Политика конфиденциальности FERZ

FERZ — ИИ-помощник для переписки, голоса и перевода. Данные нужны для выбранных вами функций, работы аккаунта, учёта кредитов, безопасности и поддержки. Мы не продаём ваши данные.

Что мы храним

• Идентификатор устройства и защищённый токен сессии — чтобы вы попадали в свой аккаунт. Если вы входите или привязываете аккаунт через Apple, мы также храним псевдонимный идентификатор Apple для FERZ; имя, почта и телефон для этого не требуются.
• Для защиты бесплатного дневного лимита гостевого аккаунта мы храним не сам идентификатор устройства, а его HMAC-метку и общий суточный расход кредитов. В записи нет номера аккаунта, переписки или аудио; после удаления аккаунта рабочая база хранит её только за текущий и предыдущий календарный день UTC; очистка выполняется обслуживанием. Резервные и архивные копии имеют отдельные сроки, описанные ниже.
• Для покупок через App Store FERZ хранит зашифрованный случайный UUID аккаунта. Apple возвращает его в подписанной транзакции, чтобы FERZ зачислил покупку именно тому аккаунту, который её начал. Полный подписанный ответ JWS после проверки не сохраняется. Для бесплатных покупок Sandbox рабочая база хранит только HMAC-метки аккаунта, псевдонимного Apple ID при его наличии и устройства, а также общий суточный объём; остаются текущий и предыдущий день UTC. Журнал UUID уведомлений Apple, включая TEST, очищается после 180 дней.
• Ваши сообщения помощнику и его ответы — чтобы работала история и память.
• Факты в «Память» могут выделяться автоматически из ваших слов, когда память включена. Её можно отключить и отдельно удалить сохранённые факты; очистка только истории не удаляет память.
• Личные сообщения между пользователями по никам и их вложения (до удаления).
• Пуш-токен — чтобы присылать уведомления о готовых ответах.
• После удаления аккаунта остаётся служебная запись без содержимого переписки: прежний внутренний номер, случайный технический маркер, время удаления и, если был вход через Apple, необратимый хеш его псевдонимного идентификатора. Она не позволяет восстановить переписку и нужна лишь затем, чтобы уже начатый запрос входа не создал удалённый аккаунт заново. Она очищается обслуживанием после порога 24 часа, когда нет оставшихся операций; это не обещание удаления всех копий ровно через сутки.
• После удаления аккаунта зашифрованный UUID покупки и связь с внутренним номером удаляются. Минимальная псевдонимная запись транзакции — идентификатор, товар и среда Apple, зачисленная и возвращённая сумма, состояние, время и HMAC-метка UUID — хранится на срок работы сервиса. Она не содержит профиля или полного JWS и нужна, чтобы старую расходуемую покупку нельзя было зачислить повторно или перенести в другой аккаунт, а возврат можно было обработать.
• Если вы пишете через веб-форму поддержки: оставленный контакт, текст обращения и сетевой префикс IP. Эти поля шифруются, нужны для ответа и защиты формы от спама; порог очистки рабочей базы — 90 дней. При недоступности обслуживания очистка задерживается. Контакт и текст пересылаются владельцу в Telegram, где действуют правила получателя.

Голос

В файловом голосовом режиме записанная фраза приходит на FERZ-сервер и передаётся настроенному поставщику распознавания (OpenAI либо оператору модели через OpenRouter). Временная входная запись очищается после обработки; в переписке может остаться текст. Это не относится к сохраняемым вложениям личных сообщений и данным доставки ответов. В новых версиях приложения живой (непрерывный) режим получает у FERZ короткоживущий одноразовый токен и открывает защищённый WSS напрямую с Google Gemini Live. Микрофонный PCM такого разговора не проходит через FERZ, Cloudflare или наш TURN-сервер; Google при прямом соединении видит IP-адрес устройства. Постоянный ключ Google остаётся только на FERZ-сервере. FERZ по-прежнему выполняет авторизацию, учёт кредитов, выдачу ограниченной конфигурации, интернет-инструменты и сохранение разрешённых текстовых реплик. Ранее установленные совместимые версии могут использовать прежний путь через наш TURN-сервер: тогда FERZ временно обрабатывает PCM только в оперативной памяти и передаёт его Google по защищённому WSS, не записывая на диск. Текстовые реплики и ответы могут сохраниться в истории, как описано выше. Обработка у самих поставщиков регулируется их политиками.

