Политика конфиденциальности — Листвия

В версии 1.0.1 появились аккаунт, платные функции с обработкой фотографий, ИИ-чат (сообщения уходят иностранному ИИ-провайдеру только после отдельного согласия) и серверные уведомления. Политика обновлена под них — что именно изменилось, описано ниже честно и по пунктам.

Коротко

• Бесплатная часть приложения работает офлайн. Коллекция растений, график ухода, журнал, фотографии журнала, дача и каталог хранятся только на твоём устройстве и на наши серверы не уходят — кроме того, что ты сам отправляешь ИИ-садовнику (раздел 3).
• Аккаунт не обязателен. Он нужен только для платных возможностей: хранит почту, статус подписки и лимиты. Без аккаунта приложение полностью работает.
• Платные функции с фотографиями отправляют снимок на сервер и дальше иностранному ИИ-провайдеру — только после твоего явного согласия и только в момент, когда ты сам нажал «распознать» или «уточнить по фото». Мы фотографии не сохраняем — ни на сервере, ни в базе, ни в логах. ИИ-провайдер хранит снимок ограниченное время — по его правилам до 30 дней — для контроля злоупотреблений и не использует для обучения (раздел 2). У нас остаётся только текстовый результат.
• ИИ-чат (Pro) отправляет сообщение, сведения о растениях (название вида, уход, заметки журнала, последний диагноз) и последние реплики переписки на сервер и дальше иностранному ИИ-провайдеру — только после отдельного согласия и только когда ты сам нажал «Отправить».
• Обезличенная статистика использования — без названий растений, заметок и фотографий.

1. Что хранится на устройстве, а что на сервере

Только на устройстве (не уходит никуда, кроме того, что ты сам отправляешь ИИ-садовнику, — раздел 3):

• коллекция растений: вид, прозвище, расположение и освещённость, параметры горшка;
• график ухода и отметки о поливе, подкормке, опрыскивании, пересадке, обрезке, лечении;
• журнал и прогресс-фотографии растений;
• культуры дачи и выбранный климатический регион;
• переписка с ИИ-садовником: история сообщений хранится на телефоне, на сервере её нет; при отправке нового сообщения последние реплики уходят вместе с ним (раздел 3).

Из этого списка в ИИ-чат уходит только то, что перечислено в разделе 3, и только в момент отправки сообщения: название вида и служебный номер растения (в том числе культур дачи), сколько дней прошло с полива, какие задачи ухода просрочены, до 3 последних заметок журнала, последний диагноз и последние реплики переписки. Прозвище растения уходит, только если оно есть в тексте твоего сообщения. Расположение, освещённость, параметры горшка, климатический регион и фотографии в чат не уходят никогда.

На сервере (только если ты создал аккаунт):

• адрес электронной почты и служебные данные аккаунта;
• служебный журнал входов в аккаунт: адрес почты, IP-адрес и время входов и других действий с аккаунтом (регистрация, смена пароля). Его ведёт сервис аутентификации для безопасности аккаунта; что с ним происходит при удалении аккаунта — в разделе 10;
• статус подписки, срок её действия и счётчики лимитов платных функций;
• согласия, которые ты дал (на отправку фотографий, на отправку сообщений ИИ-садовнику, на автосписание или разовую оплату), — с датой и версией текста; если ты отписался от писем о платных возможностях — дата отписки;
• журнал согласий с документами — когда ты отмечаешь галки согласия при создании аккаунта или после обновления документов, а при оформлении платной подписки — когда принимаешь публичную оферту кнопкой оплаты, сервер записывает: документ, его редакция и отпечаток текста этой редакции, дословная формулировка галки, время по часам сервера, IP-адрес, модель устройства (в приложении) или сведения о браузере (при оплате), платформа, версия приложения, а при оплате — номер счёта. Журнал нужен, чтобы подтвердить, что согласие действительно дано: доказать это обязан оператор (часть 3 статьи 9 Федерального закона № 152-ФЗ). Записи журнала не меняются и не удаляются; отзыв согласия добавляется отдельной записью «отозвано». Что с журналом при удалении аккаунта — в разделе 10;
• технические записи о вызовах ИИ: какая функция, сколько длилась, успешно ли, сколько стоила. Без текста запросов, без ответов и без фотографий — таких колонок в базе просто нет. Для ограничения частоты запросов отдельно отмечается время каждого нового запроса к ИИ — эти отметки стираются не позже чем через два часа;
• ответ ИИ — не дольше 15 минут, только чтобы повтор запроса после сбоя связи получил тот же ответ и не списал лимит второй раз; затем он стирается автоматически.

