Политика конфиденциальности — My AI friend

My AI friend — голосовой компаньон, устроенный так, чтобы данные оставались на вашем устройстве. Здесь описано, что приложение обрабатывает и куда это попадает — пункт за пунктом, по коду приложения. Аккаунта у нас нет; вход через Google — по желанию и только для вашей же копии.

Все способы удалить свои данные собраны в разделе «Как удалить свои данные» чуть ниже.

Где монстрик думает

При первом знакомстве вы выбираете «мозг»:

• На телефоне. Языковая модель (Gemma 4 E2B от Google, около 3,1 ГБ, скачивается с huggingface.co по вашему выбору) работает целиком на устройстве. В этом режиме ничего из разговора никуда не уходит. Модель предоставляется по лицензии Apache 2.0.
• В облаке. Вы вставляете ключ API провайдера языковой модели — по умолчанию DeepSeek (api.deepseek.com, провайдер зарегистрирован в КНР); адрес и модель можно сменить на любой OpenAI-совместимый провайдер. Ключ хранится на телефоне зашифрованным (Android Keystore) и в переписку никогда не записывается. Провайдеру уходит всё, что нужно монстрику, чтобы ответить: ваши реплики и его ответы, его память о вас (факты и дневник), названия дел, событий календаря и выученных мест, когда они нужны для ответа, город, где вы сейчас, и сведения о поездке, пока вы в пути или вдали от дома (см. «Место и дорога»), фотографии, которые вы отправили в чат, реплики монстрика о ваших шагах и сне (см. «Health Connect» ниже) и — если включён пересказ уведомлений — текст уведомлений (см. ниже), а при включённых «Новостях три раза в день» — заголовки, которые монстрик пересказывает, и раз в два дня то, что он о вас знает, чтобы подобрать темы новостей (см. «Новости три раза в день»). Провайдер обрабатывает это по своим условиям; мы не выбираем его за вас и этих данных не видим.

История чата, память и дневник хранятся на телефоне; «Забыть всё» в настройках стирает их.

Микрофон и речь

Голос записывается только во время разговора (после нажатия на микрофон, на кнопку монстрика или в окне ответа без рук). Речь распознаётся на устройстве локальной моделью (sherpa-onnx с GigaAM или Parakeet). Аудиозаписи не сохраняются и никуда не отправляются. Единственное исключение, с версии 1.1.56: прежде чем заговорить по своей инициативе (напоминание, своя реплика, чтение уведомления), монстрик может несколько секунд послушать, не разговаривают ли рядом, чтобы не перебивать (настройка «Не перебивать разговор», по умолчанию включена; в это время в строке состояния горит значок микрофона). Звук анализируется на телефоне детектором речи (Silero VAD): слова не распознаются, звук не сохраняется и никуда не отправляется.

Уведомления

С доступом к уведомлениям (Notification access), который вы включаете сами в системных настройках, приложение читает уведомления, чтобы показать их на экране монстрика и, если включено, озвучить. Если включён пересказ (по умолчанию включён; Настройки → Уведомления), название приложения, отправитель, заголовок и текст уведомления отправляются в мозг — облачному провайдеру, если мозг облачный, — чтобы пересказать коротко и перевести. Одноразовые коды (СМС-коды, пароли) в модель не отправляются никогда. Уведомления не сохраняются.

Календарь, дела и таймеры

С вашего разрешения приложение читает названия и время событий календаря для напоминаний и утренней сводки, а пишет в календарь только когда вы просите добавить или удалить событие (удаление — после подтверждения). События, о которых идёт речь, попадают в запрос к облачному мозгу. Дела и таймеры хранятся на телефоне; будильники и таймеры создаются в системном приложении «Часы».

Health Connect

Шаги и сон читаются — в том числе в фоне — только для замечаний монстрика об активности и сне — заранее заготовленными фразами — и для ответа, когда вы спрашиваете, сколько спали или сколько прошли. Сами записи Health Connect остаются на телефоне. Реплика монстрика о них («5 000 шагов — прогуляемся?», «ты спал 6 часов, побереги себя») — часть разговора: она хранится в истории чата на телефоне (и в копии на вашем Google Диске, если копия включена) и, если мозг облачный, вместе с остальным разговором уходит провайдеру языковой модели, когда вы отвечаете, — чтобы ответ был к месту. Мы не продаём эти данные и не используем их для рекламы. Выключить можно в Настройках (пункт «Здоровье»), отозвать доступ — в Health Connect в любой момент.

