непривязанные фотографии ленты обычно удаляются в течение двух часов. При удалении аккаунта удаляются профиль, сообщения, медиа и записи сообщества, как описано в разделе «Удаление данных».

Челлендж дневного плана (кампания €100)

Челлендж баллов доброволен. Если вы не присоединились, ваши данные для кампании не обрабатываются вообще.

Какие данные использует кампания

• Данные подсчёта: график питания, зафиксированный при вступлении, выполнение плана питания, тип и время каждого подтверждённого действия. Калории, вес, число шагов и длительность сна не увеличивают результат.
• Данные таблицы лидеров: отображаемое имя, сумма баллов, баллы за питание, число подтверждённых действий и активные дни. Скрытие себя из таблицы лидеров (Сообщество → Конфиденциальность) действует и в кампании.
• Если вы выиграли: контактные данные (эл. почта) для выплаты приза.

Кампания не собирает новых данных — используются только данные, которые вы и так вносите в Приложении, — и не передаёт их третьим лицам или рекламным сетям.

Правовое основание и хранение

Данные кампании обрабатываются на основании вашего согласия (присоединение) и исполнения правил кампании (договор). Записи кампании хранятся до удаления учётной записи; данные, связанные с выплатой приза, хранятся в течение срока, установленного бухгалтерским законодательством. В зале славы хранятся только отображаемое имя и сводный результат.

Добровольная публичная публикация, агрегаты и открытые инструменты

Публичная карточка, галерея, фото дня и розыгрыш

Обычные фотографии для AI не хранятся на серверах TempoLife. Только после отдельного согласия на публичный веб-архив сервер создаёт JPEG без метаданных и публичную карточку. Фото, название, подпись, содержимое карточки и токен могут появиться в галерее, индексируемых структурированных данных и ротации «фото дня»; анонимные счётчики просмотров и догадок не публикуются как показатели вовлечённости. Карточка истекает не позднее 90 дней; автоматическая очистка удаляет истёкшие и бесхозные файлы, но сбой может отложить физическое удаление до следующей успешной очистки. Артефакт фото дня действует до 36 часов.

Участие в розыгрыше ISO-недели и показ имени победителя — дополнительные варианты, связанные с точной версией правил, хешем существенных условий и обязательством жеребьёвки. Приём заявок начинается только после публикации хеша одноразового секрета до открытия. Для проверки возраста, страны и исключения сотрудников используются дата рождения, страна и роль аккаунта; эти поля профиля не публикуются в артефакте. После закрытия аудит публикует раскрытый секрет, отсортированные псевдонимные ключи заявок, полученные из недели и токенов публичных карточек, хеш списка и ключ победителя; ID аккаунтов и исходные токены не публикуются. Согласие не переносится на другую неделю или изменённые условия. Один или все объекты удаляются в настройках архива. Отзыв сразу блокирует публикацию TempoLife и пытается удалить JPEG и публичные поля; запись отзыва до 100 дней не даёт артефактам TempoLife повторно опубликовать данные. Браузер, прокси, поисковик или другой получатель может сохранить копию, закэшированную во время публичного доступа. Удаление аккаунта сразу удаляет публичные карточки и копии TempoLife.

Публичные агрегаты

Региональный агрегат и агрегат активности имеют отдельные переключатели. Нужны минимум 20 согласившихся аккаунтов, завершённые/отложенные периоды и округление. Баллы и серии не показываются. Имена, идентификаторы, отдельные приёмы пищи и медицинские записи не входят в результат. Отзыв исключает аккаунт из следующего расчёта.

Сравнение оценки и этикетки

Добровольная пара содержит оценку калорий, этикетку той же порции, необязательную заметку и время согласия. Публикуется только итог прошлого завершённого месяца: одна пара на участника, минимум 100 участников, количество округляется вниз до 25, показатели — до целых. Пары не публикуются. Отзыв одной кнопкой сразу стирает заметку и значения, оставляя лишь аудит отзыва до удаления аккаунта.

Firefox и поиск еды

Расширение отправляет только запрос или идентификатор еды, но не страницы, их содержимое, cookie или аккаунт. Firefox локально хранит до пяти названий. Журнал TempoLife может хранить запрос, IP, user-agent и время до 90 дней.

WordPress и отзывы Google Play

Плагин запрашивает только /counter.php?format=json. TempoLife получает IP сервера WordPress, user-agent и время (до 90 дней), но не cookie/IP посетителя или URL страницы. Страница отзывов может публиковать очищенный от контактов публичный текст, оценку и Play-ссылку из официального API без имени автора; снимок старше 72 часов не показывается.

