Политика конфиденциальности

Последнее обновление: 7 ноября 2026 года

Эта политика объясняет, какие данные обрабатывает приложение «Горизонт» (сайт uhrzn.com, установленное веб-приложение и мобильные приложения для iOS и Android), зачем, где они хранятся и как вы можете ими управлять.

1. Кто отвечает за данные

Оператор данных — разработчик приложения «Горизонт», Maksim Kozak (частное лицо). По любым вопросам о данных, а также для отзыва согласий и реализации ваших прав пишите на [email protected]. Мы отвечаем в течение 30 дней.

2. Какие данные мы обрабатываем

• Аккаунт. Адрес электронной почты (при входе через Google или по коду из письма). При входе через Google сервис авторизации также получает имя и фотографию профиля Google. Пароли мы не храним.
• Ваш контент. Задачи, подзадачи, проекты, правила повторения, заметки, таблицы и схемы проектов, привычки и отметки их выполнения, колоды и карточки для запоминания, колесо баланса, записи дневника эмоций.
• Чат (если вы им пользуетесь). Ваш личный код для чата; текстовые и голосовые сообщения (запись вашего голоса), которые вы отправляете и получаете, время их отправки, изменения и прочтения; имена, которыми вы подписываете собеседников (их видите только вы); отметки «без звука» и блокировки. В группах — название группы, код приглашения, участники и роль владельца, а также имя, которое вы выбрали для группы. Если вы жалуетесь — жалоба, ваш комментарий и копия последних 50 сообщений этого чата. Общая папка на Google Диске — в разделе 6. Реакции на сообщения; открытые ключи сквозного шифрования и копия вашего закрытого ключа, зашифрованная кодом восстановления (сам код знаете только вы); при подключении нового устройства по QR со старого — на 10 минут одноразовый открытый ключ нового устройства и код восстановления, зашифрованный для него (прочитать его может только это устройство); особые приглашения в группы (срок и число входов). Роли в группах (владелец, администратор), права группы, закреплённые сообщения, упоминания участников и отметка «переслано». Списки дел (кто и когда отметил пункт — видно участникам чата), ответы в ветках, отметки «Избранное», закреплённые и архивные чаты (видите только вы) и отложенные сообщения — до отправки они хранятся на сервере, в зашифрованных чатах — в зашифрованном виде. Челленджи и встречи: название и место — в тексте сообщения (шифруются вместе с перепиской), на сервере — сроки, время, кто участвует и в какие дни отметился, ответы «пойду / может быть / не пойду» (это видно участникам чата); связь челленджа с вашей привычкой и встречи с вашей задачей Горизонта видите только вы. Настройки групп: медленный режим, кто закрепляет сообщения, отметка «удалено администратором».
• Данные о здоровье (раздел «Здоровье», только если вы его используете). Питание (приёмы пищи, калории и нутриенты), вода, вес и замеры тела, сон и время будильника, шаги и активность, режим голодания, профиль питания (пол, возраст, рост, вес, уровень активности, цель). Если вы включаете женское здоровье — даты и длительность цикла, самочувствие, симптомы, температура, отметки о приёме лекарств и беременности. Это чувствительные данные (особая категория): мы обрабатываем их только на основании вашего явного согласия, которое вы даёте, внося их в приложение, и можете отозвать, удалив записи или отключив раздел в Настройках.
• Apple Здоровье и Health Connect (только в мобильных приложениях и только с вашего разрешения). Приложение читает шаги, сон, вес и пульс в покое и может записывать воду и вес, которые вы ввели вручную (отдельный переключатель). Эти данные используются только для отображения в разделе «Здоровье», не используются для рекламы, не передаются третьим лицам и не продаются.
• Уведомления. Если вы включаете напоминания: технический адрес подписки браузера или токен устройства, часовой пояс, язык и выбранное время упреждения.
• Google Calendar (по желанию). Подробно — в разделе 6.
• Отзывы. Оценка и комментарий, если вы отправляете их через форму обратной связи.
• Технические данные. Сообщения об ошибках (Sentry): тип браузера и системы, версия приложения, текст ошибки и шаги перед ней — без содержимого задач и заметок, без адресов электронной почты и без токенов входа (они вырезаются до отправки). При обработке запросов сервисы видят IP-адрес устройства. Приложение не добавляет IP-адрес в сообщения об ошибках, а аналитика идёт через наш прокси, который удаляет IP-адрес, — PostHog его не получает.
• Аналитика (только после вашего согласия в баннере или в Настройках). Обезличенные события использования функций и показатели скорости загрузки (PostHog) — без текста, который вы вводите, и без привязки к вашему аккаунту.

3. Зачем мы это делаем

• Работа приложения и синхронизация между устройствами — исполнение соглашения с вами (Условия использования).
• Данные о здоровье, интеграции с Apple Здоровье, Health Connect и Google Calendar, напоминания, аналитика — ваше согласие.
• Исправление ошибок, защита от злоупотреблений, резервные копии — наш законный интерес в стабильной и безопасной работе сервиса.

