Политика конфиденциальности
Viavo — голосовой ассистент. Чтобы выполнить просьбу, он должен вас услышать, понять и получить доступ к приложениям и данным на телефоне. Здесь написано, что именно уходит с телефона, куда, сколько хранится и как это удалить. Мы не продаём данные и не показываем рекламу внутри приложения. Сам Viavo мы рекламируем, и в разделе 9 написано, как мы это измеряем.
1. Кто отвечает за данные
Viavo разрабатывает и поддерживает его разработчик («мы»). Связаться с нами можно через страницу поддержки.
2. Аккаунт
Вход через Apple или Google. Мы получаем идентификатор от провайдера, адрес e-mail (при входе через Apple это может быть скрытый адрес-ретранслятор) и имя, если оно передано. Аккаунт хранит настройки и данные на всех ваших устройствах и позволяет применять лимиты использования. Вход обслуживает Supabase Auth. При входе через Apple мы также храним токен, который нужен, чтобы отозвать вход у Apple при удалении аккаунта.
3. Голос
Запись начинается только после нажатия кнопки микрофона — на телефоне или на экране CarPlay — и заканчивается, когда вы замолчали, либо через 30 секунд. Нет ключевого слова и нет прослушивания в фоне.
- Распознавание на сервере (по умолчанию). Запись по защищённому соединению передаётся потоком в сервис распознавания речи ElevenLabs по короткоживущему токену, который выдаёт наш сервер, и текст возвращается в приложение. Чтобы имена распознавались верно, вместе с потоком передаётся короткий список подсказок: имена ваших контактов, исполнители из медиатеки и улицы и города недавних маршрутов. Для первых ваших запросов, для некоторых языков, если поток оборвался или отключён с нашей стороны, запись вместо этого загружается на наш сервер и распознаётся сразу двумя сервисами, OpenAI и ElevenLabs, чтобы слово, которое один из них расслышал неверно, можно было сверить с другим. Оба получают тот же список подсказок, а OpenAI ещё и языки, на которых вы, скорее всего, говорите (ваших прежних запросов и приложения). После получения текста аудио мы не храним.
- Распознавание на телефоне. В настройках можно включить распознавание на устройстве. Приложение скачает модель (с Hugging Face, около 500 МБ), и аудио не покинет телефон — уйдёт только текст.
4. Понимание и ответ
Текст запроса уходит на наш сервер и далее в модель Claude компании Anthropic, которая понимает, что вы хотите, и формирует ответ. Перед этим один только текст запроса уходит также в модель решений TypeSafe AI, которая лишь определяет, о чём запрос — о погоде, календаре, звонке или новых сообщениях в чатах, — чтобы ответ можно было найти за один шаг; она ничего не пишет и других данных не получает. Для вопросов о текущих фактах модель может выполнить поиск в интернете; ищется текст вашего запроса. Когда вы просите место по качеству (хороший ресторан, салон с хорошими отзывами, открыт ли сейчас магазин), текст поиска уходит в Google Places вместе с названным вами городом или, для мест рядом с вами, вашими координатами. Когда вы просите место по дороге куда-то, названный вами пункт назначения (или координаты сохранённых дома или работы) и ваши координаты уходят также в Google Routes API, который просчитывает маршрут, чтобы места можно было ранжировать по крюку. Ответ озвучивает Microsoft Azure Speech (или ElevenLabs либо OpenAI, если он недоступен); им передаётся только текст ответа.
Чтобы ответ был точным, с каждым запросом уходит контекст с телефона:
- местоположение (координаты от геолокации телефона), часовой пояс и язык приложения, а также адреса дома и работы, если вы сохранили их в настройках, — чтобы искать места рядом и строить маршрут домой. Координаты нужны только для ответа на запрос и не сохраняются; в сообщении об ошибке остаются только город и страна;
- выбранный навигатор и музыкальный сервис, какие приложения установлены и какие разрешения выключены — чтобы ассистент знал, что он может сделать;
- что сейчас играет, когда речь о музыке;
- ближайшие события календаря и напоминания, когда запрос их касается.
