Политика
конфиденциальности

Коротко

Приложение ARVE собирает короткий ролик из вашего длинного видео. Чтобы понять, что в видео происходит, оно отправляет в облачный сервис Google (Gemini API) рабочую копию этого видео. Копию строит сам телефон: картинка не крупнее 480p и не чаще 15 кадров в секунду, и звуковой дорожки в ней нет совсем — начиная с версии 1.0.15 звук вашего видео телефон не покидает. Ответ Google — какие фрагменты видео брать в ролик и короткие текстовые пояснения к ним — приходит через наш сервер и хранится на нём обычно до 72 часов. Всё остальное — сборка, фильтр, звук, история — делается на вашем телефоне. Если вы не входите через Google, аккаунта у вас нет и мы не знаем, кто вы. Если входите (на Android это нужно только для покупки минут), мы храним идентификатор вашего аккаунта Google, чтобы привязать к нему купленные минуты, — пока вы не удалите свои данные. На iPhone входа нет: покупки привязаны к идентификатору, который выдаёт App Store. Записи о покупках и о потраченных минутах мы храним 5 лет, как того требует налоговое законодательство Казахстана, а идентификатор установки приложения — без ограничения срока; подробно — в разделе «Сколько мы храним данные». Вход через Google и покупка минут пока доступны только в тестовых версиях приложения: всё, что сказано о них ниже, относится к версиям, где они есть.

Без входа аккаунта нет

Приложение не просит зарегистрироваться и не спрашивает почту, телефон или имя. Пока вы не вошли через Google, аккаунта у вас нет: сервер знает только случайный идентификатор установки приложения, не связанный с вашей личностью. Входить нужно только для покупки минут — что при этом хранится, описано в следующем разделе.

Вход, чтобы сохранить купленные минуты

Минуты, которые вы покупаете в ARVE, хранятся на нашем сервере — чтобы они пережили переустановку приложения и новый телефон. Чтобы знать, чьи это минуты, приложение привязывает их к тому, что уже есть у вашего магазина приложений, — и только к этому:

• На iPhone — идентификатор вашей загрузки ARVE из App Store (идентификатор «транзакции приложения», который принадлежит вашему Apple Account и только этому приложению). Приложение читает его само, без экрана входа. Имя и почту вашего Apple Account мы не получаем.
• На Android — вы входите через Google, нажав «Войти через Google». Мы храним только идентификатор вашего аккаунта Google. Вместе со входом Google передаёт также адрес почты, имя и фотографию; мы выбрасываем их, не читая, и никогда не храним.

Этот идентификатор мы храним вместе с вашими покупками и потраченными из них минутами — и больше ничего о вас. Как его удалить, написано ниже.

Покупки минут

Саму оплату проводит не наш сервер, а магазин приложений: Google Play на Android, App Store на iPhone. Номер карты, способ оплаты и остальные платёжные данные к нам не попадают вовсе — их видит только Google или Apple. После оплаты магазин выдаёт приложению чек о покупке; приложение пересылает этот чек на наш сервер, и мы проверяем его подлинность напрямую у Google или у Apple, а затем начисляем купленные минуты. Позже мы ещё раз сверяемся с Google или Apple, чтобы узнать, не была ли покупка возвращена. О самой покупке мы храним: какой это магазин, идентификатор транзакции магазина, какой товар куплен, сколько секунд начислено или списано и когда. Для покупок в Google Play мы храним и сам чек (токен покупки) — в зашифрованном виде, прочитать его можно только нашим ключом: именно по нему мы переспрашиваем Google о возврате. Храним его не дольше 12 месяцев с покупки, а если покупку вернули — только до возврата, после чего удаляем; дальше остаётся лишь хеш чека, из которого сам чек восстановить нельзя. Чек из App Store мы у себя не храним.

Кроме того, магазины сами присылают нашему серверу уведомления о покупках и возвратах. Мы храним полный текст каждого такого уведомления в том виде, в каком его прислал магазин, — для Google Play он включает и сам токен покупки. Храним в зашифрованном виде: это доказательство покупки на случай спора или возврата, прочитать его можно только нашим ключом.

