Политика приватности

Коротко

• Для входа не нужны почта, телефон и пароль.
• Партнёр видит только карточки, где вы оба ответили «Да» или «Может быть». Ваши «Никогда» он не видит.
• Мы не продаём данные и не показываем рекламу в приложении. Саму Cerise мы рекламируем в Google, и, если вы включили статистику, Google узнаёт, что вы начали пользоваться приложением.
• Статистика, отчёты о сбоях и измерение рекламы Cerise работают, только если вы их включили.
• Скачать свои данные и удалить аккаунт можно в самом приложении.

Кто отвечает за данные

Оператор данных и издатель приложения — ИП Афиногенов Сергей Олегович, индивидуальный предприниматель, зарегистрированный в Республике Армения, регистрационный (налоговый) номер 2408000572, адрес: Yerevan, Grigor and Sargis Gurzadyan str., 2, 0005. По любому вопросу о данных пишите на hello@cerise-app.com.

Что видит партнёр

Ответов на карточку три: «Да», «Может быть» и «Никогда».

• Совпадение появляется, когда вы оба ответили «Да» или «Может быть» — в любом сочетании. В совпадении партнёр видит, какой именно ответ дали вы.
• Партнёр не видит ваши «Никогда», ваши ответы на карточки без совпадения и список исключённых вами тем. Доступ закрыт на уровне базы данных, а не только в интерфейсе.

Но о чём-то партнёр может догадаться или узнать:

• Если совпадения нет, он может предположить, что вы ответили «Никогда» или ещё не ответили: порядок карточек у пары общий.
• Если какой-то уровень жара включён у партнёра и выключен у вас, он увидит пометку «только у вас» и поймёт, что у вас этот уровень выключен.
• Если вы передумали, совпадение исчезает у обоих без уведомления, но счётчик совпадений на экране «Пара» уменьшается.
• Если вы отклонили предложение или награду партнёра, у него они пропадают из списка «ждёт ответа».
• Ваши имя и пол, если вы их указали, видит партнёр. Имя видит и любой, у кого есть ваш действующий код приглашения. Текст награды, написанный вами своими словами, видит партнёр.
• Если бесплатная неделя подписки уже была у кого-то из вас, экран покупки объяснит, почему её нет.

Какие данные мы обрабатываем

• Ваши ответы, границы и совместное с партнёром. Ответы на карточки (включая «Никогда»), выбранные уровни жара и исключённые темы, выданная вам колода, совпадения вместе с текстами карточек, история пары (предложения, задания, награды, очки) и тексты наград, если вы их написали. Нужны, чтобы показывать карточки по вашим границам и находить совпадения. Основание — ваше явное согласие. Храним, пока есть аккаунт.
• Аккаунт и профиль. Случайный идентификатор аккаунта без имени и почты, часовой пояс, время последнего открытия приложения, размер вашей бесплатной порции, служебные отметки (например, время последних скачиваний копии данных), а также имя и пол — их указывать необязательно. Нужны для работы приложения; имя и пол обрабатываются по вашему согласию: по составу пары можно судить о личной жизни. Храним, пока есть аккаунт. Основание — договор, для имени и пола — согласие.
• Подписка Cerise Plus. Тариф, срок действия, выдан ли доступ партнёру и сведения о покупке от магазина. Данных вашей банковской карты у нас нет. Бесплатная неделя даётся один раз на человека и на пару, поэтому мы храним отметку, что она уже была. Основание — договор; отметка о бесплатной неделе — законный интерес (защита от злоупотреблений). Храним, пока есть аккаунт.
• Уведомления. Токен устройства, ваши настройки уведомлений и служебные отметки, чтобы не присылать их ночью и не повторять. Основание — договор, и только если вы разрешили уведомления.
• Приглашения и восстановление профиля. Код приглашения действует 6 часов и удаляется через 7 дней после истечения. Код восстановления лежит в защищённом хранилище вашего телефона, у нас — только его необратимый след. Чтобы защититься от подбора кодов, мы не дольше двух часов храним число неудачных попыток с одного адреса в виде необратимого хеша с секретным ключом: самого адреса там нет. Основание — договор и законный интерес (безопасность).
• Проверка, что приложение настоящее. Приложение получает у Google Play (на Android) или Apple (на iPhone) подтверждение, что это неизменённая сборка из магазина, и прикладывает его к запросам к нашему серверу. Так мы отсекаем программы, которые подбирают коды приглашений и злоупотребляют сервисом. Google Play и Apple получают для этого сведения о приложении и устройстве и обрабатывают их по своим правилам; вашего аккаунта, имени и ответов в подтверждении нет. Подтверждение действует недолго, мы его не храним. Основание — законный интерес (безопасность).
• Журнал согласий. Когда и на какие редакции документов вы согласились, ваш выбор по статистике и измерению рекламы, версия приложения и платформа. Оператор обязан уметь доказать согласие (ст. 7(1) GDPR и закон РА «О защите персональных данных»). Храним, пока есть аккаунт. Основание — юридическая обязанность.
• Журналы сервера. Адрес соединения (IP), тип приложения или браузера, время и вид запроса; в записях об ошибках ещё идентификаторы аккаунта и пары. Нужны, чтобы находить сбои и отражать атаки. Храним 30 дней. Основание — законный интерес.
• Письма в поддержку. Адрес, с которого вы написали, и текст письма. Не присылайте в письмах ответы на карточки и другие интимные сведения: для копии данных и удаления письма не нужны — это делается в приложении. Основание — законный интерес: ответить на ваше обращение. Храним, пока идёт переписка, и удаляем раньше, если попросите.