Переводчик использует две Google-сессии для выбранной пары языков и выбирает один слышимый перевод. Звук и текст перевода обрабатываются временно и не добавляются в историю переводчика на FERZ. Это не обещание отсутствия копий у Google.

Кому и что передаётся

• OpenAI — при прямом маршруте: текущий запрос, необходимые инструкции, ограниченная история и разрешённая память, фото или извлечённый текст PDF, записанное аудио для распознавания либо текст для озвучки. Эта же цепочка моделей используется для извлечения фактов памяти и сводок.
• OpenRouter и операторы моделей — соответствующие данные выбранной функции, не только при запасном маршруте: через них также идут настроенные непрямые модели и интернет-поиск. OpenRouter передаёт запрос оператору модели; состав получателей зависит от маршрута и функции. В выборе моделей обычного чата получателями могут быть OpenAI, Anthropic, Google, xAI, DeepSeek, Alibaba (Qwen), Z.ai и Moonshot AI (Kimi). Отправляются запрос, необходимый контекст истории/памяти и приложенные изображения или текст документов. Перед первым ручным выбором показывается отдельное согласие; отказ сохраняет Авто. FERZ запрашивает data_collection: deny. Этот фильтр не является обещанием нулевого хранения всех технических данных у каждого оператора. Выбор модели, согласие и расчёт стоимости связаны с аккаунтом; эти записи не удаляются при простой очистке чата, но удаляются с аккаунтом. Минимальные записи покупок App Store имеют отдельный срок, описанный выше.
• Google Gemini — поток живого голоса, текущие реплики, необходимые инструкции с ограниченным контекстом истории/памяти и результаты вызванных инструментов, чтобы распознать речь, вести живой диалог и озвучить ответ. При прямом живом соединении Google также получает сетевой IP-адрес устройства.
• Perplexity (через OpenRouter) — поисковый запрос и служебная инструкция, когда вы просите найти что-то в интернете. В обычном чате и файловом голосе возможен запасной online-поиск через OpenRouter и его поисковых обработчиков. Запрос может содержать сообщённые вами сведения; найденное возвращается в контекст ответа.
• Open Food Facts — при проверке продукта по штрихкоду получает штрихкод и сетевые сведения запроса FERZ-сервера, без отдельной передачи номера FERZ-аккаунта. Фото этикетки идёт поставщику модели для распознавания состава; вердикт рассчитывается по таблицам FERZ, а не выносится моделью.
• Resend — получает адрес получателя, тему, текст и подпись письма, а при наличии — вложения и адрес для ответа, когда вы просите отправить письмо. Затем письмо получает адресат и его почтовый сервис.
• Expo Push / Apple — push-токен, заголовок и текст уведомления.
• Apple StoreKit и App Store — выбранный товар, платёжные и технические сведения покупки и случайный UUID аккаунта FERZ. Apple проводит оплату по своим правилам; FERZ проверяет подписанную транзакцию и уведомления о покупке или возврате.
• Telegram — (1) текст сообщения, на которое вы пожаловались, и (2) текст вашего обращения в поддержку вместе с вашим ником или внутренним номером, чтобы владелец сервиса мог ответить и разобраться; (3) служебные события аккаунта (создание/удаление, привязка Apple ID, активация промокода и сбои пушей) с внутренним номером или ником, но без текста обычных разговоров; (4) только после нажатия «Сообщить об ошибке» в проверке состава — вердикт, название товара, штрихкод, введённый состав, найденные спорные позиции, неизвестные коды, нераспознанные части состава, версия таблицы и внутренний номер/ник, чтобы владелец мог проверить ошибку.
• Фото и документы, которые вы присылаете помощнику, включая фото состава в проверке продукта, обрабатываются у поставщика модели: OpenAI или через OpenRouter. Картинка уходит целиком, из PDF извлекается текст. Временные входные файлы очищаются после обработки; это не все файлы приложения: вложения личных сообщений и данные доставки сохраняются для своих функций. Текст может остаться в переписке.
• Ваша личная почта, если вы попросили «ответы мне на почту», хранится у нас в зашифрованном виде и подставляется в поле «ответить» исходящих писем.
• Cloudflare — HTTPS-трафик между приложением и FERZ проходит через её сеть как через обратный прокси для защиты и доступности. Прямой WSS-поток живого звука между устройством и Google через Cloudflare не проходит. Поскольку Cloudflare завершает защищённое соединение на своей стороне, она технически обрабатывает IP-адреса, заголовки (включая данные авторизации) и содержимое запросов и ответов — например текст, загружаемое аудио, фото и документы.
• Хостинг сервера (DigitalOcean, Франкфурт, Германия) — здесь находятся текущий production-сервер FERZ и его база. Это не означает, что все получатели, журналы и резервные копии находятся только здесь или в ЕС.
• Наш ретранслятор голоса (turn.ferz.app, тот же сервер) — используется только совместимыми версиями прежнего живого режима. В этом пути сервер временно преобразует звук в PCM в памяти, но не записывает его на диск. Новая прямая схема живого голоса через этот ретранслятор не проходит.

