Політика конфіденційності

1. Хто ми

Wanderspace надає Софія Брагар, Україна (далі — «ми»). Ми визначаємо, навіщо й як обробляються ваші дані, тобто є їхнім контролером. З усіх питань про дані пишіть на support@wanderspace.app.

2. Які дані ми збираємо

2.1. Зйомка

Під час зйомки телефон записує відео без звуку у свою пам'ять. Коли ви надсилаєте зйомку в хмару, ми отримуємо:

• кадри — вибрані з відео знімки у форматі JPEG до 1440 пікселів по довгій стороні; саме відео в хмару не надсилається;
• пози камери — положення й поворот телефона на кожному кадрі та напрям «вгору», які рахує ARCore;
• параметри камери — роздільність, частоту кадрів, фокусну відстань, розмір сенсора, кут огляду, режим корекції об'єктива;
• службову статистику зйомки — модель телефона, дату й час зйомки, частоту кадрів, температурний стан телефона, якість відстеження й глибини, частку знятого, експозицію (ISO, витримку), результат перевірки після зйомки (різкість, освітленість, мерехтіння);
• для дозйомки — до якого туру вона належить і як розташована відносно нього;
• назву туру, яку ви вводите.

У фото-режимі телефон знімає фото замість відео; у хмару вони йдуть зменшеними до 1440 пікселів по довгій стороні, а разом із ними — показання давачів руху (гіроскопа й акселерометра) під час зйомки, точний час кадрів камери й докладніший журнал відстеження ARCore. Ці дані потрібні, щоб точно зіставити кадри й побудувати 3D-тур, і зберігаються разом зі зйомкою, стільки ж, скільки вона (розділ 7).

2.2. Тури

Із зйомки ми робимо 3D-тур, обкладинку туру (один кадр із середини зйомки) і дані для прив'язки дозйомок (характерні точки кадрів і їхні координати в турі). Про кожну обробку зберігаємо запис: дату, тривалість зйомки, кількість кадрів, скільки хвилин списано, статус, час обробки й технічні помилки.

2.3. Ідентифікатор встановлення

Під час першого запуску апка створює випадковий ідентифікатор і надсилає його разом із запитами до нашого сервера. До нього прив'язані ваші зйомки, тури й хвилини. Він не пов'язаний з рекламним ідентифікатором, номером телефону чи IMEI; після перевстановлення апки створюється новий.

2.4. Google-акаунт

Коли ви входите через Google, ми перевіряємо токен входу від Google і зберігаємо з нього ідентифікатор вашого Google-акаунта, адресу email і дату входу. Ім'я профілю ми передаємо апці для показу, але на сервері не зберігаємо. Пароля від Google ми не бачимо. Якщо ви входите на новому телефоні, ми пов'язуємо його з вашим акаунтом і переносимо на акаунт тури й куплені хвилини з цього телефона.

2.5. Сповіщення

Щоб повідомити, що тур готовий чи не вийшов, ми зберігаємо токен Firebase Cloud Messaging (сервіс Google) — до п'яти телефонів на акаунт. Сповіщення можна вимкнути в налаштуваннях Android.

2.6. Покупки

Оплату проводить Google Play; даних картки та інших платіжних даних ми не отримуємо. Від апки й Google Play ми отримуємо: який товар куплено, номер замовлення, скільки хвилин зараховано, чи це тестова покупка, а для підписки — до коли вона діє. Токен покупки ми зберігаємо зашифрованим не довше 3 діб і лише для того, щоб завершити покупку в Google Play; далі — тільки його хеш, щоб не зарахувати покупку двічі. Google також повідомляє нам про продовження й скасування підписок і про повернення коштів.

Історію ваших покупок (товар, номер замовлення, час, ціна) ми зберігаємо з прив'язкою до акаунта — щоб зараховувати хвилини, обробляти повернення коштів і вести бухгалтерський облік. Записи про покупки лишаються 3 роки після покупки, а журнал хвилин акаунта, де видно й ціни покупок, — доки існує акаунт (розділ 7).

2.7. Хвилини

Баланс хвилин (до секунди): скільки отримано безкоштовно, куплено й витрачено, бонус за поширення, списання й повернення за кожну обробку.

2.8. Глядачі туру

Коли хтось відкриває тур за коротким посиланням, ми рахуємо різних глядачів — для бонусу за поширення. Для цього зберігаємо не IP-адресу, а її хеш із секретною сіллю, не більше 10 на тур, — до року від останнього нового глядача.

2.9. Сайт

Сайт не використовує рекламних чи аналітичних cookies і трекерів. Вибрана мова зберігається у вашому браузері (localStorage); тестовий редактор туру теж зберігає правки лише у вашому браузері. Шрифти й бібліотеки тривимірної графіки сайт віддає сам — сторінки не звертаються до сторонніх сервісів. Cloudflare, через який працює сайт, обробляє технічні дані запитів (IP-адресу, час, тип браузера), щоб доставляти сторінки й захищати їх від атак. Самі ми журналів з IP-адресами не ведемо.

