Политика конфиденциальности

Что хранится

• расшифровка голосового или текст сообщения;
• заголовок, краткое содержание, категория, теги и следующий шаг — это результат разбора моделью;
• сам аудиофайл;
• ваш Telegram ID и ник, если он у вас есть;
• адрес почты — только если вы сами его привязали.

Кому это уходит

• OpenAI — аудио, для расшифровки;
• Anthropic — текст расшифровки, для разбора;
• Supabase — база данных и хранилище файлов;
• Telegram — сама переписка с ботом;
• Timeweb — сервер дашборда, Railway — сервер бота.

База данных и хранилище файлов — Supabase, регион Токио (ap-northeast-1). Серверы OpenAI, Anthropic и Railway тоже за пределами России. В России размещён только дашборд.

Что можно проверить, а не принять на веру

• Чужие записи вам не видны, а ваши — никому. Это устроено в самой базе (Row Level Security, user_id = auth.uid()), а не в коде приложения, который можно случайно обойти.
• В журналы сервера содержимое не попадает. Пишутся только длины и идентификаторы — например Transcript (412 chars).
• Когда обработка падает, оператору приходит уведомление без текста и без расшифровки. Чтобы знать, что сломалось, не нужно читать, о чём вы говорили.
• Исходный код открыт: github.com/vito2005/orbit. Всё написанное здесь можно сверить с ним.

Что придётся признать

• Расшифровка уходит в OpenAI и Anthropic — без этого продукта не существует.
• Аудиофайлы хранятся и сами по себе не удаляются.
• У оператора есть доступ к базе. Технически он может прочитать всё, что вы записали. Средств, которые делали бы это невозможным, здесь нет, и утверждать обратное было бы неправдой.

Полностью закрытое хранение (когда прочитать не может никто, включая нас) в этом продукте недостижимо: модель обязана видеть текст, иначе ей нечего разбирать.

Как удалить

Отдельные записи удаляются кнопкой в журнале — сразу и насовсем. Чтобы удалить аккаунт целиком вместе с аудио, напишите оператору: @alexbuki. Кнопку для этого ещё не сделали, и пока её нет — честнее сказать так, чем обещать.