Статистика, отчёты о сбоях и измерение рекламы — только если вы их включили

На первом экране и на экране приглашения под галочкой согласия есть вторая — «Согласен на статистику использования, отчёты о сбоях и измерение рекламы Cerise через Google». Она не отмечена по умолчанию и вход не задерживает. Это одно согласие на всё перечисленное: отдельной галочки для измерения рекламы нет. Включить и выключить его можно в любой момент: Настройки → Аккаунт и данные. Пока оно выключено, приложение и сервер не отправляют ничего: ни событий, ни отчётов о сбоях, ни сведений для измерения рекламы. В паре каждый решает за себя: событие пары уходит только тому, кто включил статистику. Согласие отдельное, на обработку ответов оно не влияет.

Когда статистика включена, мы измеряем, как человек пользуется приложением:

• какие экраны открыты и как проходят первые шаги;
• шаги с партнёром: приглашение отправлено, открыто, принято, пара связана или распалась, появилось первое совпадение;
• факт ответа на карточку и открытия совпадений, число ответов — без самих карточек и ответов;
• факт предложений, наград, заданий и игр, а для игр — сводку партии (сколько карт, сколько времени), без их содержания;
• ответ на просьбу разрешить уведомления и открытие уведомлений;
• показ экрана покупки, нажатия, отмена и ошибки, а также события подписки от магазина: начало, продление, отмена, возврат, товар, платформа и сумма;
• просьбу приложения оценить его в магазине.

К каждому событию добавляются: псевдонимный идентификатор аккаунта, номер сеанса, время, платформа (iOS или Android), версия приложения, день с установки и состояние пары (без пары, приглашение отправлено, в паре). У связанных пар есть и псевдоним пары — по нему мы считаем, сколько пар пользуются приложением; это не идентификатор пары в нашей базе. Статистику получает Amplitude. Адрес соединения (IP) мы в события не кладём, но Amplitude, как любой сервер, получает его вместе с запросом и по нему может определить страну и город.

Отчёты о сбоях получает Firebase Crashlytics: технические сведения о падении, модель устройства, версии системы и приложения. Идентификатора вашего аккаунта в них нет. На Android, если включена статистика, к отчёту прикладываются и последние служебные события Google Analytics.

Измерение рекламы. Мы сами рекламируем Cerise в Google Ads; рекламы других компаний в приложении нет. Чтобы эта реклама доставалась тем, кто действительно пользуется приложением, при включённой статистике приложение сообщает Google Analytics for Firebase два факта: что вы дали пять новых ответов на карточки (считаются только ответы, данные при включённой статистике) и что вы дошли до конца вводной настройки при первом запуске. У этих событий нет свойств: в них нет ни самих ответов, ни карточек, ни имени, ни идентификатора вашего аккаунта. Каждое уходит один раз за установку приложения. Google Analytics передаёт их в связанный с ним рекламный кабинет Google Ads, где они служат конверсиями: по ним Google оценивает и оптимизирует рекламу Cerise, то есть решает, кому её показывать. Персонализация рекламы выключена: эти сведения не используются, чтобы показывать вам рекламу по вашим интересам. Автоматические события экранов в Google не передаются.