Мы не продаём данные, не показываем рекламу, не передаём данные рекламным сетям и брокерам данных и не используем ваш контент для обучения моделей ИИ.

4. Где и как хранятся данные

• Аккаунт и контент хранятся в базе данных Supabase в Европейском союзе. Доступ к записям на уровне базы данных есть только у их владельца (Row Level Security). Соединение всегда зашифровано (HTTPS).
• Сообщения чата — единственные данные, которые видят другие люди: в личном чате — только два участника, в группе — её текущие участники, причём новый участник видит переписку только с момента вступления (Row Level Security). Личные чаты защищены сквозным шифрованием: текст и голосовые шифруются на устройстве ключами, которые есть только у собеседников, на сервере хранится лишь шифротекст, и уведомление приходит без текста сообщения. Групповые чаты тоже защищены сквозным шифрованием, когда ключ шифрования есть у всех участников: ключ группы передаётся каждому участнику в зашифрованном виде и меняется при каждом изменении состава, поэтому новый участник не читает прежние сообщения, а вышедший — новые; уведомление из такой группы приходит без текста. Пока ключ есть не у всех (например, у кого-то старая версия приложения), сообщения группы хранятся в базе так же, как остальной контент, а уведомление содержит название группы, автора и начало текста. Никто из собеседников не видит ваш адрес электронной почты, другой ваш контент, данные о здоровье и имена, которыми вы их подписали. Отметки «в сети» и «печатает…» передаются только собеседникам в моменте и не сохраняются; их можно выключить (тогда вы не видите их и у других). Поиск по зашифрованным чатам выполняется на устройстве. Участники группы видят роли, закреплённые сообщения и то, кто и когда прочитал их собственные сообщения. «Напомнить» и «Добавить себе в задачи» создают обычную задачу в вашем аккаунте. Группа, в которой шифрование уже включалось, остаётся зашифрованной и тогда, когда вступает человек без ключа: он не читает новых сообщений, пока ключ не появится. Сервер не видит текст, но видит, кто, кому и когда пишет, реакции, названия групп, имена в группах и даты встреч. Подписей у сообщений нет, поэтому код безопасности подтверждает ключи собеседников, а не каждое сообщение.
• Ключи доступа Google Calendar и Google Диска хранятся в зашифрованном хранилище секретов (Supabase Vault) и не передаются в браузер.
• Раз в неделю для каждого аккаунта создаётся серверная резервная копия; хранятся последние 4 копии. Их можно восстановить в Настройках. Копии хранятся в той же инфраструктуре, что и сами данные, поэтому не заменяют ваш собственный экспорт («Экспорт данных»).
• Приложением можно пользоваться без входа — тогда данные хранятся только на устройстве. При входе в аккаунт они, как и изменения, сделанные после выхода из аккаунта, переносятся в ваш аккаунт.
• На вашем устройстве данные хранятся в памяти браузера или приложения для работы без интернета. PIN-код только блокирует экран приложения, данные на устройстве им не шифруются.

5. Кому передаются данные

Только поставщикам, без которых сервис не работает, и только в объёме, нужном для их задачи:

• Supabase — база данных, вход, серверные функции, хранение резервных копий (ЕС).
• GitHub — зашифрованная резервная копия всей базы данных (США).
• Resend — отправка писем с кодом входа (получает ваш адрес электронной почты и текст письма с кодом; компания из США, письма отправляются через серверы в Японии; передача на основании стандартных договорных условий).
• Cloudflare — хостинг сайта, доставка файлов, защита от ботов (Turnstile), прокси поиска продуктов и аналитики; компания из США, передача на основании стандартных договорных условий.
• Sentry — сбор сообщений об ошибках (ЕС; IP-адреса не сохраняются).
• PostHog — обезличенная аналитика, только с согласия (США; передача на основании стандартных договорных условий).
• Google — вход через Google, Google Calendar и Google Диск (если подключены), доставка уведомлений в Chrome и на Android (Firebase Cloud Messaging), распознавание речи в Chrome.
• Apple — доставка уведомлений на iPhone, iPad и Mac (Apple Push Notification service), распознавание речи в Safari и на iOS.
• Mozilla и другие разработчики браузеров — доставка уведомлений в их браузерах.
• Open Food Facts — поиск продуктов и сканирование штрихкодов: туда уходит только поисковый запрос или код товара.
• quickchart.io, api.qrserver.com — генерация QR-кода со ссылкой на сайт (без ваших данных).

Голосовой ввод работает через распознавание речи вашего браузера или системы: звук обрабатывает их разработчик (Google или Apple), приложение получает только готовый текст. Анализ тональности записей дневника эмоций выполняется прямо на устройстве, текст никуда не отправляется. Мы раскрываем данные государственным органам только при законном требовании.

