CosmoYum · Действует с 7 октября 2026 года
CosmoYum («Приложение», «мы») — приложение для подсчёта калорий, которое оценивает питательную ценность еды по фотографии, по набранному тексту, по продиктованному описанию или по штрихкоду. Этот документ объясняет, какие данные мы обрабатываем, куда они уходят, сколько хранятся и что вы можете с этим сделать.
Регистрация не требуется — Приложение работает сразу, без имени и пароля. Номер телефона и местоположение оно не спрашивает никогда. Адрес электронной почты и имя появляются в одном случае: если вы сами привяжете вход через Apple или Google, чтобы дневник не потерялся вместе с телефоном (см. раздел 2).
Данные о еде. Когда вы сканируете блюдо, Приложение отправляет то, что вы ему дали — фотографию, набранный текст или текст, полученный из диктовки, — на наш собственный сервер (Google Cloud Functions, расположен в США), который передаёт это в Google Vertex AI, чтобы распознать блюда и оценить калории и макронутриенты. Vertex AI вызывается через глобальную точку входа Google — в каком именно регионе окажется обработка, решает Google, а не мы. Всё передаётся по зашифрованному соединению. Ни фотография, ни текст не сохраняются на нашем сервере после того, как получен ответ, и в диагностические логи не попадают (см. раздел 4).
Слова об аллергенах. Если вы указали, о каких аллергенах вас предупреждать, этот список отправляется с каждым запросом — именно он позволяет модели ответить «в этом блюде может быть мёд». Это касается и слов, которые вы написали сами. См. раздел 3, где объясняется, почему мы считаем эти данные чувствительными.
Штрихкоды. Если вы сканируете штрихкод продукта, номер штрихкода отправляется в публичную базу Open Food Facts для поиска продукта. Если этого штрихкода в базе нет и вы фотографируете этикетку, туда же уходят прочитанные с неё бренд и название — уже как поисковый запрос. Больше с этими запросами не отправляется ничего: никакого вашего идентификатора, только строка с названием Приложения, чтобы база знала, какой клиент к ней обращается.
Диктовка. Голосовой ввод распознаётся средствами вашего устройства (фреймворк Speech от Apple на iOS). В зависимости от устройства и его настроек Apple может выполнять распознавание на своих серверах, а не на устройстве; мы никогда не получаем звук — только полученный текст, который дальше обрабатывается как данные о еде, описанные выше.
В облаке, под анонимным идентификатором. При первом запуске Приложение создаёт анонимную учётную запись (Firebase Authentication). Это идентификатор без имени, почты и пароля, и именно он делает ваши данные вашими между запусками. Под ним в Google Cloud Firestore хранятся:
Если вы привязали вход через Apple или Google. Учётная запись остаётся той же: идентификатор не меняется, и дневник вместе с ним — привязка добавляет второй способ войти, а не создаёт вторую запись. К ней добавляется то, что присылает Apple или Google: адрес электронной почты и, при первом входе через Apple, имя, если вы разрешите его передать. Apple позволяет скрыть настоящий адрес — тогда мы получим адрес-пересылку Apple и настоящего не увидим. Всё это хранится в Firebase Authentication и нужно ровно для одного — узнать вас на другом телефоне. Пароля у нас нет и быть не может: вход подтверждают Apple или Google, а не мы.
Если вы оформили подписку. Платите вы Apple, а не нам: ни карту, ни Apple ID, ни платёжный адрес мы не видим. Apple сообщает о покупке RevenueCat — сервису, который проверяет подписки за нас (раздел 5), — и RevenueCat хранит её под вашим анонимным идентификатором: какой план, когда начался, когда продлится или закончится, пробный ли это период, был ли возврат. Наш сервер держит рядом со счётчиком распознаваний короткую копию текущего состояния — активен ли Премиум, до какого числа, пробный или оплаченный, — потому что именно от этого зависит ваш дневной объём; счётчик отмечает, к какому плану относится сегодняшний счёт. Этот счёт за день хранится ещё и за самой подпиской, а не только за учётной записью — сегодняшняя дата и число, больше ничего, — чтобы он переходил вместе с подпиской в ту учётную запись, где она сейчас.
Только на вашем устройстве. Фотографии еды. Приложение хранит фотографию как локальный файл, а в облако кладёт только путь к нему — фотография никогда не загружается в наше хранилище, она лишь проходит через сервер для анализа, описанного в разделе 1. Выбранная тема и язык, а также факт принятия этого документа тоже хранятся локально.
Часть того, что хранит Приложение, говорит о вашем теле и здоровье: аллергии, пол, дата рождения (из неё считается возраст), рост, вес и его история, цель по весу. Каждое из этих полей мы спрашиваем ради одной понятной задачи — аллергии, чтобы предупреждать о блюде, остальное, чтобы рассчитать нормы калорий и макронутриентов, — и не используем их ни для чего другого, не продаём и не передаём рекламодателям (в Приложении их нет).
Два следствия, которые стоит сказать прямо. Список ваших аллергенов покидает устройство с каждым запросом о еде, потому что иначе предупреждение невозможно. И ваши физические показатели лежат в облаке, а не только в телефоне, — чтобы на новом устройстве вы увидели тот же дневник и тот же план.