Всё это — вместе с идентификатором, описанным выше, — и есть та «покупка», привязанная к аккаунту.

Проверка подлинности запроса (App Check)

Прежде чем ответить на запрос от приложения, наш сервер проверяет, что запрос действительно пришёл из настоящего, не подделанного экземпляра ARVE. Для этого используется сервис Google Firebase App Check: на Android он опирается на Play Integrity, на iPhone — на встроенную функцию Apple App Attest. Приложение получает от Firebase короткоживущий токен и прикладывает его к каждому запросу к нашему серверу; сервер сверяет подпись этого токена с ключами Google и нигде его не сохраняет. Этот токен подтверждает подлинность устройства и сборки приложения, а не то, кто вы: ни имени, ни почты, ни идентификатора аккаунта в нём нет. Чтобы выдать такой токен, Google (а на iPhone — Apple) получает от телефона технические сведения об устройстве и приложении — например, модель телефона и версию системы. Что именно они видят и как долго хранят на своей стороне, определяется правилами Google и Apple, а не нами.

Что уходит с телефона

Наружу уходит не ваш видеофайл. Перед отправкой телефон строит из него отдельную рабочую копию и отправляет именно её. Копия всегда одна и та же: картинка не крупнее 480p и не чаще 15 кадров в секунду, звуковой дорожки в ней нет вовсе. Выбирать ничего не нужно, и подробнее копия не бывает. Она нужна только для того, чтобы модель разобрала, что происходит в видео, и выходит в разы меньше оригинала.

В версиях до 1.0.15 перед запуском можно было вручную выбрать третий, самый подробный уровень — тогда вместе с картинкой уходила оригинальная звуковая дорожка. Если вы им пользовались, такая копия хранится у Google до истечения срока, который Google назначает сам; приложение её отдельно не удаляет.

Как это устроено. Ключ доступа к Gemini API есть только на нашем сервере — в приложении его нет. Сервер выдаёт телефону одноразовый адрес для загрузки, и телефон загружает копию по этому адресу напрямую в Google: сама копия через наш сервер не проходит, и он её не видит и не хранит. Затем наш сервер от имени разработчика просит Gemini разобрать загруженную копию и получает ответ — список фрагментов видео с таймкодами и короткими текстовыми пояснениями, что в них происходит. Этот ответ сервер передаёт приложению и хранит у себя (сколько — см. «Сколько мы храним данные»). Поскольку пояснения описывают содержимое вашего видео, в них могут упоминаться люди, действия и слова, которые в нём есть.

Запросы идут по платному тарифу Gemini API. Для платного использования условия самой Google говорят: присланное содержимое не используется для обучения моделей Google, а запросы и ответы сохраняются лишь на ограниченный срок — чтобы выявлять нарушения правил использования и на случай, когда раскрытие требуется по закону. Это цитата из условий Google по состоянию на 17 августа 2026, и держится она на платном тарифе разработчика, а не на нашем обещании: изменить эти условия может Google, и мы этим не управляем.

После отправки копий становится две, и живут они по-разному. Та, что на телефоне, лежит во временной папке приложения и удаляется, когда перестаёт быть нужна. Та, что уже загружена в Google, приложением не удаляется: команды на удаление оно не отправляет — оно запоминает загруженную копию и переиспользует её в следующих попытках, пока она не истечёт по сроку, который назначает сам Google.

Кроме описанного — копии видео, запросов к нашему серверу, проверки App Check и входа через Google — приложение само ничего никуда не отправляет. Единственное исключение делаете вы сами: кнопка «отправить логи» в настройках открывает системное меню «Поделиться» с техническим журналом работы приложения, и получателя — почту, мессенджер или что-то ещё — выбираете вы. Без нажатия этой кнопки журнал с телефона не уходит.

Что мы не собираем

• Аналитики и счётчиков посещений нет.
• Автоматической отправки отчётов о сбоях нет.
• Рекламных библиотек нет; рекламный идентификатор устройства не читается.
• Ваши контакты, местоположение, список приложений и содержимое буфера обмена не запрашиваются.

Это не обещание на словах: мы не подключали в приложение ни одной такой библиотеки. Одна оговорка: платёжная библиотека Google Play, через которую проходят покупки на Android, может сама передавать Google технические сведения о работе платежей — это часть платформы Google Play и регулируется правилами Google.

