CosmoYum · Діє з 18 серпня 2026 року
CosmoYum («Застосунок», «ми») — застосунок для підрахунку калорій, який оцінює харчову цінність їжі за фотографією, за набраним текстом, за продиктованим описом або за штрихкодом. Цей документ пояснює, які дані ми обробляємо, куди вони йдуть, скільки зберігаються і що ви можете з цим зробити.
Реєстрації немає. Застосунок не запитує ваше ім’я, адресу електронної пошти, номер телефону чи місцеперебування і не збирає їх.
Дані про їжу. Коли ви скануєте страву, Застосунок надсилає те, що ви йому дали — фотографію, набраний текст або текст, отриманий з диктування, — на наш власний сервер (Google Cloud Functions, розташований у США), який передає це до Google Vertex AI, щоб розпізнати страви й оцінити калорії та макронутрієнти. Усе передається зашифрованим з’єднанням. Ні фотографія, ні текст не зберігаються на нашому сервері після того, як отримано відповідь.
Слова про алергени. Якщо ви вказали, про які алергени вас попереджати, цей список надсилається з кожним запитом — саме він дозволяє моделі відповісти «у цій страві може бути мед». Це стосується й слів, які ви написали самі. Див. розділ 3, де пояснюється, чому ми вважаємо ці дані чутливими.
Штрихкоди. Якщо ви скануєте штрихкод продукту, номер штрихкоду надсилається до публічної бази Open Food Facts для пошуку продукту. Жодний ваш ідентифікатор до цього запиту не додається.
Диктування. Голосове введення розпізнається засобами вашого пристрою (фреймворк Speech від Apple на iOS). Залежно від пристрою та його налаштувань Apple може виконувати розпізнавання на своїх серверах, а не на пристрої; ми ніколи не отримуємо звук — лише отриманий текст, який далі обробляється як дані про їжу, описані вище.
У хмарі, під анонімним ідентифікатором. При першому запуску Застосунок створює анонімний обліковий запис (Firebase Authentication). Це ідентифікатор без імені, пошти та пароля, і саме він робить ваші дані вашими між запусками. Під ним у Google Cloud Firestore зберігаються:
Лише на вашому пристрої. Фотографії їжі. Застосунок зберігає фотографію як локальний файл, а в хмару кладе тільки шлях до нього — фотографія ніколи не завантажується до нашого сховища, вона лише проходить через сервер для аналізу, описаного в розділі 1. Обрана тема й мова, а також факт прийняття цього документа теж зберігаються локально.
Частина того, що зберігає Застосунок, говорить про ваше тіло та здоров’я: алергії, стать, вік, зріст, вага та її історія, мета за вагою. Кожне з цих полів ми запитуємо задля одного зрозумілого завдання — алергії, щоб попереджати про страву, решту, щоб розрахувати норми калорій і макронутрієнтів, — і не використовуємо їх ні для чого іншого, не продаємо й не передаємо рекламодавцям (у Застосунку їх немає).
Два наслідки, які варто сказати прямо. Список ваших алергенів покидає пристрій з кожним запитом про їжу, бо інакше попередження неможливе. І ваші фізичні показники лежать у хмарі, а не тільки в телефоні, — щоб на новому пристрої ви побачили той самий щоденник і той самий план.
Звіти про збої. Застосунок використовує Firebase Crashlytics. При падінні або обробленій помилці до Google йде звіт із текстом помилки, стеком викликів і технічними даними пристрою (модель, версія ОС). Фотографії, вміст їжі та облікові дані до цих звітів навмисно не потрапляють.
Серверні журнали. Наш сервер записує кожен оброблений запит для діагностики: яка модель використовувалася, тайминги, розміри і — поки Застосунок ще стабілізується — набраний вами опис їжі. Байти фотографій не журналюються ніколи, а слова про алергени журналюються лише числом, але не словами. Ці журнали живуть у Google Cloud Logging і зберігаються обмежений час (зараз до 30 днів), після чого видаляються автоматично.
Увесь трафік іде через HTTPS/TLS. Ваші хмарні дані доступні лише вашому анонімному ідентифікатору, і це забезпечується правилами безпеки на сервері. У Застосунку не вшито жодного власного ключа доступу: до моделі він може дістатися тільки через наш сервер, який і зберігає доступи, — тому з установленого Застосунку немає чого витягти.
Лічильник розпізнавань — єдина частина ваших даних, яку Застосунок може читати, але не може змінювати. Змінювати його має право лише наш сервер, і саме це робить денний ліміт лімітом, а не побажанням.
Щоденник і профіль зберігаються доти, доки ви їх не видалите. Видалення страви в Застосунку видаляє її і з хмари.
Видалення Застосунку не видаляє ваші хмарні дані. Анонімний ідентифікатор живе на пристрої, тому видалення Застосунку робить дані недоступними, а не видаленими. Якщо ви хочете їх стерти, напишіть нам на адресу нижче з того пристрою, про який ідеться, і ми їх видалимо; ми також працюємо над кнопкою «видалити все» всередині Застосунку.
Серверні журнали спливають самі, як описано в розділі 4.
Застосунок не призначений для дітей до 13 років, і ми навмисно не збираємо їхні дані. Якщо ви вважаєте, що дитина передала через Застосунок свої дані, напишіть нам, і ми їх видалимо.
Ми оновлюємо цей документ, коли змінюється те, що Застосунок робить з даними, або коли змінюється спосіб зв’язку з нами. Ця редакція фіксує назву Застосунку — раніше SecretCal — і переносить документ на власну адресу на cosmoyum.app, з контактною адресою на цьому ж домені замість особистої скриньки. Попередня редакція зафіксувала лічильник розпізнавань з розділу 2 і денний ліміт; ще одна до неї — що щоденник і профіль тепер живуть у хмарі, що текст і диктування аналізуються так само, як фотографії, і що ввімкнено звіти про збої. Про суттєві зміни повідомляється в Застосунку. Дата на початку документа завжди відповідає останній редакції.
Питання або запит на видалення даних — privacy@cosmoyum.app.
Цей текст — переклад. У разі розбіжностей пріоритет має англійська версія.