Политика конфиденциальности приложения «Домашка»

Редакция от 17.10.2026

1. Кто обрабатывает данные

Оператор: самозанятый Рассамагин Александр Сергеевич, ИНН 181801305112, адрес для юридически значимых сообщений (e-mail): support@xsayler.ru (далее — «Оператор»).

Эта Политика описывает обработку данных мобильным приложением «Домашка: решение по фото с ИИ» и связанными с ним серверами Оператора (обработка заданий и оплата). Она не регулирует самостоятельную обработку данных магазином RuStore, платёжным сервисом Robokassa, сервисами ИИ-обработки, почтовым провайдером или операционной системой устройства.

2. Кратко о главном

Фотографии заданий и распознанные условия не сохраняются на серверах Оператора — они обрабатываются транзитом и передаются сервису ИИ-обработки только для формирования решения.
История решений хранится только на устройстве пользователя и не загружается на сервер.
Приложение работает без создания учётной записи; используется анонимный технический идентификатор устройства, который Оператор хранит только в необратимо хешированном виде.
Приложение не использует рекламные идентификаторы, сторонние аналитические SDK и трекеры. Обезличенную статистику использования (какие экраны открывались и какие действия выполнены — без содержимого заданий) собирает само Приложение; её отправку можно отключить в настройках.
E-mail запрашивается только при покупке и только по желанию: поле необязательное. Если адрес не указан, его запрашивает страница оплаты Robokassa. Robokassa сообщает этот адрес серверу Оператора в уведомлении об оплате, но Оператор его не сохраняет, не записывает в журналы и не использует. Адрес, указанный в Приложении, используется для чека и для восстановления покупок, сохраняется на устройстве для подстановки при следующих покупках и удаляется в настройках Приложения.
Класс и роль (ученик или родитель), если они указаны в профиле, передаются вместе с запросом решения, вопросом к решению и запросом «Похожей задачи»: объяснение строится тем способом, как учат в этом классе, а родителю добавляется подсказка, как объяснить ребёнку. В журнале решений они сохраняются как техническая метка (класс от 1 до 11 и роль «ученик» или «родитель») — без текста задания и решения. В журнале вопросов открыто они не хранятся. Сам профиль хранится на устройстве; на сервер он попадает только как эта метка, а если отправка статистики включена — ещё в событии выбора профиля profile_set и как роль в событии показа экрана покупки paywall_shown (раздел 4).
Для версий Приложения, которые это поддерживают, сервер называет тему решённого задания из фиксированного списка тем предмета (например, «дроби») и возвращает её Приложению для недельной сводки. В журнале решений тема сохраняется как техническая метка рядом с классом и ролью — без текста задания и решения.
Недельная сводка «Что разобрали за неделю» для роли «родитель» считается только на устройстве по его локальной истории и на сервер не передаётся. Уведомление о ней по воскресеньям показывает само устройство и только с согласия пользователя. Телефон ребёнка, подключённый как второе устройство, свою историю не передаёт: сводка на каждом устройстве — только о том, что разбиралось на нём.
Чтобы разобрать вопрос к решению или собрать похожую задачу, приложение передаёт на сервер и далее сервису ИИ-обработки — транзитом, без сохранения — условие задания, текст решения и предыдущую переписку по этому решению (не длиннее 20 реплик и 16 000 символов суммарно) вместе с самим вопросом. На серверах Оператора остаются только обезличенные метаданные (вид вопроса, статус, число токенов, время и необратимый keyed-отпечаток запроса) — без текста условия, решения, переписки и вопроса.
Второе устройство (например, телефон ребёнка) подключается к тарифу «Месяц на два устройства» без учётных записей и без e-mail — одноразовым кодом из 6 цифр, который действует 15 минут. Оператор хранит связь «покупка — устройство» и время подключения; сам код в открытом виде не хранится — только его хеш. Сведений о ребёнке (имени, возраста, контактов) Приложение не запрашивает, и Оператор их не получает.
«Попросить оплатить»: вместо оплаты со своего устройства пользователь может получить в Приложении ссылку на оплату (и её QR-код) и сам отправить её другому человеку, например родителю. Ссылка действует 72 часа; покупка зачисляется устройству, с которого выставлен счёт, кто бы её ни оплатил. Кроме обычной записи о покупке (без e-mail), Оператор хранит только хеш токена ссылки (сам токен в открытом виде не хранится и в журналы сервиса не записывается), ссылку на страницу оплаты Robokassa, сформированную при выставлении счёта, срок действия, время первого и число нажатий «Оплатить» на странице ссылки. Сведений о человеке, который откроет ссылку или оплатит покупку, Приложение и Оператор не запрашивают: e-mail для чека плательщик указывает на странице Robokassa; Robokassa сообщает его серверу Оператора в уведомлении об оплате, но Оператор этот адрес не сохраняет, не записывает в журналы и не использует.
Пожаловаться на ответ ИИ — решение или ответ на вопрос к решению — можно прямо в Приложении. Жалоба содержит только причину из фиксированного списка (например, неверный, оскорбительный или вредный ответ) — без текста задания, решения и без комментария. Оператор хранит причину, вид ответа (решение или ответ на вопрос), технический ключ запроса, к которому относится жалоба (по нему жалоба сопоставляется с техническими метаданными обработки из раздела 4), идентификатор устройства в хешированном виде и время жалобы — не более 1 года — и использует их только для улучшения качества и безопасности ответов ИИ.
Напоминание о том, что бесплатные решения обновились, показывает само устройство и только с разрешения пользователя. Оператор пуш-уведомления не отправляет и сервера уведомлений не использует; на сервер уходят лишь обезличенные события жизненного цикла напоминания (запрос разрешения на уведомления и его исход; запланировано / открыто по тапу / пропущено / снято) — без какого-либо содержимого.

