Tilbis — Политика конфиденциальности

Последнее обновление: 4 октября 2026 г.

Tilbis («приложение») — приложение для изучения казахского языка, издаваемое Mehmet Uğur («мы»). Приложение доступно для iPhone и iPad (App Store) и для Android (Google Play); эта политика охватывает оба варианта. Здесь описано, что именно покидает ваше устройство, куда это отправляется и как долго хранится.

Приложение работает прежде всего офлайн. Всё, кроме шести необязательных онлайн-сервисов из раздела 2, работает без интернета и ничего никуда не отправляет.

Наши серверы находятся за пределами Турции и Казахстана: серверная часть работает в глобальной сети Cloudflare, а необязательную практику разговора с ИИ обслуживает DeepSeek (раздел 2.2). Создавая аккаунт или пользуясь этими необязательными онлайн-сервисами, вы соглашаетесь на такую трансграничную передачу.

Что приложение обещает о точности содержания и как исправляются присланные ошибки, изложено в Условиях использования.

1. Данные, которые остаются на устройстве

Ваш прогресс — XP, серия дней, пройденные уроки, выученные слова, график повторений, значки, ежедневная статистика, настройки и выбранный язык интерфейса — хранится локально на вашем устройстве: на iPhone и iPad средствами Apple SwiftData, на Android в собственном закрытом хранилище приложения. Загруженные аудиофайлы произношения кэшируются в области файлов приложения.

Ничего из этого не покидает устройство, пока вы не войдёте в аккаунт для синхронизации (2.1). Удаление приложения удаляет всё это.

Чтобы понять, какой тип упражнений учит лучше, приложение может менять порядок и форму упражнений для некоторых слов прямо на вашем устройстве. Результат такого сравнения тоже остаётся только на вашем устройстве.

2. Необязательные онлайн-сервисы

2.1 Аккаунт и синхронизация между устройствами (по желанию)

Приложением можно пользоваться полностью без аккаунта. Если вы войдёте — через Вход с Apple (только iPhone и iPad), через Google (iPhone, iPad и Android) или по волшебной ссылке на e-mail — на нашем сервере (Cloudflare Workers + D1) сохраняются:

Что хранится	Зачем
Случайный идентификатор пользователя	Определяет аккаунт
Идентификатор Apple sub, идентификатор Google sub или ваш e-mail	Чтобы вы могли войти снова
Отображаемое имя и выбранный аватар (если заданы)	Показываются в приложении
Снимок вашего прогресса	Синхронизация между устройствами
Запись сессии: имя устройства (на Android — название модели), идентификатор устройства (на iPhone и iPad — identifierForVendor от Apple; на Android — случайный идентификатор, который приложение создаёт само, но никогда не рекламный и не аппаратный), платформа, SHA-256 хеш токена обновления, IP входа, отметки времени	Держит вас в аккаунте и обеспечивает экран «активные устройства», где можно заметить и отозвать чужой вход

Токены волшебной ссылки хранятся 15 минут, одноразовые, затем удаляются. При использовании «Скрыть e-mail» мы видим только приватный адрес-ретранслятор Apple.

Если вы входите через Google. Google показывает вам собственную страницу входа и после вашего согласия передаёт приложению подписанный токен личности. Из этого токена мы сохраняем только идентификатор аккаунта Google и подтверждённый адрес e-mail — ни контакты, ни Drive, ни календарь, ни фото профиля, ни что-либо ещё из вашего аккаунта Google; кроме базовой личности приложение не запрашивает у Google никаких разрешений. Google получает сам факт входа в это приложение и то, что Google обычно фиксирует при входе; на эту часть распространяется политика конфиденциальности Google: <https://policies.google.com/privacy>. Входы через Apple и через Google — это разные аккаунты, даже если адрес e-mail совпадает: мы не объединяем аккаунты по совпадению адреса, иначе тот, кто сумеет подтвердить ваш адрес в другом месте, получил бы весь ваш прогресс. На iPhone и iPad при удалении аккаунта доступ приложения отзывается и на стороне Google. На Android приложение сделать этого не может: удаление аккаунта стирает всё, что хранится у нас, а доступ приложения вы можете дополнительно отозвать в любой момент в аккаунте Google (Безопасность → Ваши связи со сторонними приложениями и сервисами).

**Мы не продаём эти данные, не используем их для рекламы и не передаём третьим лицам.**

Удаление: одинаково на iPhone, iPad и Android: откройте вкладку «Профиль», нажмите на значок шестерёнки (Настройки), затем Аккаунт → Удалить аккаунт. Это немедленно и безвозвратно удаляет аккаунт и все связанные записи (прогресс, сессии) из нашей базы. Если вы не можете открыть приложение, следуйте шагам на нашей странице удаления аккаунта или напишите на pix_apps@proton.me. Прогресс на самом устройстве остаётся там, пока вы не удалите приложение.