Датчики телефона

С версии 1.1.41 приложение читает датчики движения, приближения и освещённости: по ним монстрик понимает, где телефон — в кармане, на столе, лицом вниз, идём или едем, давно ли его не брали в руки, — и по этому выбирает момент для своих реплик. Датчики читаются только пока включены «разговоры по своей воле» и настройка «Чувство обстановки». Показания обрабатываются на телефоне, не сохраняются, никуда не отправляются и в языковую модель не попадают. Фразы для таких случаев модель пишет заранее, «на случай», не зная, где вы на самом деле; вслух монстрик не описывает, где лежит телефон и как его несут (о городе и дороге — может, см. «Место и дорога»); сама его реплика остаётся в истории, как любая его реплика, и уходит в облачный мозг вместе с ней. В дороге, если дано разрешение «всегда», положение берётся только пока телефон движется: пешком раз в пять минут, в машине раз в две (на зарядке — точно, раз в минуту), и ещё один раз — там, где телефон останавливается; что с ним происходит дальше — в разделе «Место и дорога». Чтобы реплики монстрика не мешали, когда вы заняты телефоном, приложение смотрит ещё, включён ли экран, разблокирован ли телефон и какое приложение сейчас играет звук (через медиасессии, которые оно и раньше читало, чтобы не открывать микрофон под чужой звук); эти признаки тоже нигде не сохраняются и никуда не отправляются.

Геолокация

По умолчанию погода показывается для того места, где телефон: примерное положение берётся примерно раз в шесть часов, и его координаты уходят погодному сервису Open-Meteo, который их не хранит и не знает, кто вы. Вместо этого можно задать город вручную в настройках. Точная геолокация служит выученным местам («запомни, это мой дом») и запросу «что рядом»: координаты мест хранятся на телефоне и отслеживаются системным сервисом геозон, а запрос «что рядом» отправляет ваши координаты в Overpass API (OpenStreetMap). Фоновая геолокация («всегда») запрашивается отдельно и только по делу — когда вы учите место или датчики чувствуют поездку, которую без неё приложению не видно, — карточкой в чате, кнопка которой открывает системный диалог. С ней монстрик замечает приход и уход даже с закрытым приложением и видит поездку (см. ниже).

Место и дорога

С версии 1.1.72 монстрик может по своей воле сказать пару слов о поездке и о новом месте. Это настройка «Место и дорога»: она включена по умолчанию, выключается в настройках, в разделе «Инициатива монстрика», и работает только вместе с «Чувством обстановки» и разрешением на геолокацию «всегда».

• Что уходит само, без вашей просьбы. Координаты поездки и остановок уходят геокодеру, чтобы узнать, как называется место: системному геокодеру телефона (Google), а если его нет — Nominatim (OpenStreetMap). При остановке в новом месте (дальше двух километров от прежнего) координаты уходят в Overpass API (OpenStreetMap), чтобы найти заметные места рядом. Чтобы знать, далеко ли дом, его точка (выученный «дом» или место, где телефон ночует) один раз отправляется геокодеру — назвать его город. Если погода показывается по местоположению, её место переезжает за вами: новый город уходит погодному сервису Open-Meteo.
• Облачному мозгу (только в облачном режиме) уходят название города и района, заметные места рядом, скорость, время и расстояние в пути, а если дом выучен или угадан — расстояние от него: по ним пишется короткая реплика вслух. Те же название места и сведения о поездке попадают в запрос к облачному мозгу и в разговоре, пока вы в пути или вдали от дома.
• Реплики в чате. Реплики о дороге и месте называют город и остаются в истории чата, как любая реплика монстрика, — значит, уходят облачному мозгу вместе с историей и лежат в копии чата на вашем Google Диске.
• «Где я?» На этот вопрос координаты уходят геокодеру по вашей просьбе — и при выключенном «Месте и дороге», так же как запрос «что рядом» уходит в Overpass API.
• Что остаётся на телефоне. Пока включены «Чувство обстановки» и геолокация «всегда», на телефоне — независимо от «Места и дороги» — записываются поездка (путь, время, скорость) и место последней остановки, места ночёвок за последние несколько недель (чтобы угадать дом, если он не выучен) и время, когда вы ушли из дома и вернулись: по ним монстрик говорит «с возвращением» и замечает, что вы приехали. С «Местом и дорогой» к этому добавляются названия мест и места, о которых уже шла речь (две недели). Ничего из этого не покидает телефон и не входит в копию на Google Диске; «Забыть всё» это стирает.

