Политика конфиденциальности Astrafel

Действует с 9 октября 2026 года.

Astrafel — приложение для iPhone со звёздными портретами, натальной картой и прогнозами для кошек и собак. Здесь написано, какие данные использует приложение, куда они уходят, сколько хранятся и как их удалить.

Коротко

• Регистрации и аккаунтов нет. Мы не знаем вашего имени, почты и телефона.
• Имя питомца, дата, время и место рождения и фото профиля хранятся только на вашем телефоне, а если вы включили синхронизацию, — ещё в вашем iCloud. Нам они недоступны.
• Фото для звёздного портрета уходит в Anthropic (модель Claude) только с вашего согласия — обрезанным по питомцу и с закрытыми лицами людей.
• Персональные прогнозы пишет Claude по знакам планет в карте питомца — только с вашего разрешения и без имени, фото и места.
• Статистика использования уходит в PostHog, только если вы её разрешили, и без данных, по которым можно узнать вас.
• Рекламы, трекинга и продажи данных нет. Рекламный идентификатор (IDFA) не используется; RevenueCat получает идентификатор для поставщика (IDFV) — для учёта покупок.
• Удалить данные можно в приложении: Настройки → «Удалить мои данные».

1. Кто отвечает за данные

Оператор (контролёр) данных — Arvids Kapusta, Даугавпилс, Латвия (дальше — «мы»).

Почта для вопросов о данных и поддержки: bonis22311@gmail.com.

Политика и условия использования опубликованы на astrafel.app/privacy и astrafel.app/terms и есть в самом приложении.

2. Что остаётся на вашем телефоне

• Профиль питомца: имя, вид, дата рождения, время и место рождения (если вы их указали), фото профиля, ответы на вопросы о характере.
• Звёздные портреты и прогнозы, которые вы уже получили, и настройки приложения.
• Натальную карту приложение считает на телефоне и не хранит.

Профиль питомца не уходит ни нам, ни нашим поставщикам; что уходит для портретов и прогнозов, описано в разделе 3, а коды для статистики (вид, знак, ответы о характере — если вы её разрешили) — в разделе 7. Если в настройках включена «Синхронизация iCloud» (по умолчанию она выключена), профиль и портреты хранятся ещё и в приватной базе iCloud вашего Аккаунта Apple. Доступ к ней есть только у вас, хранит её Apple.

Проверку фото — есть ли на нём кошка или собака и не занимает ли человек заметную часть кадра — приложение делает на телефоне; там же закрываются попавшие в кадр лица людей (раздел 4). Город рождения ищет служба карт Apple: введённый текст обрабатывает Apple, нам он не передаётся.

3. Что уходит с телефона и кому

Наш сервер

Сервер работает на Supabase: база данных и функции сервера — в ЕС (Франкфурт), запросы к нему проходят через сеть Cloudflare. На сервере хранится:

• Служебные номера. Случайный номер устройства и случайный номер покупателя, который объединяет до 5 ваших устройств с одним Аккаунтом Apple, а также номер покупателя для RevenueCat. Их выдаёт сервер; вашего имени и данных Аккаунта Apple мы не знаем.
• Данные проверки подлинности (Apple App Attest). Открытый ключ, которым приложение подписывает запросы, версия приложения и оценка Apple, сколько раз приложение регистрировалось на этом устройстве за 30 дней.
• Хэш секрета покупателя. Сам секрет приложение создаёт и хранит в Связке ключей и в iCloud вашего Аккаунта Apple — так Премиум и бесплатный портрет узнаются после переустановки и на втором iPhone. На сервере — только хэш.
• Статус подписки: активна ли, какой тариф, до какого числа, тестовая ли покупка, и ключ подписки — номер транзакции App Store этой подписки. По нему лимиты Премиума считаются на подписку, и перенос подписки на другого покупателя через «Восстановить покупки» их не обнуляет.
• Отметки: использован ли бесплатный портрет, были ли нарушения лимитов. До двух суток после бесплатного портрета — номер его текста и хэш (SHA-256) запроса, по которому фото не восстановить: если ответ потерялся в сети, повтор того же запроса в течение суток вернёт тот же портрет.
• Персональные прогнозы. Для прогноза — только с вашего разрешения (раздел 5) — приложение отправляет случайный номер питомца (не имя), вид, язык, знаки планет (и ретроградна ли планета, точно ли известен её знак) и асцендента в карте, транзиты (какая планета к какой точке карты, вид аспекта, орбис в целых градусах и дата, когда аспект точный), коды черт характера. Питомцу, чей знак определён по характеру, — только знак, транзиты к нему и коды черт, без карты. Знаки, транзиты и коды черт сервер не хранит: в кэше прогнозов остаются только номер питомца, хэш (SHA-256) запроса — чтобы узнать уже написанный прогноз — и готовый текст прогноза.
• Счётчики и статистика использования: сколько запросов, портретов и прогнозов было за минуту и за сутки, сколько раз сработали лимиты, во сколько обошлись запросы к ИИ.
• Созданные тексты портретов и прогнозов — без номеров устройства и покупателя — и жалобы на них из «Сообщить о проблеме» (только код причины).
• Псевдоним IP-адреса — подробнее в разделе 6.

Сервер не хранит фото, имя питомца, дату, время и место рождения.

Anthropic (модель Claude)

Anthropic, разработчик модели ИИ Claude, получает от нашего сервера:

• для звёздного портрета по фото — фото питомца (только с вашего согласия, раздел 4), вид, коды знака Солнца, его стихии и черт характера, язык ответа; знаки Луны и асцендента для портрета не отправляются;
• для персонального прогноза — данные для прогнозов из списка выше (только с вашего согласия, раздел 5), но без номеров устройства, покупателя и питомца;
• готовые тексты Claude — перед показом их проверяет ещё один запрос к Claude (модерация).

Наши служебные номера Anthropic не получает.

RevenueCat

RevenueCat обрабатывает покупки: получает сведения о подписках из App Store и номер покупателя, который выдал наш сервер. Библиотека RevenueCat в приложении также передаёт RevenueCat технические данные: идентификатор для поставщика (IDFV — номер, который Apple выдаёт приложению на этом устройстве; это не рекламный идентификатор), модель iPhone, языки системы, версии приложения и iOS, страну App Store (витрину) и IP-адрес. Платёж проводит Apple. Данные банковской карты, ваше имя и почту Аккаунта Apple ни мы, ни RevenueCat не получаем.

PostHog

Анонимная статистика — только если вы её разрешили (раздел 7).

Apple

• App Attest — проверка подлинности приложения; Apple сообщает серверу, сколько раз приложение регистрировалось на устройстве.
• App Store — покупки и подписки.
• iCloud — синхронизация (если включена) и хранение секрета покупателя.
• Служба карт — поиск города рождения.

Apple обрабатывает эти данные как самостоятельный оператор по своей политике конфиденциальности.

Cloudflare

Бесплатные прогнозы по знаку приложение скачивает файлами из хранилища Cloudflare R2. В адресе файла — только язык, вид, знак и месяц.

Почта поддержки

Если вы напишете нам, письмо придёт в почтовый ящик Gmail (Google). Мы используем переписку только для ответа и удалим её по вашей просьбе.

4. Фото и Anthropic

Фото уходит, только если вы нажали «Разрешить» на экране «Анализ фото ИИ». До отправки приложение:

• проверяет, что на фото кошка или собака; фото, где человек занимает заметную часть кадра, отклоняются на телефоне;
• обрезает фото по питомцу и закрывает попавшие в кадр лица людей;
• уменьшает фото и удаляет из файла метаданные (EXIF, геометки); сервер удаляет их ещё раз.