2.2 Разговорная практика с ИИ (Premium и небольшой бесплатный дневной лимит)

Подписчики Premium могут практиковать разговор с ИИ-преподавателем; без подписки доступен небольшой бесплатный дневной лимит (2 сообщения в день).

Прочитайте внимательно — здесь задействован обработчик за пределами ЕС/США.

• Ваши сообщения отправляются на наш сервер, который передаёт их в

DeepSeek (Hangzhou DeepSeek Artificial Intelligence Co., Ltd.). DeepSeek — поставщик услуги, создающий для нас ответы ИИ; его серверы находятся **в Китайской Народной Республике**.

• Передаётся: текст текущего диалога (не более последних 20 сообщений, каждое до

500 символов) и фиксированная обучающая инструкция. Ваше имя, e-mail, идентификатор аккаунта, идентификатор устройства и местоположение **не прикрепляются**.

• Мы не храним ваши сообщения. Они проходят через наш сервер в памяти и не

записываются ни в базу, ни в журналы.

• DeepSeek обрабатывает их на своих серверах согласно **собственной политике

конфиденциальности и законодательству КНР**, может их хранить и использовать для обучения своих моделей. Мы это не контролируем: <https://www.deepseek.com/privacy>.

• Поэтому приложение показывает экран согласия перед первым диалогом, и до

вашего согласия функция выключена. Вы можете отказаться и пользоваться всем остальным. Тот же экран просит не сообщать в переписке настоящее имя, адрес, телефон, пароли и другие личные данные.

• Для проверки подписки и лимитов честного использования мы проверяем вашу

покупку. На iPhone и iPad мы отправляем подписанный чек Apple в Apple; на Android приложение отправляет на наш сервер токен покупки Google Play, а сервер проверяет его через Google Play Developer API. Мы ведём счётчик использования, **привязанный к идентификатору транзакции Apple или к идентификатору заказа Google Play** (дневной и месячный); он истекает автоматически (не позднее чем через 35 дней). Сам токен покупки не записывается в хранилище в читаемом виде. Без подписки бесплатный дневной лимит считается по **метке с «солью», выведенной из вашего IP-адреса** (по ней адрес восстановить нельзя), и хранится до 48 часов. Эти счётчики не содержат текста сообщений.

• ИИ может ошибаться. Каждый ответ помечен в приложении; долгое нажатие — жалоба.

Альтернатива — свой ключ (только iPhone и iPad). Вместо нашего сервера можно указать собственный API-ключ провайдера ИИ. Ключ хранится только в Keychain вашего iPhone, отправляется только этому провайдеру и никогда не попадает к нам.

2.3 Аудио произношения (синтез речи)

Чтобы воспроизвести казахскую речь, приложение запрашивает аудиоклип у нашего сервера. Отправляется **казахская фраза из учебного содержания самого приложения** — никогда не то, что вы ввели, и никакой идентификатор аккаунта или устройства. Все казахские аудио заранее создаются нами с помощью **Google Gemini (синтез речи)** и хранятся в нашем собственном хранилище (Cloudflare R2); приложение для этого к Google не обращается, а наш сервер не синтезирует речь в реальном времени по вашему запросу. Если клипа ещё нет в хранилище, приложению просто сообщается, что он недоступен.

2.4 Встроенные покупки

Подписки и наборы контента продаёт и обрабатывает Apple (App Store) или Google (Google Play). Данные карты, счёта или контактов к нам не поступают. На iPhone и iPad подписанную транзакцию мы отправляем в App Store Server API только для проверки. На Android приложение отправляет токен покупки Google Play на наш сервер, который проверяет его через Google Play Developer API и получает только состояние покупки (продукт, действительность, идентификатор заказа). Идентификатор транзакции или заказа мы держим исключительно как ключ упомянутых выше временных счётчиков. На то, что Apple и Google обрабатывают при покупке, распространяются их собственные политики конфиденциальности.

2.5 Форма «Сообщить об ошибке»

Если вы пользуетесь формой «Сообщить об ошибке», приложение отправляет: ваш комментарий, выбранный тип (перевод / написание / предложение), название экрана, версию приложения, язык интерфейса и случайный код сообщения, созданный только для этого сообщения. IP-адрес не хранится; сохраняется лишь производная от него метка с «солью», чтобы группировать повторные сообщения, — восстановить по ней адрес нельзя. Аккаунт, модель устройства, версия операционной системы, рекламный идентификатор и другие идентификаторы устройства не отправляются.