3. Локальные данные

На устройстве могут храниться: история решений (условия, решения, дата, предмет, тема задания, миниатюры фотографий, а также заданные к решению вопросы и ответы на них), профиль ребёнка/родителя (класс и роль, если указаны), настройки приложения (тема, флаг онбординга, флаг отправки статистики), состояние напоминаний (разрешение на уведомления, включён ли тумблер, время запланированного напоминания), согласие на уведомление о недельной сводке, сведения о подключении устройства к покупке «Месяц на два устройства», неоплаченный счёт (для «Попросить оплатить» — со ссылкой и сроком её действия), технический идентификатор устройства, очередь ещё не отправленных событий статистики использования. Недельная сводка строится из этой истории на устройстве и отдельно не хранится и не отправляется. Удаление записей истории доступно в приложении (в том числе «очистить всё»); удаление приложения удаляет его закрытые локальные данные.

Оператор не имеет доступа к локальным данным, если пользователь сам не отправит материалы в поддержку.

4. Обработка фотографий и текстов заданий

Для формирования решения фотография задания (после сжатия на устройстве, с удалёнными метаданными EXIF) и/или подтверждённый пользователем текст условия передаются по защищённому соединению на сервер Оператора и далее — сервису ИИ-обработки через российского провайдера доступа к моделям ИИ (AITunnel, а при его недоступности — RouterAI). Серверы отдельных моделей ИИ могут находиться за пределами Российской Федерации; передаваемые материалы ограничиваются содержимым задания, не сопровождаются именем, e-mail или иными идентификаторами личности и не используются Оператором для идентификации пользователя. Не фотографируйте документы, лица и другую личную информацию — для работы Приложения нужно только само задание.

Оператор сохраняет о каждой обработке только технические метаданные (идентификатор устройства в хешированном виде, предмет, класс и роль из профиля при их наличии, тему задания, вид запроса и версию формата ответа, источник списания — бесплатный лимит, пакет или безлимитный доступ, статус, время, объём токенов, техническую задержку, а на время окна повторной отправки запроса, около часа, — необратимый keyed-отпечаток запроса, после чего он стирается). Класс записывается числом от 1 до 11, роль — значением «ученик» или «родитель»; если в профиле они не указаны, поля остаются пустыми. Класс и роль входят в этот отпечаток вместе с текстом условия; восстановить из отпечатка ни их, ни условие нельзя. Тема записывается одним названием из фиксированного списка тем предмета (например, «дроби»; тема вне списка — «другое»); у версий Приложения, которые тему не запрашивают, и у незавершённых решений поле остаётся пустым. Текст условия, текст решения и фотография в журналы и базы данных Оператора не записываются.