Сервис не описывает людей. Знак зодиака по фото не определяется: Claude смотрит на окрас, выражение мордочки и позу и пишет текст портрета.

Мы фото не сохраняем. Anthropic не использует его для обучения и автоматически удаляет в течение 30 дней; дольше, до 2 лет, — только если автоматические системы безопасности пометят запрос.

Наш сервер держит фото только в памяти, пока идёт запрос. Согласие можно отозвать в любой момент: Настройки → «Анализ фото ИИ» → «Отозвать согласие». Без согласия доступен «портрет по звёздам» — по знаку и ответам о характере, без фото и ИИ.

5. Персональные прогнозы

Персональные прогнозы пишет Claude (Anthropic) по положениям планет в карте питомца — без имени, фото и места; по ним можно восстановить дату рождения питомца, а если указано время — приблизительно и время рождения.

Данные для прогнозов уходят, только если вы нажали «Разрешить» на экране «Персональные прогнозы ИИ»: он появляется перед первым персональным прогнозом, отдельно от согласия на анализ фото. Уходят только коды, например знаки планет и асцендента в карте (с отметкой, ретроградна ли планета и точно ли известен её знак), аспекты планет к ним в дни прогноза, вид, язык и черты характера (раздел 3). Градусы планет, дата, время и место рождения не отправляются, но по знакам планет и датам транзитов дату рождения можно вычислить. Питомцу, чей знак определён по характеру, прогноз пишется по знаку и ответам о характере, без даты рождения.

Без разрешения вы видите общий прогноз по знаку, остальное в Премиуме остаётся; разрешить можно позже кнопкой «Разрешить персональные прогнозы» на экране прогноза. Отозвать согласие можно в любой момент: Настройки → «Персональные прогнозы ИИ» → «Отозвать согласие». Тогда новые запросы не отправляются, а уже полученные прогнозы останутся на телефоне. Anthropic не использует эти данные для обучения и автоматически удаляет их в течение 30 дней; дольше, до 2 лет, — только если автоматические системы безопасности пометят запрос. Готовый прогноз наш сервер хранит до 15 дней (раздел 9).

Под каждым персональным прогнозом есть пометка «Текст создан Claude (Anthropic) по карте питомца». Бесплатная версия персональных прогнозов не запрашивает: бесплатный прогноз по знаку приходит готовым файлом (раздел 3, Cloudflare).

6. IP-адрес и журналы хостинга

Любой запрос в интернет приходит с IP-адреса. Как мы с ним обращаемся:

• Наш сервер не хранит IP в открытом виде. Для защиты от массовых атак он заменяет IP псевдонимом на ключе, который меняется каждые сутки и удаляется из рабочей базы через 48 часов, а из резервных копий базы — в течение 7 дней. После этого псевдоним нельзя связать с адресом.
• Хостинг (Supabase) хранит технические журналы запросов с IP-адресом и приблизительным местоположением, определённым по IP, до 7 дней — для безопасности и работы сервиса.
• Хостинг (Supabase) также делает ежедневные резервные копии базы. Они хранятся до 7 дней и нужны только для восстановления после сбоя.
• Cloudflare — сеть перед нашим хостингом и сеть доставки бесплатных прогнозов — тоже обрабатывает запросы с IP-адресом и хранит свои технические данные по своим правилам.
• Наш сайт astrafel.app, где опубликованы политика и условия использования, размещён на Cloudflare Pages. Он не использует cookie и аналитику и ничего не загружает с других сайтов. Cloudflare получает IP-адрес с каждым запросом страницы и хранит технические журналы по своим правилам.

