Конфиденциальность мобильного приложения
Кто отвечает за данные
За данные в режиме «Аккаунт Distil» и в наших сервисах звонков, уведомлений и отчётов о сбоях отвечает ООО «ЛЭМП ЛЭБС», ИНН 9714031466, ОГРН 1237700942533. Адрес: 125167, г. Москва, Ленинградский пр-кт, д. 47, стр. 2, помещ. 13А. По вопросам данных пиши на support@distilio.ru. Эта политика относится к мобильному приложению Distil для iOS и Android.
Сервер твоей компании
Оператор данных в этом режиме — компания, которой принадлежит сервер. Она выдаёт адрес и способ входа, определяет цели, доступ, место и сроки хранения. Встречи, записи, расшифровки, выжимки, задачи и выбранные вложения приложение передаёт на её сервер. Мы не получаем это содержимое и не имеем доступа к серверу компании. Если компания подключает облачные функции, условия обработки уточняй у администратора. За исправлением и удалением корпоративных данных и учётной записи обращайся к нему.
Аккаунт Distil: личный режим
Зарегистрироваться может любой: сервер компании не нужен. Вход проходит через Distil ID по почте и коду из письма или через Sign in with Apple. Мы храним почту, имя, если ты его указал или передал через Apple, идентификатор учётной записи, способы входа, сессии и технические сведения для защиты входа. При входе через Apple получаем идентификатор Apple и обычный или скрытый адрес почты; токен Apple храним зашифрованным для отзыва при удалении аккаунта.
Сервер личного режима my.distilio.ru хранит твои аудиозаписи, загруженные файлы, расшифровки, выжимки, проекты, задачи, чаты с помощником и сведения о звонках. Мы обрабатываем их, чтобы распознать речь, подготовить выжимку, найти встречу и ответить на твои вопросы. Также храним идентификаторы устройств, ключи входа в защищённом виде, привязки и токены уведомлений, факт и версию согласия, счётчики использования и лимитов. Другие пользователи не получают доступ к твоим записям без твоего действия.
До первой записи приложение просит согласие на обработку на нашем сервере. Без актуального согласия загрузка записей, создание звонков и запросы к языковой модели недоступны. Данные нужны для работы выбранных функций и исполнения договора; обработка, на которую требуется согласие, проводится на основании твоего согласия. Не записывай и не загружай чужие данные без необходимого основания и согласования с участниками.
Где хранятся данные личного режима
Основная база и записи личного режима находятся на нашем сервере в Москве, Россия. Облачная обработка текста — отдельная передача, описанная ниже. Часть данных, включая ещё не отправленные записи и кэш, хранится на твоём телефоне. Доступ к нашим серверам имеют сотрудники, которым он нужен для обслуживания и поддержки.
Обработка языковой моделью и получатели
Для выжимок и ответов личный режим использует облачную языковую модель. Перед отправкой приватный шлюз заменяет найденные имена и другие персональные данные псевдонимами и повторно проверяет текст. Если проверка находит оставшиеся персональные данные, отправка блокируется. Провайдер модели получает только текст после анонимизации и технические сведения запроса; исходное аудио и таблица подстановок ему не передаются. Анонимизация снижает риск раскрытия, но сам контекст текста может оставаться чувствительным.
Distil ID и сервис облачной обработки получают данные входа и технический учёт использования, чтобы авторизовать тебя и учитывать лимиты. Почтовый хостинг ООО «Регистратор доменных имён РЕГ.РУ» (reg.ru) доставляет письма с кодами входа и ответы поддержки. Apple обрабатывает вход через Sign in with Apple, если ты его выбрал. Доставку уведомлений выполняют Apple Push Notification service на iOS и Google Firebase Cloud Messaging на Android. Эти внешние сервисы могут обрабатывать данные за пределами России; размещение основной базы в РФ не означает, что все получатели находятся в РФ. Данные не продаём и не используем для рекламы.
Звонки по ссылке
Для гостевого звонка достаточно ссылки и имени или псевдонима: подключать сервер компании на телефоне не нужно. Наш сервис calls.distilio.ru получает имя участника, идентификаторы комнаты и участника, права, время подключения и служебные сообщения для соединения. Сигнализация может содержать IP-адреса; для диагностики соединения используются задержка, потери пакетов и тип маршрута.
Аудио и видео защищены сквозным шифрованием. Они идут напрямую между участниками или через сервер пересылки LiveKit, в том числе наш медиасервер. У нас нет ключей, чтобы прочитать звук и видео. При прямом соединении участники могут видеть IP-адреса друг друга. Организатор может включить запись на сервере своей компании; приложение показывает индикатор записи. При обмене расшифровками наш hub хранит только зашифрованные фрагменты, без ключа расшифровки.