Что мы храним у себя, а что — нет

У нас есть собственный сервер — но не для вашего видео. Ваше исходное видео на этот сервер не попадает никогда, туда же не попадают рабочая копия для анализа (она идёт с телефона прямо в Google), готовые ролики и история попыток монтажа — всё это остаётся на телефоне (см. «Что остаётся на телефоне» ниже).

На сервере хранятся:

• Идентификатор установки приложения. При первом запуске сервер выдаёт приложению случайный секрет и открытый номер установки; у себя сервер хранит только хеш секрета, открытый номер, какое это приложение (Android или iPhone) и когда номер выдан. С вашей личностью он не связан, пока установка не привязана к входу через Google на Android или к идентификатору App Store на iPhone.
• Записи о запусках анализа: к какой установке относится запуск, платный он или бесплатный, служебное имя загруженной копии в Google (вида files/… — это не имя вашего файла: имя файла с телефона на наш сервер не уходит), длительность видео в секундах, хеш использованного платёжного чека, если он был, служебный хеш, по которому сервер узнаёт, что запуск ваш, и «отпечаток» видео — хеш SHA-256, посчитанный на телефоне из содержимого исходного видео вместе с выбранным уровнем анализа; по нему сервер узнаёт повторный анализ того же видео, а восстановить из него видео нельзя. Там же — состояние запуска (идёт, готов, ошибка) и код ошибки, если она была.
• Ответ Gemini по запуску — фрагменты с таймкодами и текстовыми пояснениями, описанные выше.
• Записи о потраченных минутах: сколько секунд списано, когда, по какому запуску, за счёт бесплатных или купленных минут и к какой установке или аккаунту это относится; а также технический учёт того, сколько обработки у Google ушло на каждый запуск.
• Записи о покупках, уведомления магазинов и привязка аккаунта, описанные выше.
• Дневные счётчики запусков — чтобы соблюдать дневные лимиты.

Когда на сервере что-то идёт не так (например, запуск анализа завершился ошибкой), сервер присылает разработчику служебное оповещение в Telegram: номер запуска, платный он или бесплатный, длительность видео, код и описание ошибки, а в оповещениях о проблемах с покупками и о проверке возвратов — ещё и номер заказа в магазине. Видео, пояснения Gemini и данные аккаунта мы в эти оповещения не кладём.

Раз в сутки с базы данных сервера снимается резервная копия; она хранится на самом сервере и в облачном хранилище Google Drive разработчика. В ней есть всё, что лежало в базе в момент копирования, — включая записи, которые позже были удалены из рабочей базы.

Физически наш сервер размещён в Германии (Нюрнберг), у хостинг-провайдера Netcup. Соединения с сервером и с этим сайтом проходят через сеть Cloudflare. При любом соединении виден ваш IP-адрес: наш сервер его не записывает, а что Cloudflare хранит в своих журналах, определяется правилами Cloudflare.

Сколько мы храним данные

• Записи о запуске анализа и ответ Gemini — автоматически удаляются через 72 часа после запуска; этот срок задан в коде сервера, а не только на бумаге. Исключение: если запуск завис на середине и сервер так и не узнал, чем он закончился, или если по запуску разработчику пришлось принимать решение вручную (например, вернуть ли потраченные минуты), такая запись вместе с ответом, если он был, автоматически не удаляется и сейчас хранится без ограничения срока.
• Идентификатор установки — без ограничения срока. «Удалить мои данные» его не стирает.
• Записи о потраченных минутах и учёт обработки — 5 лет: это учёт того, за что списаны деньги или бесплатные минуты, и срок его хранения задаёт налоговое законодательство Казахстана. После «Удалить мои данные» они остаются привязанными к идентификатору установки, но уже не к вашему аккаунту Google или Apple.
• Записи о покупках и уведомления магазинов — 5 лет: это финансовые записи и доказательство покупки, и срок их хранения задаёт налоговое законодательство Казахстана. После «Удалить мои данные» они остаются, но уже без привязки к аккаунту.
• Привязка аккаунта Google или Apple — пока вы не удалите свои данные (см. «Как всё удалить» ниже).
• Дневные счётчики — удаляются, когда день прошёл и срок в 72 часа истёк.
• Резервные копии базы — 30 дней, после чего удаляются автоматически — и на сервере, и в Google Drive. Пока копия хранится, в ней остаются и те данные, которые уже удалены из рабочей базы.
• Технические журналы сервера — короткоживущие: они пишутся по кругу с ограничением на объём (около 30 МБ на контейнер) и перезаписываются. Токены входа, платёжные чеки и коды привязки к магазину в журналах никогда не печатаются целиком — это делает отдельная функция, которая всегда их вычёркивает; адрес почты и имя из вашего аккаунта Google в журналы не попадают вовсе, потому что сервер их не читает. Содержимого ваших видео в журналах нет.