Рекламный идентификатор устройства (рекламный ID Android) приложение не собирает: разрешения на него убраны из приложения, а сбор выключен. Кроме двух событий, Google Analytics сам получает технические сведения: идентификатор установки (он не рекламный), версию приложения и системы, тип устройства (телефон или планшет), язык, страну и регион по адресу соединения (город не определяется, сам адрес не хранится), служебные события установки, обновления, сеансов и удаления приложения, сведения о падениях и источник установки: из какой рекламной кампании и после какого нажатия на рекламу Cerise пришла установка (идентификатор нажатия и его время передаёт Google Play). По нему Google связывает события с нажатием на рекламу Cerise. Идентификатора аккаунта Cerise, имени, ответов, карточек и экранов в Google Analytics нет.

Сейчас измерение рекламы работает только в версии для Android; на iPhone оно пока не включено. Если мы включим его и там, то выпустим новую редакцию этой политики и согласия. Когда вы выключаете статистику, новые события перестают уходить сразу, а приложение просит Google Analytics сбросить идентификатор установки.

Ни в статистику, ни в измерение рекламы никогда не попадают: ответы на карточки, тексты карточек, наград и предложений, какие карточки вы видели, имя, пол, идентификатор пары, рекламные идентификаторы устройства и его координаты. Основание — ваше явное согласие: Cerise — приложение об интимной жизни пары, и сам факт, что вы им пользуетесь, может говорить о вашей личной жизни.

Что хранится только на телефоне

Копия ваших данных для работы без сети, загруженные карточки и задания, счётчики бесплатных ходов игр и служебные отметки (например, спрашивали ли вас о разрешении на уведомления). Для измерения рекламы там же лежат счётчик новых ответов на карточки (в него идут только ответы, данные при включённой статистике) и отметка, что событие уже отправлено; содержимого ответов в них нет. Это к нам не уходит и удаляется вместе с приложением. Исключение — код восстановления на iPhone: он лежит в связке ключей и переживает удаление приложения, чтобы после переустановки вернуть профиль.

До того как вы подтвердили возраст

Первый экран спрашивает возраст и согласие. До ответа приложение входит в аккаунт без почты и пароля, проверяет у Google Play или Apple, что сборка настоящая, заводит код восстановления и загружает каталог карточек без ваших данных. Профиль, границы, колода и журнал согласий появляются только после «Мне есть 18» или «Принять приглашение» с отмеченной галочкой согласия, а без записанного согласия сервер ответы не принимает. Покупки подключаются только после согласия, уведомления — только после вашего разрешения, статистика и измерение рекламы — только если вы их включили. Если вы не прошли вопрос о возрасте, аккаунт входа без профиля хранится без срока; в нём нет ни имени, ни ответов.

Уведомления

Приложение просит разрешение на уведомления у того, кто принял приглашение, и у того, кто его отправил. Отказ ничего не ломает. Уведомления бывают о новых совпадениях, предложениях, задании недели и наградах (их можно выключить по отдельности), «Новые карточки готовы» (приходит не чаще раза в сутки с 9 до 23 по вашему времени и только если в тот день вы не открывали приложение; выключается в настройках), «Партнёр подключился» и напоминание за три дня до списания платы после пробного периода. Тексты уведомлений не называют карточек и ответов.

Кто получает данные

• Google (Google Cloud и Firebase) — база данных, серверные функции, вход, проверка, что приложение настоящее, уведомления, этот сайт, отчёты о сбоях и служебные журналы, а при включённой статистике ещё и измерение рекламы Cerise (Google Analytics for Firebase и Google Ads: два события без ответов и имён и технические сведения, о которых сказано выше). База и функции расположены в регионе europe-west1 (Бельгия, ЕС); вход, журналы, проверка приложения, Google Analytics, Google Ads и часть служб Firebase работают в глобальной инфраструктуре Google.
• RevenueCat — учёт покупок и подписок: идентификатор аккаунта, сведения о покупке от магазина и технические сведения запроса (IP-адрес, тип устройства, версия системы). Серверы — в США.
• Amplitude — статистика, только если вы её включили. Данные хранятся в ЕС (Франкфурт).
• Apple и Google Play продают подписку и проводят платёж как самостоятельные операторы по своим политикам; данные карты есть только у них. Они же подтверждают, что приложение настоящее. На iPhone уведомления доставляет Apple.
• Почта поддержки. Письма на hello@cerise-app.com пересылает служба ImprovMX (серверы в ЕС и США) в почтовый ящик Google.