По умолчанию чувствительный текст уведомления заменяется общим: «Откройте приложение — есть новое». Заголовок передаётся отдельно. Если владелец сервиса явно включает превью, там может появиться текст вашего напоминания, результата наблюдения или утренней сводки. Содержимое личного сообщения не показывается.

Про удаление честно: «Удалить аккаунт» сразу закрывает доступ к аккаунту и запрещает новые обработки. Переписка, память, личные сообщения, вложения и сам аккаунт удаляются после завершения уже начатых запросов; незавершённое удаление повторяется обслуживанием. Служебная запись, гостевая и Sandbox HMAC-метки, минимальная запись покупки и отдельно отправленная веб-форма поддержки имеют описанные выше пороги очистки. Веб-форма технически не связана с аккаунтом и не исчезает автоматически при его удалении.

Сроки копий отличаются от рабочей базы. Полная ежедневная копия сервера шифруется age до отправки в Cloudflare R2. Внешний зашифрованный архив включает базу, загрузки, конфигурацию и ключи; закрытый age-ключ хранится вне production, поэтому R2 не может прочитать открытое содержимое без него. Ежедневные объекты защищены от удаления 14 дней и удаляются lifecycle-правилом после 30 дней. Сбои обслуживания могут задержать удаление. Отдельно защищённые предрелизные, recovery- и архивные копии сохраняют прежний режим: они исключены из автоматического удаления, общий максимальный срок пока не установлен, доступ ограничен. При сбое очистка откладывается до успешного обслуживания. Очистка рабочей базы не является гарантией физического стирания всех носителей, WAL и резервных копий. Уже доставленные письма, обращения в Telegram и данные у поставщиков следуют правилам соответствующих получателей.

FERZ не использует данные для рекламы и не продаёт их. Перечень выше описывает основные цепочки обработки; поставщики могут привлекать своих обработчиков. Правила обучения, логирования и хранения зависят от услуги и настроек поставщика. FERZ не гарантирует нулевое хранение или отсутствие обучения у всех получателей.

Хранение и защита

Переписка, память, личные сообщения и сводки хранятся на нашем сервере в ЗАШИФРОВАННОМ виде (AES-256). Ключ хранится отдельно от базы. Срок хранения — пока вы сами не удалите: есть «Очистить всё» и «Удалить аккаунт». Это не сквозное шифрование между пользователями: для выполнения функций сервер и поставщики обрабатывают доступное им содержимое. Указанное шифрование не означает, что зашифровано каждое служебное поле.

Удаление

Кнопка «Удалить аккаунт» в профиле сразу закрывает доступ и запускает удаление истории, памяти, личных сообщений, вложений и аккаунта после завершения уже начатых запросов. Сроки служебных записей, независимой веб-поддержки и копий описаны выше; они не равны мгновенному уничтожению всех физических копий. Для запроса по отдельно переданным данным обратитесь в поддержку.

Правила общения между пользователями

Запрещены спам, оскорбления, угрозы и незаконный контент. На любое входящее сообщение можно пожаловаться и заблокировать отправителя — заблокированный не сможет вам писать. Нарушителям ограничиваем доступ.

Контакт

Вопросы — через форму на странице поддержки или ник @support внутри приложения.

FERZ Privacy Policy

FERZ is an AI assistant for chat, voice and translation. Data is used for the features you choose, account operation, credit accounting, security and support. We do not sell your data.