Мессенджеры. Если вы подключили Telegram или Slack в настройках и спрашиваете о сообщениях («что написала Аня?», «передай команде, что опаздываю»), наш сервер от вашего имени и только в этот момент читает или отправляет то, о чём вы попросили, и передаёт текст полученных сообщений языковой модели, чтобы она ответила. Голосовые сообщения расшифровывает OpenAI. Доступ к аккаунту (сессия Telegram, токен Slack) зашифрован ключом, который хранится только на сервере, и лежит на вашем телефоне, а не на сервере; полученные сообщения не сохраняются. Пересказ ассистента сохраняется как часть разговора дня, как любой ответ. Вы соглашаетесь с этим на экране «Мессенджеры» до подключения, а «Отключить» всё прекращает. Подробно механика описана на странице Как Viavo работает с вашими сообщениями.
Рутины Claude. Если вы добавили в настройках свою рутину Claude Code (задачу, которую вы настроили в своём аккаунте Claude на claude.ai) и просите ассистента её запустить («запусти create task в Claude с этим сообщением»), наш сервер один раз запускает эту рутину с задачей, которую вы дали: вашими продиктованными словами или точным текстом сообщения, о котором вы спросили, с отправителем и чатом. Дальше рутина работает в вашем аккаунте Claude, на вашей подписке и с теми коннекторами, которые вы ей там дали, и на неё распространяются условия Anthropic для вашего аккаунта, а не эта политика. Закончив, она присылает на наш сервер короткий отчёт, и ассистент один раз зачитывает его вам. Токен доступа к рутине зашифрован ключом, который хранится только на сервере, и лежит на вашем телефоне, а не на сервере; «Удалить» на экране «Рутины Claude» всё прекращает.
Память. Когда память включена (по умолчанию да; выключатель в Настройки → Память), ассистент хранит факты, которые вы ему сообщили о себе («запомни, что у меня электромобиль»: машина, люди, места, вкусы) и которые заметил в разговоре, а также дневные саммари разговоров, чтобы ответить на «о чём мы говорили в понедельник?». Факты видны на экране «Память», их можно удалять по одному или сказать «забудь про…». Чтобы искать по саммари, каждое из них превращается в числовой эмбеддинг сервисом OpenAI; туда уходит только текст саммари.
Вопросы о погоде отправляют координаты в Open-Meteo. Поиск подкастов отправляет текст запроса в iTunes Search API компании Apple. Если ваш музыкальный сервис — Spotify, YouTube Music или Deezer, музыкальный запрос отправляет текст поиска (названного исполнителя, песню, альбом или плейлист, а не ваши слова) с нашего сервера в каталог этого сервиса, чтобы приложение открылось сразу на нужном треке; Apple Music ищет на самом телефоне, а Яндекс Музыка открывает свой экран поиска. Просьба включить видео с YouTube отправляет текст поиска или название канала в YouTube Data API компании Google. Эти запросы не привязаны к вашему аккаунту в том сервисе, и мы их не храним. Места ищутся через Apple Maps на самом телефоне по условиям Apple.
5. Что мы храним
Всё перечисленное хранится в вашем аккаунте на нашем сервере у Supabase в Европейском союзе (Ирландия) и защищено правилами доступа на уровне строк: читать это можете только вы и ассистент, действующий от вашего имени.
