Приватність

Хто відповідає

Контролером даних, описаних тут, у розумінні GDPR, є:

Контролер

Small Victories - BE 0793.301.929

Юридична адреса

Mellestraat 303, 9090 Merelbeke-Melle.

Пошта

hello@rilotalk.com

Що ми тримаємо

Повний список, таблиця за таблицею і стовпець за стовпцем, лежить на технічній сторінці. Він згенерований з того самого файлу, який запускає сервер, тож розійтися вони не можуть. Він короткий, бо сервер знайомить, а не переказує. Він зводить два пристрої одне з одним і потім відходить убік.

Випадковий ідентифікатор облікового запису

Створений на пристрої. Він не походить ні від твого імені, ні від номера телефона, ні від чогось про тебе, і це єдине ім’я, під яким сервер тебе знає.

Відкритий ключ

Відкрита половина пари ключів, яку зробив і тримає твій пристрій. Саме вона дає іншому телефону впевненість, що він справді говорить з тобою.

Жодних імен

На нашому сервері немає стовпця з іменем ніде, ні для дорослих, ні для дітей. Імена й обличчя обирають на кожному телефоні, і вони їдуть прямо між задіяними телефонами, всередині QR-коду або запечатані так, що відкрити їх може лише інший телефон. Ми не змогли б сказати тобі, як твоя дитина називає свою бабусю.

Пуш-токен

Адреса, якою Apple або Google будить твій телефон на вхідний дзвінок. Її видають вони, а не ми, і вона змінюється сама.

Опікуни й знайомства, що тривають

Те, що в облікового запису є опікун. І, лише поки знайомство не завершене, два облікові записи, між якими воно. Не імена, а ідентифікатори. Щойно обидва телефони мають завершений контакт, той рядок стирають, тож списку того, хто кому може дзвонити, не існує.

Час останньої активності

Щоб обліковий запис, яким давно ніхто не користувався, можна було прибрати, а не тримати назавжди.

Адреса пошти, коротко

Лише для дорослих, лише під час реєстрації і лише щоб перевірити, що це справді дорослий. Читабельну копію знищують, щойно її перевірено. Обліковий запис лишає собі ту саму адресу, запечатану офлайновим ключем засновника, і це юридичний доказ згоди, якого не може відкрити жоден сервер. Дивись нижче, разом із поштовим провайдером, через якого вона до тебе йде.

Звіти про збої, без імен

Коли застосунок падає або зависає, він надсилає нам місце в коді, де стався збій, версію застосунку і версію iOS чи Android. Жодного облікового запису, моделі пристрою, повідомлення чи імені, тож звіт не можна пов’язати з родиною. Це також означає, що ми не знайдемо твій, якщо ти про нього попросиш. Кожен звіт є файлом на нашому сервері, і його видаляють через 90 днів.

Це все. Немає ні профілю, ні адресної книги, ні історії того, хто комусь дзвонив, ні запису того, що було сказано.

Чого ми не тримаємо ніколи

Це не речі, на які ми вирішили не дивитися. Це речі, яких програмне забезпечення не може створити:

• Те, що сказано. Між двома телефонами діє скрізне шифрування дзвінків і повідомлень. Ключі ніколи не покидають пристроїв, тож сервер несе запечатаний трафік, якого не може відкрити.
• Список контактів твоєї дитини. Хто кому може дзвонити, вирішується на телефонах і там і лишається. Ми бачимо, що два ідентифікатори облікових записів пов’язані. Ми не бачимо, що це твоя дитина і її бабуся.
• Місце. Застосунки ніколи його не просять і ніколи не надсилають.
• Рекламні ідентифікатори. У Rilo немає реклами, немає аналітики і немає стороннього коду відслідковування в жодному застосунку.
• Нічого на продаж. Ми не продаємо, не здаємо в оренду і не передаємо персональні дані нікому для їхніх власних цілей.

Список бета-тестерів, який був на цьому сайті

Одна річ тут зовсім не частина застосунку. Поки Rilo не з’явився в App Store, цей сайт вів на список бета-тестерів, а тепер уже не веде. Запис у нього означав адресу пошти і більше нічого. Ні імені, ні номера телефона, і нічого про дитину. Ми користуємось нею, щоб сказати, коли є що спробувати, і більше ні для чого. Список веде Tally, а не наш сервер, і саме тому ця сторінка називає їх нижче. Підставою є твоя згода, дана вписуванням адреси, і один рядок на hello@rilotalk.com її прибирає. Ніщо в тому списку не пов’язане з обліковим записом Rilo, бо в обліковому записі немає з чим це пов’язувати.

Чому нам дозволено це тримати

Правовою підставою є стаття 6(1)(b) GDPR. Ці дані потрібні, щоб надати сервіс, про який попросили батьки. Єдиним винятком є описаний вище список бета-тестерів, який спирається на твою згоду за статтею 6(1)(a) і триває точно стільки, скільки ти цього хочеш. Ніщо не спирається на законний інтерес у профілюванні, бо профілювання немає.

Для підписки підставою є той самий договір. Сам платіж опрацьовує Apple або Google, вони тут продавці і тримають дані картки. Ми їх ніколи не бачимо.

Діти

Rilo зроблений для дітей приблизно від чотирьох до десяти, і обліковий запис дитини може існувати лише тому, що його створив дорослий. Дитячий обліковий запис існує як сертифікат, підписаний ключем батька або матері. Дитина не може створити його сама, і немає налаштування, яким дитина зробила б себе дорослою.