Что остаётся на телефоне

• Исходное видео — там же, где вы его сняли: приложение читает его на месте, не изменяет и не копирует к себе.
• Собранные ролики и файлы разметки — в собственной папке приложения.
• Временная рабочая копия для разметки — в кэше приложения, до тех пор пока она нужна.
• История попыток монтажа — она строится из этих же файлов.
• Выбранный язык интерфейса.
• Технический журнал работы приложения — ограниченного размера, старые записи вытесняются новыми. Секреты и токены приложение вычёркивает из него ещё до записи на диск. С телефона он уходит, только если вы сами нажмёте «отправить логи» (см. выше); стереть его можно кнопкой «очистить журнал».

Сохранённый вами ролик дополнительно попадает в галерею телефона — это делаете вы кнопкой «Сохранить». Кнопка «Поделиться» передаёт файл тому приложению, которое вы сами выберете.

Как всё удалить

Удалите попытку в приложении — исчезнут её файлы. Удалите приложение — вместе с ним удаляется вся его папка: ролики, разметка, история, настройки, журнал. Ролики, которые вы сохранили в галерею, останутся в галерее: они ваши, и приложение ими не распоряжается.

Всё это касается только телефона. Рабочую копию, которая уже загружена в Google, не удаляет ни удаление попытки, ни удаление приложения: отозвать её приложение не умеет — она исчезает сама, когда истекает срок, назначенный Google. То есть удалить всё со своей стороны вы можете, а стереть загруженную копию у Google — нет.

Чтобы удалить связь вашего аккаунта Apple или Google с купленными минутами: в приложении — Настройки → Удалить мои данные; для аккаунта Google это можно сделать и на сайте, на странице «Удалить мои данные». Идентификатор аккаунта стирается, и на всех телефонах, где в ARVE был вход этим аккаунтом, вход перестаёт действовать. Неизрасходованные оплаченные минуты сгорают.

Что после этого остаётся на сервере: записи о совершённых покупках и уведомления магазинов о них — как финансовые записи, без привязки к аккаунту, 5 лет; записи о потраченных минутах — привязанными к установке, но не к аккаунту, тоже 5 лет; идентификатор установки — без привязки к аккаунту; записи о запусках и ответы Gemini — до их обычного срока (см. «Сколько мы храним данные»); резервные копии, снятые до удаления, — не дольше 30 дней.

Кто отвечает за ваши данные

Ответственный за обработку ваших персональных данных (контролёр в смысле Общего регламента ЕС о защите данных, GDPR) — разработчик ARVE, частное лицо: Сухотерин Александр (Alexandr Sukhoterin), Алматы, Казахстан. Связаться по любым вопросам о данных: postmaster@alxforge.com.

На каком основании мы обрабатываем данные

GDPR требует назвать для каждой обработки её правовое основание. Согласие мы не используем ни для чего — поэтому и отзывать его не нужно.