| Данные | Зачем | Срок |
|---|---|---|
| Сообщения разговора (ваши запросы и ответы ассистента) | Чтобы ассистент помнил, что вы говорили сегодня | 7 дней |
| Дневные саммари разговоров | То же, в сжатом виде; при включённой памяти — ещё и чтобы ассистент мог вспомнить прошлый день | 7 дней; при включённой памяти — до её выключения или удаления аккаунта |
| Факты, которые вы попросили запомнить или которые ассистент заметил, при включённой памяти | Чтобы учитывать их в каждом ответе | До удаления факта, очистки памяти или удаления аккаунта |
| Только имена и никнеймы контактов, без номеров и адресов | Чтобы понять, кого вы имеете в виду, когда говорите «позвони Ане». Номер остаётся на телефоне, звонок делает приложение «Телефон» | До выхода из аккаунта, повторной синхронизации или удаления аккаунта |
| Имена исполнителей из вашей медиатеки Apple Music | Чтобы распознать, что вы просите включить | До повторной синхронизации или удаления аккаунта |
| Названия домов, комнат, аксессуаров и сцен HomeKit — только после включения HomeKit в настройках | Чтобы понять «открой гараж». Команды выполняются на телефоне. Данные HomeKit не используются для маркетинга, рекламы или анализа | До выключения HomeKit или удаления аккаунта |
| Продиктованные заметки | Это сама функция | До удаления заметки |
| Настройки: навигатор, музыка, язык, состояние онбординга | Чтобы сохранить их на всех устройствах | До удаления аккаунта |
| Баг-репорты и пожелания, сказанные ассистенту, с транскриптом, недавними сообщениями дня и контекстом | Чтобы починить и ответить вам | До обработки, затем в архиве |
| Ничего о подключённых мессенджерах: зашифрованный доступ к аккаунту лежит на вашем телефоне, а сообщения из Telegram или Slack используются для ответа и отбрасываются | См. раздел 4 | Не хранится |
| По каждой запущенной рутине Claude: её название, ссылка на запуск в вашем аккаунте Claude и присланный ею отчёт. Сама задача и токен не хранятся | Чтобы зачитать вам отчёт и чтобы вы могли найти запуск | Пока вы не удалите аккаунт |
| Количество запросов по дням, остаток кредитов на неделю и покупки кредитов | Лимиты использования и оплата | Счётчики 40 дней; остаток и покупки — до удаления аккаунта |
| Ваш тариф (бесплатные кредиты или Viavo Plus), когда и с какого экрана было показано предложение подписки и что куплено. Сами покупки обрабатывают Apple и RevenueCat; мы получаем статус подписки и купленный продукт, но не данные карты | Оплата и сравнение предложений, цен и экранов между группами пользователей (A/B-тесты) | Тариф — до удаления аккаунта; события — 90 дней |
| Как вы пользуетесь приложением: какие экраны открываете, какие кнопки нажимаете, какие настройки меняете (настройка и выбранный вариант), чем закончились покупки и шаги знакомства. Только названия экранов, кнопок и вариантов, никогда то, что вы говорите, пишете или читаете | Чтобы видеть, что работает, а что путает, и улучшать приложение | 90 дней |
| Технические события: тип запроса, как он прошёл, шаблон запроса без конкретики («позвони {контакт}»), какие инструменты сработали, время ответа, тип ошибки | Чтобы находить и чинить сбои. Ваших слов там нет: шаблон, в котором осталось имя, число или значение из запроса, отбрасывается | 90 дней |
| Неудавшийся запрос и ответ ассистента без имён, номеров, адресов и всего, что вернули инструменты, — только пока включено «Помогать улучшать Viavo» (по умолчанию да; выключатель в онбординге и в настройках) | Чтобы команда видела, что сломалось. Удачные запросы текстом не хранятся | 30 дней; выключение переключателя удаляет их сразу |
Единственный сторонний SDK в приложении, кроме магазина, — SDK Meta для измерения нашей собственной рекламы (раздел 9); сторонних SDK аналитики нет. Запросы и ответы модели мы не используем для обучения моделей.