6. Google Calendar и Google Диск (по желанию)

Синхронизация с Google Calendar включается только вами: Настройки → Google Calendar → «Подключить». С вашего разрешения приложение получает доступ к событиям календаря (область доступа calendar.events) и использует его только для двусторонней синхронизации: задачи с датой создаются, изменяются и удаляются как события в вашем основном календаре, а события, которые вы создаёте в Google Calendar, появляются в Горизонте задачами.

• Какие данные: название события, дата и время начала и окончания, идентификатор события. Описание, участники, место и вложения не читаются и не сохраняются.
• Использование: только для синхронизации. Данные не продаются, не передаются третьим лицам, не используются для рекламы и обучения моделей ИИ. Люди их не читают, кроме случаев, когда вы сами просите помочь с ошибкой, этого требует закон или это нужно для защиты от злоупотреблений.
• Отключение: Настройки → Google Calendar → «Отключить» отзывает доступ у Google и останавливает синхронизацию; уже созданные события остаются в календаре. При удалении аккаунта доступ отзывается автоматически. Отозвать доступ можно и на странице myaccount.google.com/permissions.

Google Диск (общая папка чата). Подключается только вами из чата: кнопка «Общая папка на Google Диске» → «Создать папку». Приложение получает доступ только к папкам и файлам, которые само создало (область доступа drive.file), а не ко всему вашему Диску.

• Какие данные: папка чата создаётся на вашем Google Диске, в неё попадают файлы, которые вы и участники чата загружаете через приложение. Файлы передаются из браузера напрямую в Google; через наши серверы проходят только имя, тип и размер файла. Мы храним идентификатор и ссылку на папку.
• Кто видит: участники чата получают ссылку на папку с правом только просмотра, и Google показывает им ваше имя и адрес Google-аккаунта как владельца файлов. Открыть папку может любой, кому передали ссылку; люди, которых удалили из чата, сохраняют ссылку, пока вы не отвяжете папку. Открытые ключи шифрования — пока существует аккаунт (последние 20 ключей), копия закрытого ключа — до смены ключа или удаления аккаунта. Отработавшие особые приглашения удаляются в течение 7 дней.
• Отключение: «Отвязать папку» закрывает доступ по ссылке; «Отключить Google Диск» закрывает доступ по ссылке ко всем вашим папкам и отзывает доступ у Google. При удалении аккаунта это происходит автоматически. Сами папки и файлы остаются на вашем Диске — их можно удалить в Google Диске.

Использование и передача в другие приложения информации, полученной от Google API, соответствуют Google API Services User Data Policy, включая требования Limited Use (ограниченного использования).

7. Сколько хранятся данные

• Аккаунт и контент — пока существует аккаунт. Удалённые вами задачи, проекты, привычки и другие записи попадают в корзину и безвозвратно удаляются через 90 дней.
• Сообщения чата — пока отправитель не удалит их у всех или пока их не удалят у себя все участники. При удалении аккаунта личные чаты этого человека удаляются целиком у обоих, а в группах удаляются его сообщения; группа остаётся остальным участникам, владельцем становится участник, вступивший раньше всех. Группа удаляется, когда её удаляет владелец или из неё выходит последний участник. Ссылка на общую папку Google Диска — пока папка привязана к чату. Жалобы — не дольше 12 месяцев. Отметки «в сети» и «печатает…» выключаются в окне «Ваш код для чата». Отложенные сообщения хранятся до отправки; после отправки запись удаляется через сутки, а не отправленное — через 30 дней.
• Звук голосовых сообщений — 365 дней с отправки, затем удаляется автоматически; само сообщение остаётся в переписке с пометкой, что звук удалён. Звук хранится в закрытом файловом хранилище Supabase (ЕС), доступ к нему есть только у тех, кому видно сообщение; в чатах со сквозным шифрованием — в зашифрованном виде.
• Серверные резервные копии — до 4 недель (хранятся последние 4 еженедельные копии).
• Зашифрованная резервная копия всей базы данных в GitHub — до 30 дней. Она нужна для восстановления после сбоя; ключ к ней есть только у нас. Данные удалённого аккаунта исчезают из неё с окончанием срока хранения последней копии.
• Подписки на уведомления — пока ими пользуются; неактивные дольше 180 дней удаляются автоматически.
• Сообщения об ошибках — не дольше 90 дней, аналитика — не дольше 12 месяцев.
• Данные из прежних версий приложения (GPS-треки тренировок и режим «карта фигур») больше не собираются и удаляются вместе с аккаунтом.

