Політика конфіденційності

Діє для сайту і для застосунку — обидва працюють на snapfork.app. Оновлено 13 вересня 2026 року.

Що зберігає сервер

Лише те, без чого не працюватимуть вхід, синхронізація та листування з розробником:

Що відбувається з вашим щоденником

Ваш щоденник зберігається і на пристрої, і на сервері — але на сервері він зашифрований. Записи, прев’ю фото та дані про вагу лежать у сховищі вашого браузера, а їхня запечатана копія вирушає на сервер: ключ до неї є тільки на вашому пристрої. Сервер бачить, що записи з’явилися і коли, — але не бачить, що й скільки ви їли та скільки важите.

Прочитати ваш щоденник не можемо навіть ми. Це не обіцянка добре поводитися, а принцип, на якому побудовано систему: ключа в нас немає. Звідси ціна, про яку варто знати заздалегідь: якщо ви втратите код відновлення разом із пристроєм, щоденник не поверне ніхто, зокрема й ми. Відновлювати його просто не буде з чого. Код показано в налаштуваннях, у розділі «Дані», — запишіть його й зберігайте деінде, не в телефоні.

Сервер також зберігає спірні версії — і це на вашу користь. Якщо один запис редагували на двох пристроях, перемагає новіша правка, а та, що програла, не зникає: вона лежить на сервері місяць, так само запечатана, і застосунок може її вам показати. Інакше «воно саме виправилося» було б нашим словом проти вашої пам’яті. Прочитати її ми, звісно, теж не можемо — вона в тому самому конверті, що й усе інше.

Налаштування потрапляють на сервер, лише якщо ви ввімкнули їхню синхронізацію. Цілі, профіль (стать, рік народження, зріст, активність), ціль щодо води, частки прийомів, функції щоденника, швидкі дії, одиниці, тема листівки і два перемикачі — прихована оцінка товару та вимкнений пошук у відкритій базі — їдуть одним конвертом, запечатаним тим самим ключем, що й щоденник. Вмикається це окремим перемикачем у розділі «Дані»; доти налаштування нікуди не надсилаються. Вимикаєте там само — і копія на сервері стирається одразу, а синхронізація вимикається на всіх ваших пристроях. Сервер бачить, що конверт існує, коли він змінювався, скільки важить і коли синхронізацію вимкнули, — але не бачить, що всередині. Тема оформлення, мова, нагадування, під’єднання Apple Health і ваш власний ключ провайдера розпізнавання пристрій не залишають ніколи: вони належать пристрою, а не вам.

Файл резервної копії, як і раніше, експортуєте ви, і зберігається він у вас. Він не зашифрований — і це єдиний спосіб прочитати щоденник без коду.

Ні імені, ні прізвища, ні фото профілю: у провайдерів входу ми просимо лише одне — підтвердити адресу пошти.

Резервна копія самого пристрою

Ідеться про застосунок для iPhone. В App Store його поки немає, і сказане нижче описує, як він поводитиметься, коли вийде. На сайті такого немає: у браузері немає ні контейнера застосунку, ні такої копії.

Резервна копія iPhone забирає дані застосунків в iCloud — так працює сама копія, а не наш застосунок. Чи потрапить туди ваш щоденник, вирішуєте ви, і за замовчуванням він туди не потрапляє. Питання ставиться під час першого запуску, а змінити відповідь можна будь-коли: Налаштування → «Дані» → «Копія щоденника в iCloud».

Тут описано механізм, а не результат, і це не ухильність: щойно ви відповіли, речення «мій щоденник в iCloud» для одних читачів стає правдою, а для інших — ні. Скажете «так» — копію створює і зберігає Apple за правилами Apple; це їхня копія, не наша: ми її не бачимо й відкрити не можемо. Скажете «ні» або не відповісте взагалі — тека застосунку позначається як виключена з копії, і щоденник туди не потрапляє.

Файлу резервної копії, який ви експортуєте самі, усе це не стосується: його ви створюєте і зберігаєте де завгодно.