6. Разрешения на телефоне
Viavo запрашивает каждое разрешение при первой необходимости и работает без любого из них, кроме микрофона. Микрофон — чтобы вас слышать. Геолокация — маршруты, места и погода. Контакты — звонки по имени. Apple Music — воспроизведение из медиатеки. Календарь и напоминания — создание и чтение событий и напоминаний. HomeKit — управление аксессуарами. Отслеживание (диалог «Разрешить Viavo отслеживать ваши действия») — только для измерения нашей рекламы, см. раздел 9; Viavo работает одинаково при любом ответе. Любое разрешение можно изменить в Viavo → Настройки → Разрешения или в приложении «Настройки» iPhone.
7. Приложения, которые открывает Viavo
Когда вы просите маршрут, музыку или видео, Viavo открывает выбранное приложение (Apple Maps, Google Maps, Waze, Яндекс Карты или Навигатор, Apple Music, Spotify, YouTube Music, Deezer, Яндекс Музыка, Apple Podcasts, YouTube) и передаёт ему пункт назначения, найденный элемент или текст поиска. Дальше действует политика конфиденциальности того приложения.
8. Поставщики услуг
| Поставщик | Для чего | Что получает |
|---|---|---|
| Supabase | Хостинг, вход, база данных (ЕС, Ирландия) | Всё из раздела 5 |
| Anthropic | Языковая модель, поиск в интернете | Текст запроса, контекст из раздела 4, недавний разговор и текст сообщений из мессенджера, полученных для ответа |
| OpenAI | Распознавание загруженных записей; эмбеддинги для поиска по памяти; резервная озвучка | Запись голоса, если она загружается, а не передаётся потоком (раздел 3), с теми же подсказками для распознавания (имена контактов и исполнителей, улицы и города недавних маршрутов) и языками, на которых вы, скорее всего, говорите; голосовые сообщения из Telegram, когда вы о них спрашиваете; дневные саммари; текст ответа |
| Telegram, Slack | Чтение и отправка ваших сообщений, только по вашей просьбе и только после подключения аккаунта | Те же запросы, что делает ваше собственное приложение Telegram или Slack, от вашего аккаунта |
| Anthropic (claude.ai, ваш собственный аккаунт) | Запуск добавленной вами рутины Claude, только по вашей просьбе | Данная вами задача: ваши слова или текст сообщения, о котором вы спросили, с отправителем и чатом |
| ElevenLabs | Распознавание речи; озвучка | Запись голоса с подсказками для распознавания (имена контактов и исполнителей, улицы и города недавних маршрутов); текст ответа |
| Microsoft (Azure Speech) | Резервная озвучка | Текст ответа |
| RevenueCat | Подписки и пакеты кредитов, купленные через App Store; передача событий покупок в Meta и Apple Ads (раздел 9) | Идентификатор вашего аккаунта и статус покупки от Apple; без платёжных данных. Для атрибуции: идентификатор устройства для разработчика (IDFV), IP-адрес, анонимный id установки от SDK Meta, токен атрибуции Apple и, только если вы разрешили отслеживание, рекламный идентификатор |
| Meta (Facebook, Instagram) | Измерение нашей рекламы (раздел 9) | Факт установки и открытия приложения, анонимный id установки, модель устройства и версия iOS; факт покупки подписки или пакета кредитов — через RevenueCat и SDK; отчёты о сбоях в коде самого SDK, не привязанные к вам; рекламный идентификатор только если вы разрешили отслеживание |
| Open-Meteo | Погода | Координаты |
| TypeSafe AI | Определение, какая справка нужна запросу (погода, календарь, контакт, входящие чата) до ответа | Текст запроса |
| Google (Places API, Routes API) | Поиск мест с рейтингами, часами работы и отзывами, когда вы просите место по качеству, и мест по дороге с крюком и временем до каждого | Текст поиска из запроса, названный вами город или ваши координаты, ваша страна; для мест по дороге — также названный вами пункт назначения или координаты сохранённых дома или работы |
| Spotify | Поиск трека, который нужно открыть, когда ваш музыкальный сервис — Spotify | Текст поиска музыкального запроса и ваша страна |
| Google (YouTube Data API) | Поиск видео для YouTube или трека, когда ваш музыкальный сервис — YouTube Music | Текст поиска или название канала из запроса о видео или музыке и ваша страна |
| Deezer | Поиск трека, который нужно открыть, когда ваш музыкальный сервис — Deezer | Текст поиска музыкального запроса |
| Apple, Google | Вход; Apple Music, Maps, iTunes Search на устройстве | По их собственным условиям |
| Hugging Face | Загрузка модели распознавания на устройство, только если вы её включили | Ничего, кроме самого запроса на загрузку |
Поставщики обрабатывают данные по нашим инструкциям. Часть из них находится в США; передача опирается на их стандартные договорные гарантии.