• Исполнение договора с вами (ст. 6(1)(b) GDPR) — всё, что нужно, чтобы приложение делало то, о чём вы его просите: отправка рабочей копии видео (без звука) в Gemini API, хранение записи о запуске и ответа Gemini, пока приложение их забирает, привязка аккаунта Google или идентификатора App Store к купленным минутам, проверка покупок, начисление и списание минут.
• Законный интерес (ст. 6(1)(f) GDPR) — защита сервиса от злоупотреблений и мошенничества: проверка подлинности приложения и устройства (Firebase App Check с Play Integrity или App Attest), идентификатор установки и дневные лимиты запусков, технические журналы сервера, резервные копии, служебные оповещения о сбоях, а также хранение уведомлений магазинов как доказательства покупки на случай спора. Наш интерес — чтобы сервис, за который платят люди, работал, не расходовался чужими руками и не терял деньги покупателей. Вы вправе возразить против такой обработки (см. «Ваши права»).
• Юридическая обязанность (ст. 6(1)(c) GDPR) — хранение записей о покупках и о потраченных минутах как бухгалтерских и налоговых записей в течение 5 лет, как того требует налоговое законодательство Республики Казахстан.

Автоматизированных решений, которые влекут для вас юридические последствия, мы не принимаем: анализ видео лишь предлагает фрагменты для ролика.

Кто обрабатывает данные по нашему поручению

• Google — Gemini API (анализ рабочей копии видео), Firebase App Check и Play Integrity (проверка подлинности приложения), вход через Google, Google Play (оплата и проверка покупок, уведомления о покупках), Google Drive (хранение резервных копий базы сервера).
• Apple — App Store (оплата, проверка покупок и уведомления о них, идентификатор транзакции приложения) и App Attest (проверка подлинности приложения на iPhone).
• Netcup (Германия) — хостинг нашего сервера.
• Cloudflare — сеть, через которую проходят соединения с нашим сервером, и хостинг этого сайта.
• Telegram — доставка разработчику служебных оповещений о сбоях сервера (без видео, пояснений Gemini и данных аккаунта).

Никому другому мы ваши данные не передаём и не продаём.

Где хранятся данные и передача за пределы ЕС

Наш сервер и его база данных находятся в Германии (Нюрнберг, хостинг Netcup); там же, на сервере, лежат его резервные копии, а вторая копия каждой из них — в Google Drive разработчика. Соединения с сервером и с этим сайтом проходят через сеть Cloudflare. Google, Apple, Cloudflare и Telegram могут обрабатывать данные и за пределами Европейского союза, в том числе в США. На чём основана такая передача — так, как это публично указывают сами компании:

• Google — Google LLC сертифицирована по Рамочной программе конфиденциальности данных ЕС–США (EU-U.S. Data Privacy Framework); там, где она не применяется, Google использует стандартные договорные условия ЕС.
• Cloudflare — сертификация по Рамочной программе конфиденциальности данных ЕС–США; для остальных передач — стандартные договорные условия ЕС.
• Apple — стандартные договорные условия ЕС.
• Telegram получает только служебные оповещения, описанные выше; где и как Telegram их хранит, определяется правилами Telegram.

Ваши права

Вы вправе узнать, какие данные о вас у нас есть, и получить их копию; исправить неточные; потребовать удаления; ограничить обработку; получить данные, которые обрабатываются по договору, в машиночитаемом виде; возразить против обработки на основании законного интереса. Удаление привязки аккаунта доступно сразу — в приложении или на странице «Удалить мои данные»; с остальными запросами пишите на postmaster@alxforge.com. Мы отвечаем в течение месяца.

Честная оговорка: если вы не входили через Google и у вас нет покупок в App Store, сервер знает только случайный номер установки и не может связать его с вами. В этом случае мы, как правило, не можем определить, какие записи относятся к вам (ст. 11 GDPR), — и можем попросить подтвердить запрос из самого приложения. Часть записей мы не удаляем и по запросу, пока их хранение обязательно или нужно для защиты от претензий: записи о покупках и о потраченных минутах.

Вы также вправе подать жалобу в надзорный орган по защите данных — в стране, где вы живёте или работаете, или там, где, по вашему мнению, нарушены ваши права.

Дети

Приложение не предназначено для детей и ничего не собирает намеренно у детей. Возрастную категорию для магазина владелец определит при публикации.

Изменения

Когда документ изменится, изменится и дата внизу страницы. Мы не станем задним числом описывать как факт то, что ещё не сделано.

Связь

Пишите на postmaster@alxforge.com.

Действует с 8 октября 2026

← На главную · Условия использования