2.10. Звернення до нас

Якщо ви пишете нам, ми отримуємо вашу адресу email, текст листа й те, що ви до нього додасте.

2.11. Скарги на тури

Якщо ви скаржитеся на тур кнопкою «Поскаржитись» на його сторінці, ми зберігаємо: причину, ваш опис і контакт (обидва — за бажанням), час, тур і хеш вашої IP-адреси із сіллю — щоб не брати повторів і обмежувати кількість скарг з однієї адреси. Скарги зберігаємо рік від подання. У службовому сповіщенні власник сервісу отримує лише причину зі списку й технічний номер туру — без вашого опису й контакту, назви туру й посилання на нього.

2.12. Журнали збоїв

Якщо апка падає чи зависає, Firebase Crashlytics (сервіс Google) надсилає нам технічний звіт. У ньому:

• де в коді стався збій (стек викликів) і технічний текст помилки;
• версія апки; модель, виробник і тип процесора телефона, обсяг його пам'яті й сховища, версія Android, чи має телефон root-доступ і датчик наближення;
• стан телефона в цю мить: вільна пам'ять і місце, заряд батареї й чи телефон заряджається, орієнтація екрана, чи була апка на екрані;
• час збою;
• випадкові ідентифікатори встановлення й сеансу від Crashlytics і Firebase — щоб рахувати, скількох людей зачепив той самий збій.

Crashlytics також відмічає початок кожного сеансу роботи апки (коли її відкривають), щоб рахувати частку сеансів без збоїв. Від себе ми додаємо до звіту лише режим зйомки (фото чи відео).

Пошти, імені, ідентифікатора акаунта, назв турів, кадрів і посилань ми до звітів не додаємо. Звіти потрібні лише для того, щоб знаходити й виправляти збої. Для реклами чи аналітики поведінки ми їх не використовуємо, аналітики Firebase (Google Analytics) в апці нема. Google зберігає звіти 90 днів, після чого починає їх видаляти.

3. Чого ми не збираємо

• геолокацію — апка не просить дозволу на неї;
• звук — апка не просить дозволу на мікрофон;
• контакти, фото й файли з вашої галереї — апка працює лише з тим, що знімає сама;
• рекламний ідентифікатор. Реклами у Wanderspace нема, і ми не продаємо даних.

4. Навіщо ми використовуємо дані

• будувати тур із вашої зйомки, його версії й дозйомки і показувати тур за посиланням;
• вести акаунт і баланс хвилин, зараховувати покупки й бонуси, повертати хвилини за обробку, що зірвалася з нашої вини;
• повідомляти, що тур готовий;
• знаходити й виправляти збої та покращувати обробку — за службовою статистикою зйомки й обробки та журналами збоїв апки (розділ 2.12);
• захищати сервіс від зловживань (ліміти, повторне отримання безкоштовних хвилин, чужі покупки);
• відповідати на звернення й розглядати скарги;
• виконувати вимоги закону, зокрема щодо обліку покупок.

Підстави обробки (для користувачів у ЄС, ЄЕЗ, Великій Британії та там, де цього вимагає закон): виконання договору — наших Умов (зйомки, тури, акаунт, хвилини, покупки, сповіщення про тури); законний інтерес (безпека, запобігання зловживанням, діагностика, підрахунок глядачів); юридичний обов'язок (облік покупок); згода — дозволи Android на камеру й сповіщення, які можна відкликати в налаштуваннях телефона.

5. Хто ще обробляє дані

• Cloudflare — сервер, сховища й доставка сайту та турів. Зберігає всі дані, описані вище.
• RunPod — хмарні сервери з відеокартами, на яких зйомка перетворюється на тур. Вони отримують кадри, пози, параметри й статистику зйомки (у фото-режимі — ще показання давачів руху й час кадрів камери) лише на час обробки; тимчасові файли видаляються після кожної задачі, а самі сервери знищуються після роботи.
• Google — вхід через Google, сповіщення (Firebase Cloud Messaging), оплата й перевірка покупок (Google Play), повідомлення про підписки й повернення коштів (Google Cloud Pub/Sub), журнали збоїв апки (Firebase Crashlytics, розділ 2.12), ARCore на телефоні (розділ 13).
• Telegram — службові сповіщення власнику сервісу: про готовий тур чи збій обробки (кількість кадрів, час обробки, клас збою), про покупки й підписки (товар, кількість хвилин), про вхід на новому телефоні й видалення акаунта (кількість турів і хвилин), про скарги на тури (причина зі списку, кількість скарг), про звернення в підтримку (лише суть і строк — без імен, адрес і контактів). Тур чи обробку в цих сповіщеннях позначено лише технічним номером задачі чи туру, телефон чи акаунт — першими 8 символами ідентифікатора; назв турів, посилань на них, текстів помилок, описів і контактів скаржників, адрес email і кадрів там нема. Виняток — сповіщення безпеки про спроби входу в службову панель сервісу: вони можуть містити адресу Google-акаунта, з якого була спроба, країну, місто й пристрій (сам сервіс тримає ці дані не довше доби).
• Anthropic — модель Claude, яка від нашого імені читає листи на нашу пошту підтримки та службові сповіщення сервісів, щоб коротко викласти власнику сервісу їхню суть і строки (вона отримує текст листа й адресу відправника), а також до обробки зйомки автоматично перевіряє кілька її кадрів у зменшеному розмірі на заборонений вміст. Результат перевірки (категорія й номери кадрів, без самих кадрів) зберігаємо 90 днів. За умовами Anthropic для бізнесу ці дані не використовуються для навчання моделей.