8. Ваши права

• Доступ и перенос: Настройки → «Экспорт данных» — полная копия ваших данных в формате JSON.
• Чат: своё сообщение можно удалить у всех участников (меню сообщения → «Удалить у всех»), любое сообщение или чат — удалить у себя, собеседника — заблокировать, из группы — выйти в любой момент; владелец может удалить группу целиком. Переписка входит в «Экспорт данных».
• Исправление: любые записи можно изменить прямо в приложении.
• Удаление аккаунта: Настройки → «Удалить аккаунт навсегда». Перед удалением на устройство автоматически скачивается финальная копия данных. Аккаунт и все данные на сервере удаляются сразу и безвозвратно; резервные копии, ключи Google и журналы удаляются в течение суток.
• Данные на устройстве: при выходе из аккаунта данные уходят с экрана и возвращаются при следующем входе в этот аккаунт; без входа приложение пустое, а записи, сделанные без входа, хранятся отдельно. На устройстве данные остаются незашифрованными. Чтобы удалить их, используйте Настройки → «Стереть с устройства».
• Отзыв согласий: аналитика — Настройки → «Участие в аналитике»; Google Calendar, напоминания, интеграция со здоровьем — соответствующие переключатели в Настройках или в настройках системы.
• Вы также можете потребовать ограничить обработку или возразить против неё, написав нам, и подать жалобу в надзорный орган по защите данных вашей страны.

9. Файлы cookie и локальное хранилище

Приложение хранит на устройстве сессию входа, настройки и ваши данные для работы без интернета — это необходимо для работы сервиса. Аналитика PostHog включается только после вашего согласия. Рекламных и сторонних отслеживающих cookie нет.

10. Дети

Приложение не предназначено для детей младше 16 лет, и мы сознательно не собираем их данные. Если вы считаете, что ребёнок передал нам данные, напишите нам — мы их удалим.

11. Безопасность

Мы используем шифрование соединения, изоляцию данных на уровне базы, хранение секретов в зашифрованном хранилище, одноразовые подписанные ссылки для действий из уведомлений и регулярные проверки безопасности. Ни одна система не защищена полностью; при утечке, затрагивающей ваши данные, мы уведомим вас и надзорный орган в установленные законом сроки.

12. Изменения политики

При существенных изменениях мы обновим дату вверху и сообщим о них в приложении. Продолжая пользоваться приложением после изменений, вы соглашаетесь с новой редакцией.

Privacy Policy

Last updated: November 7, 2026

This policy explains what data the Horizon app (the uhrzn.com website, the installed web app and the iOS and Android apps) processes, why, where it is stored and how you can control it.

1. Who is responsible for your data

The data controller is the developer of Horizon, Maksim Kozak (a private individual). For any question about your data, to withdraw consent or to exercise your rights, write to [email protected]. We reply within 30 days.

2. What data we process

• Account. Your email address (when you sign in with Google or with an emailed code). When you sign in with Google, the sign-in service also receives your Google profile name and picture. We do not store passwords.
• Your content. Tasks, subtasks, projects, recurrence rules, notes, project tables and diagrams, habits and their completions, flashcard decks and cards, the balance wheel and emotion journal entries.
• Chat (if you use it). Your personal chat code; the text and voice messages (recordings of your voice) you send and receive and when they were sent, edited and read; the names you give your contacts (visible only to you); mute and block settings. In groups: the group title, invite code, members and the owner role, and the name you chose for the group. If you report someone: the report, your comment and a copy of the last 50 messages of that chat. The shared Google Drive folder is covered in section 6. Reactions to messages; public end-to-end encryption keys and a copy of your private key encrypted with your recovery code (only you know the code); when you link a new device with a QR code from your old one — for 10 minutes, the new device’s one-time public key and your recovery code encrypted for it (only that device can read it); special group invites (expiry and number of uses). Group roles (owner, admin), group permissions, pinned messages, member mentions and the “forwarded” label. Checklists (who ticked an item and when is visible to chat members), thread replies, starred marks, pinned and archived chats (visible only to you) and scheduled messages — until sent they are stored on the server, encrypted in encrypted chats. Challenges and events: the title and place are in the message text (encrypted together with the conversation); the server stores the dates, time, who takes part and on which days they checked in, and the “going / maybe / not going” answers (visible to chat members); only you see the link between a challenge and your habit or an event and your Horizon task. Group settings: slow mode, who can pin messages, the “deleted by an admin” mark.
• Health data (the Health section, only if you use it). Nutrition (meals, calories and nutrients), water, weight and body measurements, sleep and alarm times, steps and activity, fasting schedule, nutrition profile (sex, age, height, weight, activity level, goal). If you enable women's health: cycle dates and length, well-being, symptoms, temperature, medication and pregnancy notes. These are sensitive (special category) data: we process them only with your explicit consent, which you give by entering them and can withdraw by deleting the entries or turning the section off in Settings.
• Apple Health and Health Connect (mobile apps only, only with your permission). The app reads steps, sleep, weight and resting heart rate and can write water and weight that you entered manually (a separate switch). This data is used only to display it in the Health section; it is not used for advertising, not shared with third parties and not sold.
• Notifications. If you enable reminders: the technical address of your browser push subscription or the device token, your time zone, language and chosen reminder lead time.
• Google Calendar (optional). See section 6.
• Feedback. The rating and comment you send through the feedback form.
• Technical data. Error reports (Sentry): browser and OS type, app version, the error text and the steps before it — without the content of your tasks and notes, without email addresses and without sign-in tokens (these are removed before sending). Services see your device's IP address when processing requests. The app does not add your IP address to error reports, and analytics goes through our proxy, which removes the IP address, so PostHog does not receive it.
• Analytics (only after you consent in the banner or in Settings). Pseudonymous feature-usage events and page-speed metrics (PostHog) — without the text you type and not linked to your account.