9. Измерение нашей рекламы
Мы рекламируем Viavo на площадках Meta (Facebook, Instagram) и в Apple Search Ads. Чтобы понимать, какая реклама приводит водителей, которые остаются, а какая нет, и тратить деньги только на работающую, происходит три вещи.
- SDK Meta в приложении сообщает Meta, что приложение установлено и открыто, вместе с анонимным id установки, моделью устройства и версией iOS, а если сбой случился в самом SDK — отчёт о его собственном коде, не привязанный к вам. Никогда — ваш голос, запросы или что-либо из того, что вы говорите, пишете или читаете.
- Покупки. Когда вы оформляете подписку или покупаете пакет кредитов, RevenueCat (наш провайдер покупок) и SDK Meta сообщают Meta, что на этой установке была покупка, с тем же анонимным id и ценой, чтобы Meta могла понять, какая реклама к ней привела. Имя, e-mail и аккаунт не передаются.
- Диалог отслеживания. iOS один раз спрашивает, можно ли Viavo «отслеживать ваши действия в приложениях и на сайтах других компаний». Если вы разрешите, к тому, что получают Meta и RevenueCat, добавится рекламный идентификатор телефона (IDFA), и Meta сможет точнее сопоставить установку с рекламой. Если не разрешите, больше ничего не меняется: Apple по-прежнему сообщает Meta, агрегированно и с задержкой, что реклама привела к установке (SKAdNetwork / AdAttributionKit), без какого-либо вашего идентификатора. Ответ можно изменить в любой момент в «Настройках» iPhone → Конфиденциальность и безопасность → Отслеживание.
Для Apple Search Ads приложение читает токен атрибуции у Apple и передаёт его RevenueCat, который спрашивает Apple, пришла ли установка из нашей кампании. Токен идентифицирует клик по рекламе, а не вас. Полученное Meta и Apple хранят по своим политикам конфиденциальности; в нашем кабинете у них — цифры по кампаниям, а не список людей. Мы не покупаем аудитории у брокеров данных и не передаём им ваши данные.
10. Удаление данных
Выход из аккаунта удаляет сессию с телефона. Чтобы удалить аккаунт и всё из раздела 5, используйте «Удалить аккаунт» в настройках Viavo или напишите нам через страницу поддержки — мы сделаем это в течение 30 дней. Данные контактов и музыки заменяются при каждой синхронизации и удаляются вместе с аккаунтом.
11. Ваши права
Если вы находитесь в ЕС, Великобритании или другой стране с законами о защите данных, вы можете запросить копию данных, их исправление или удаление, а также возразить против обработки. Правовые основания — исполнение запрошенной вами услуги и, для разрешений телефона и отслеживания, ваше согласие, которое можно отозвать в любой момент; для измерения рекламы без идентификатора — наш законный интерес знать, какая реклама работает. Пишите через страницу поддержки.
12. Дети
Viavo предназначен для водителей и не адресован детям младше 16 лет. Мы сознательно не собираем данные детей.
13. Изменения
При изменении политики мы обновляем дату вверху страницы. О существенных изменениях сообщаем в приложении.