7. Анонимная статистика

При первом запуске приложение спрашивает, можно ли собирать анонимную статистику. Только если вы нажали «Разрешить», события уходят в PostHog (серверы в ЕС). В них есть:

• какие экраны открываются и какие кнопки нажимаются — шаги первого запуска, открытые планеты карты, карточка для шаринга, запрос оценки, удаление данных; сколько раз запускалось приложение, сколько длились шаги и показ экрана оплаты, сколько приложение пробыло в фоне (диапазонами, а не точное время);
• о питомце: вид и знак; указаны ли дата, время и место рождения (без самих значений) и откуда взят часовой пояс — по месту рождения или с телефона; особенности расчёта карты — известно ли время рождения, близки ли Солнце и Луна к границе знака, пришлось ли считать дома особым способом (так бывает для мест за полярным кругом); итог проверки фото на телефоне (подошло, нет кошки или собаки, в кадре человек, не читается, пропущено); если в день рождения Солнце сменило знак — что вы ответили: питомец родился до этого момента, после или вы не знаете;
• ответы на вопросы о характере, в том числе в тесте (коды вопроса и выбранного варианта, без текста); какие вопросы теста пройдены, знак, который он подобрал, и учитывалось ли время года рождения;
• экран оплаты и покупки: показы, выбранный тариф, цена и валюта покупки, итог покупки и восстановления покупок;
• решения на экранах согласия и изменения настроек (синхронизация iCloud, согласия на ИИ, статистика); итог запросов портретов и прогнозов (готово, по знаку или причина неудачи — например, нет питомца или человек на фото, лимит, нет сети) и время ответа диапазоном; жалобы на тексты — только код причины;
• общие сведения: версия приложения, язык интерфейса, есть ли Премиум, число питомцев;
• у каждого события — время и номер события. Больше ничего не добавляется: приложение убирает модель устройства, версию системы, часовой пояс и другие технические сведения, которые библиотека PostHog добавила бы сама. PostHog также видит IP-адрес запроса (не сохраняет, см. ниже) и название и версию библиотеки в заголовке запроса.

Как устроена статистика:

• События отправляются под случайным номером статистики — это «ID статистики» на экране «Удалить мои данные». С номерами устройства и покупателя на нашем сервере и с RevenueCat он не связывается.
• В статистику не попадают имя питомца, фото, тексты, даты и места рождения.
• IP-адрес PostHog по нашей настройке не сохраняет и местоположение по нему не определяет; приложение к тому же в каждом событии просит PostHog не определять место по IP.
• До вашего решения события копятся только в памяти телефона; если вы отказались, они стираются.
• Передумать можно в любой момент: Настройки → «Анонимная статистика». После выключения больше ничего не отправляется: ещё не отправленные события ждут на телефоне и уйдут, только если вы снова включите статистику.
• События хранятся не дольше 1 года.

Независимо от этого выбора наш сервер всегда считает обращения к нему — это счётчики и статистика из раздела 3. Без них нельзя ограничить злоупотребления и следить за расходами на ИИ. Они хранятся под служебными номерами устройства и покупателя, без имени, фото и текстов.

8. Зачем мы используем данные и на каком основании

Для пользователей из ЕЭЗ, Великобритании и Швейцарии — основания по GDPR и UK GDPR:

• Работа приложения и подписки — портреты, прогнозы, покупки, Премиум на всех ваших устройствах (служебные номера, кэш прогнозов, статус подписки, сведения о покупках в RevenueCat): исполнение договора с вами (ст. 6(1)(b)).
• Защита от злоупотреблений и безопасность — проверка подлинности App Attest, лимиты, отметки о нарушениях, псевдоним IP, журналы хостинга: наш законный интерес (ст. 6(1)(f)) — сервис должен оставаться доступным, а атаки не должны расходовать бюджет на ИИ.
• Серверная статистика и качество текстов — счётчики использования, расходы на ИИ, жалобы на тексты: наш законный интерес — понимать нагрузку и расходы и исправлять плохие тексты.
• Отправка фото в Anthropic: ваше согласие (ст. 6(1)(a)).
• Отправка данных карты в Anthropic для персональных прогнозов: ваше согласие (ст. 6(1)(a)).
• Анонимная статистика PostHog: ваше согласие (ст. 6(1)(a)).
• Ответы на письма: наш законный интерес — ответить на ваш вопрос.