Случайный код хранится на вашем устройстве не более 180 дней. Мы храним только его необратимый хеш. Когда ошибка исправлена, приложение сравнивает хеши **на вашем устройстве** и один раз показывает благодарность; для этого нам ничего не отправляется.

Сообщения хранятся на нашем сервере 7 дней, затем удаляются автоматически. Если сообщение подтвердилось и готовится исправление, мы храним только хеш кода сообщения до публикации исправления, чтобы показать благодарность; затем он тоже удаляется.

2.6 Исправления учебного содержания

Приложение периодически загружает с нашего сервера **подписанные исправления учебного содержания** (текст, перевод, обновление аудио), чтобы ошибки исправлялись без ожидания обновления приложения. Загружаются только данные — никогда не код. Запрос не содержит аккаунта, идентификатора устройства, версии приложения или данных об использовании. Применять ли исправление, решается на вашем устройстве с помощью случайного числа, которое его не покидает. Каждое исправление подписано нами и проверяется на устройстве перед использованием; если проверка не прошла, приложение продолжает работать со встроенным содержанием.

2.7 Еженедельные лиги (по желанию)

Лиги работают только с аккаунтом и только после нажатия «Вступить в лигу». До вступления о вас никому ничего не показывается.

• Что хранится: псевдоним, который вы выбираете из готового списка

(свободного текста нет), ваш уровень в лиге, недельные баллы (считаются на нашем сервере по приросту общего числа баллов, с дневным лимитом), ваши значки, в какой недельной группе вы состоите, список скрытых вами людей (в виде непрозрачных ключей, а не идентификаторов), время вступления и версия показанного вам текста, а также день, когда приложение последний раз отправило проверку устройства (Apple App Attest / Google Play Integrity). Сама проверка не хранится. На iPhone мы также храним открытый ключ, созданный приложением на вашем устройстве для этой проверки (это не идентификатор устройства); он удаляется после 180 дней без использования.

• Что видят другие: только ваш псевдоним, недельные баллы, значок уровня и,

если вы выберете, один значок. Имя, e-mail, аватар, серия, страна и идентификатор аккаунта никогда не показываются. Чата и сообщений нет.

• Выход: выключите «Показывать в лигах» в настройках. Вы сразу покидаете

группу этой недели и не попадаете в новые недели. Значки остаются.

• Срок хранения: недельные записи (группа, баллы, итог недели) — 8 недель;

псевдоним, уровень и значки — до удаления аккаунта.

• Правовое основание: исполнение функции, которую вы включили, и ваше

согласие (кнопка вступления; время и версия текста записываются).

• Удаление аккаунта удаляет все данные лиги, включая запись о вас в списках

скрытых у других людей.

2.8 Приглашения (по желанию)

Приглашения работают только с аккаунтом. Приглашать кого-либо или вводить код не требуется ни для одной функции; награду нельзя купить.

• Что мы храним: ваш личный код приглашения; для принятого кода — какой

аккаунт пригласил какой (пригласивший не узнаёт, кто вы, и видит только числа вроде «2 ожидают, 1 выполнено»), время ввода кода, сколько уроков вы прошли после этого и в какие дни (не более двух) — чтобы проверить условие награды (3 урока за 2 дня в течение 14 дней); ваши права на награду и их статус; на Android — дату окончания подарочного Premium; на iPhone — назначенный вам код предложения App Store и то, сообщило ли приложение о его активации; необратимый хеш (HMAC) идентификатора устройства, хранящийся без привязки к аккаунту, чтобы одно устройство можно было пригласить лишь один раз; и почасовой счётчик попыток ввода кода.

• Проверка устройства: при вводе кода приложение может приложить токен

проверки устройства (Apple DeviceCheck / Google Play Integrity). Токен мы не храним. Когда код принят, Apple или Google хранит на своих серверах одну метку «вкл/выкл» для вашего устройства («на этом устройстве введён код приглашения»); мы читаем её только для того, чтобы одно устройство не приглашали дважды, и не учитываем метки старше 18 месяцев. Метка не связана с вашим аккаунтом или личностью.

• Подарочный Premium: на iPhone это личный код предложения Apple, который вы

активируете в App Store; в аккаунте Apple он отображается как бесплатная подписка без автопродления, и ею управляет Apple. На Android он записывается на нашем сервере. Подарок принадлежит этому аккаунту и не переносится между аккаунтами Apple и Google.

• Срок хранения: ожидающее приглашение истекает через 14 дней; использованное

право на награду удаляется через 30 дней после окончания подарка; счётчики попыток удаляются через 2 часа; хеш устройства хранится 12 месяцев; код приглашения, связь приглашения и значки — до удаления аккаунта.