Оскільки сервіс надається за договором з батьками, і кожен дитячий обліковий запис створюють і схвалюють ці батьки на власному пристрої, згода за статтею 8 не є тією підставою, на яку ми спираємось. Схвалення від батьків працює як криптографічна дія, а не як галочка.

Читабельного запису адреси ми не тримаємо. Її перевіряють і знищують одним кроком, а з обліковим записом лишається та сама адреса, запечатана офлайновим ключем засновника, якого не може відкрити жоден сервер. Згоду батьків доводить підпис. Обліковий запис дитини існує як сертифікат, підписаний ключем її батька чи матері, і він показує, що дорослий створив і схвалив цей обліковий запис, не кажучи нам, хто цей дорослий.

Хто ще причетний

Шість інших компаній неминуче торкаються частини цього. Жодна з них не отримує нічого про твою дитину, і жодній не надсилають дані для її власних цілей.

Apple

Доставляє повідомлення про дзвінки й повідомлення на iPhone і опрацьовує підписки, куплені в iOS. Apple бачить пуш-токен і те, що повідомлення було надіслане, а не його вміст.

Google

Те саме для Android, через Firebase Cloud Messaging, а Google Play обробляє підписки, куплені на Android, через свою платіжну бібліотеку в застосунку. Застосунок також запитує в Google Play вікову групу, яку читає на телефоні й ніколи не зберігає і не надсилає нам. Жоден компонент Google чи Firebase у застосунку не займається аналітикою, звітами про збої чи рекламою.

Cloudflare

Надає ретрансляцію, потрібну частині дзвінків, коли дві домашні мережі відмовляються говорити напряму. Ретрансляція передає зашифровані пакети, яких не може прочитати, і працює лише тоді, коли пряме з’єднання не вдається. Cloudflare також відповідає на питання, яке кожен дзвінок ставить першим: «Яка моя власна адреса в інтернеті?» Тому вони бачать, що телефон починає дзвінок, і звідки, навіть коли дзвінок потім іде напряму.

Oracle

Тримає сигнальний сервер, у Європейському Союзі. Це наш хостинг-провайдер, і він не опрацьовує нічого для себе.

Brevo

Надсилає один лист, який цей продукт узагалі надсилає, код, що перевіряє дорослого під час реєстрації. Твоя адреса проходить через них, щоб дійти до тебе, а це означає, що вона лежить у їхніх журналах стільки, скільки каже їхнє правило зберігання, хоч у наших її немає ніколи. Це єдине місце, де адреса Rilo існує поза твоєю власною скринькою, і ми радше назвемо його, ніж дамо реченню вище натякнути на інше.

Tally

Зберігає список бета-тестерів, на який раніше вів цей сайт. Там лише адреси, вписані у форму, і більше нічого. Застосунку й сервера це не торкається ніколи.

Тут немає ні постачальника аналітики, ні рекламної мережі, ні платформи клієнтських даних, ні сервісу штучного інтелекту, бо в продукті їх немає.

Як довго ми це тримаємо

Записи облікового запису живуть стільки, скільки живе обліковий запис. Читабельну копію листа з підтвердженням знищують у ту мить, коли вона зробила свою справу. Запечатаний, нечитабельний доказ, описаний вище, лишається з обліковим записом. Повідомлення, які чекають на вимкнений телефон, зберігаються зашифрованими і стираються, коли доставлені, або після короткого терміну, якщо їх ніколи не забрали. Ми однаково не можемо їх прочитати, у жодному разі.

Ти можеш прибрати свій обліковий запис будь-коли зсередини застосунку, і це забирає все, що до нього прикріплене. Сторінка видалення каже, де це, і що ще можливо, коли телефона вже немає. Ми будуємо автоматичне прибирання сімей, які зовсім перестали користуватися Rilo. Поки воно не ввімкнене, тут ніщо не зникає само.

Один виняток із цього. Базу даних щоночі резервують у зашифрованому вигляді, щоб поламане залізо не стало кінцем контактів твоєї сім’ї. А резервна копія, зроблена до видалення чогось, це щось усе ще містить. Такі копії тримають 30 днів і потім знищують, тож видалення стає правдою всюди протягом місяця. Це те саме вікно, що й для недоставленого повідомлення, і ми радше назвемо його, ніж дамо реченню вище прочитатися абсолютнішим, ніж воно є.

Твої права

За GDPR ти можеш попросити нас:

• сказати, що ми про тебе тримаємо, і дати копію;
• виправити це, якщо там помилка;
• видалити це;
• передати це у переносному вигляді;
• припинити опрацювання або заперечити проти певного використання.

Для більшості цього шлях лежить через застосунок. Що знає наш сервер у налаштуваннях перелічує кожен стовпець, який має сервер, а Видалити мій обліковий запис під ним робить стирання, зовсім нас не питаючи. Пиши на адресу вище про те, чого застосунок не може. Незручна частина, сказана прямо. Ми не тримаємо ні імені, ні пошти, ні пароля, тож зазвичай у листі немає нічого, що ми могли б зіставити з обліковим записом. Стаття 11 GDPR саме про це. Контролер, який не може встановити особу з того, що тримає, має так і сказати, а не вгадувати. Якщо телефона вже немає, сторінка видалення викладає, що ще можливо.

Ти також можеш поскаржитися до бельгійського органу захисту даних (Gegevensbeschermingsautoriteit / Autorité de protection des données) або до наглядового органу там, де живеш.

Зміни

Якщо ця політика зміниться так, що це вплине на те, що ми тримаємо або хто це бачить, застосунки скажуть про це, перш ніж зміна набуде чинності, а не тихо перевидадуть цю сторінку.

Останнє оновлення 14 вересня 2026 року. Цю політику ще не переглядав юрист.