Согласие можно отозвать в любой момент; это не отменяет законности обработки до отзыва. Против обработки на основании законного интереса можно возразить (раздел 11).

9. Сколько хранятся данные

На нашем сервере:

• служебные номера, данные App Attest, хэш секрета покупателя, статус подписки (вместе с ключом подписки) и отметки — пока вы не удалите данные (раздел 10);
• кэш персональных прогнозов — 8 дней для дневных и 15 дней для недельных;
• случайные номера питомцев — 90 дней с последнего прогноза;
• статистика использования по устройству — 90 дней, расходы на ИИ по покупателю — 30 дней;
• счётчики лимитов — 2 дня, записи о превышении лимитов — 90 дней; сниженный лимит после повторных нарушений действует 30 дней;
• созданные тексты и жалобы на них — 30 дней;
• псевдоним IP и записи с ним — до 48 часов;
• резервные копии базы — до 7 дней: удалённые из базы данные исчезают из них с истечением срока;
• после удаления данных — номер покупателя RevenueCat в очереди на удаление в RevenueCat (только номер и даты): пока мы не удалим данные в RevenueCat (в течение 30 дней), и ещё 30 дней после этого.

У поставщиков:

• Anthropic — до 30 дней, помеченное системами безопасности — до 2 лет;
• журналы хостинга (Supabase) — до 7 дней; технические данные Cloudflare — по правилам Cloudflare;
• хостинг сайта astrafel.app (Cloudflare Pages) — технические журналы по правилам Cloudflare (раздел 6);
• PostHog — не дольше 1 года;
• RevenueCat — пока вы не удалите данные; после удаления мы стираем их у RevenueCat в течение 30 дней;
• Apple — по правилам Apple.

10. Удаление данных

Настройки → «Удалить мои данные». Экран заранее показывает, что удалится сразу и что позже.

Удаляется сразу:

• на нашем сервере — покупатель целиком со всеми устройствами (в том числе другими iPhone с тем же Аккаунтом Apple), питомцы, кэш прогнозов, статистика, статус подписки, счётчики и отметки лимитов устройства и покупателя;
• профили питомцев и портреты в вашем iCloud;
• профили, портреты и прогнозы на этом телефоне;
• номер статистики PostHog сбрасывается, а вместе с ним и решение о статистике: пока вы снова её не разрешите, новое не отправляется, а новые события не связаны с прежними. Если статистика была включена, события, уже ждущие отправки на телефоне (в том числе само удаление), уходят под прежним номером; если выключена — неотправленные события стираются.

Секрет покупателя приложение тоже стирает — в Связке ключей этого телефона и в iCloud. Если он остался в Связке ключей другого вашего iPhone, с удалёнными данными он больше не связан: при следующем запросе тот iPhone зарегистрируется заново как новый покупатель. Чтобы удалить и его данные, нажмите «Удалить мои данные» и на нём.

Хранится и удаляется позже:

• у Anthropic — до 30 дней, помеченное — до 2 лет; удалить раньше нельзя;
• созданные тексты без номеров устройства и покупателя и жалобы на них — до 30 дней;
• журналы хостинга (Supabase) — до 7 дней; технические данные Cloudflare — по правилам Cloudflare;
• резервные копии базы (Supabase) — до 7 дней; они нужны только для восстановления после сбоя;
• псевдоним IP и записи с ним — не дольше 48 часов;
• счётчики лимитов, привязанные к хэшу ключа подписки, — до 2 дней, записи о превышении — до 90 дней; кнопка их не удаляет, иначе удаление обнуляло бы лимиты подписки; с устройством и покупателем они больше не связаны;
• анонимные события PostHog — до конца срока хранения (раздел 9). Чтобы удалить их раньше, до удаления скопируйте «ID статистики» с экрана «Удалить мои данные» и пришлите его на bonis22311@gmail.com: мы попросим PostHog удалить их, а если это технически невозможно, они удалятся по истечении срока хранения;
• данные в RevenueCat — мы удаляем их вручную в течение 30 дней; до этого и ещё 30 дней после на нашем сервере остаётся только номер покупателя RevenueCat в очереди на удаление.

