CosmoYum · Действует с 18 августа 2026 года
CosmoYum («Приложение», «мы») — приложение для подсчёта калорий, которое оценивает питательную ценность еды по фотографии, по набранному тексту, по продиктованному описанию или по штрихкоду. Этот документ объясняет, какие данные мы обрабатываем, куда они уходят, сколько хранятся и что вы можете с этим сделать.
Регистрации нет. Приложение не спрашивает ваше имя, адрес электронной почты, номер телефона или местоположение и не собирает их.
Данные о еде. Когда вы сканируете блюдо, Приложение отправляет то, что вы ему дали — фотографию, набранный текст или текст, полученный из диктовки, — на наш собственный сервер (Google Cloud Functions, расположен в США), который передаёт это в Google Vertex AI, чтобы распознать блюда и оценить калории и макронутриенты. Всё передаётся по зашифрованному соединению. Ни фотография, ни текст не сохраняются на нашем сервере после того, как получен ответ.
Слова об аллергенах. Если вы указали, о каких аллергенах вас предупреждать, этот список отправляется с каждым запросом — именно он позволяет модели ответить «в этом блюде может быть мёд». Это касается и слов, которые вы написали сами. См. раздел 3, где объясняется, почему мы считаем эти данные чувствительными.
Штрихкоды. Если вы сканируете штрихкод продукта, номер штрихкода отправляется в публичную базу Open Food Facts для поиска продукта. Никакой ваш идентификатор к этому запросу не прикладывается.
Диктовка. Голосовой ввод распознаётся средствами вашего устройства (фреймворк Speech от Apple на iOS). В зависимости от устройства и его настроек Apple может выполнять распознавание на своих серверах, а не на устройстве; мы никогда не получаем звук — только полученный текст, который дальше обрабатывается как данные о еде, описанные выше.
В облаке, под анонимным идентификатором. При первом запуске Приложение создаёт анонимную учётную запись (Firebase Authentication). Это идентификатор без имени, почты и пароля, и именно он делает ваши данные вашими между запусками. Под ним в Google Cloud Firestore хранятся:
Только на вашем устройстве. Фотографии еды. Приложение хранит фотографию как локальный файл, а в облако кладёт только путь к нему — фотография никогда не загружается в наше хранилище, она лишь проходит через сервер для анализа, описанного в разделе 1. Выбранная тема и язык, а также факт принятия этого документа тоже хранятся локально.
Часть того, что хранит Приложение, говорит о вашем теле и здоровье: аллергии, пол, возраст, рост, вес и его история, цель по весу. Каждое из этих полей мы спрашиваем ради одной понятной задачи — аллергии, чтобы предупреждать о блюде, остальное, чтобы рассчитать нормы калорий и макронутриентов, — и не используем их ни для чего другого, не продаём и не передаём рекламодателям (в Приложении их нет).
Два следствия, которые стоит сказать прямо. Список ваших аллергенов покидает устройство с каждым запросом о еде, потому что иначе предупреждение невозможно. И ваши физические показатели лежат в облаке, а не только в телефоне, — чтобы на новом устройстве вы увидели тот же дневник и тот же план.
Отчёты о сбоях. Приложение использует Firebase Crashlytics. При падении или обработанной ошибке в Google уходит отчёт с текстом ошибки, стеком вызовов и техническими данными устройства (модель, версия ОС). Фотографии, содержимое еды и учётные данные в эти отчёты намеренно не попадают.
Серверные логи. Наш сервер записывает каждый обработанный запрос для диагностики: какая модель использовалась, тайминги, размеры и — пока Приложение ещё стабилизируется — набранное вами описание еды. Байты фотографий не логируются никогда, а слова об аллергенах логируются только числом, но не словами. Эти логи живут в Google Cloud Logging и хранятся ограниченное время (сейчас до 30 дней), после чего удаляются автоматически.
Весь трафик идёт по HTTPS/TLS. Ваши облачные данные доступны только вашему анонимному идентификатору, и это обеспечивается правилами безопасности на сервере. В Приложении не зашито ни одного собственного ключа доступа: до модели оно может добраться только через наш сервер, который и хранит доступы, — поэтому из установленного Приложения нечего извлечь.
Счётчик распознаваний — единственная часть ваших данных, которую Приложение может читать, но не может изменять. Менять его вправе только наш сервер, и именно это делает дневной лимит лимитом, а не пожеланием.
Дневник и профиль хранятся до тех пор, пока вы их не удалите. Удаление блюда в Приложении удаляет его и из облака.
Удаление Приложения не удаляет ваши облачные данные. Анонимный идентификатор живёт на устройстве, поэтому удаление Приложения делает данные недоступными, а не удалёнными. Если вы хотите их стереть, напишите нам на адрес ниже с того устройства, о котором идёт речь, и мы их удалим; мы также работаем над кнопкой «удалить всё» внутри Приложения.
Серверные логи истекают сами, как описано в разделе 4.
Приложение не предназначено для детей младше 13 лет, и мы намеренно не собираем их данные. Если вы считаете, что ребёнок передал через Приложение свои данные, напишите нам, и мы их удалим.
Мы обновляем этот документ, когда меняется то, что Приложение делает с данными, или когда меняется способ связи с нами. Эта редакция фиксирует название Приложения — ранее SecretCal — и переносит документ на собственный адрес на cosmoyum.app, с контактным адресом на этом же домене вместо личного ящика. Предыдущая редакция зафиксировала счётчик распознаваний из раздела 2 и дневной лимит; ещё одна до неё — что дневник и профиль теперь живут в облаке, что текст и диктовка анализируются наравне с фотографиями и что включены отчёты о сбоях. О существенных изменениях сообщается в Приложении. Дата в начале документа всегда соответствует последней редакции.
Вопросы или запрос на удаление данных — privacy@cosmoyum.app.
Этот текст — перевод. При расхождении версий приоритет имеет английская.