CosmoYum · Діє з 7 жовтня 2026 року
CosmoYum («Застосунок», «ми») — застосунок для підрахунку калорій, який оцінює харчову цінність їжі за фотографією, за набраним текстом, за продиктованим описом або за штрихкодом. Цей документ пояснює, які дані ми обробляємо, куди вони йдуть, скільки зберігаються і що ви можете з цим зробити.
Реєстрація не потрібна — Застосунок працює одразу, без імені та пароля. Номер телефону й місцеперебування він не запитує ніколи. Адреса електронної пошти та ім’я з’являються в одному разі: якщо ви самі прив’яжете вхід через Apple або Google, щоб щоденник не втратився разом із телефоном (див. розділ 2).
Дані про їжу. Коли ви скануєте страву, Застосунок надсилає те, що ви йому дали — фотографію, набраний текст або текст, отриманий з диктування, — на наш власний сервер (Google Cloud Functions, розташований у США), який передає це до Google Vertex AI, щоб розпізнати страви й оцінити калорії та макронутрієнти. Vertex AI викликається через глобальну точку входу Google — у якому саме регіоні відбудеться обробка, вирішує Google, а не ми. Усе передається зашифрованим з’єднанням. Ні фотографія, ні текст не зберігаються на нашому сервері після того, як отримано відповідь, і до діагностичних журналів не потрапляють (див. розділ 4).
Слова про алергени. Якщо ви вказали, про які алергени вас попереджати, цей список надсилається з кожним запитом — саме він дозволяє моделі відповісти «у цій страві може бути мед». Це стосується й слів, які ви написали самі. Див. розділ 3, де пояснюється, чому ми вважаємо ці дані чутливими.
Штрихкоди. Якщо ви скануєте штрихкод продукту, номер штрихкоду надсилається до публічної бази Open Food Facts для пошуку продукту. Якщо цього штрихкоду в базі немає і ви фотографуєте етикетку, туди ж ідуть прочитані з неї бренд і назва — уже як пошуковий запит. Більше з цими запитами не надсилається нічого: жодного вашого ідентифікатора, лише рядок із назвою Застосунку, щоб база знала, який клієнт до неї звертається.
Диктування. Голосове введення розпізнається засобами вашого пристрою (фреймворк Speech від Apple на iOS). Залежно від пристрою та його налаштувань Apple може виконувати розпізнавання на своїх серверах, а не на пристрої; ми ніколи не отримуємо звук — лише отриманий текст, який далі обробляється як дані про їжу, описані вище.
У хмарі, під анонімним ідентифікатором. При першому запуску Застосунок створює анонімний обліковий запис (Firebase Authentication). Це ідентифікатор без імені, пошти та пароля, і саме він робить ваші дані вашими між запусками. Під ним у Google Cloud Firestore зберігаються:
Якщо ви прив’язали вхід через Apple або Google. Обліковий запис залишається тим самим: ідентифікатор не змінюється, і щоденник разом із ним — прив’язка додає другий спосіб увійти, а не створює другий запис. До нього додається те, що надсилає Apple або Google: адреса електронної пошти і, при першому вході через Apple, ім’я, якщо ви дозволите його передати. Apple дає змогу приховати справжню адресу — тоді ми отримаємо адресу-пересилання Apple, а справжньої не побачимо. Усе це зберігається у Firebase Authentication і потрібне рівно для одного — упізнати вас на іншому телефоні. Пароля в нас немає й бути не може: вхід підтверджують Apple або Google, а не ми.
Якщо ви оформили підписку. Платите ви Apple, а не нам: ні картки, ні Apple ID, ні платіжної адреси ми не бачимо. Apple повідомляє про покупку RevenueCat — сервісу, який перевіряє підписки за нас (розділ 5), — і RevenueCat зберігає її під вашим анонімним ідентифікатором: який план, коли почався, коли продовжиться або закінчиться, чи це пробний період, чи було повернення коштів. Наш сервер тримає поруч із лічильником розпізнавань коротку копію поточного стану — чи активний Преміум, до якого числа, пробний чи оплачений, — бо саме від цього залежить ваш денний обсяг; лічильник позначає, до якого плану належить сьогоднішній рахунок. Цей рахунок за день зберігається ще й за самою підпискою, а не лише за обліковим записом — сьогоднішня дата й число, більше нічого, — щоб він переходив разом із підпискою до того облікового запису, де вона зараз.
Лише на вашому пристрої. Фотографії їжі. Застосунок зберігає фотографію як локальний файл, а в хмару кладе тільки шлях до нього — фотографія ніколи не завантажується до нашого сховища, вона лише проходить через сервер для аналізу, описаного в розділі 1. Обрана тема й мова, а також факт прийняття цього документа теж зберігаються локально.
Частина того, що зберігає Застосунок, говорить про ваше тіло та здоров’я: алергії, стать, дата народження (з неї обчислюється вік), зріст, вага та її історія, мета за вагою. Кожне з цих полів ми запитуємо задля одного зрозумілого завдання — алергії, щоб попереджати про страву, решту, щоб розрахувати норми калорій і макронутрієнтів, — і не використовуємо їх ні для чого іншого, не продаємо й не передаємо рекламодавцям (у Застосунку їх немає).
Два наслідки, які варто сказати прямо. Список ваших алергенів покидає пристрій з кожним запитом про їжу, бо інакше попередження неможливе. І ваші фізичні показники лежать у хмарі, а не тільки в телефоні, — щоб на новому пристрої ви побачили той самий щоденник і той самий план.