• Правовое основание: исполнение функции, которой вы решили пользоваться.
• Удаление аккаунта удаляет ваш код, приглашения и неиспользованные награды,

включая оставшиеся дни подарка. Назначенный вам, но ещё не активированный код App Store аннулируется; подписка, уже активированная у Apple, остаётся у Apple.

2.9 Группы «Ауыл» (по желанию)

Группы «Ауыл» работают только с аккаунтом, только после вступления в еженедельные лиги (2.7) и только если вы сами создаёте группу или вводите её код. Ни одна другая функция этого не требует.

• Что хранится: для каждой группы — название из фиксированного списка

(свободного текста нет), случайный код группы, время создания и последней активности; какие аккаунты состоят в группе и когда вступили; для исключённых организатором участников — список аккаунтов, которые не могут вернуться. Ваши недельные очки — те же очки лиги (2.7); дополнительных персональных данных не собирается.

• Что видят другие участники: как в лигах, только ваш псевдоним, недельные

очки и значок. Имя, e-mail, аватар, страна и идентификатор аккаунта не показываются никогда, а других участников приложение показывает лишь под обезличенными ключами. Чата и переписки нет. Участники могут знать друг друга в жизни; приложение личность не показывает.

• Организатор: создатель группы может обновить код (старая ссылка

перестаёт работать), исключить участника (он не сможет вернуться по коду) или закрыть группу. Если организатор выходит, роль переходит самому давнему участнику. В группе от 2 до 12 участников; один аккаунт может состоять в 3 группах.

• Выход: вы можете выйти из любой группы в любой момент. Отключение

«Показывать в лигах» также исключает вас из всех групп.

• Хранение: группа, в которой ни один участник не набирал очков 60 дней,

удаляется автоматически. Членство и список исключённых хранятся, пока вы не выйдете, группа не будет закрыта или вы не удалите аккаунт. Почасовые счётчики ввода кода удаляются через 2 часа.

• Правовое основание: предоставление выбранной вами функции.
• Удаление аккаунта исключает вас из всех групп, удаляет ваши записи в списках

исключённых и передаёт роль организатора, если она была у вас; группа, из которой удалён последний участник, удаляется.

3. Микрофон и распознавание речи

Упражнение на произношение запрашивает доступ к микрофону (на Android — разрешение RECORD_AUDIO) только при его открытии. **Ваши записи не отправляются на наши серверы, а мы не отправляем их ни в Google Gemini, ни другому поставщику.**

Есть два пути, и экран упражнения всегда показывает, какой из них активен:

• Казахское распознавание на устройстве (рекомендуется). Вы можете скачать

офлайн-модель казахской речи (102 МБ, только по Wi-Fi; это необязательно, и её можно удалить в любой момент из настроек). После этого распознавание происходит целиком внутри приложения, работает без интернета, и **звук никогда не покидает телефон**. При загрузке с нашего сервера скачиваются только файлы модели — никакие сведения о вас не передаются.

• Приблизительное сопоставление (когда модель не установлена). Звук

обрабатывает встроенный в вашу операционную систему распознаватель речи, а не мы. На iPhone и iPad это распознавание речи Apple: на устройстве, где локаль это поддерживает, и на серверах Apple для неподдерживаемых локалей (в iOS нет казахского распознавателя; приложение переходит на близкий язык и сообщает вам об этом). На Android это системный распознаватель речи Android (в качестве ближайшего языка выбран русский, и ему сначала предлагается работать на устройстве): это служба поставщика распознавания речи вашего телефона — на большинстве телефонов Google, — поэтому остаётся ли звук на устройстве или обрабатывается на серверах этого поставщика, зависит от вашего телефона и его настроек; на эту часть распространяется политика конфиденциальности поставщика.

Ни в одном из случаев ваш голос не отправляется нам и не хранится у нас. Там, где используется системный распознаватель, на часть его поставщика действует его политика: <https://www.apple.com/legal/privacy/> и <https://policies.google.com/privacy>.

4. Аналитика и отслеживание

Отсутствуют. В приложении нет сторонних SDK аналитики, атрибуции или рекламы. Мы не используем рекламный идентификатор, не отслеживаем вас между приложениями и сайтами и не строим рекламные профили. Флаг NSPrivacyTracking — false.

Единственные компоненты Google в приложении — Вход через Google, который нужен только для входа и не работает, пока вы не нажмёте «Войти через Google», а на Android ещё Google Play Billing и Google Play In-App Review, которые обслуживают покупки и запрос оценки. Ни один из них не ведёт аналитику и не связан с Google Analytics или Firebase. Приложение для Android не запрашивает и не использует рекламный идентификатор.