3. Why we process it

• Running the app and syncing between your devices — performance of our agreement with you (Terms of Use).
• Health data, the Apple Health, Health Connect and Google Calendar integrations, reminders and analytics — your consent.
• Fixing errors, preventing abuse and keeping backups — our legitimate interest in a stable and secure service.

We do not sell data, do not show ads, do not share data with ad networks or data brokers and do not use your content to train AI models.

4. Where and how data is stored

• Your account and content are stored in a Supabase database in the European Union. At the database level only the owner can access their records (Row Level Security). The connection is always encrypted (HTTPS).
• Chat messages are the only data other people can see: in a personal chat only the two participants, in a group its current members, and a new member only sees messages sent after joining (Row Level Security). Personal chats are end-to-end encrypted: text and voice messages are encrypted on the device with keys only the two of you have, the server stores only ciphertext, and notifications arrive without the message text. Group chats are end-to-end encrypted too once every member has an encryption key: the group key is delivered to each member in encrypted form and changes whenever membership changes, so a new member can’t read earlier messages and someone who left can’t read new ones; notifications from such a group arrive without the text. Until everyone has a key (for example, someone uses an old version of the app), group messages are stored in the database like the rest of your content, and a notification contains the group title, the author and the beginning of the text. No one you chat with can see your email address, your other content, your health data or the names you gave them. “Online” and “typing…” indicators go only to the people you chat with, in real time, and are not stored; you can turn them off (you then won’t see them for others either). Searching encrypted chats happens on your device. Group members see roles, pinned messages, and who read their own messages and when. “Remind me” and “Add to my tasks” create an ordinary task in your account. A group where encryption has been turned on stays encrypted even when someone without a key joins: that person can’t read new messages until they have a key. The server can’t see the text, but it can see who writes to whom and when, reactions, group names, names in groups and event dates. Messages aren’t signed, so the safety code confirms the keys of the people you talk to, not each message.
• Google Calendar and Google Drive access keys are kept in an encrypted secrets store (Supabase Vault) and are never sent to the browser.
• A server-side backup of each account is made weekly; the last 4 backups are kept. You can restore one in Settings. Backups are kept in the same infrastructure as the data itself, so they do not replace your own copy ("Export data").
• You can use the app without signing in — your data is then stored only on your device. When you sign in, it is moved to your account, as are changes made after signing out.
• On your device data is stored in browser or app storage so the app works offline. A PIN code only locks the app screen; it does not encrypt the data on the device.

5. Who receives data

Only providers the service cannot work without, and only to the extent their task requires:

• Supabase — database, sign-in, server functions, backup storage (EU).
• GitHub — encrypted backup of the whole database (USA).
• Resend — sending sign-in code emails (receives your email address and the text of the email with the code; a US company, emails are sent via servers in Japan; transfers based on Standard Contractual Clauses).
• Cloudflare — website hosting, file delivery, bot protection (Turnstile), proxying product search and analytics; a US company, transfers based on Standard Contractual Clauses.
• Sentry — error reports (EU; IP addresses are not stored).
• PostHog — pseudonymous analytics, only with consent (USA; transfers based on Standard Contractual Clauses).
• Google — Google sign-in, Google Calendar and Google Drive (if connected), notification delivery in Chrome and on Android (Firebase Cloud Messaging), speech recognition in Chrome.
• Apple — notification delivery on iPhone, iPad and Mac (Apple Push Notification service), speech recognition in Safari and on iOS.
• Mozilla and other browser vendors — notification delivery in their browsers.
• Open Food Facts — product search and barcode scanning: only the search query or barcode is sent.
• quickchart.io, api.qrserver.com — generating a QR code with a link to the website (no personal data).

Voice input uses your browser's or system's speech recognition: the audio is processed by its vendor (Google or Apple) and the app receives only the recognized text. Sentiment analysis of emotion journal entries runs on your device; the text is not sent anywhere. We disclose data to authorities only when legally required.

6. Google Calendar and Google Drive (optional)

Google Calendar sync is turned on only by you: Settings → Google Calendar → "Connect". With your permission the app gets access to your calendar events (the calendar.events scope) and uses it only for two-way sync: tasks with a date are created, updated and deleted as events in your primary calendar, and events you create in Google Calendar appear in Horizon as tasks.