Калькулятор порции Telegram

В обычном браузере калькулятор не связывается с Telegram. При запуске с параметрами Telegram Mini App загружается SDK с telegram.org: Telegram получает обычные сетевые данные (включая IP и user-agent), а его JavaScript работает на странице калькулятора. TempoLife не читает здесь идентификатор Telegram или init-data.

Основание публикации — согласие (GDPR ст. 6(1)(a)); журналов безопасности — законный интерес защиты сервиса (ст. 6(1)(f)). Экспорт включает карточки, оставшиеся JPEG, пары и записи отзыва.

Вариант быстрой настройки

Новой учётной записи может быть назначен вариант быстрой или стандартной настройки. Мы сохраняем только связь с аккаунтом, вариант, детерминированную псевдослучайную группу, полученную из аккаунта, и время назначения, чтобы один человек видел одинаковый вариант на протяжении настройки. Для этого теста не создаются отдельные события просмотра, клика, приёма пищи, фото, здоровья, рекламы или кампании; результат оценивается только по агрегированному завершению уже существующей настройки профиля.

Запись не передаётся Google Analytics или другим третьим сторонам и не используется для рекламы. Правовое основание — наш законный интерес уменьшить ненужные препятствия при настройке с помощью минимального, сохраняющего конфиденциальность теста (ст. 6(1)(f) GDPR); до включения мы документируем оценку баланса интересов. Вы можете возразить по причинам, связанным с вашей ситуацией, обратившись по адресу из раздела 12. Назначение для незавершённой настройки удаляется через 30 дней, а для завершённой — через 90 дней; при обработке запроса на удаление аккаунта оно удаляется сразу и до удаления включается в экспорт данных пользователя.

Местоположение (необязательно)

Местоположение необязательно и выключено, пока вы сами его не включите. TempoLife запрашивает его только когда вы нажимаете Использовать моё местоположение под результатами ресторанов в поиске еды — никогда при открытии приложения и никогда в фоновом режиме.

Для чего оно используется

Чтобы показывать меню ресторанов, подходящие к тому, где вы находитесь: меню страны, в которой вы сейчас (например, меню McDonald’s Эстонии, а не Великобритании), а рестораны рядом с вами — в начале списка.

Что происходит с вашим местоположением

• Ваше устройство округляет координаты примерно до 100 метров и передаёт их по HTTPS на наш сервер только во время поиска.
• Наш сервер использует их для этого поиска и не сохраняет — ни в вашем аккаунте, ни в дневнике, ни в наших журналах.
• Чтобы узнать, какие рестораны находятся рядом, наш сервер запрашивает у общедоступного сервиса OpenStreetMap (Overpass API, оператор FOSSGIS e.V., Германия) заведения в окружающем квадрате карты размером около 1 км (с запасом). Передаётся только этот квадрат карты, с адреса нашего сервера, без каких-либо данных, по которым можно определить вас или ваше точное местоположение.
• Список ресторанов в этом квадрате — это картографические данные, а не данные о вас. Мы храним его до 14 дней, чтобы следующий поиск был быстрым, и удаляем, если там никто не искал 60 дней.
• Ваше устройство запоминает только то, включили вы функцию или выключили.

Как выключить

Нажмите Выключить под результатами ресторанов или отзовите разрешение в Android: Настройки → Приложения → TempoLife → Разрешения (в браузере — в настройках сайта). Поиск еды продолжит работать и будет использовать страну вашего аккаунта.

Правовое основание — ваше согласие (GDPR ст. 6(1)(a)), которое вы даёте, включая функцию и предоставляя разрешение, и которое можете отозвать в любой момент, как описано выше. Картографические данные © участники OpenStreetMap (ODbL).

Цели использования данных и правовое основание

Поиск еды: когда вы ищете продукт, мы сохраняем введённый вами текст (до 120 символов), язык приложения, сколько результатов пришло из нашей собственной базы продуктов и сколько из базы упакованных товаров, а также сохранили ли вы продукт в течение следующих 15 минут. У этого одна цель: найти запросы, которые ничего не возвращают, чтобы их исправить. Запись связана с вашим аккаунтом, не передаётся Google Analytics или другим третьим сторонам и никогда не используется для рекламы или профилирования. Правовое основание — наш законный интерес в том, чтобы поиск еды действительно находил еду (ст. 6(1)(f) GDPR); вы можете возразить по причинам, связанным с вашей ситуацией, обратившись по адресу из раздела 12. Записи удаляются автоматически через 90 дней, удаляются сразу при обработке запроса на удаление аккаунта и до удаления включаются в экспорт данных пользователя.