Куди дані все ж потрапляють

Фотографії страв надсилаються на розпізнавання, а куди саме — залежить від того, чиїм ключем підписано запит. Маршрутів два, і вибір за вами:

Застосунок починає з вашого ключа і переходить на наш лише тоді, коли ваш не спрацював. Так налаштовано за замовчуванням, і вимикається це прапорцем у налаштуваннях — тоді фотографія ні за яких обставин не проходить через наш сервер.

Рядок пошуку товару — якщо ви натиснули «Пошукати у відкритій базі». У застосунку є екран «Продукти»: він шукає серед ваших власних продуктів і в довіднику, завантаженому на пристрій, і все це відбувається взагалі без мережі. Коли в довіднику немає того, що ви шукаєте, під списком з’являється кнопка «Пошукати у відкритій базі». Після натискання — і тільки після нього — те, що ви ввели в поле пошуку, вирушає з вашого пристрою до Open Food Facts, оминаючи наш сервер: ми цього рядка не бачимо й не зберігаємо. Немає ні автодоповнення під час введення, ні фонових запитів: без натискання назовні не йде нічого.

Разом із цим рядком не передається більше нічого: ні записи щоденника, ні фотографії, ні вага, ні ідентифікатор акаунта — запитові жодне з них не потрібне, і застосунок нічого з цього не додає. Далі діють умови Open Food Facts, а не наші. Вимикається це прапорцем: Налаштування → «Товари за штрихкодом» → «Шукати у відкритій базі натисканням»; вимкнений, він прибирає саму кнопку, і назовні вже нічого не потрапляє. Пошук товару за кодом з упаковки та пошук у завантаженому довіднику ніколи не виходять у мережу — ні з увімкненим прапорцем, ні з вимкненим.

Листи з кодом входу надсилаються через поштового провайдера, якого обрав власник сервісу. Окрім переліченого тут, нікому нічого не передається: ні на сайті, ні в застосунку немає аналітики, реклами чи сторонніх скриптів.

У сам лист провайдер додає лічильник відкриттів — маленьке зображення, яке підвантажується з його сервера, коли лист відкривають. Так він дізнається, що лист відкрили і коли; а поштові клієнти, що завантажують зображення напряму, до того ж показують йому адресу, з якої лист прочитали. На нашому тарифі вимкнути це неможливо. Сам лист, як ми його складаємо, не містить жодного зображення й жодного посилання.

Лічильник відвідувань

Сайт рахує відвідування сам, без файлів cookie і без чужих скриптів. У базу даних потрапляють добові числа: сторінка, мова, звідки прийшов відвідувач. Ні IP-адреса, ні User-Agent не зберігаються ні в якому вигляді — з них обчислюється ключ із добовою сіллю, а саму сіль ніде не записано, тож навіть ми не можемо зіставити два дні між собою. Заголовок Sec-GPC враховується: за його наявності не рахується взагалі нічого.

Листування з розробником

У налаштуваннях застосунку є розділ «Підтримка»: можна написати про те, що зламалося або чого бракує, і отримати відповідь там само. Це розмова, а не форма, — отже, вона зберігається на сервері: інакше відповідати не було б куди.

Зберігаються текст ваших повідомлень і відповіді розробника, прив’язані до вашого акаунта. Читають їх лише ті, чиї підтверджені адреси власник сервісу вніс до списку розробників: список закритий, він задається в налаштуваннях сервера, і більше ніхто листування не бачить. Поруч із ним немає ні адреси пошти, ні імені — відкритим текстом сервер їх і так не має, а розмова ведеться зі щоденником, а не з людиною.

Відомості про пристрій додаються, лише якщо ви поставите позначку, і перед надсиланням вам показують саме той текст, що буде відправлено: версію застосунку й бази даних, платформу і браузер, мову, розмір вікна, екран, з якого ви пишете, і код збою, якщо ви перейшли звідти, скільки у вас записів і зважувань — простими числами, чи був пристрій у мережі, чи застосунок відкрито з іконки, чи у вкладці браузера, чи ввімкнено режим налагодження і чи задано ключ платформи — «так» або «ні», але ніколи не сам ключ. Туди не потрапляє жоден запис щоденника, жодна фотографія, запис ваги чи поле профілю.