• What data: event title, start and end date and time, event ID. Descriptions, attendees, locations and attachments are not read or stored.
• Use: sync only. The data is not sold, not shared with third parties and not used for advertising or AI training. Humans do not read it unless you ask us to help with an error, the law requires it, or it is necessary to prevent abuse.
• Disconnecting: Settings → Google Calendar → "Disconnect" revokes access at Google and stops sync; events already created stay in your calendar. Deleting your account revokes access automatically. You can also revoke access at myaccount.google.com/permissions.

Google Drive (shared chat folder). Only you can turn it on, from a chat: the "Shared Google Drive folder" button → "Create folder". The app only gets access to folders and files it created itself (access scope drive.file), not to your whole Drive.

• What data: the chat folder is created on your Google Drive and holds the files you and the chat members upload through the app. Files go from the browser directly to Google; only the file name, type and size pass through our servers. We store the folder ID and link.
• Who can see it: chat members get a view-only link to the folder, and Google shows them your name and Google Account address as the owner of the files. Anyone the link is forwarded to can open the folder; people removed from the chat keep the link until you unlink the folder. Public encryption keys — while the account exists (the last 20 keys); the private key copy — until you change keys or delete the account. Used-up special invites are deleted within 7 days.
• Turning it off: "Unlink folder" closes link access; "Disconnect Google Drive" closes link access to all your folders and revokes access with Google. This happens automatically when you delete your account. The folders and files themselves stay on your Drive — you can delete them in Google Drive.

Horizon's use and transfer to any other app of information received from Google APIs will adhere to Google API Services User Data Policy, including the Limited Use requirements.

7. How long data is kept

• Account and content — for as long as the account exists. Tasks, projects, habits and other records you delete go to the trash and are permanently deleted after 90 days.
• Chat messages — until the sender deletes them for everyone or until every participant deletes them for themselves. When someone deletes their account, their personal chats are deleted for both participants and their messages are deleted from groups; a group stays with its other members and the longest-standing member becomes the owner. A group is deleted when its owner deletes it or its last member leaves. The shared Google Drive folder link — while the folder is linked to the chat. Reports — no longer than 12 months. “Online” and “typing…” indicators can be turned off in the “Your chat code” window. Scheduled messages are kept until they are sent; after sending the record is deleted within a day, and an unsent one after 30 days.
• Voice message audio — 365 days after sending, then deleted automatically; the message itself stays in the conversation with a note that the audio was deleted. The audio is kept in Supabase’s private file storage (EU) and only people who can see the message can access it; in end-to-end encrypted chats it is stored encrypted.
• Server-side backups — up to 4 weeks (the last 4 weekly backups are kept).
• Encrypted backup of the whole database on GitHub — up to 30 days. It exists to recover from failures, and only we hold its key. Data from a deleted account disappears from it when the last copy that contains it expires.
• Notification subscriptions — while in use; subscriptions inactive for more than 180 days are deleted automatically.
• Error reports — no longer than 90 days; analytics — no longer than 12 months.
• Data from earlier app versions (workout GPS tracks and the "shape map" mode) is no longer collected and is deleted together with the account.

8. Your rights

• Access and portability: Settings → "Export data" — a complete copy of your data as JSON.
• Chat: you can delete your own message for everyone (message menu → "Delete for everyone"), delete any message or chat for yourself, block a contact and leave a group at any time; the owner can delete the whole group. Your conversations are included in "Export data".
• Rectification: any record can be edited in the app.
• Account deletion: Settings → "Delete account permanently". Before deletion a final copy of your data is downloaded to your device automatically. The account and all data on the server are deleted immediately and permanently; backups, Google keys and logs are removed within 24 hours.
• Data on the device: when you sign out, your data leaves the screen and comes back the next time you sign in to that account; without signing in the app is empty, and anything added while signed out is kept separately. The data stays on the device unencrypted. To delete it, use Settings → “Erase from device”.
• Withdrawing consent: analytics — Settings → "Analytics participation"; Google Calendar, reminders and the health integration — the corresponding switches in Settings or in your system settings.
• You can also ask us to restrict or object to processing by writing to us, and lodge a complaint with the data protection authority of your country.

9. Cookies and local storage

The app stores your sign-in session, settings and your data on the device so it works offline — this is strictly necessary for the service. PostHog analytics is enabled only after your consent. There are no advertising or third-party tracking cookies.

10. Children

The app is not intended for children under 16 and we do not knowingly collect their data. If you believe a child has provided us with data, write to us and we will delete it.

11. Security

We use encrypted connections, database-level data isolation, an encrypted secrets store, single-use signed links for actions from notifications and regular security reviews. No system is completely secure; if a breach affects your data, we will notify you and the supervisory authority within the time required by law.

12. Changes to this policy

For significant changes we will update the date at the top and let you know in the app. By continuing to use the app after the changes you accept the new version.

Política de privacidad

Última actualización: 7 de noviembre de 2026

Esta política explica qué datos trata la aplicación Horizon (el sitio web uhrzn.com, la aplicación web instalada y las aplicaciones para iOS y Android), con qué fines, dónde se almacenan y cómo puedes controlarlos.