Власник сервісу й люди, яким він доручив технічну роботу, можуть відкривати тури й зйомки, щоб перевірити якість, розібрати збій чи скаргу. Ми можемо розкрити дані, якщо цього вимагає закон, або щоб захистити права й безпеку людей. Ми не продаємо дані й не передаємо їх для реклами.

6. Хто бачить ваші тури

Кожен тур має коротке посилання (wanderspace.app/t/…). Хто має посилання, той бачить тур, його назву й обкладинку — без входу й без апки. Посилання важко вгадати, а запити до турів обмежені за частотою, тож коди не перебрати; але посилання можна переслати далі, а месенджери показують назву й обкладинку в картці посилання. Сторінки турів позначені для пошукових систем як такі, що не індексуються, проте посилання, опубліковане на відкритій сторінці, можуть побачити сторонні.

Посилання можна закрити або замінити новим — старе перестане працювати одразу; можна й видалити тур. Власник бачить свій тур і за закритим посиланням — через особисте посилання з апки, яке діє 2 години. Публічних галерей турів зараз нема; якщо з'являться — тур потрапить туди лише за вашим вибором. Копій, які інші вже зберегли (скриншоти, картки в месенджерах), ми видалити не можемо.

7. Скільки ми зберігаємо дані

8. Видалення даних

Тур видаляється в апці: відкрийте тур → значок кошика; посилання на нього перестає працювати одразу. Акаунт з усіма турами — «Профіль» → «Видалити мої дані»: посилання на тури перестають працювати одразу, решта даних стирається протягом 30 днів, невикористані хвилини зникають. Без апки — листом на support@wanderspace.app з адреси Google-акаунта, з яким ви входили. Що видаляється, а що лишається — на сторінці «Видалення акаунта й даних».

9. Безпека

Дані між апкою, сайтом і сервером передаються зашифровано (HTTPS). Сервери обробки беруть файли своєї задачі за службовим ключем. Токен покупки ми зберігаємо зашифрованим не довше 3 діб, а далі — лише як хеш; IP-адреси глядачів і скаржників — лише як хеш із сіллю. Запити до турів обмежені за частотою з однієї адреси (лічильники — за хешем IP, без зберігання), щоб коди посилань не можна було перебрати. Доступ до сховищ мають лише власник сервісу й люди, яким він доручив технічну роботу. Абсолютного захисту не буває; якщо станеться витік, що зачіпає ваші дані, ми повідомимо вас, а де цього вимагає закон — і наглядовий орган.

10. Передача в інші країни

Cloudflare, Google, RunPod, Telegram і Anthropic працюють у багатьох країнах, тож ваші дані можуть оброблятися за межами вашої країни, зокрема в США та ЄС.

11. Ваші права

Ви можете: дізнатися, які ваші дані ми маємо, й отримати їх копію; виправити неточні дані; видалити тур або акаунт; заперечити проти обробки на підставі законного інтересу чи попросити обмежити її; відкликати згоду (дозволи Android); поскаржитися до органу захисту персональних даних у вашій країні.

Пишіть на support@wanderspace.app — відповімо протягом 30 днів. Щоб захистити ваш акаунт, ми можемо попросити підтвердити, що він ваш, — наприклад, написати з адреси Google-акаунта, з яким ви входили в апку.

12. Діти

Wanderspace — для повнолітніх (від 18 років); молодші користуються ним лише з дозволу й під наглядом батьків чи опікунів (Умови, п. 2). Вік ми не перевіряємо. Ми свідомо не збираємо даних дітей до 13 років; якщо дізнаємося, що отримали такі дані, — видалимо їх. Якщо ви вважаєте, що дитина до 13 років передала нам свої дані, напишіть нам.

13. ARCore

Зйомка працює на Сервісах Google Play для AR (ARCore). ARCore обробляє зображення з камери й дані давачів руху на телефоні, щоб відстежувати положення телефона й оцінювати глибину. Карти глибини апка використовує лише на телефоні — щоб показати, що вже знято; у хмару вони не надсилаються. Функцій ARCore, які передають дані в хмару Google (Cloud Anchors, Geospatial API), апка не використовує.

14. Зміни політики

Якщо ми змінимо політику, оновимо дату вгорі сторінки. Про суттєві зміни — наприклад, нові види даних чи нових обробників — повідомимо в апці або на сайті заздалегідь.

15. Контакти

Софія Брагар, Україна. Пошта: support@wanderspace.app.

Політику складено українською та англійською; якщо версії розходяться, переважає українська.