Лист-сповіщення, який отримує розробник, не містить ні тексту повідомлення, ні вашого ідентифікатора: лише «у розмові нове повідомлення». Вміст листування ніколи не потрапляє до поштового провайдера і не з’являється в журналах сервера.

Посилання-запрошення

Застосунок може дати вам постійне посилання-запрошення. Якщо хтось зареєструється за ним, ви обоє отримаєте додаткові розпізнавання нашим ключем — більше нічого не змінюється, і доступу до чужого щоденника не отримує ніхто.

Зберігається факт того, що один акаунт прийшов за посиланням іншого: за яким саме, коли і чи зароблено нагороду. Це запис про зв’язок між двома людьми, тому він зведений до мінімуму й нікому не показується: той, хто запросив, бачить лише числа — скільки людей прийшло, скільки повернулося, скільки розпізнавань нараховано. Ні імені, ні адреси, ні моменту входу. Хто саме прийняв запрошення, ми не повідомляємо, бо це означало б сказати сторонній людині, що конкретна особа почала вести щоденник харчування.

Саме посилання містить код і нічого про вас. Перехід за ним лічильник відвідувань рахує як окрему кампанію — лише мітку: код до лічильника не потрапляє, інакше добові числа перетворилися б на таблицю того, чиї посилання працюють.

Видалення акаунта прибирає посилання і запис про те, звідки цей акаунт прийшов; записи про нагороди лишаються, але вже без ідентифікатора акаунта, бо саме за ними рахуються межі того, скільки можна роздати.

Так само поводяться й записи про поповнення: після видалення акаунта вони лишаються на місці, але більше нікого не називають. Причина не в бухгалтерії, а у вас: банк може оскаржити платіж через місяць після того, як акаунта вже немає, і якби сум не залишилося, відповісти на такий спір не було б чим. Залишок балансу під час видалення згоряє, і це фіксується окремим записом: гроші, за які послугу не надано, так і лишаються видимими саме як такі, а не розчиняються у виручці.

Друзі

Якщо ви запросите друга і він погодиться, з вашого пристрою почне йти дещо, похідне від щоденника, — а саме два факти на день за останні сім днів: чи записували ви хоч щось і, якщо ви відкрили це окремо, чи вклалися у власну ціль. А ще — скільки днів поспіль ви робите записи. Не що ви їли, не скільки калорій, не ваша вага — нічого з цього не йде назовні, хоч би який рівень відкритості ви обрали.

Відкритість однакова в обидва боки: друг бачить про вас рівно стільки ж, скільки ви про нього, і зробити її однобічною неможливо. Згоду питаємо окремо для кожної дружби й кожного рівня, і фіксуємо, під яким текстом ви погодилися: якщо зміст цього тексту зміниться, ми запитаємо знову, а не розширимо згоду мовчки. Скасувати можна будь-якого дня, і кнопок дві: «перестати ділитися» зберігає дружбу, «видалити дружбу» прибирає зв’язок і стирає те, що кожен із вас бачив про іншого.

Є й третя кнопка — на випадок, коли просто розірвати замало: відмова. Після неї наступне запрошення від цієї людини не пройде — інакше «видалити дружбу» означало б лише «до наступного запрошення». Для цього сервер зберігає список людей, яким ви відмовили: ідентифікатори й дату, без причини і без жодного вашого слова; він діє, доки ви його не скасуєте. Іншій стороні ми нічого не повідомляємо — той, кому відмовили, бачить те саме, що й після звичайного розриву: дружби немає. До експорту «Що сервер зберігає про вас» цей список навмисно не входить: такий файл ви можете комусь переслати.

Нічого з цього ми прочитати не можемо — за умови, що ключ справжній. Вміст передається запечатаним, і ключа від нього в нас немає; кожен конверт має однакову довжину, і навіть за розміром не видно, скільки днів усередині. Але дещо ми таки бачимо, і кажемо про це прямо:

Чого ми не бачимо: що всередині, скільки там даних, як ви назвали друга на своєму пристрої і хто чий тиждень переглядав.

Застереження про ключ — не фігура мови. Ключі, якими ви обмінюєтеся, проходять через наш сервер, — отже, теоретично ми могли б їх підмінити. Це можна перевірити: вісім цифр, обчислених з обох відкритих ключів, мають збігтися у вас і в друга. Таку перевірку ми пропонуємо, а не вимагаємо, — і доки ви її не зробили, ви довіряєте серверу в тому, що він передав справжній ключ. Екран дружби завжди показує, чи перевірено її.