Подписка при удалении данных не отменяется и не теряется: отменяют её в настройках Аккаунта Apple, а чтобы вернуть Премиум после удаления, нажмите «Восстановить покупки».

Если вы удалили приложение, не нажав «Удалить мои данные», данные на сервере остаются под служебными номерами. Установите приложение снова: если секрет покупателя сохранился в Связке ключей или в iCloud, приложение узнает покупателя, и кнопка «Удалить мои данные» удалит с сервера всё, что описано выше.

11. Ваши права

Вы вправе узнать, какие данные о вас есть, и получить их копию, исправить их, удалить, ограничить обработку, возразить против обработки на основании законного интереса, получить данные в машиночитаемом виде, отозвать согласие и пожаловаться в надзорный орган по защите данных своей страны.

Многое можно сделать прямо в приложении: удалить данные, отозвать согласие на анализ фото и на персональные прогнозы, выключить статистику и синхронизацию iCloud, изменить или удалить профиль питомца. С остальным напишите на bonis22311@gmail.com — ответим в течение месяца.

Мы не знаем, кто вы: аккаунта нет, а на сервере — только случайные номера. Поэтому по письму мы можем не найти ваши данные. Для событий статистики приложите «ID статистики» с экрана «Удалить мои данные»; если вы просите их удалить, мы попросим об этом PostHog, а если это технически невозможно, они удалятся по истечении срока хранения. Если опознать вас нельзя, доступ к данным, их копию и исправление мы предоставить не сможем (статья 11 GDPR); удалить данные с сервера вы всегда можете кнопкой в приложении.

12. Дети

У Astrafel рейтинг 4+: содержание подходит для любого возраста. Но приложение не создано для детей и не направлено на детей младше 13 лет. Мы сознательно не собираем данные детей: приложение не спрашивает имя, возраст и почту, а фото, где человек занимает заметную часть кадра, отклоняются. Если вы считаете, что ребёнок передал нам данные, напишите нам — поможем их удалить.

13. Передача данных за пределы ЕС

База данных и функции нашего сервера (Supabase, Франкфурт) и PostHog — в ЕС. Anthropic и RevenueCat — компании из США, Cloudflare обрабатывает запросы в разных странах, письма в поддержку хранит Gmail — сервис Google, компании из США. Когда данные из ЕЭЗ, Великобритании или Швейцарии уходят в страну без решения о достаточной защите данных, передача опирается на стандартные договорные условия Европейской комиссии (для Великобритании — с британским дополнением) в договорах об обработке данных с поставщиками или на участие поставщика в EU–U.S. Data Privacy Framework.

Мы передаём данные только поставщикам, которые по договору обязаны защищать их не хуже, чем описано здесь, и использовать их только для работы Astrafel. Apple обрабатывает данные как самостоятельный оператор по своей политике.

14. Как защищены данные

• Все запросы идут по HTTPS. Запросы к серверу подписаны ключом App Attest этого устройства, поэтому их нельзя подделать с другого устройства.
• База данных закрыта от прямого доступа из интернета: с ней работают только функции сервера.
• На сервер уходит только необходимое: без имени, координат, даты рождения в явном виде и свободного текста.

15. Изменения политики

Новую редакцию мы публикуем здесь и в приложении с новой датой в начале документа. О существенных изменениях — например, о новом получателе данных или новой цели — сообщим в описании обновления в App Store. Если для новой обработки нужно согласие, попросим его до её начала.

16. Контакты

Arvids Kapusta, Даугавпилс, Латвия.
Почта: bonis22311@gmail.com.