Без привязки к тебе (и без аккаунта в записи): когда в Pro ты подтверждаешь распознанный вид, сервер записывает только название вида, есть ли он в нашем каталоге, был ли он первым вариантом, и дату — без времени и без ссылки на тебя. По этим данным мы решаем, какие растения добавить в каталог.

Где находится сервер. Сервер и база данных находятся в России — в дата-центре Timeweb Cloud в Новосибирске. Резервные копии хранятся в зашифрованном виде в хранилище Timeweb Cloud в России. Приложение и сайт обращаются к серверу через наш домен api.listviaweb.ru; журнал обращений не ведётся; технические журналы ошибок сервера могут содержать IP-адрес и адрес запроса и хранятся не дольше 14 дней. Сайт listviaweb.ru журнал посещений тоже не ведёт; технические журналы ошибок сайта могут содержать IP-адрес и адрес запроса и хранятся не дольше 14 дней.

2. Фотографии

Фотографии бесплатной части — снимки для карточки растения и журнала прогресса — хранятся на твоём устройстве и в интернет не загружаются. Это не изменилось.

Фотографии платных функций — распознавание вида по фото и уточнение диагноза по фото — работают иначе, и это важно понимать до того, как ты ими воспользуешься:

• снимок отправляется на наш сервер, а оттуда — иностранному ИИ-провайдеру (OpenAI, США) для распознавания. Запросы к нему идут через наш сервер-посредник во Франкфурте (Германия) в зашифрованном виде — посредник их содержимое не видит и не хранит;
• мы снимок не сохраняем: ни в нашем хранилище, ни в базе, ни в логах — он проходит через сервер и не остаётся на нём. Остаётся только текстовый результат — предполагаемый вид или вероятная причина болезни: в приложении на твоём устройстве, а на сервере — ответ не дольше 15 минут, только для повтора после сбоя связи, и обезличенная отметка о подтверждённом виде (раздел 1);
• на стороне ИИ-провайдера снимок хранится ограниченное время: по правилам провайдера — до 30 дней, если закон не обязывает его хранить дольше. Это нужно провайдеру для контроля злоупотреблений, после чего снимок удаляется. Данные, переданные через программный интерфейс провайдера, не используются для обучения его моделей. Мы не можем отвечать за сроки и порядок хранения на стороне провайдера и поэтому не обещаем за него большего, чем он декларирует сам;
• перед первой такой отправкой приложение показывает отдельный экран согласия и ждёт твоего решения. Без согласия ни один байт фотографии никуда не уходит;
• согласие можно отозвать в любой момент в разделе «Профиль». После отзыва платные функции с фотографиями перестают работать, а всё остальное приложение продолжает работать как прежде;
• каждое согласие и каждый отзыв сервер записывает в историю согласий — со временем по часам сервера, а не телефона (согласия, данные до версии 1.0.1, перенесены в историю со временем, которое записало приложение), и с версией текста согласия, а отзыв добавляет в историю запись «отозвано» и прежние записи не стирает: история подтверждает, что снимки уходили провайдеру только по твоему согласию. История удаляется вместе с аккаунтом (раздел 10).