Вопрос к решению и запрос «Похожей задачи» обрабатываются так же, как задание: чтобы модель поняла контекст, приложение передаёт на сервер и сервису ИИ-обработки транзитом условие задания, текст решения и предыдущую переписку по этому решению (суммарно не длиннее 20 реплик и 16 000 символов) вместе с текстом вопроса. Класс и роль из профиля передаются вместе с вопросом, чтобы объяснение шло по программе класса, а родителю — с подсказкой, как объяснить ребёнку. В журнал вопросов Оператор записывает только обезличенные метаданные — вид вопроса, статус, число входных и выходных токенов, техническую задержку, время и необратимый keyed-отпечаток запроса; текст условия, решения, переписки и самого вопроса в журналы и базы данных Оператора не попадает. Класс и роль входят в keyed-отпечаток вместе с остальными полями запроса и отдельно в журнал вопросов не записываются; восстановить их из отпечатка нельзя.

Для улучшения Приложения Оператор собирает обезличенную статистику использования: название события (например, открытие приложения, начало съёмки, результат распознавания, показ экрана покупки, запрос разрешения на уведомления, событие напоминания), время события, версию Приложения, версию операционной системы (Android или iOS) и канал установки (магазин, из которого установлено Приложение), обезличенный идентификатор сессии и идентификатор устройства в хешированном виде. Событие выбора профиля profile_set содержит роль («ученик», «родитель» или «пропущено»), класс (0 — не выбран) и место выбора (первый запуск, подсказка на главном экране или настройки). Событие показа экрана покупки paywall_shown содержит место, откуда открыт экран, и роль из профиля («ученик» или «родитель»; если роль не выбрана, поля нет). События подключения второго устройства (family_link) содержат только исход: код показан, код не выдан или подключение не удалось (с кодом причины, например «нет действующей покупки», «неверный код» или «срок покупки истёк»), устройство подключено или отключено — без самого кода и без идентификаторов другого устройства. Событие pay_ask содержит только действие (счёт со ссылкой выставлен, ссылка отправлена, окно отправки закрыто без отправки, выбран другой тариф) и вид покупки — без самой ссылки и без сведений о получателе. Событие недельной сводки week_summary содержит только действие (сводка открыта, уведомление о ней включено или выключено) и на сколько недель назад открыта сводка — без её содержимого, тем и числа заданий. Событие подсказки о нескольких заданиях на одном фото multi_task_hint содержит только действие (подсказка показана или нажато «Обрезать фото») и место показа (экран подтверждения условия или экран решения); среди причин неудачи в событии результата решения solve_result есть «на фото несколько заданий». Текста задания ни то, ни другое не содержит. К событиям напоминаний относятся: notif_permission (исход запроса разрешения — выдано / отклонено / отозвано, и место запроса) и reminder (жизненный цикл — запланировано, открыто по тапу, пропущено или снято; локальный час и, для открытия, задержка от срабатывания до тапа в минутах). Ни одно из них не содержит текста. Содержимое заданий и решений, e-mail, IP-адрес, модель устройства и иные сведения, позволяющие идентифицировать пользователя, в статистику не попадают. Отправку статистики можно отключить в настройках Приложения (переключатель «Отправлять анонимную статистику»); накопленные, но не отправленные события при этом удаляются с устройства. Версия Приложения, платформа, версия ОС и канал установки передаются и с обычными запросами к серверу и сохраняются как последнее известное состояние устройства, без истории, в том числе при выключенной статистике.

5. Покупки и восстановление

При покупке или восстановлении могут обрабатываться: идентификаторы платежа у Оператора и Robokassa, наименование покупки, сумма, статус и время операции, остатки пакетов, IP-адрес для защиты от злоупотреблений и — если Пользователь указал его в необязательном поле — e-mail. Указанный в Приложении адрес передаётся Robokassa для проведения платежа и автоматической фискализации чека, хранится Оператором вместе с записью о покупке (сроки — раздел 8) и на устройстве Пользователя для подстановки при следующих покупках. Если поле оставлено пустым, адрес запрашивает страница оплаты Robokassa; в уведомлении об оплате Robokassa передаёт его серверу Оператора, но Оператор этот адрес не сохраняет, не записывает в журналы и не использует. Оператор не получает и не хранит полный номер банковской карты, срок её действия или CVC/CVV.