Звіти про збої. Застосунок використовує Firebase Crashlytics. При падінні або обробленій помилці до Google йде звіт із текстом помилки, стеком викликів і технічними даними пристрою (модель, версія ОС). Фотографії, вміст їжі та облікові дані до цих звітів навмисно не потрапляють.
Серверні журнали. Наш сервер записує кожен оброблений запит для діагностики: яка модель використовувалася, тайминги, розміри й довжини, кількість позицій. Сам вміст до журналів не потрапляє — ні байти фотографії, ні набраний вами опис їжі, ні назви страв та інгредієнтів, ні слова про алергени (лише їхня кількість). Виняток один, і це поломка: якщо відповідь моделі надійшла пошкодженою і Застосунок не зміг її прочитати, така відповідь зберігається в журналі (обрізана за довжиною) — інакше причину поломки дізнатися неможливо, — і в цьому уривку можуть виявитися назви страв. Ці журнали живуть у Google Cloud Logging і зберігаються обмежений час (зараз до 30 днів), після чого видаляються автоматично.
Увесь трафік іде через HTTPS/TLS. Ваші хмарні дані доступні лише вашому анонімному ідентифікатору, і це забезпечується правилами безпеки на сервері. У Застосунку не вшито жодного власного ключа доступу: до моделі він може дістатися тільки через наш сервер, який і зберігає доступи, — тому з установленого Застосунку немає чого витягти.
Лічильник розпізнавань — єдина частина ваших даних, яку Застосунок може читати, але не може змінювати. Змінювати його має право лише наш сервер, і саме це робить денний ліміт лімітом, а не побажанням. Копію вашої підписки Застосунок не може навіть прочитати: нею користується лише сервер, тому оголосити себе передплатником із телефона неможливо.
Щоденник і профіль зберігаються доти, доки ви їх не видалите. Видалення страви в Застосунку видаляє її і з хмари.
Видалити все можна самостійно, у Застосунку: «Налаштування» → «Акаунт» → «Видалити акаунт і дані». Видалення негайне й безповоротне: із хмари зникають щоденник, профіль, цілі, журнал ваги, улюблене, продукти з етикеток і лічильник розпізнавань, а сам обліковий запис — разом із прив’язаними Apple та Google — перестає існувати. Якщо у вас прив’язаний вхід через Apple, Застосунок попросить підтвердити його ще раз: без цього ми не зможемо відкликати доступ в Apple. Що саме видаляється і що залишається — на сторінці «Видалення даних».
Видалення облікового запису не скасовує підписку. Вона належить вашому Apple ID і продовжує поновлюватися, доки ви не скасуєте її в налаштуваннях iPhone → ваше ім’я → Підписки. Наша копія підписки видаляється разом з обліковим записом, а рахунок за день, що зберігається за підпискою, залишається: у ньому немає вашого ідентифікатора, лише дата й число, а його видалення обнуляло б денний ліміт; RevenueCat зберігає запис про покупки під анонімним ідентифікатором, який після видалення ні до чого в нас не веде, — напишіть нам, якщо хочете видалити й його.
Видалення Застосунку — це НЕ видалення даних. Анонімний ідентифікатор зберігається у Зв’язці ключів пристрою й переживає видалення Застосунку: хмарні дані залишаються на місці, а встановивши Застосунок знову на той самий телефон, ви побачите їх знову. Якщо видалити дані ви все ж хочете, а Застосунку у вас більше немає, напишіть нам на адресу нижче; урахуйте, що без прив’язаного входу ми не зможемо визначити, які дані ваші.
Серверні журнали спливають самі, як описано в розділі 4.
Застосунок не призначений для дітей до 13 років, і ми навмисно не збираємо їхні дані. Якщо ви вважаєте, що дитина передала через Застосунок свої дані, напишіть нам, і ми їх видалимо.
Ми оновлюємо цей документ, коли змінюється те, що Застосунок робить з даними, або коли змінюється спосіб зв’язку з нами. Ця редакція додає підписку Преміум: що залишається після покупки (розділ 2), RevenueCat і App Store (розділ 5) та що видалення облікового запису робить і не робить із підпискою (розділ 7). Попередня описує необов’язковий вхід через Apple і Google з розділу 2 та уточнює, що профіль зберігає дату народження, а не вік числом. Вона ж додає до розділу 2 продукти, зняті з етикеток, і звужує розділ 4: серверні журнали більше не записують вміст їжі — ні опис, ні назви страв. І переписує розділ 7: видалити акаунт разом з усіма даними тепер можна кнопкою в самому Застосунку, а не листом, — цьому присвячена окрема сторінка «Видалення даних». Попередня перенесла документ на власну адресу на cosmoyum.app, з контактною адресою на цьому ж домені замість особистої скриньки. Попередня редакція зафіксувала лічильник розпізнавань з розділу 2 і денний ліміт; ще одна до неї — що щоденник і профіль тепер живуть у хмарі, що текст і диктування аналізуються так само, як фотографії, і що ввімкнено звіти про збої. Про суттєві зміни повідомляється в Застосунку. Дата на початку документа завжди відповідає останній редакції.
Питання або запит на видалення даних — privacy@cosmoyum.app.
Цей текст — переклад. У разі розбіжностей пріоритет має англійська версія.