Коротко: LoveClock оставляет ваши отношения вам. Если вы пользуетесь приложением в одиночку, всё, что вы вводите, остаётся на вашем устройстве и никуда не отправляется. Если вы решите связаться с партнёром, данные, которыми вы делитесь, шифруются на вашем телефоне до отправки, и наш сервер хранит только зашифрованные данные, которые не может прочитать. Ни аккаунта, ни аналитики, ни рекламы, ни слежки, ни доступа к геолокации.
LoveClock в одиночку (по умолчанию)
LoveClock полностью работает без связи с партнёром. Дата начала отношений, дата свадьбы, если вы её укажете, вехи, отсчёты до встреч, планы, моменты из «Нашей истории» и настройки тем хранятся локально на вашем iPhone или iPad средствами Apple. В одиночном режиме приложение не обращается к нашему серверу, и ничто из введённого вами не покидает устройство.
Связь с партнёром (по желанию)
Вы можете связаться с одним партнёром по короткому коду или ссылке-приглашению. Связь устроена так, что мы не можем прочитать то, чем вы делитесь:
- Код связи не покидает ваши телефоны. Есть одно исключение: необязательная копия в iCloud, которая держит его ещё и в вашей личной связке ключей iCloud, а её Apple защищает сквозным шифрованием, так что прочитать код мы тоже не можем. Ключ шифрования выводится из кода на ваших устройствах, а наш сервер видит только односторонний отпечаток кода, который служит адресом комнаты.
- Всё, что синхронизируется (даты, вехи, встречи, планы), шифруется на вашем устройстве до отправки. Сервер хранит только этот шифртекст и не может его расшифровать.
- Аккаунтов нет. Ваши устройства авторизуются случайным секретом, своим у каждого; мы никогда не спрашиваем имя, адрес почты или номер телефона.
Что хранит наш сервер, когда вы в паре
Когда (и только когда) вы в паре, наш сервер держит такие данные:
- Запись о комнате: хешированный адрес комнаты, хешированные учётные данные устройств и счётчик версий. Никакого читаемого содержимого.
- Ваши зашифрованные записи: описанные выше данные со сквозным шифрованием, хранятся до 400 дней после последнего обновления. Комната, которую создали, но в которую никто не вошёл, удаляется через 15 минут.
- Пуш-токен: токен уведомлений Apple вашего устройства, нужен только для доставки обновлений синхронизации и касаний, хранится до 90 дней. Это единственные данные на сервере, которые не зашифрованы, потому что Apple нужен читаемый токен, чтобы направлять уведомления.
- Зашифрованные снимки (в пути): отправленный вами снимок шифруется на устройстве свежим одноразовым ключом до загрузки, а сам ключ ездит только внутри ваших записей со сквозным шифрованием, поэтому файл фото на нашем сервере для нас нечитаем. Файлы удаляются автоматически примерно за сутки, а одноразовый ключ уничтожается на ваших устройствах, когда снимок исчезает, из-за чего остатки шифртекста навсегда теряют смысл. Важны обе половины: короткое нечитаемое хранение у нас и стирание ключа у вас.
- Зашифрованные голосовые (в пути): голосовое устроено ровно так же, как снимок: шифруется на вашем устройстве своим одноразовым ключом, нечитаемо для нас по дороге, удаляется у нас примерно за сутки и навсегда теряет смысл, когда ключ стирается у вас. Звук расшифровывается только в памяти телефона и никогда не пишется в его хранилище, если вы сами не решите его сохранить.
Разрыв пары убирает ваше устройство из комнаты, а остальное само устаревает по срокам выше.