Месяц на два устройства. После оплаты доступ действует на устройстве, с которого совершена покупка. Чтобы подключить второе устройство, пользователь в настройках Приложения на устройстве покупки получает одноразовый код из 6 цифр (действует 15 минут, повторно не используется) и вводит его в Приложении на втором устройстве. Для этого Оператор обрабатывает: идентификатор покупки, внутренние идентификаторы обоих устройств (сам идентификатор устройства Оператор хранит только в хешированном виде), хеши кода, срок его действия, число попыток ввода и время использования, время подключения. Сам код в открытом виде не хранится. E-mail, имя, телефон и любые другие сведения о владельце второго устройства не нужны и не запрашиваются; учётные записи не создаются. При отключении второго устройства его связь с покупкой удаляется. При восстановлении покупки по e-mail на новое устройство переносится и покупка, и подключение: второе устройство остаётся подключённым к ней. Если восстановление выполнено на самом подключённом устройстве, покупка переходит к нему, оно становится устройством покупки, а его прежняя связь с покупкой как второго устройства удаляется.

Попросить оплатить. Пользователь может не платить со своего устройства, а выставить счёт со ссылкой на оплату и сам отправить её другому человеку (через мессенджер, почту или показав QR-код). Ссылка ведёт на страницу оплаты Оператора, где показаны покупка и цена, и далее на страницу Robokassa; она действует 72 часа, а покупка зачисляется устройству, с которого выставлен счёт. Для этого Оператор обрабатывает: запись о покупке (как при обычной покупке), хеш токена ссылки, ссылку на страницу оплаты Robokassa, сформированную при выставлении счёта, срок действия ссылки, время первого и число нажатий «Оплатить» на странице ссылки. E-mail Пользователя к такой покупке не привязывается, поэтому перенести её через «Восстановить покупки» нельзя. Сам токен ссылки Оператор в открытом виде не хранит и в журналы сервиса не записывает; журнал посещений страницы ссылки не ведётся. Имя, e-mail, телефон и иные сведения о человеке, который откроет ссылку или оплатит покупку, Приложение и Оператор не запрашивают; e-mail для чека плательщик указывает на странице Robokassa; Robokassa сообщает его серверу Оператора в уведомлении об оплате, но Оператор этот адрес не сохраняет, не записывает в журналы и не использует. IP-адрес того, кто открывает ссылку, используется веб-сервером для ограничения частоты запросов и попадает в технический журнал веб-сервера, только если этот лимит превышен. При возврате со страницы Robokassa IP-адрес и сведения о браузере плательщика, как у любого запроса к серверам Оператора, могут попасть в технический журнал веб-сервера (цель «Предотвращение злоупотреблений»). Если плательщик сам обратится в поддержку (например, за возвратом), его e-mail и письмо обрабатываются как обращение в поддержку (срок — раздел 8). Кому и как отправить ссылку, решает сам пользователь: Оператор ссылку никому не рассылает.

6. Цели и основания обработки

Цель	Данные	Правовое основание
Формирование решения по заданию	фотография/текст задания (транзитом), класс и роль из профиля (при наличии; в журнале решений — как техническая метка), тема задания из фиксированного списка (техническая метка), хеш идентификатора устройства, keyed-отпечаток запроса (около часа)	исполнение договора по запросу пользователя
Вопросы к решению и «Похожая задача»	условие, решение и переписка по решению + текст вопроса (транзитом, до 20 реплик / 16 000 символов), класс и роль из профиля, хеш идентификатора устройства; в журнале — только метаданные (вид, статус, токены, время, keyed-отпечаток)	исполнение договора по запросу пользователя
Обработка жалоб на ответы ИИ: улучшение качества и безопасности ответов	причина жалобы из фиксированного списка, вид ответа (решение или ответ на вопрос), ключ запроса, хеш идентификатора устройства, время жалобы — без текста задания, решения и комментария	законный интерес Оператора; жалоба отправляется только по действию пользователя
Напоминание о сбросе дневного лимита	обезличенные события `notif_permission` и `reminder` (согласие и жизненный цикл, без содержимого)	законный интерес Оператора; показывается только по разрешению пользователя, отключается в настройках
Учёт бесплатного лимита и остатков пакетов	хеш идентификатора устройства, счётчики	исполнение договора
Создание и подтверждение платежа, чек	e-mail, платёжные идентификаторы, IP-адрес	заключение и исполнение договора; обязанность, установленная законом
Восстановление покупок	e-mail, код восстановления (в хешированном виде), IP-адрес	исполнение договора и запрос пользователя
Оплата покупки другим человеком по ссылке «Попросить оплатить»	запись о покупке, хеш токена ссылки, ссылка Robokassa на страницу оплаты, срок ссылки, время первого и число нажатий «Оплатить»	заключение и исполнение договора по запросу пользователя
Подключение второго устройства к покупке «Месяц на два устройства»	идентификатор покупки, внутренние идентификаторы устройств (идентификатор устройства — в хешированном виде), хеши одноразового кода, срок его действия и число попыток ввода, время подключения	исполнение договора и запрос пользователя
Предотвращение злоупотреблений	IP-адрес, сведения о браузере или клиенте (User-Agent), идентификаторы и время запросов	законный интерес Оператора
Улучшение Приложения и анализ его использования	обезличенные события использования, хеш идентификатора устройства, версия Приложения, ОС (Android или iOS) и канал установки	законный интерес Оператора; отправка событий отключается пользователем в настройках, а версия Приложения, ОС и канал установки сохраняются как последнее известное состояние устройства и при выключенной статистике