What we store

• A device identifier and a protected session token. If you sign in or link an account with Apple, we also store Apple's pseudonymous identifier for FERZ; no name, email address or phone number is required for this.
• To prevent a guest account from resetting its free daily allowance, we retain an HMAC-derived device marker and aggregate daily credit spend. It has no account ID, conversations or audio. The live database keeps only the current and previous UTC calendar day, with cleanup performed by maintenance. Backup and archive copies have separate retention rules described below.
• For App Store purchases, FERZ stores an encrypted random account UUID. Apple returns it in the signed transaction so FERZ can credit the account that started the purchase. FERZ does not retain the complete signed JWS after verification. For free Sandbox purchases, the live database keeps only HMAC markers for the account, pseudonymous Apple ID when present, and device, plus aggregate daily credits; only the current and previous UTC day remain. Apple notification UUIDs, including TEST, are retained for 180 days.
• Your messages to the assistant and its replies (history and memory).
• Facts in Memory may be extracted automatically from your words while memory is enabled. You can turn it off and separately delete saved facts; clearing only history does not delete memory.
• Direct messages between users (nicknames) and their attachments.
• A push token for notifications.
• After account deletion, we retain a conversation-content-free operational record: the former internal ID, a random technical marker, deletion time and, if Apple sign-in was used, a one-way hash of Apple's pseudonymous identifier. It cannot restore conversations and exists solely to stop an already-started sign-in request from recreating the deleted account. Maintenance clears it after the 24-hour threshold when there are no remaining operations; this does not promise deletion of all copies exactly one day later.
• Account deletion removes the encrypted purchase UUID and its internal account link. A minimal pseudonymous transaction record — transaction ID, Apple product and environment, credited and reversed amounts, state, times, and the UUID HMAC — remains for the service lifetime. It contains no profile or complete JWS and prevents an old consumable purchase from being credited again or transferred to another account, while allowing refunds to be handled.
• If you use the web support form: the contact you provide, the message body, and your network IP prefix. These fields are encrypted, used to reply and prevent form abuse; the live database has a 90-day cleanup threshold. Cleanup is delayed if maintenance is unavailable. Your contact and message are forwarded to the owner in Telegram, subject to the recipient's rules.

Voice

In file-voice mode, your recording reaches the FERZ server and is sent to the configured recognition provider (OpenAI or a model operator through OpenRouter). The temporary input recording is cleared after processing; text may remain in conversation history. This does not cover retained direct-message attachments or reply-delivery data. In newer app versions, live mode obtains a short-lived, single-use token from FERZ and opens secure WSS directly to Google Gemini Live. The microphone PCM for that conversation does not pass through FERZ, Cloudflare, or our TURN server; Google sees the device network IP on this direct connection. The permanent Google key remains only on the FERZ server. FERZ still handles authentication, credit accounting, constrained setup, web tools, and permitted text-history storage. Previously installed compatibility versions may use the earlier TURN path; there FERZ holds PCM transiently in memory and sends it to Google over secure WSS without recording it to disk. Text turns and replies may be stored in history as described above. Provider-side processing follows each provider's own policy.

The translator uses two Google sessions for the selected language pair and chooses one audible translation. Translation audio and text are transient and are not added to translator history on FERZ. This does not promise that Google has no copies.