Ключ, яким запечатано ваш тиждень, зберігається на вашому пристрої й нікуди не передається — ні нам, ні до резервної копії. Тож на новому пристрої дружби доведеться підтвердити заново.

Скільки що живе: неприйняте запрошення діє 30 днів і спрацьовує один раз; ваш тиждень лежить на сервері до наступного і стирається одразу, щойно дружба закінчується; нотатки живуть сім днів; зв’язок — доки його не розірвуть або не видалять акаунт. Соціальні функції не пропонуються тим, у кого в профілі вказано вік до 16 років.

У вас може бути не більше 50 друзів, і ця стеля наша, а не продуктова: що довший список, то більше зв’язків відомо серверу. З тієї самої причини обмежено й запрошення — п’ять активних одночасно, десять на день.

Файли cookie

На весь домен — рівно один: сесія входу. Він технічний, встановлюється лише під час входу, живе до 180 днів від останнього входу і не видимий нічому, крім застосунку. До входу його немає, а після — він передається з кожною сторінкою тут, зокрема й із цією, бо сайт і застосунок відповідають за однією адресою. Банера немає, бо згоди на cookie, без якого не працює вхід, не питають, а питати більше немає про що: ні аналітики, ні реклами.

Скільки що зберігається

Сесія — до 180 днів від останнього входу. Код із листа — 10 хвилин. Добові числа лічильника — безстроково, але в них немає нічого про людину. Акаунт — доки ви його не видалите. Листування з розробником — рівно стільки ж, скільки акаунт: воно зникає разом із ним і окремого строку не має. Окремого строку ми навмисно не називаємо: це була б обіцянка стирати за розкладом, а розкладу немає — тож обіцянка виявилася б неправдивою при першій же перевірці.

Записи щоденника на сервері — доки існує акаунт. Окремого строку в них немає, і це рішення, а не недогляд. Сервер тримає запечатану копію щоденника заради вашого другого пристрою — а копія, що зникає сама собою, другому пристрою ні до чого: йому не було б звідки повернути те, що сервер забув, і щоденник на ньому непомітно виявився б коротшим, ніж на іншому. Записи зникають разом з акаунтом і тільки з ним: видаліть його — і запечатана копія щоденника зникне з бази сервера одразу, а з її резервних копій — у міру їхньої ротації; як швидко, сказано наприкінці цього розділу. Щоденник на самому пристрої лишається вашим і стирається окремо.

Тридцять днів, про які йдеться нижче, стосуються не самих записів, і ці два строки не варто плутати. Тридцять днів — це тривалість життя прев’ю фото (і на пристрої, і на сервері) та версій записів, що програли в конфлікті синхронізації. І те, і те лежить ПОРУЧ із записом, а не замість нього: зникає картинка або попередня редакція рядка, а сам запис лишається на місці. Обидва строки відлічуються в робочій базі сервера; у її резервних копіях картинка чи версія можуть пережити їх ще на строк до 14 діб — див. останній абзац розділу.

Прев’ю фото страв — 30 днів. Застосунок зберігає маленьку копію знімка поруч із записом і видаляє її з пристрою через тридцять днів після зйомки. Сам запис лишається: зникає лише картинка. Цей строк ми називаємо саме тому, що тут розклад є — прибирання запускається щоразу, коли відкривається застосунок, і одразу після відновлення з резервної копії, — і перевірити це можна, відкривши якийсь давній день. Повнорозмірне фото до щоденника не потрапляє взагалі: у записі зберігається лише це прев’ю.

На сервері прев’ю живе за тим самим строком — не довше тридцяти днів. Воно потрапляє туди запечатаним, разом зі щоденником, щоб з’явитися на вашому другому пристрої; відкрити його ми не можемо, так само як і записи. Сервер відлічує строк від дня, коли картинка надійшла, а не від дня зйомки: дня зйомки він не знає — ця дата всередині шифротексту. Тому прев’ю спершу зникає з пристрою, а потім із сервера, і прибирання там іде за розкладом, раз на добу, а не «колись».