7. Получатели и инфраструктура

AITunnel — российский провайдер доступа к моделям ИИ: передача содержимого задания для распознавания и решения; серверы отдельных моделей могут находиться за пределами РФ.
RouterAI (ООО «Интер») — российский провайдер доступа к моделям ИИ, резервный к AITunnel: та же передача содержимого задания, когда AITunnel недоступен; серверы отдельных моделей могут находиться за пределами РФ.
Robokassa (ООО «РОБОКАССА») — проведение платежа и возврата, автоматическая передача данных о расчёте в ФНС (сервис «Робочеки»).
Timeweb (Россия) — размещение серверов Оператора и доставка одноразовых кодов восстановления.
Государственные органы — только в случаях и объёме, предусмотренных законом.

8. Сроки хранения

платёжные записи — 3 года с даты операции, но не меньше срока, необходимого для исполнения договора и обязательного учёта;
e-mail покупки — пока есть неизрасходованные пакеты или действующий доступ и 3 года после;
коды восстановления — до 15 минут (сам код), связанные записи — не более 30 дней;
коды подключения второго устройства — действуют до 15 минут; записи о выданных кодах (только хеши, срок, число попыток, время использования) и о неверных попытках ввода — не более 30 дней;
записи о ссылках «Попросить оплатить» (хеш токена, ссылка Robokassa, срок, нажатия) — вместе с записью о покупке, к которой выставлена ссылка;
связь «покупка — второе устройство» — до отключения устройства (тогда удаляется сразу); после окончания срока покупки не удаляется и хранится вместе с платёжной записью;
keyed-отпечаток запроса решения — около часа: окно повторной отправки и до 10 минут до ближайшей уборки;
технические метаданные обработок — не более 1 года;
жалобы на ответы ИИ (причина, вид ответа, ключ запроса, хеш идентификатора устройства, время) — не более 1 года с даты жалобы;
события статистики использования — не более 1 года;
обращения в поддержку — 3 года с даты закрытия обращения.

9. Безопасность

Оператор применяет TLS для всех соединений, хеширование идентификаторов устройств, кодов восстановления и кодов подключения второго устройства, ограничение числа попыток ввода кодов, разграничение доступа, ограничение частоты запросов и хранение секретов вне мобильного приложения. Ни одна мера не устраняет риск полностью; при подтверждённом инциденте Оператор действует по применимому законодательству.

10. Права пользователя

Пользователь может запросить сведения об обработке своих данных, уточнение, блокирование или удаление данных и реализовать другие права по применимому законодательству. Запрос направляется на support@xsayler.ru; Оператор может запросить разумное подтверждение владения e-mail покупки. История решений удаляется самим пользователем в приложении; сервер не может удалить то, что не хранит. Отправку статистики использования пользователь отключает в настройках Приложения.

11. Дети

Приложение имеет образовательную направленность и не собирает данные, позволяющие идентифицировать ребёнка: учётные записи отсутствуют, история хранится локально, фотографии заданий не сохраняются. Подключение телефона ребёнка к покупке родителя не создаёт учётной записи ребёнка и не требует сведений о нём: с покупкой связывается только устройство. Класс из профиля используется для подбора объяснения и не связывается с именем или иными сведениями о ребёнке. Покупку должен совершать дееспособный пользователь либо законный представитель несовершеннолетнего.

12. Изменения и контакты

Актуальная редакция размещается по адресу https://ai-domashka.ru/privacy. Существенные изменения публикуются до или одновременно с началом новой обработки.

Вопросы о приватности и поддержка: support@xsayler.ru.