Уведомления и касания
Напоминания о годовщинах и вехах планирует iOS локально на вашем устройстве, без участия сервера. Когда вы в паре, обновления синхронизации приходят тихими пушами, а касание партнёра показывает один и тот же общий баннер. Записка, приложенная к касанию, защищена сквозным шифрованием, как и всё остальное, и показывается на экране партнёра на время, а не сохраняется. Со снимком то же самое: он виден около 20 минут после того, как партнёр его откроет, а потом стирается, если партнёр специально не решит его сохранить. Если он сохранит присланный вами снимок, вы об этом узнаете, а сохранённый снимок остаётся на его телефоне, и оттуда его можно перенести куда угодно. Единственное исключение: снимок, сохранённый при жалобе на него нам. Такое сохранение проходит молча, чтобы жалоба никогда не выдавала себя тому, на кого жалуются. Мы не видим снимки и не можем помешать телефону сделать скриншот; исчезновение остаётся обещанием между вами двоими, а не технической невозможностью.
Голосовое подчиняется тем же правилам, с одной разницей, которую стоит назвать прямо: его двадцать минут начинаются, когда партнёр прослушает его, а не когда оно появится. Голосовое, которое просто лежит на экране, партнёру ни о чём не говорит, поэтому было бы нечестно запускать часы до того, как он успел его послушать. Голосовое, которое так и не прослушали, стирается автоматически через сутки после отправки. Голосовые никогда не воспроизводятся сами, ни из уведомления, ни при получении, и услышать их мы можем не больше, чем увидеть снимок.
Что никогда не синхронизируется
Делиться можно выборочно: встречи и планы, которые вы оставили себе, остаются на вашем телефоне, даже когда вы в паре. Настройки тем и анимаций, выбранный виджет и чеки о покупках никогда не покидают устройство. Если вы в паре, один зашифрованный флаг «да/нет» сообщает партнёру о вашем статусе Premium, чтобы одна подписка покрывала обоих; больше он не раскрывает ничего.
Если вы потеряли устройства
Поскольку у нас никогда нет вашего кода связи и ключа шифрования, восстановить данные с сервера мы не можем. Если вы включили необязательную копию в iCloud, новое или переустановленное устройство с входом в ваш аккаунт iCloud может предложить вернуть пару из вашей личной связки ключей iCloud, и этот путь идёт целиком между вашими устройствами и Apple. Без такой копии потеря обоих телефонов означает, что зашифрованные данные устареют непрочитанными. Это осознанный размен: именно это свойство и не даёт нам читать ваши отношения.
То же верно для фото, голосовых и записок, которые вы сохранили: они живут на вашем телефоне и вообще не доходят до наших серверов. По желанию можно включить копию в iCloud, один переключатель сразу и для пары, и для содержимого, который копирует ваши даты, моменты, планы и сохранённое памятное в ваш собственный iCloud Drive. Каждый файл сначала шифруется на вашем устройстве, а ключ хранится только в вашей связке ключей iCloud, поэтому копия нечитаема и для нас, и для Apple. То, что прислал партнёр и что вы не сохранили, в копию не попадает никогда. Оно остаётся таким же временным, каким и задумано. Если выключить копию, она удаляется.
Поставщики услуг
Сервер синхронизации работает на Cloudflare (Workers, KV и Durable Objects), который по нашему поручению хранит описанный выше шифртекст и пуш-токены. Уведомления доставляются через Apple Push Notification service. Ни тот, ни другой не получают от нас читаемых данных об отношениях.
Аккаунт не нужен
Всеми возможностями, включая связь с партнёром, можно пользоваться без создания аккаунта, без входа и без адреса почты. Стены с логином нет.
Ни аналитики, ни рекламы, ни сторонней слежки
В LoveClock нет рекламы, нет SDK аналитики и телеметрии и нет сторонних трекеров. Мы не строим ваш профиль и не передаём данные рекламодателям и брокерам данных.
Никакого отслеживания геолокации
LoveClock никогда не запрашивает и не использует вашу геопозицию. Отсчёты до встречи учитывают часовые пояса, но это считается на вашем устройстве из выбранных вами дат и зон. Мы не отслеживаем, где вы или ваш партнёр.
Дети
LoveClock рассчитан на широкую аудиторию и не собирает сознательно никакой личной информации ни у кого, включая детей.
Изменения в этой политике
Если политика изменится, мы обновим эту страницу и дату выше. Продолжая пользоваться приложением после обновления, вы принимаете новую редакцию.
Связаться
Вопросы о вашей приватности? Напишите на pawels.apps@gmail.com.