Who receives what

• OpenAI — on the direct route: the current request, necessary instructions, limited history and permitted memory, photos or extracted PDF text, recorded audio for transcription or text for speech synthesis. The same model chain is used for memory extraction and summaries.
• OpenRouter and model operators — the corresponding data for the selected feature, not only on the fallback route: configured non-direct models and web search also use them. OpenRouter forwards the request to a model operator; recipients depend on the route and feature. Ordinary chat model choices may use OpenAI, Anthropic, Google, xAI, DeepSeek, Alibaba (Qwen), Z.ai and Moonshot AI (Kimi). The request, necessary history/memory context and attached images or document text are sent. A separate consent screen precedes the first manual choice; declining retains Auto. FERZ requests data_collection: deny; this filter is not a promise of zero technical-data retention by every operator. Model choice, consent and cost records are linked to the account. They survive a chat wipe but are removed with account deletion. Minimal App Store purchase records follow the separate retention described above.
• Google Gemini — the live voice stream, current turns, the necessary instructions with limited history/memory context, and tool results, to transcribe, conduct the live conversation, and synthesize the reply. On a direct live connection, Google also receives the device network IP address.
• Perplexity (via OpenRouter) — the search query and service instructions when you ask to look something up. Ordinary chat and file voice may fall back to online search through OpenRouter and its search processors. The query may contain information you provided; results enter the answer context.
• Open Food Facts — for a product barcode lookup, receives the barcode and network information from the FERZ server request, without separately receiving the FERZ account ID. Label photos go to the model provider for ingredient recognition; the verdict is calculated from FERZ tables, not by a model.
• Resend — receives the recipient address, subject, body and signature, plus attachments and a reply-to address when present, when you ask to send an email. The addressee and their mail service then receive the message.
• Expo Push / Apple — the push token, notification title and body.
• Apple StoreKit and App Store — the selected product, payment and technical purchase details, and a random FERZ account UUID. Apple processes payment under its rules; FERZ verifies the signed transaction and purchase or refund notifications.
• Telegram — reported-message text; support-request text with your nickname, internal ID or reply contact; and operational account events such as creation/deletion, Apple linking, promo activation and push failures. Ordinary conversation text is not included in operational alerts. If you explicitly tap “Report a mistake” in the ingredient checker, the verdict, product name, barcode, entered ingredients, flagged items, unknown codes, unrecognised ingredient fragments, table version and your internal ID/nickname are also sent so the owner can investigate.
• Cloudflare — HTTPS traffic between the app and FERZ passes through its network as a security and availability reverse proxy. The direct live-audio WSS stream between the device and Google does not pass through Cloudflare. Because Cloudflare terminates the secure connection at its edge, it technically processes IP addresses, headers (including authorization data), and request/response content such as text, uploaded audio, photos and documents.
• Hosting provider (DigitalOcean, Frankfurt, Germany) — hosts the current FERZ production server and database. This does not mean all recipients, logs and backup copies are located here or only in the EU.
• Our voice relay (turn.ferz.app) — is used only by compatibility versions of the earlier live mode. On that path, the server transiently converts audio to PCM in memory and does not record it to disk. The new direct live-voice path does not use this relay.
• Photos and documents you send, including ingredient-label photos in the product checker, are processed by the model provider: OpenAI or through OpenRouter. The whole image is sent; text is extracted from PDFs. Temporary input files are cleared after processing; this does not cover all app files: direct-message attachments and delivery data are retained for their features. Text may remain in conversation history.
• Your reply-to email, if you set one, is stored encrypted and used as the reply address of outgoing mail.

By default, sensitive notification body text is replaced with generic text (“Open the app — there is something new”). The title is sent separately. If the service owner explicitly enables previews, your reminder, watch result or morning brief may be shown. Direct-message content is not shown.

About deletion, honestly: "Delete account" immediately blocks account access and new processing. Conversations, memory, direct messages, attachments and the account are removed after already-running requests drain; unfinished deletion is retried by maintenance. The operational record, guest and Sandbox HMAC markers, minimal purchase record, and separately submitted web support form use the cleanup thresholds above. The web form is not technically linked to the account and does not disappear automatically when the account is deleted.

Copy retention differs from the live database. A full daily server backup is encrypted with age before upload to Cloudflare R2. The outer encrypted archive contains the database, uploads, configuration and keys; the private age key is kept off production, so R2 cannot read plaintext without it. Daily objects are locked against deletion for 14 days and removed by a lifecycle rule after 30 days. Operational failures can delay deletion. Separately protected prerelease, recovery and archive copies retain the existing policy: they are excluded from automatic deletion, have no overall maximum retention yet, and access is restricted. Failures delay cleanup until successful maintenance. Clearing the live database is not a guarantee of physical erasure of every storage device, WAL and backup copy. Already-delivered emails, Telegram support messages and data held by providers follow the respective recipients' rules.

Storage and protection

Conversations, memory, direct messages and summaries are stored on our server ENCRYPTED (AES-256), with the key kept separately from the database. Retention: until you delete it yourself — "Clear everything" and "Delete account". This is not end-to-end encryption between users: the server and providers process the content available to them to perform the features. This encryption statement does not mean every operational field is encrypted.

Sharing

FERZ does not use data for advertising or sell it. The list above describes the main processing chains; providers may engage their own processors. Training, logging and retention depend on the provider's service and settings. FERZ does not guarantee zero retention or no training by every recipient.

Deletion

The “Delete account” button immediately blocks access and starts removal of account-linked history, memory, direct messages, attachments and the account after already-running requests drain. The operational records, separate web support and copies follow the rules above; this does not mean immediate destruction of every physical copy. Contact support about separately transmitted data.

User-to-user messaging rules

Spam, harassment, threats and illegal content are forbidden. You can report any incoming message and block the sender; blocked users cannot reach you. Violators lose access.

Contact

Use the form on our support page, or the @support nickname inside the app.