3. ИИ-чат-садовник

ИИ-чат — платная функция (Pro). Чтобы ответ был по делу, в момент, когда ты отправляешь сообщение, на наш сервер (раздел 1) и оттуда — иностранному ИИ-провайдеру (OpenAI, США) уходят (запросы к нему идут через наш сервер-посредник во Франкфурте (Германия) в зашифрованном виде — посредник их содержимое не видит и не хранит):

• само сообщение — до 2000 знаков. Если ты открыл чат из карточки растения, приложение может подставить в поле вопрос об уходе за ним — с прозвищем растения (или названием вида, если прозвища нет). Этот вопрос, как и любое сообщение, уходит, только если ты сам нажмёшь «Отправить»; перед отправкой его можно изменить или стереть;
• до 8 растений из твоей коллекции (в том числе культуры дачи): служебный номер растения — случайный, без привязки к тебе, — название вида, сколько дней прошло с полива, какие задачи ухода просрочены; если чат открыт из карточки растения — ещё и номер этого растения, чтобы ответ был про него;
• до 3 последних заметок журнала по каждому из этих растений;
• последний диагноз растения, если диагностика проводилась и если чат открыт из карточки растения;
• до 10 последних реплик этого разговора — твоих и ИИ-садовника — не старше суток.

Нашему серверу приложение дополнительно передаёт служебный номер запроса и время каждой реплики (чтобы отбросить реплики старше суток), а также данные входа в аккаунт — для проверки подписки и лимитов. Провайдеру уходят только перечисленные выше тексты: почта и идентификатор аккаунта провайдеру не передаются.

Перед первым сообщением приложение показывает экран отдельного согласия на чат и ждёт твоего решения. Без согласия приложение не отправляет ни сообщение, ни эти данные; если запрос всё же дошёл до сервера (например, согласие отозвано на другом устройстве), сервер его отклоняет, ничего не сохраняет и не передаёт провайдеру: сервер сам проверяет согласие перед каждым сообщением. Согласие можно отозвать в любой момент в разделе «Профиль» — после отзыва чат перестаёт работать, а всё остальное приложение работает как прежде. История этого согласия хранится так же, как у согласия на фотографии (раздел 2): время — по часам сервера, версия текста, отзыв — отдельная запись.

Эти данные собираются на устройстве в момент отправки и на нашем сервере не сохраняются: остаётся только обычная техническая запись о вызове — без текста сообщения, без растений и заметок (раздел 1); ответ ИИ хранится не дольше 15 минут, только для повтора после сбоя связи. На стороне провайдера действует то же, что для фотографий (раздел 2): ограниченный срок хранения и без обучения моделей. История переписки остаётся на телефоне; её можно удалить в самом чате.

Не пиши в чат персональные данные — имена, адреса, телефоны: ИИ-садовнику они не нужны, а сообщение уходит за пределы России. Если в прозвище растения есть имя человека, проверь подставленный вопрос перед отправкой.

4. Защита от повторного получения пробного периода

Пробный период Pro на 24 часа даётся один раз. Чтобы его нельзя было получать заново, удаляя и создавая аккаунты, мы храним хэш (SHA-256) адреса электронной почты, которому пробный период уже выдавался, и дату выдачи. Хэш считается от адреса, приведённого к единому виду: строчными буквами, без «+метки», для Gmail — без точек (адреса googlemail.com считаются адресами gmail.com), для адресов Яндекса — с единым доменом (точки в имени считаются дефисами). У пробных периодов, выданных до 25.09.2026, хранится и прежний хэш — адреса в нижнем регистре, без других преобразований. Сам адрес в этих записях не хранится, и с аккаунтом они не связаны. Хэши используются только для одного — чтобы не выдавать пробный период повторно — и не удаляются вместе с аккаунтом, иначе защита не работала бы. Эти записи хранятся 3 года с даты выдачи пробного периода и затем удаляются автоматически — не позже чем через месяц после окончания срока. Для пробных периодов, выданных до 25.09.2026, хэш в новом виде записан 25.09.2026, и его срок отсчитывается от этой даты. По хэшу нельзя получить список адресов, но можно проверить, выдавался ли пробный период уже известному адресу, поэтому мы считаем эти записи персональными данными и защищаем их так же, как остальные.