Единственное измерение, которое мы ведём, — **анонимные счётчики на нашем собственном сервере**: когда открывается экран подписки или покупка начата, завершена либо прервана, приложение отправляет только название события и, самое большее, с какого экрана была открыта подписка и какой план был выбран. Идентификатор пользователя, устройства, рекламный идентификатор или учётная запись не прилагаются. Данные по отдельным людям не хранятся: увеличивается лишь общий дневной счётчик по событию, поэтому цифры невозможно связать с вами. Исключение — лиги, приглашения и группы «Ауыл» (разделы 2.7, 2.8 и 2.9): это функции, привязанные к аккаунту, а не аналитика.

Для улучшения сервиса суточная и недельная сумма баллов аккаунта и число отправок хранятся не более 10 дней под временным значением, не связанным напрямую с вашей личностью, и сохраняются только как счётчики диапазонов.

Приложение также считает недельную сводку обучения прямо на устройстве. Сама сводка остаётся там; не чаще одного раза в неделю приложение отправляет только **диапазон процентов** этой сводки (например «70-80») в те же анонимные счётчики — чтобы мы видели, работает ли функция вообще. Ни слово, ни оценка, ни дата, ни идентификатор пользователя или устройства не прилагаются, и диапазон невозможно связать с вами.

События покупок поступают из магазина анонимно и не сопоставляются с вашей личностью.

5. Дети

Приложение предназначено для пользователей от 13 лет (в App Store рейтинг 12+) и не ориентировано на детей; рекламы и общения между пользователями нет (в лигах другие видят только псевдоним из готового списка и недельные баллы). Мы сознательно не собираем персональные данные детей младше 13 лет; если вы считаете, что ребёнок передал нам данные, напишите на pix_apps@proton.me, и мы их удалим. ИИ-преподаватель ограничен правилами безопасности: отказывает во вредоносном, сексуальном, насильственном и противоправном содержании, никогда не спрашивает имя или иные личные данные, не предлагает встреч и при упоминании самоповреждения или опасности направляет к доверенному взрослому либо в местную службу экстренной помощи. Чат доступен только после согласия из раздела 2.2.

6. Сроки хранения

Данные	Срок
Прогресс на устройстве	До удаления приложения
Аккаунт, прогресс, сессии	До удаления аккаунта
Токен волшебной ссылки	15 минут, одноразовый
IP входа в записи сессии	До отзыва сессии или удаления аккаунта
Сообщения чата	У нас не хранятся (о DeepSeek — 2.2)
Счётчик бесплатного TTS по IP	До 48 часов
Счётчик квоты (идентификатор транзакции Apple или заказа Google Play)	Дневное / месячное окно, истекает автоматически (не более 35 дней)
Счётчик бесплатного лимита ИИ-чата (метка IP с «солью»)	До 48 часов
Синтезированное аудио	Бессрочно — только учебный материал, личных данных нет
Сообщения об ошибках (комментарий, тип, экран, версия, язык, метка IP с «солью», хеш кода)	7 дней, затем удаляются автоматически (для подтверждённых сообщений — только хеш кода до публикации исправления)
Случайные коды сообщений на устройстве	До 180 дней или до показа благодарности
Недельные записи лиги (группа, недельные баллы, итог недели)	8 недель
Псевдоним, уровень, значки, список скрытых, запись о вступлении	До удаления аккаунта
Код приглашения, связь приглашения, значки за приглашения	До удаления аккаунта
Использованная награда за приглашение (дата окончания подарка, назначенный код App Store)	30 дней после окончания подарка
Хеш устройства для приглашений (необратимый, не привязан к аккаунту)	12 месяцев
Счётчик попыток ввода кода приглашения	2 часа

7. Ваши права

В любой момент и без обращения к нам вы можете: пользоваться приложением без аккаунта, выйти, отозвать отдельную сессию устройства, отказаться от ИИ-чата и удалить аккаунт вместе со всеми данными в разделе Настройки → Аккаунт (по шагам, в том числе для тех, кто больше не может открыть приложение: https://tilbis.app/delete-account).

Запросы на доступ, исправление, удаление, возражение против обработки и иные права по GDPR, КВКК, Закону Республики Казахстан о персональных данных или сопоставимому законодательству: pix_apps@proton.me. Мы отвечаем в течение 30 дней.

8. Изменения

При существенных изменениях мы обновим дату вверху, а если изменение затрагивает то, что покидает ваше устройство, — сообщим об этом в приложении.

9. Контакт

pix_apps@proton.me