Отчёты о сбоях. Приложение использует Firebase Crashlytics. При падении или обработанной ошибке в Google уходит отчёт с текстом ошибки, стеком вызовов и техническими данными устройства (модель, версия ОС). Фотографии, содержимое еды и учётные данные в эти отчёты намеренно не попадают.
Серверные логи. Наш сервер записывает каждый обработанный запрос для диагностики: какая модель использовалась, тайминги, размеры и длины, количество позиций. Само содержимое в логи не попадает — ни байты фотографии, ни набранное вами описание еды, ни названия блюд и ингредиентов, ни слова об аллергенах (только их количество). Исключение одно, и это поломка: если ответ модели пришёл повреждённым и Приложение не смогло его прочитать, такой ответ сохраняется в логе (обрезанный по длине) — иначе причину поломки узнать невозможно, — и в этом обрывке могут оказаться названия блюд. Эти логи живут в Google Cloud Logging и хранятся ограниченное время (сейчас до 30 дней), после чего удаляются автоматически.
Весь трафик идёт по HTTPS/TLS. Ваши облачные данные доступны только вашему анонимному идентификатору, и это обеспечивается правилами безопасности на сервере. В Приложении не зашито ни одного собственного ключа доступа: до модели оно может добраться только через наш сервер, который и хранит доступы, — поэтому из установленного Приложения нечего извлечь.
Счётчик распознаваний — единственная часть ваших данных, которую Приложение может читать, но не может изменять. Менять его вправе только наш сервер, и именно это делает дневной лимит лимитом, а не пожеланием. Копию вашей подписки Приложение не может даже прочитать: ею пользуется только сервер, поэтому объявить себя подписчиком с телефона нельзя.
Дневник и профиль хранятся до тех пор, пока вы их не удалите. Удаление блюда в Приложении удаляет его и из облака.
Удалить всё можно самостоятельно, в Приложении: «Настройки» → «Аккаунт» → «Удалить аккаунт и данные». Удаление немедленное и необратимое: из облака уходят дневник, профиль, цели, журнал веса, избранное, продукты с этикеток и счётчик распознаваний, а сама учётная запись — вместе с привязанными Apple и Google — перестаёт существовать. Если у вас привязан вход через Apple, Приложение попросит подтвердить его ещё раз: без этого мы не сможем отозвать доступ у Apple. Что именно удаляется и что остаётся — на странице «Удаление данных».
Удаление учётной записи не отменяет подписку. Она принадлежит вашему Apple ID и продолжает продлеваться, пока вы не отмените её в настройках iPhone → ваше имя → Подписки. Наша копия подписки удаляется вместе с учётной записью, а счёт за день, который хранится за подпиской, остаётся: в нём нет вашего идентификатора, только дата и число, а его удаление обнуляло бы дневной лимит; RevenueCat сохраняет запись о покупках под анонимным идентификатором, который после удаления ни к чему у нас не ведёт, — напишите нам, если хотите удалить и её.
Удаление Приложения — это НЕ удаление данных. Анонимный идентификатор хранится в Связке ключей устройства и переживает удаление Приложения: облачные данные остаются на месте, а поставив Приложение заново на тот же телефон, вы снова их увидите. Если удалить данные вы хотите, а Приложения у вас больше нет, напишите нам на адрес ниже; учтите, что без привязанного входа мы не сможем определить, какие данные ваши.
Серверные логи истекают сами, как описано в разделе 4.
Приложение не предназначено для детей младше 13 лет, и мы намеренно не собираем их данные. Если вы считаете, что ребёнок передал через Приложение свои данные, напишите нам, и мы их удалим.
Мы обновляем этот документ, когда меняется то, что Приложение делает с данными, или когда меняется способ связи с нами. Эта редакция добавляет подписку Премиум: что остаётся после покупки (раздел 2), RevenueCat и App Store (раздел 5) и что удаление учётной записи делает и не делает с подпиской (раздел 7). Предыдущая описывает необязательный вход через Apple и Google из раздела 2 и уточняет, что профиль хранит дату рождения, а не возраст числом. Она же добавляет в раздел 2 продукты, снятые с этикеток, и сужает раздел 4: серверные логи больше не записывают содержимое еды — ни описание, ни названия блюд. И переписывает раздел 7: удалить аккаунт вместе со всеми данными теперь можно кнопкой в самом Приложении, а не письмом, — этому посвящена отдельная страница «Удаление данных». Предыдущая перенесла документ на собственный адрес на cosmoyum.app, с контактным адресом на этом же домене вместо личного ящика. Предыдущая редакция зафиксировала счётчик распознаваний из раздела 2 и дневной лимит; ещё одна до неё — что дневник и профиль теперь живут в облаке, что текст и диктовка анализируются наравне с фотографиями и что включены отчёты о сбоях. О существенных изменениях сообщается в Приложении. Дата в начале документа всегда соответствует последней редакции.
Вопросы или запрос на удаление данных — privacy@cosmoyum.app.
Этот текст — перевод. При расхождении версий приоритет имеет английская.