Ваши данные

Кто видит записи

Другие пользователи proofise — нет. У каждого свой список: чужие обещания и люди не показываются ни на одном экране и ни в одном ответе бота.

Сервер записи читает — иначе не напомнит, — и доступ к серверу есть у автора proofise. Автор смотрит только числа: сколько раз за день вы открыли «Сегодня», «Обещания», страницы людей и разбор недели, дошли ли до конца разбора, сколько обещаний записано, у скольких есть ответ на «как поймём, что пригодилось», сколько закрыто и сколько из них не пригодилось. Что и кому обещано, что записано о людях, в этих числах нет; наружу они не уходят.

Позвать в proofise может только автор, и на экране приглашений он видит только даты: когда вы открыли ссылку, вошли, записали первое обещание со сроком и вернулись ли на следующий день, — и куда уходят ваши напоминания: в Telegram, уведомлением или никуда, если бот остановлен, а уведомления не включены. После удаления аккаунта — только пометку «аккаунт удалён». Что вы записали, оттуда не видно.

На странице приглашения видно имя, с которым позвали, имя, которым подписался позвавший, и его записка, если он её оставил, — каждому, у кого есть ссылка. Подпись и записку позвавший вписывает сам, из Telegram они не берутся.

Куда уходит

Только в ваш чат с ботом и в уведомления на ваши устройства. Ни в нейросети, ни в рекламу, ни в чужую аналитику: на страницах нет сторонних счётчиков и скриптов, а фразу, с которой можно написать человеку, proofise собирает сам, без нейросети.

Уведомление до телефона везёт служба того, кто сделал браузер: Apple, Google, Mozilla или Microsoft. Текст уходит к ней зашифрованным ключом вашего устройства — прочитать его она не может, ей видно только, когда и на какое устройство что-то пришло. На экране блокировки текст виден так же, как любое уведомление, — поэтому там только сроки, повод и имя: что вы записали о людях и готовую фразу мы туда не выносим, они ждут на «Сегодня».

Люди, о которых вы записываете, ничего от proofise не получают. «Написать» и «прислать» открывают переписку — с человеком или с ботом, где лежит пересланное, — а отправляете вы. Ссылку из «Хочу поделиться» «прислать» кладёт в адрес чата — так Telegram, почта или SMS ставят её в поле ввода, когда вы нажмёте.

Куда писать человеку — ник в Telegram, почту или номер телефона — proofise хранит вместе с его карточкой и стирает вместе с ней. Номер никуда не отправляется: «Написать» открывает SMS на вашем телефоне, номер в карточке — звонок. Если куда писать не указано, фраза уходит в то приложение, которое вы выберете в системном «Поделиться».

Как удалить

Обещание, человека или проект — внизу экрана правки, заметку — нажав на неё в ленте «Что было», а всё сразу вместе с аккаунтом — внизу экрана «Аккаунт и данные». С человеком уходят и обещания ему, и заметки, и «Хочу поделиться». Объединили двоих — всё записанное о втором переезжает к первому, а карточка второго стирается.

Удаление настоящее: запись стирается из базы, а не прячется, а из ночных копий сервера уходит через 7 дней. При удалении аккаунта вход на других устройствах закрывается сразу.

Отдельно от базы у сервера есть технический журнал: номер вашего аккаунта Telegram и время, когда вы писали боту, а ещё коды поломок и адреса страниц, где они случились. Слов из записей и имён людей в нём нет. Журнал стирается сам через 30 дней, а из ночных копий — неделей позже; после удаления аккаунта эти строки исчезают в тот же срок, а не сразу.

Ещё 14 дней сервер помнит, какие страницы, когда, с какого IP-адреса и в каком браузере открывали (по этой строке видно, например, «Safari на iPhone»), — без слов, набранных в полях; удаление аккаунта их тоже не стирает.

Где хранится

На одном сервере proofise в Google Cloud, в Финляндии. Каждую ночь с диска снимается копия, и через 7 дней она стирается.

Обещания, люди, заметки о них и то, чем хочется поделиться, лежат в одной базе. То, что вы писали боту, остаётся и в вашем чате с ним — как любая переписка в Telegram, и удалить её можно там же.

Если переслать боту картинку или пост, чтобы поделиться им, у нас остаётся номер этого сообщения в вашем чате с ботом, ссылка из поста — а у поста публичного канала и ссылка на сам пост — и слова поста; у картинки без слов вместо них подпись вроде «картинка из «Лентач»». Саму картинку proofise не скачивает: она остаётся в Telegram, и бот показывает её только в вашем же чате, когда вы нажмёте «прислать». Удалили её у себя в чате — у бота она может остаться: удалите и строку на странице человека.

Если обещание заведено из пересланного сообщения человека, при нём хранятся имя и @ник того, кто его написал, и день сообщения — чтобы предложить его как того, кому обещано.

Незаписанная строка шторки «+» живёт только в той вкладке браузера, где вы её набрали, пока вкладка открыта; на сервер она не уходит.

Ответ «Оставить Telegram» на вопрос, куда присылать напоминания, запоминается в этом браузере, а не у нас: чтобы не спрашивать снова на этом устройстве.

Часовой пояс proofise берёт с устройства и в поездке меняет его вслед за устройством, пока вы не выбрали свой в «Настройках»: чтобы напоминания и сроки шли по вашему времени.

Если вы остановили бота, proofise запоминает, когда Telegram отказал ему: чтобы сказать об этом на «Сегодня», в «Обещаниях» и в «Настройках» и не стучаться к вам каждую минуту. Напишете боту — отметка исчезнет.

Если включить уведомления, у нас хранится адрес, который браузер выдал для этого устройства, ключи, которыми уведомления шифруются, название вроде «iPhone» или «Mac · Chrome» и две даты: когда уведомление туда в последний раз дошло и с каких пор служба его не принимает, — чтобы через полчаса отказов прислать напоминание в Telegram. Больше ничего об устройстве. Устройство забывается, когда вы его убираете в «Настройках», выбираете «В Telegram» или выходите из proofise на нём, а если удалить иконку или запретить уведомления — с первым напоминанием, которое туда не дойдёт. Тогда у нас остаются название того устройства и код ответа службы, вроде «Apple 410», — чтобы сказать вам, что уведомления перестали доходить; они стираются, когда вы снова включите уведомления или выберете «В Telegram».

Бот видит только то, что вы ему прислали

Читать ваши переписки в Telegram боты не могут: к боту попадает только то, что вы написали или переслали ему сами. В группах он не отвечает, даже если его туда добавить.

Пароля нет, и утечь ему неоткуда

Вход только через Telegram: код подтверждается в боте и живёт десять минут. Вместе с кодом сутки хранится название устройства, с которого открыли вход, вроде «iPhone», — чтобы бот спросил «Это вы входите с iPhone?»; ни адреса, ни города. Из Telegram proofise берёт номер вашего аккаунта и имя — его буква стоит в кружке справа вверху; телефон — нет. Имя можно поправить или стереть на экране «Аккаунт и данные»: стёртое мы снова возьмём из Telegram, когда вы напишете боту. Вход на устройстве держится 30 дней с последнего захода, если не выйти раньше.

Ссылки в сообщениях бота входят сами: каждая срабатывает один раз и в течение суток, а в базе от неё хранится только отпечаток, по которому войти нельзя. Пересланное сообщение бота открыло бы ваш список тому, кто нажмёт первым, — поэтому их лучше не пересылать.