1. Responsable del tratamiento

El responsable del tratamiento es el desarrollador de Horizon, Maksim Kozak (persona física). Para cualquier consulta sobre tus datos, para retirar tu consentimiento o para ejercer tus derechos, escribe a [email protected]. Respondemos en un plazo de 30 días.

2. Qué datos tratamos

• Cuenta. Tu dirección de correo electrónico (cuando inicias sesión con Google o con un código enviado por correo). Si inicias sesión con Google, el servicio de inicio de sesión también recibe el nombre y la foto de tu perfil de Google. No almacenamos contraseñas.
• Tu contenido. Tareas, subtareas, proyectos, reglas de repetición, notas, tablas y esquemas de proyectos, hábitos y su cumplimiento, mazos y tarjetas de estudio, la rueda de la vida y las entradas del diario de emociones.
• Chat (si lo usas). Tu código personal de chat; los mensajes de texto y de voz (grabaciones de tu voz) que envías y recibes, y cuándo se enviaron, editaron y leyeron; los nombres que das a tus contactos (solo los ves tú); los ajustes de silencio y bloqueo. En los grupos: el título del grupo, el código de invitación, los miembros y el rol de administración, además del nombre que elegiste para el grupo. Si denuncias a alguien: la denuncia, tu comentario y una copia de los últimos 50 mensajes de ese chat. La carpeta compartida de Google Drive se describe en la sección 6. Las reacciones a los mensajes; las claves públicas del cifrado de extremo a extremo y una copia de tu clave privada cifrada con tu código de recuperación (solo tú conoces el código); al vincular un dispositivo nuevo con QR desde el anterior, durante 10 minutos, la clave pública de un solo uso del dispositivo nuevo y tu código de recuperación cifrado para él (solo ese dispositivo puede leerlo); las invitaciones especiales a grupos (caducidad y número de usos). Los roles en los grupos (creador, administración), los permisos del grupo, los mensajes fijados, las menciones de miembros y la marca «reenviado». Listas de tareas (quién marcó un elemento y cuándo lo ven los miembros del chat), respuestas en hilos, marcas de destacados, chats fijados y archivados (solo los ves tú) y mensajes programados: hasta enviarse se guardan en el servidor, cifrados en los chats cifrados. Retos y quedadas: el título y el lugar van en el texto del mensaje (se cifran junto con la conversación); en el servidor se guardan las fechas, la hora, quién participa y qué días lo marcó, y las respuestas «voy / quizás / no voy» (visibles para los miembros del chat); el vínculo de un reto con tu hábito y de una quedada con tu tarea de Horizon solo lo ves tú. Ajustes de grupo: modo lento, quién fija mensajes y la marca «eliminado por un administrador».
• Datos de salud (sección «Salud», solo si la usas). Alimentación (comidas, calorías y nutrientes), agua, peso y medidas corporales, horas de sueño y de alarma, pasos y actividad, horario de ayuno y perfil nutricional (sexo, edad, estatura, peso, nivel de actividad, objetivo). Si activas «Salud femenina»: fechas y duración del ciclo, bienestar, síntomas, temperatura y notas sobre medicamentos y embarazo. Se trata de categorías especiales de datos: solo los tratamos con tu consentimiento explícito, que das al introducirlos y puedes retirar eliminando las entradas o desactivando la sección en Ajustes.
• Apple Health y Health Connect (solo en las aplicaciones móviles y solo con tu permiso). La aplicación lee pasos, sueño, peso y frecuencia cardiaca en reposo, y puede guardar el agua y el peso que introduces manualmente (con un interruptor aparte). Estos datos solo se usan para mostrarlos en la sección «Salud»: no se usan con fines publicitarios, no se ceden a terceros y no se venden.
• Notificaciones. Si activas los recordatorios: la dirección técnica de la suscripción push de tu navegador o el token del dispositivo, tu zona horaria, tu idioma y la antelación elegida para los recordatorios.
• Google Calendar (opcional). Consulta el apartado 6.
• Comentarios. La valoración y el comentario que envías mediante el formulario de opinión.
• Datos técnicos. Informes de errores (Sentry): tipo de navegador y de sistema operativo, versión de la aplicación, el texto del error y los pasos previos, sin el contenido de tus tareas y notas, sin direcciones de correo y sin tokens de inicio de sesión (se eliminan antes del envío). Los servicios ven la dirección IP de tu dispositivo al procesar las solicitudes. La aplicación no añade tu dirección IP a los informes de errores, y la analítica pasa por nuestro proxy, que elimina la dirección IP, por lo que PostHog no la recibe.
• Analítica (solo después de que des tu consentimiento en el aviso o en Ajustes). Eventos seudonimizados de uso de funciones y métricas de velocidad de carga (PostHog), sin el texto que escribes y sin vincularlos a tu cuenta.