Версії записів, що програли в конфлікті синхронізації, — не довше тридцяти днів. Редагуючи запис, ви замінюєте його попередню версію; сервер не викидає її одразу, а відкладає окремо — щоб «воно саме виправилося» не було нашим словом проти вашої пам’яті. Побачити їх і повернути можна в застосунку, у картці спірних версій. Лежать вони запечатаними, як і записи: відкрити їх ми теж не можемо. Прибирання йде за розкладом, раз на добу, — і саме тому тут ми строк називаємо.

Така версія може зникнути й раніше строку, і чесніше сказати про це прямо: для одного запису сервер зберігає щонайбільше двадцять таких версій, і двадцять перша витісняє найстарішу. Це інженерне обмеження проти коду, що вийшов з-під контролю, а не обіцянка зберігати двадцять. Поточної версії запису не стосується ні строк, ні обмеження: це і є ваш щоденник, і зникає він лише разом з акаунтом.

Резервні копії бази — до 14 діб. Щогодини сервер копіює свою базу цілком — на випадок, якщо відмова диска чи невдале оновлення заберуть акаунти всіх разом. Копії за останні 48 годин зберігаються по одній на годину, старіші — по одній на добу, а копія, старша за 14 діб, видаляється під час найближчої щогодинної ротації. Копії видаляє лише ввімкнений сервер: поки він вимкнений, лежать усі, а після ввімкнення прострочені зникають одразу. Одне застереження: найсвіжіша копія лишається завжди — навіть прострочена, якщо нові перестали вдаватися, — до наступної вдалої, бо стара копія корисніша за порожнє місце. У копії лежить рівно те, що було в базі тієї години, і в тому самому вигляді. Запечатане вашим ключем — щоденник, прев’ю, налаштування, спірні версії — лишається запечатаним і в копії, і ключа до нього в нас немає; те, що сервер бачить відкрито, — листування з розробником, хто з ким дружить, — він бачить і в копії. Тому кожен строк вище — це строк у робочій базі: усе, що звідти стерто — прибиранням або разом з акаунтом, — лишається в резервних копіях не довше 14 діб після цього, крім названих випадків. Чотирнадцять діб — верхня межа, а не обіцянка зберігати: копія може зникнути й раніше, наприклад коли на диску закінчується місце.

Видалення

У застосунку: налаштування → «Видалити акаунт». Це стирає акаунт, усі способи входу до нього, усі сесії та все листування з розробником; для входу через Apple також відкликається доступ на боці Apple. Разом з акаунтом зникає й усе, що сервер зберігав для синхронізації: запечатана копія вашого щоденника, прев’ю фото, запечатана копія ваших налаштувань, журнал спірних версій і список ваших пристроїв — нічого з цього в базі сервера не залишається. У щогодинних резервних копіях усе це ще лежить до 14 діб, у тому самому вигляді, а потім зникає й звідти (якщо сервер працював і нові копії робилися справно); як влаштовані копії, описано в розділі «Скільки що зберігається». Добові числа лічильника відвідувань лишаються: у них немає нічого про людину, і видалити їх для окремого акаунта неможливо, бо акаунта в них немає. Щоденник на вашому пристрої стирається окремою кнопкою — він належить лише вам, і вирішувати його долю замість вас ми не будемо.

Зміни

Ця політика змінюється разом із сервісом; дата вгорі сторінки — дата останньої редакції. Про суттєві зміни ми повідомляємо тут, а не листом: сервер не зберігає жодної адреси, на яку міг би написати, — лише її відбиток.

Зв’язок

Володілець персональних даних — той, хто вирішує, що тут зберігається, і відповідає за це, — приватна особа, а не компанія: за Snapfork не стоїть жодна юридична особа. Ця особа — Oleksandr Trifonov. Усе, що стосується сервісу, зокрема запити щодо ваших власних даних, надсилайте на адресу нижче. Що такий устрій означає на практиці, розказано на сторінці про те, хто за цим стоїть.

Запитання, доступ до власних даних і видалення — через сторінку питань або листом на hello@snapfork.app.

Умови використання · Відкрити застосунок