Google, RevenueCat и Amplitude обрабатывают данные по нашему поручению и на условиях договоров об обработке данных. Исключение — Google Ads: два события измерения рекламы и сведения, по которым Google связывает их с нажатием на рекламу Cerise, Google Ads использует как самостоятельный оператор, по своим правилам. Как Google обращается с такими данными, Google рассказывает на странице «Как Google использует информацию с сайтов и из приложений партнёров». Мы передаём получателям только то, что нужно для работы приложения, а если вы включили статистику, — ещё и для статистики и измерения рекламы. Мы не продаём данные. Единственное, что мы отправляем в рекламных целях, — сведения для измерения рекламы Cerise, описанные выше: они уходят в Google только при включённой статистике, не содержат ответов, имён и идентификатора аккаунта и служат для оценки и оптимизации рекламы Cerise, а не для того, чтобы показывать вам рекламу по вашим интересам. Государственным органам данные отдаём только по требованию, обязательному для нас по закону.

Передача данных за пределы Европы

Мы работаем из Армении, и решения Еврокомиссии о достаточном уровне защиты данных для Армении нет. Данные, которые вы отправляете из приложения, приходят к нам, а дальше их получают перечисленные выше получатели, в том числе в США. Передача защищена стандартными договорными условиями Еврокомиссии, которые входят в договоры с Google, RevenueCat и Amplitude; Google и Amplitude, кроме того, сертифицированы по рамочной программе EU–US Data Privacy Framework. Сведения для измерения рекламы Google Ads получает как самостоятельный оператор: если вы в ЕС или ЕЭЗ, их получает Google Ireland Limited (Ирландия, ЕС), а дальнейшую их передачу за пределы Европы Google обеспечивает сам, в том числе по Data Privacy Framework; если вы в Великобритании — Google LLC (США) на стандартных договорных условиях. Копию условий можно запросить по адресу выше.

Сколько храним

• Ответы, границы, колода, имя, настройки, журнал согласий — пока есть аккаунт. Удаление аккаунта стирает их сразу.
• Общее и история пары — пока существуют оба аккаунта. После разрыва в приложении они недоступны ни вам, ни партнёру, но входят в вашу копию данных. Хранятся они, пока один из вас не удалит аккаунт: тогда данные пары удаляются целиком. У нас как у оператора есть технический доступ к базе, но мы эти данные не открываем.
• Неактивные аккаунты удаляются со всеми данными, если приложение не открывали 24 месяца. В паре аккаунт удаляется, только если не открывали оба партнёра. Это не касается аккаунтов с действующим Cerise Plus (купленным самим человеком или полученным от партнёра) и с покупкой «Навсегда».
• Коды приглашений — 6 часов и ещё 7 дней после истечения; при удалении аккаунта — сразу.
• Журналы сервера — 30 дней.
• Отчёты о сбоях Google хранит 90 дней.
• Токен для уведомлений Google может хранить до 180 дней после удаления аккаунта.
• События статистики Amplitude хранит 24 месяца с момента получения, после этого они стираются сами. Раньше они удаляются вместе с аккаунтом: после удаления мы отправляем запрос на удаление, и события стираются не позднее чем через 40 дней.
• Сведения в Google Analytics. Служебные события Google Analytics хранит 2 месяца. Идентификатор установки и привязанные к нему сведения, в том числе два события измерения рекламы, — 14 месяцев с момента получения, затем они удаляются автоматически. В сводных отчётах без идентификаторов остаются только общие числа. Конверсии, переданные в Google Ads, Google хранит по своим правилам.
• Запись о подписчике в RevenueCat удаляется при удалении аккаунта. Сама покупка остаётся в App Store или Google Play по их правилам.
• Резервных копий базы данных нет. Удалённое технически остаётся в служебной версии базы не дольше часа.

