Де насправді живе ваш щоденник харчування
На телефоні. Не для красного слівця, а фізично: саме в пам’ять телефона лягають ваші записи. Копія вирушає й на сервер — запечатана, і там її немає чим відкрити: ключ лишається у вас.
Що залишає пристрій і в якому вигляді
Записи, ваги порцій, журнал вашої ваги й маленькі прев’ю фотографій зберігаються у власному сховищі браузера, а їхня копія їде на наш сервер запечатаною: ключ є тільки на вашому пристрої. Сервер не може показати вміст нікому — і не тому, що ми так пообіцяли, а тому, що ключа в нього немає. Резервна копія — це файл, який ви експортуєте самі й тримаєте там, де вам зручно.
Зворотний бік варто назвати прямо, бо це та сама властивість: втратите код відновлення разом із пристроєм — і щоденник не поверне ніхто, зокрема й ми. Розшифрувати його не буде чим.
Що все ж таки залишає пристрій
Дві речі, і обидві — лише після вашої дії: фотографія страви та рядок пошуку продукту.
Рядок пошуку — тільки якщо ви натиснули «Пошукати у відкритій базі». Екран «Продукти» шукає серед ваших власних продуктів і в довіднику, завантаженому на пристрій, — без мережі. Коли потрібного в довіднику немає, під списком з’являється кнопка, і після натискання набраний вами текст іде в Open Food Facts просто з пристрою, в обхід нашого сервера. Жодного автодоповнення під час введення, жодних фонових запитів: без натискання не йде нічого, а разом із рядком не надсилається ні щоденник, ні фотографії, ні будь-який ідентифікатор. Вимикається це прапорцем у налаштуваннях (розділ «Товари за штрихкодом»), і тоді кнопки немає зовсім; пошук товару за кодом з упаковки в мережу не звертається, хоч би як стояв прапорець.
Фотографія страви. Куди саме вона вирушить, залежить від того, чий ключ підписує запит, — а це ви обираєте в застосунку:
- З власним ключем знімок іде з вашого пристрою просто на платформу, чий ключ ви ввели, а не через наш сервер. Ми його не бачимо й не зберігаємо. Платформ, ключі яких розуміє застосунок, десять, а адрес, куди може потрапити фотографія, дев’ять; усі вони поіменно перелічені в політиці конфіденційності, і жодних інших адрес застосунок не знає.
- З ключем Snapfork знімок проходить через наш сервер, бо саме там запит підписується, а далі — через OpenRouter, платформу, що передає запит провайдерові моделі. У нас він не зберігається: ні як файл, ні як копія в журналі. Лишається тільки рядок чисел — модель, токени і скільки це нам коштувало. У кожному запиті ми забороняємо платформі вести його через провайдерів, які зберігають надіслане, — і це закладено в сам запит, а не лише пообіцяно в тексті.
Застосунок починає з вашого ключа і перемикається на наш лише тоді, коли ваш відмовив: вичерпано квоту, ключ відкликано, платформа мовчить. Так застосунок поводиться за замовчуванням, і прапорець у налаштуваннях це вимикає — тоді збій вашого ключа означає просто відсутність розпізнавання, а фотографія ніколи не залишить обраної вами платформи. Кожен знімок, розпізнаний нашим ключем, прямо повідомляє про це на екрані.
Далі діють умови платформи, а не наші. У Google, наприклад, вони відрізняються навіть на двох рівнях одного й того самого ключа: на безкоштовному компанія залишає за собою право використовувати надіслане для вдосконалення своїх продуктів, на платному — ні. Інші платформи мають власні умови, і читати їх варто в першоджерелі. Чий ключ ввести і якого рівня — вирішуєте ви, і це найважливіше, що слід зрозуміти, перш ніж фотографувати їжу.
Що сервер таки зберігає
Більше, ніж потрібно самому входу, — і краще сказати це прямо. Для входу: адресу вашої пошти — не відкритим текстом, а як результат незворотного перетворення, — відбиток сесії та коди з листів для входу, захешовані й лише на десять хвилин. Для щоденника: його запечатану копію, прев’ю фотографій і спірні версії, а якщо ви ввімкнули синхронізацію налаштувань, то й налаштування, — усе це запечатано вашим ключем. Понад це: листування з розробником, поповнення балансу розпізнавань, список ваших пристроїв, зв’язки з друзями й запрошення, якщо ви ними користуєтеся, і щогодинні резервні копії бази. Єдиний авторитетний примірник — політика конфіденційності, і там усе це перелічено повністю, разом зі строками зберігання.
Чого тут немає
- Банера про файли cookie. Файл cookie тут рівно один — той, що тримає вас у системі після входу; без нього вхід не працює, і згоди на нього ніде не питають. Для аналітики чи реклами не встановлюється нічого.
- Сторонньої аналітики, рекламних пікселів і віджетів чату.
- Вебшрифтів із CDN — текст, який ви читаєте, набрано системним шрифтом вашого пристрою, і він не коштує жодного запиту.
Усе це можна перевірити, а не брати на віру: відкрийте інструменти
розробника й подивіться на вкладку мережі, поки завантажується ця сторінка.
Один запит там наш, і назвати його тут простіше, ніж чекати, поки ви
знайдете його самі: це маячок на /hit, який рахує відвідування
без cookie і без чужого коду. Що саме він записує, а чого свідомо не
записує, розписано на
сторінці конфіденційності.