TempoLife не использует ваши данные для рекламы, профилирования или продажи третьим сторонам. Это в особенности относится к данным о здоровье и активности, прочитанным из Android Health Connect: они никогда не используются для рекламы, не передаются рекламным сетям или брокерам данных и никогда не продаются.

Не медицинское изделие

TempoLife — это приложение общего назначения для благополучия и образа жизни. Оно не является медицинским изделием и не предназначено для диагностики, лечения, облегчения или профилактики какого-либо заболевания или состояния здоровья.

Всё, что показывает приложение — тренды, оценки, созданные ИИ сводки и рекомендации, а также любые показатели, прочитанные из Health Connect или подключённого трекера — предоставляется исключительно для общей информации и самоконтроля. Это не медицинская консультация, и на это нельзя полагаться при постановке диагноза или лечении, а также при начале, прекращении или изменении приёма любых лекарств или терапии.

Такие показатели, как калории и питательные вещества, рассчитанные по фотографии, фазы сна и измерения пульса, поступают от потребительских датчиков и автоматических моделей и могут быть неточными. За медицинской консультацией, диагнозом или лечением всегда обращайтесь к квалифицированному медицинскому работнику. В экстренной ситуации звоните по номеру экстренных служб (112 в ЕС) — не полагайтесь на это приложение.

Сторонние обработчики

Ваши данные могут обрабатывать только следующие поставщики услуг, с которыми подписаны соглашения об обработке (DPA):

Фото еды отправляются в Google Gemini AI (или резервно в Anthropic Claude AI) только для запроса и затем удаляются у поставщика. Фото, выбранные в обычном AI-потоке приложения, на наших серверах не сохраняются. Исключения: JPEG публичного архива с отдельным согласием (раздел 2e) и временный JPEG без метаданных из необязательной функции «Поделиться» PWA; последний хранится только для передачи, не отправляется в AI автоматически и удаляется менее чем через 10 минут или сразу после однократного получения. Метаданные EXIF/GPS удаляются.

Данные, прочитанные из Android Health Connect (шаги, сон, вес, пульс, пульс в покое, ВСР и тренировки), хранятся в вашей учётной записи TempoLife на наших собственных серверах в Эстонии. Они никогда не передаются рекламным сетям, рекламным платформам, брокерам данных или перепродавцам информации и никогда не продаются. Если вы пользуетесь необязательными AI-функциями — например AI-тренером или сводкой трендов — показатели, необходимые для ответа на конкретный запрос, могут быть отправлены указанному выше поставщику AI только для этого запроса и на основании вашего согласия. Они никогда не передаются для собственных целей поставщика и никогда для рекламы.

Международная передача данных

Часть сервисов (Google Gemini, Anthropic Claude, ElevenLabs) находится в США. Данные передаются только на основании Стандартных договорных условий (SCC), одобренных Европейской комиссией, механизма EU-US Data Privacy Framework или иных гарантий главы V GDPR.

Нажимая «Согласен» в диалоге AI, вы даёте явное согласие на такую передачу (GDPR ст. 49(1)(a)).

Хранение данных

Ваши данные хранятся только столько, сколько необходимо для оказания услуги:

• Активная учётная запись: данные аккаунта хранятся до удаления, если здесь не указан более короткий срок
• Удаление аккаунта (GDPR ст. 17): персональные данные анонимизируются сразу; связанные логи полностью удаляются в течение 30 дней
• Логи сервера (IP, UA): макс. 90 дней
• Коды подтверждения e-mail: 15 минут или до использования
• Данные ссылки для входа: ссылка действует 15 минут; строка с адресом e-mail и хэшем токена удаляется при использовании, замене или в течение одной минуты после истечения срока
• Временное фото еды, переданное через PWA: менее 10 минут или до однократного получения — в зависимости от того, что наступит раньше
• Запросы Anthropic AI: 30 дней на серверах Anthropic, затем автоудаление (согласно DPA)
• Местоположение (необязательный поиск ресторанов): не сохраняется — используется только во время поиска; список ресторанов для квадрата карты около 1 км хранится до 14 дней и не содержит пользовательских данных (см. раздел 2g)

Безопасность

TempoLife применяет технические и организационные меры защиты (GDPR ст. 32):

• Весь трафик через HTTPS/TLS 1.2+
• Пароли хранятся только в виде bcrypt-хэшей — открытый текст не сохраняется
• CSRF-защита на всех изменяющих запросах
• Content Security Policy (CSP), HSTS, X-Frame-Options: DENY
• Android: только официальная сборка Play Store, keystore SHA-256
• База данных (PostgreSQL) в ЕС (Эстония); резервные копии шифруются
• Облачное резервное копирование Android ОТКЛЮЧЕНО (android:allowBackup="false")