5. Обезличенная аналитика

В приложении — Yandex AppMetrica

Чтобы понимать, как улучшать приложение, мы используем сервис аналитики Yandex AppMetrica. Он собирает только обезличенные технические данные:

• какие экраны и функции открываются, частота и длительность использования;
• технические сведения об устройстве и версии приложения (модель, ОС, язык, примерный регион), идентификатор установки;
• из какого магазина установлено приложение (App Store / Google Play / RuStore).

Что в аналитику не попадает никогда: названия растений, заметки журнала, фотографии, тексты сообщений чату, пути к файлам и любые тексты, которые ты вводишь. Свойства событий — только числа, флаги и заранее заданные коды.

Начиная с версии 1.0.1 события с аккаунтом не связываются: ни почта, ни идентификатор аккаунта в аналитику не передаются — события различаются только идентификатором установки. Версия 1.0 передавала в AppMetrica идентификатор аккаунта (без почты), а без входа — анонимный идентификатор приложения; у тех, кто ещё не обновил приложение, так остаётся до обновления. Уже собранные так данные хранятся в AppMetrica по правилам хранения этого сервиса — отдельного срока для них Яндекс не публикует. Если хочешь их удалить, напиши в поддержку на адрес из раздела «Контакты» — мы передадим запрос на удаление в сервис аналитики. Рекламный идентификатор устройства (IDFA на iPhone, рекламный идентификатор Google на Android) приложение не собирает и не передаёт. Рекламных сетей и сторонних трекеров в приложении нет.

Политика конфиденциальности Yandex AppMetrica: https://yandex.ru/legal/confidential/

На сайте — Яндекс.Метрика

Страницы сайта listviaweb.ru используют счётчик Яндекс.Метрики. Он собирает обезличенную статистику посещений (какие страницы открывались, откуда пришёл переход, технические сведения о браузере), переходы по внешним ссылкам и карту кликов — в каких местах страницы нажимают, — чтобы мы видели, где людям неудобно. Вебвизор — запись действий на странице (движений курсора, прокрутки, ввода) — выключен: сеансы посетителей не записываются.

Данные банковской карты в эти записи не попадают: они вводятся на стороне Robokassa, а не на нашем сайте. Отказаться от сбора можно средствами браузера — блокировщиком или официальным дополнением Яндекса.

6. Уведомления

Локальные напоминания об уходе, об окончании пробного периода и подписки формируются и показываются на самом устройстве — данные о твоих растениях для этого никуда не отправляются.

Серверные push-уведомления (новости приложения, важные объявления) появились в версии 1.0.1. Для их доставки приложение регистрирует на сервере технический токен устройства, выданный сервисом Firebase Cloud Messaging (Google). Токен — это адрес доставки, он не содержит твоих данных и не связан с содержимым приложения. Если ты вошёл в аккаунт, токен связывается с ним, чтобы можно было прислать сообщение именно тебе (например, о статусе подписки). При удалении аккаунта связь токена с аккаунтом снимается, а сам токен остаётся адресом доставки для устройства, пока сервис доставки не сообщит, что он больше не действует (например, после удаления приложения). Отключить пуши можно в настройках устройства. Аналитических модулей Firebase в приложении нет — только доставка сообщений.

Для доставки push-уведомлений токен устройства и текст уведомления передаются сервису Google Firebase Cloud Messaging (США) — это трансграничная передача; на iPhone Google доставляет уведомление через службу push-уведомлений Apple (США). Твою почту и другие личные данные мы в тексты уведомлений не включаем.