Подробнее о том, что происходит при удалении, — на странице «Удаление аккаунта».

Ваши права

• Получить копию данных в машиночитаемом виде: Настройки → Аккаунт и данные → «Скачать мои данные». Приложение выдаёт два файла: таблицу ваших ответов (CSV) и остальные данные (JSON). Данных партнёра, которые не общие, в копии нет. Копию можно скачать три раза в сутки. По письму мы копию не высылаем: письмо не доказывает, что аккаунт ваш, а идентификатор аккаунта знает и партнёр.
• Удалить аккаунт и данные: Настройки → Аккаунт и данные → «Удалить аккаунт и данные».
• Исправить данные. Имя, пол, уровни и исключённые темы меняются в настройках, ответ — заново на карточке.
• Отозвать согласие в любой момент. Согласие на статистику, отчёты о сбоях и измерение рекламы отзывается переключателем в настройках: новые события перестают уходить сразу, а приложение просит Google Analytics сбросить идентификатор установки. Согласие на обработку ответов отзывается удалением аккаунта: без него приложение не может работать, а хранить ответы без согласия не на чем. Отзыв не отменяет законность обработки, которая была до него.
• Возразить против обработки на основании законного интереса и попросить ограничить обработку — письмом на hello@cerise-app.com.
• Пожаловаться в надзорный орган: в Армении — в Агентство по защите персональных данных; в ЕС — в орган страны, где вы живёте или работаете; в Великобритании — в ICO. Писать нам перед этим не обязательно, но если напишете, мы постараемся решить вопрос сами.

Мы отвечаем на запросы без неоправданной задержки и не позже чем через месяц; если запрос сложный, срок можно продлить, и мы сообщим об этом в течение первого месяца. Если к вам применяется закон Республики Армения, мы отвечаем в сроки, которые он устанавливает.

Если профиль потерян. Почты и телефона у нас нет. Если телефона с приложением больше нет, а профиль не вернулся из резервной копии, мы не можем установить, какой профиль ваш, и поэтому не выдаём копию и не удаляем данные по описанию: иначе их мог бы получить или удалить другой человек. Такой аккаунт удалится сам по правилу о неактивных аккаунтах, вместе с данными его пар.

Решения без участия человека

Мы не принимаем решений, которые имели бы для вас юридические последствия, на основе автоматической обработки. Карточки подбираются по вашим границам и общей колоде пары, а совпадения считаются по правилам, описанным выше.

Возраст

Cerise — для взрослых: от 18 лет или с возраста совершеннолетия в вашей стране, если он выше. Данные несовершеннолетних мы осознанно не собираем. Возраст вы подтверждаете сами, документов мы не спрашиваем. Если вы ответили «Мне ещё нет», профиль не заводится.

Применимое право

Оператор зарегистрирован в Армении, поэтому к обработке применяется закон РА «О защите персональных данных». Для данных о личной жизни мы опираемся на ваше явное согласие; иные основания — только если закон прямо их предусматривает. Если вы в ЕС, ЕЭЗ или Великобритании, к обработке ваших данных применяются также GDPR или UK GDPR. Их основания — явное согласие (ст. 6(1)(a) и 9(2)(a)), договор (ст. 6(1)(b)), законный интерес (ст. 6(1)(f)) и юридическая обязанность (ст. 6(1)(c)) — названы в разделе «Какие данные мы обрабатываем» у каждой цели. Обязательные нормы страны, где вы живёте, это не ограничивает: если ваш закон даёт больше, действует он.

Изменения

У каждой редакции этой страницы есть дата — она наверху. Когда выходит новая, приложение при запуске показывает уведомление «Мы обновили документы» со ссылкой на неё. Если меняется текст согласия, приложение просит согласиться заново и до этого не пускает в приложение. Начиная с редакции 2026-10-05 каждая опубликованная редакция сохраняется без изменений по адресу cerise-app.com/archive/privacy-ГГГГ-ММ-ДД, где в конце — её дата. Новые цели обработки мы не применяем к уже собранным данным без вашего согласия там, где оно нужно. Если оператором станет правопреемник ИП — например, юридическое лицо, — мы сообщим об этом в приложении не меньше чем за 30 дней, а согласие на обработку ответов у вас запросят заново: прежнее на нового оператора не переходит.