Ваши права

По GDPR у вас есть следующие права, которые можно реализовать прямо в приложении (Профиль → Приватность) или письмом на info@tempolife.app:

• Право на доступ (ст. 15) — все ваши данные видны в приложении
• Право на исправление (ст. 16) — меняйте поля профиля в любое время
• Право на удаление (ст. 17) — напишите на info@tempolife.app
• Право на ограничение (ст. 18)
• Право на переносимость (ст. 20) — кнопка «Скачать мои данные» отдаёт ZIP с JSON
• Право возражать (ст. 21)
• Право отозвать согласие (ст. 7) — отключите интеграцию/агрегат или удалите публичную карточку/пару; удалять аккаунт не требуется
• Право подать жалобу — Инспекция по защите данных Эстонии: www.aki.ee

Как удалить свой аккаунт

TempoLife соблюдает ст. 17 GDPR (право на удаление). Чтобы удалить аккаунт, напишите на info@tempolife.app с email-адреса, связанного с вашим аккаунтом. Мы удалим аккаунт в течение 30 дней.

Что происходит с вашими данными

• После обработки запроса: email, имя, фото профиля и все идентифицирующие метки анонимизируются в базе данных (напр. deleted_12345_1714@deleted.tempolife). Сессия завершается. Войти в этот аккаунт больше нельзя.
• В течение 30 дней: все личные данные о здоровье (шаги, сон, настроение, периоды голодания, приёмы пищи и т.д.), а также прежние записи удалённых функций, окончательно удаляются.
• После 30 дней: никаких идентифицирующих данных о вас в базе не остаётся, кроме анонимной агрегированной статистики и обязательных по закону журналов аудита (IP и email удаляются через 30 дней).

Cookie и локальное хранилище

По умолчанию TempoLife использует только хранилище, необходимое для работы сервиса. Рекламные и аналитические измерения включают Google Analytics 4 (анонимные просмотры страниц и события продуктовой воронки), идентификаторы кликов и кампаний Google Ads со сроком хранения до 90 дней и измерение открытия приложения до регистрации с помощью случайного псевдонимного идентификатора. Измерения включены по умолчанию на основании нашего законного интереса — понимать, какие кампании приводят к регистрациям; вы можете отключить их в любой момент в настройках измерений, после чего указанные идентификаторы удаляются. Запись app-open (платформа, сокращённый user-agent, первое/последнее открытие и счётчик) удаляется не позднее чем через 90 дней после последнего открытия. Персонализация рекламы всегда отключена. Вы можете изменить выбор в настройках измерений.

• PHPSESSID — идентификатор сессии (HttpOnly, Secure, SameSite=Lax)
• tempolife_ad_consent + tempolife_ad_consent_uid — выбор измерений и привязка к аккаунту, не позволяющая перенести согласие на другой аккаунт общего устройства
• Идентификаторы кликов, UTM и измерения Google Ads (_gcl_* / _ga*) — только пока измерения включены, до 90 дней; для атрибуции создания аккаунта, удаляются при отказе
• tl_device (до 365 дней) и tl_dseen (30 минут) — только пока измерения включены, для псевдонимного измерения открытия до регистрации; удаляются после привязки аккаунта или отказа
• Google Analytics 4 — анонимные просмотры страниц и события продуктовой воронки, включены по умолчанию (персонализация рекламы отключена)
• Просмотры Restohind — подсчёт открытий страниц на restohind.tempolife.app без cookie, через самостоятельно размещённый Umami (адрес страницы, источник перехода, браузер, страна). Без cookie и без рекламного идентификатора.
• Телеметрия использования (после входа) — длительность сессии и открытые экраны для вошедших (не гостевых) аккаунтов, чтобы обслуживать и улучшать продукт; данные первой стороны, 90 дней, не передаются в Google Analytics
• localStorage — тема, язык, флаги согласия
• Service Worker — офлайн-поддержка и кэш

Конфиденциальность детей

TempoLife предназначен для пользователей от 16 лет. Лица моложе 16 не могут создать аккаунт без согласия родителей/опекунов. Если мы узнаем, что собрали данные пользователя младше 16 без надлежащего согласия, они будут немедленно удалены.

Изменения политики

При существенном изменении политики мы уведомим вас в приложении (баннер или e-mail) не менее чем за 14 дней. Продолжение использования после изменений означает согласие с ними.

Прошлые версии хранятся в архиве на GitHub.

Контакт

• E-mail: info@tempolife.app
• Веб-сайт: tempolife.app

Надзорный орган: Инспекция по защите данных Эстонии — www.aki.ee