Отчёты о сбоях
В сборках с настроенной отправкой отчёты включены по умолчанию. Отключить их можно в «Ещё → Отчёты о сбоях». Они поступают в наш сервис sentry.infra.lamp-labs.pro: тип ошибки, стек вызовов, версия приложения, сведения об ОС и устройстве, время сбоя. Приложение удаляет текст исключения, пользовательские поля, запросы и историю действий. Аудио, расшифровки, сообщения, снимки экрана и текст встреч в отчёты не включаются. Сервер при соединении видит IP-адрес. Рекламного отслеживания нет.
Уведомления
Уведомления работают, если они включены на сервере и ты разрешил их на телефоне. Наш relay push.distilio.ru получает токен доставки Apple или Firebase, случайный идентификатор привязки, тип приложения и окружение доставки. Он видит время, IP и размер запроса. Сервер компании или личного режима шифрует содержание для твоего устройства; relay и служба доставки (Apple APNs на iOS, Firebase на Android) получают шифртекст и нейтральный текст уведомления. Ключ хранится на твоём телефоне. Relay не получает открытый текст встречи или адрес исходного сервера. Выключатель уведомлений отзывает привязку и очищает токен в relay после успешного соединения.
Доступы iPhone
- Микрофон — чтобы тебя слышали в звонке и для записи, которую ты запускаешь.
- Камера — чтобы собеседники видели тебя.
- Медиатека и выбранные файлы — чтобы прикрепить выбранное тобой фото, видео или запись к встрече.
- Локальная сеть — чтобы подключиться к серверу компании в твоей сети.
- Уведомления — чтобы сообщить о готовой расшифровке или выжимке.
Разрешения можно изменить в настройках iOS. Без микрофона и камеры можно оставаться слушателем. Запрет уведомлений не мешает открыть встречи вручную.
Сроки хранения
Гостевое имя и билет в лобби удаляются через час после истечения билета; сам билет обычно действует 10 минут. Счётчики ограничения запросов с хешем IP удаляются через сутки. Зашифрованные фрагменты расшифровок в почтовом ящике hub хранятся 7 дней. Текущие сетевые отчёты и сигнализация находятся в памяти активной сессии, без записи SDP и ICE на диск.
Отчёты о сбоях, технические журналы и сохранённые метаданные завершённых звонков храним не дольше 90 дней. Токен уведомлений храним до отзыва или признания его недействительным; при отзыве очищаем токен. Оставшуюся техническую запись отозванной привязки удаляем не позднее 90 дней. Обращения в поддержку храним до решения вопроса и не дольше года после последнего письма. Эти сроки применяются к нашим сервисам; сроки на сервере компании определяет компания.
Записи и результаты обработки в личном режиме хранятся до их удаления тобой или удаления аккаунта; аудио также может удаляться раньше по сроку хранения записей сервера. Учётная запись, устройства, согласия и учёт лимитов хранятся, пока нужны для работы аккаунта. Резервные копии удалённых данных очищаются в течение 30 дней. После удаления аккаунта остатки в Distil ID и сервисе облачной обработки удаляются фоновым процессом; при техническом сбое требуется повтор и помощь поддержки.
Удаление аккаунта и записей
В личном режиме открой «Ещё → Аккаунт → Удалить» в строке «Удалить аккаунт». Для подтверждения войди ещё раз и введи слово «удалить». Это удаляет твои записи, расшифровки, выжимки, задачи, проекты, чаты и звонки, ключи входа устройств и привязки уведомлений, а затем учётную запись Distil ID и аккаунт сервиса облачной обработки. При входе через Apple отзывается его токен. Вход в личный кабинет и облако на компьютере тоже станет недоступен. Удаление необратимо.
Действие «Удалить все записи» в том же разделе удаляет содержимое личного режима, сохраняя аккаунт. Выход из аккаунта или удаление приложения сами по себе не удаляют серверные данные. На сервере компании удалением управляет её администратор. Участники звонка могут сохранить собственные записи: удаление у нас не удаляет их копии.
Твои права
Ты можешь узнать, какие данные о тебе обрабатываются, запросить их копию, исправление, блокирование или удаление, отозвать согласие, обратиться в Роскомнадзор или суд. Напиши на support@distilio.ru с почты аккаунта. Для гостевого звонка укажи примерное время и ссылку без части после #. Не присылай пароли, API-секреты и ключи звонков. Мы запросим только сведения, необходимые для проверки обращения. Ответим в течение 10 рабочих дней. Если закон требует сохранить часть данных, сообщим об этом и основании хранения.
Отправку будущих отчётов о сбоях и уведомлений можно выключить в приложении. При изменении обработки обновим эту страницу с новой датой; если изменятся условия согласия личного режима, приложение запросит его заново. Поддержка Distil.