7. Письма

Мы отправляем письма трёх видов:

• служебные — код подтверждения при регистрации и восстановлении пароля;
• о деньгах на твоей карте — предупреждение перед автоматическим списанием и чек об оплате (их требует закон), а также сообщение о том, что продлить подписку не получилось и автопродление снято. От них нельзя отписаться: они касаются уже оформленной оплаты;
• о платных возможностях — описание тарифа Pro (когда ты сам раскрываешь описание Pro в приложении) и напоминания о статусе триала/подписки. Это не реклама: письмо либо запрошено тобой самим действием в приложении, либо касается твоего собственного аккаунта, поэтому мы отправляем его без отдельного согласия. Отключить такие письма можно по ссылке в письме (она открывает страницу с кнопкой «Отписаться») или переключателем в Профиле → Приватность.

Мы не рассылаем по почте новости и рекламные акции — для этого в приложении есть отдельный новостной канал. Если это когда-нибудь изменится, на такую рассылку мы соберём согласие отдельно и заранее — тишина (отсутствие отказа) не считается согласием на рекламу.

Письма доставляет сервис Unisender Go (серверы в России) с нашего домена listviaweb.ru. Письма уходят без отслеживания: ни открытия писем, ни переходы по ссылкам не фиксируются.

8. Покупки и оплата

Рекламной сети в приложении нет. Платная подписка «Листвия Pro» оформляется отдельно; её условия — в публичной оферте «Листвия Pro».

• IP-адрес в момент оформления оплаты проверяется на принадлежность России: правила магазинов приложений разрешают продавать Pro только в РФ. Страна определяется по базе IP-адресов на нашем сервере: IP-адрес никому не передаётся. Этот IP-адрес сохраняется только в журнале согласий — вместе с записью о согласии с офертой и на обработку персональных данных (раздел 1). Сведения о странах — IP Geolocation by DB-IP (лицензия CC BY 4.0).
• Согласие на обработку персональных данных ты даёшь галкой при создании аккаунта (а если документы обновились — заново, на экране «Документы обновились» в приложении); оно же действует и для платной подписки: оплатить её можно только из аккаунта, где действует согласие с текущей редакцией документов. Условия публичной оферты «Листвия Pro» ты принимаешь нажатием кнопки оплаты — это фиксируется в журнале согласий.
• Оплата проходит через платёжного оператора Robokassa. Данные банковской карты (номер, срок действия, CVC) обрабатывает Robokassa — продавец их не видит и не хранит.
• Адрес электронной почты используется для отправки чека и уведомлений о статусе подписки, включая предупреждение перед автосписанием (см. публичную оферту «Листвия Pro»).
• История согласий на автосписания и история отписок от писем о платных возможностях (кто, когда) хранится на сервере — это подтверждение правомерности списания и добросовестности рассылки, если возникнет спор.
• Полные условия — в публичной оферте «Листвия Pro» и в Согласии на обработку персональных данных.

9. Дети

Приложение предназначено для взрослых любителей растений и садоводов и не адресовано детям. Мы сознательно не собираем данные о детях.

10. Твои права

Данные бесплатной части лежат на твоём устройстве — ими ты управляешь напрямую: меняешь и удаляешь внутри приложения, а удаление приложения стирает всё сразу.

Если ты создал аккаунт, дополнительно ты можешь:

• удалить аккаунт — в разделе «Профиль». Вместе с ним удаляются почта, статус подписки, история отписок, согласия на отправку фотографий и на ИИ-чат вместе с их историей; платёжные записи остаются обезличенными, а журнал согласий с документами — без почты, на 3 года (см. ниже). Растения и график на телефоне при этом остаются;
• отозвать согласие на отправку фотографий и на ИИ-чат — в «Профиле», в любой момент;
• отписаться от писем о платных возможностях — по ссылке в письме или переключателем в «Профиле»;
• отозвать согласие на обработку персональных данных — удалив аккаунт или письмом на адрес из раздела «Контакты» (подробно — в Согласии на обработку персональных данных, раздел 7);
• отменить подписку и автосписание — в любой момент, в приложении или по ссылке из письма о подписке; автосписания прекращаются немедленно, доступ сохраняется до конца оплаченного периода;
• запросить сведения об обработке своих данных — письмом на адрес из раздела «Контакты».