Поиск, картинки, радио

Когда вы просите поискать в интернете, запрос уходит в Google и DuckDuckGo с вашего телефона — так же, как его отправил бы браузер. Когда вы просите показать картинку, запрос уходит в поиск картинок Google с вашего телефона; если тот не ответил — на наш собственный сервис поиска изображений на ptrs.ltd (запросы мы не логируем и с вами связать не можем) и через него в Openverse и Wikimedia. Выбранная картинка копируется во временный кэш приложения на телефоне (не в резервную копию), а ссылка «смотреть оригинал» под ней открывает страницу, где картинка найдена. Интернет-радио пользуется каталогами radio-browser.org и Audius и подключает телефон напрямую к публичному потоку станции. Ни один из этих запросов не несёт ничего о вашей личности, кроме IP-адреса.

Новости три раза в день

С версии 1.1.78 три раза в день (около 9, 14 и 19 часов, в пределах вашего окна активности) монстрик коротко рассказывает новости: главное за день в вашей стране и что-нибудь новое по вашим темам, с названием издания. По умолчанию это включено, выключается в Настройках → «Инициатива монстрика» → «Новости три раза в день». Для этого телефон сам запрашивает открытые ленты Google Новостей (news.google.com): главные новости страны — страна берётся из мобильной сети, SIM-карты или языка телефона либо та, что выбрана в настройках, — и поиск по вашим темам, от одного до трёх слов на тему. В этих запросах нет ни имени, ни аккаунта — только ваш IP-адрес и слова тем. Темы раз в два дня подбирает облачный мозг по памяти монстрика (факты о вашем здоровье и близких для этого не отправляются), краткому содержанию недавнего разговора, дневнику и вашим собственным репликам за последнюю неделю; тема о здоровье, деньгах или семье отбрасывается на телефоне ещё до поиска. В облачном режиме заголовки пересказывает тот же облачный мозг; в режиме «на телефоне» в модель ничего не уходит, и читаются только заголовки на вашем языке. Темы видны в Настройках → «Инициатива монстрика», там же любую можно убрать; «Забыть всё» стирает их. Под каждой новостью в чате есть ссылка на статью в Google Новостях.

Игра «Кубики» по сети

В «Кубики» — игру внутри приложения — играют на телефоне, и одиночная игра там и остаётся. На наш сервер уходит только то, что нужно для игры по сети, и только когда вы открываете в игре раздел «Игра по сети». Сервер наш собственный: это тот же арендованный виртуальный сервер, на котором работает сайт ai-friend.club, в дата-центре в Вильнюсе (Литва, ЕС).