На запрос о твоих персональных данных — сведения об обработке, уточнение, удаление, отзыв согласия — ответим в течение 10 рабочих дней с даты его получения.

Исключения, о которых мы говорим прямо:

• хэш почты (раздел 4) — используется только чтобы не выдавать пробный период повторно и не удаляется вместе с аккаунтом; хранится 3 года с даты выдачи пробного периода;
• данные аналитики, собранные версией 1.0 вместе с идентификатором аккаунта (раздел 5), хранятся в AppMetrica и вместе с аккаунтом автоматически не удаляются — по запросу на адрес из раздела «Контакты» передадим в сервис аналитики запрос на их удаление;
• служебный журнал входов в аккаунт (раздел 1): при удалении аккаунта мы стираем из него записи о тебе там, где провайдер аутентификации это позволяет, но часть таких записей хранится у провайдера в течение срока, установленного его правилами, и вместе с аккаунтом автоматически не удаляется. По запросу на адрес из раздела «Контакты» в течение 10 рабочих дней расскажем, что осталось, и удалим то, что можно удалить;
• журнал согласий с документами (раздел 1) хранится, пока есть аккаунт. При удалении аккаунта в журнал добавляется запись «отозвано», после чего он хранится ещё 3 года без почты — только с идентификатором аккаунта, — чтобы подтвердить, что обработка шла по твоему согласию (часть 3 статьи 9 Федерального закона № 152-ФЗ). Затем журнал удаляется автоматически — не позже чем через месяц после окончания срока;
• записи об оплатах (сумма, тариф, дата, номер счёта), о твоём согласии на автосписание или разовую оплату и его отзыве (при удалении аккаунта с действующим автопродлением мы записываем отзыв), предупреждения перед списанием (сумма и дата), события доступа (выдан, продлён, снят, возврат) и служебный журнал сверки платежей не удаляются вместе с аккаунтом: они хранятся три года с даты платежа или записи — это срок, в который может понадобиться разобрать спор о платеже или вернуть деньги. Хранятся они без почты и без идентификатора аккаунта: при удалении аккаунта идентификатор из них убирается, а между собой записи связаны только номером счёта. Записи, которым к моменту удаления аккаунта уже больше трёх лет, удаляются автоматически в течение месяца, остальные — по истечении их трёх лет.

11. Важная оговорка о назначении

12. Изменения политики

Мы можем обновлять эту политику. Актуальная версия всегда доступна по адресу размещения (см. ссылку в магазине приложений). Существенные изменения мы отметим новой датой вступления в силу.

«Версия согласия» в начале документа — редакция условий, на которые ты соглашаешься при создании аккаунта. Она меняется, только если меняются цели обработки или состав данных, на которые давалось это согласие, — на такие изменения мы попросим согласие заново: приложение покажет экран «Документы обновились» и попросит отметить галки заново. Пока ты этого не сделал, аккаунтом пользоваться нельзя; выйти из аккаунта можно, а если ты не согласен с новой редакцией — можно удалить аккаунт прямо с этого экрана («Удалить аккаунт»); бесплатная часть приложения без аккаунта работает как прежде. Уточнения формулировок повторного согласия не требуют и меняют только дату вступления в силу. На отдельные виды обработки — отправку фотографий и ИИ-чат — приложение спрашивает отдельное согласие перед первым использованием (разделы 2 и 3).

13. Контакты

Оператор персональных данных:

ИП Кулицкий Алексей Николаевич, ИНН 320601741170, ОГРНИП 326320000050006

+7 980 299-56-65

По вопросам конфиденциальности: Forton Lab — support@listviaweb.ru.