• Что уходит на наш сервер: анонимный номер игрока и секрет, которые приложение придумывает само, — они не связаны ни с аккаунтом Google, ни с номером телефона (секрет сервер хранит только в виде хеша); ваш ник и имя вашего монстрика; миры, созданные на сервере или перенесённые туда, со всеми постройками; ваше состояние в каждом мире — где вы стоите, рюкзак, здоровье и книги (пройденные цели и встреченные звери); сообщения чата — ваши и вашего монстрика; ваши жалобы; IP-адрес — для ограничений и блокировок.
• Что видят другие игроки: ваш ник с короткой меткой, которая отличает игроков с одинаковыми никами, вашу фигурку и монстрика, сообщения, прошедшие проверку, и ваши постройки.
• Голос. Речь распознаётся на телефоне, на сервер уходит только текст сообщения. Сообщения монстрика пишет выбранный вами мозг (см. «Где монстрик думает»); в сетевом чате они тоже уходят на сервер. Сообщения других игроков в мозг вашего монстрика не попадают.
• Модерация. Каждое сообщение и каждый ник проверяет ИИ-модель на нашем же сервере (Qwen3Guard, лицензия Apache 2.0). Третьим лицам для этого ничего не передаётся. Что не прошло проверку, не показывается.
• Кто читает. Журнал чата и жалобы читает только владелец игры — Peter's Engineering, — чтобы разбирать жалобы и нарушения; для этого у владельца есть закрытая страница на нашем сервере. Статистика игры там — только общие числа по дням, без номеров игроков; она хранится 400 дней.
• Сколько хранится. Сообщения чата — 14 дней; жалобы и сообщения вокруг них — 90 дней; IP-адреса — 30 дней (при блокировке — до её конца). Мир, куда никто не заходил 30 дней, удаляется; данные игрока в мире живут вместе с миром. Ещё сервер каждую ночь делает резервные копии миров и данных игроков и хранит их до 4 недель, поэтому удалённое — в том числе кнопкой «Удалить мои данные с сервера» — ещё до 4 недель может лежать в этих копиях, а потом исчезает само. Копии нужны только на случай сбоя: в остальное время из них ничего не возвращается.
• Удаление. В «Игре по сети» — кнопка «Удалить мои данные с сервера» (с подтверждением); можно и написать на ceo@ptrs.ltd. Удаляются ваши файлы во всех мирах, ник и хеш секрета, ваши сообщения в журнале чата (кроме тех, на которые есть открытая жалоба, — пока она не закрыта) и ваши миры на сервере. Запись о блокировке хранится до её конца.
• Рекламы и аналитики нет и здесь; эти данные не продаются и не передаются.

Аккаунт Google и резервная копия (по желанию)

Если вы войдёте через Google в Настройках → «Google и копия», приложение сохраняет копию своих данных — память и дневник ассистента, историю чата, дела, напоминания, места, фото из чата, настройки и ключ API вашего AI-провайдера — в скрытой служебной папке вашего Google Диска (область drive.appdata). Эту папку не видят ни другие приложения, ни другие люди, ни мы: читать её может только приложение на вашем телефоне под вашим аккаунтом. Ключ API входит в копию, чтобы на новом телефоне не вводить его заново: на телефоне он хранится зашифрованным, в копии его защищает ваш аккаунт Google. Копия обновляется раз в сутки и по кнопке; хранятся до семи прежних копий и одна месячной давности, так что новая копия не затирает старые разом. Записи поездок и ночёвок (см. «Место и дорога») остаются на телефоне и в копию не входят. Из аккаунта приложение узнаёт только адрес и имя — чтобы показать, куда идёт копия. Выход из аккаунта прекращает копирование; саму копию можно удалить в веб-версии Google Диска: Настройки → Управление приложениями → My AI friend → Параметры → Удалить скрытые данные приложения.

Голоса и модели речи

Английский и польский голос — Supertonic 3 от Supertone Inc. (лицензия BigScience Open RAIL-M), скачивается с вашего согласия; речь распознают GigaAM v3 (MIT) и Parakeet TDT (CC BY 4.0). Все они работают на телефоне. Полный список лицензий — в приложении: Настройки → Документы → Лицензии.

Чего мы не делаем

• Нет рекламы и рекламных идентификаторов.
• Нет аналитики и трекеров.
• Персональные данные не продаются и не передаются.
• Никакой регистрации у нас — кроме анонимного номера и ника для игры по сети, без почты, телефона и пароля; вход через Google по желанию и нужен только для вашей же копии.

Ответы монстрика пишет искусственный интеллект, и они могут быть ошибочными. На любой ответ можно пожаловаться кнопкой-флажком в чате; жалоба уходит письмом на ceo@ptrs.ltd.

Донаты

Добровольные пожертвования, если они предлагаются, обрабатываются Google Play Billing. Мы не получаем и не храним ваши платёжные данные.

Дети

Приложение не предназначено для детей младше 13 лет. Игра «Кубики» по сети с открытым чатом — с 13 лет; каждое сообщение проверяет ИИ, есть жалобы и блокировки.

Изменения и контакты

Обновления политики публикуются на этой странице; см. также условия использования. Вопросы: ceo@ptrs.ltd.