3. Con qué fines y sobre qué base

• El funcionamiento de la aplicación y la sincronización entre tus dispositivos: ejecución del contrato que tenemos contigo (Términos de uso).
• Los datos de salud, las integraciones con Apple Health, Health Connect y Google Calendar, los recordatorios y la analítica: tu consentimiento.
• La corrección de errores, la prevención de abusos y las copias de seguridad: nuestro interés legítimo en ofrecer un servicio estable y seguro.

No vendemos datos, no mostramos publicidad, no compartimos datos con redes publicitarias ni con intermediarios de datos y no usamos tu contenido para entrenar modelos de inteligencia artificial.

4. Dónde y cómo se almacenan los datos

• Tu cuenta y tu contenido se almacenan en una base de datos de Supabase en la Unión Europea. A nivel de base de datos, solo el titular puede acceder a sus registros (Row Level Security). La conexión siempre está cifrada (HTTPS).
• Los mensajes del chat son los únicos datos que ven otras personas: en un chat privado, solo los dos participantes; en un grupo, sus miembros actuales, y un miembro nuevo solo ve los mensajes posteriores a su llegada (Row Level Security). Los chats privados tienen cifrado de extremo a extremo: el texto y las notas de voz se cifran en el dispositivo con claves que solo tenéis vosotros dos, el servidor solo guarda texto cifrado y las notificaciones llegan sin el texto del mensaje. Los chats de grupo también tienen cifrado de extremo a extremo cuando todos los miembros tienen clave de cifrado: la clave del grupo se entrega cifrada a cada miembro y cambia con cada cambio de miembros, así que quien se une no lee los mensajes anteriores y quien sale no lee los nuevos; las notificaciones de ese grupo llegan sin texto. Mientras no todos tengan clave (por ejemplo, si alguien usa una versión antigua de la app), los mensajes del grupo se guardan en la base de datos como el resto de tu contenido y la notificación contiene el título del grupo, el autor y el inicio del texto. Nadie con quien chateas ve tu correo electrónico, tu otro contenido, tus datos de salud ni los nombres que les diste. Los indicadores «en línea» y «escribiendo…» solo llegan a tus contactos de chat en tiempo real y no se guardan; puedes desactivarlos (entonces tampoco los ves en los demás). La búsqueda en chats cifrados se hace en tu dispositivo. Los miembros de un grupo ven los roles, los mensajes fijados y quién leyó sus propios mensajes y cuándo. «Recordármelo» y «Añadir a mis tareas» crean una tarea normal en tu cuenta. Un grupo en el que el cifrado ya se activó sigue cifrado aunque entre alguien sin clave: esa persona no lee los mensajes nuevos hasta tener una. El servidor no ve el texto, pero sí quién escribe a quién y cuándo, las reacciones, los nombres de los grupos, los nombres en los grupos y las fechas de las citas. Los mensajes no llevan firma, así que el código de seguridad confirma las claves de tus interlocutores, no cada mensaje.
• Las claves de acceso a Google Calendar y Google Drive se guardan en un almacén de secretos cifrado (Supabase Vault) y nunca se envían al navegador.
• Cada semana se hace una copia de seguridad de cada cuenta en el servidor y se conservan las 4 últimas. Puedes restaurar una en Ajustes. Las copias se guardan en la misma infraestructura que los propios datos, por lo que no sustituyen a tu propia copia («Exportar datos»).
• Puedes usar la aplicación sin iniciar sesión: en ese caso tus datos solo se guardan en tu dispositivo. Al iniciar sesión se trasladan a tu cuenta, igual que los cambios hechos después de cerrar sesión.
• En tu dispositivo, los datos se guardan en el almacenamiento del navegador o de la aplicación para que funcione sin conexión. El código PIN solo bloquea la pantalla de la aplicación; no cifra los datos del dispositivo.

5. Quién recibe los datos

Solo los proveedores sin los que el servicio no puede funcionar, y solo en la medida necesaria para su tarea:

• Supabase: base de datos, inicio de sesión, funciones de servidor y almacenamiento de copias de seguridad (UE).
• GitHub: copia de seguridad cifrada de toda la base de datos (EE. UU.).
• Resend: envío de correos con el código de inicio de sesión (recibe tu dirección de correo y el texto del mensaje con el código; empresa de EE. UU., los correos se envían a través de servidores en Japón; transferencias basadas en las cláusulas contractuales tipo).
• Cloudflare: alojamiento del sitio web, entrega de archivos, protección contra bots (Turnstile) y proxy de la búsqueda de productos y de la analítica; empresa de EE. UU., transferencias basadas en las cláusulas contractuales tipo.
• Sentry: informes de errores (UE; no se guardan las direcciones IP).
• PostHog: analítica seudonimizada, solo con tu consentimiento (EE. UU.; transferencias basadas en las cláusulas contractuales tipo).
• Google — inicio de sesión con Google, Google Calendar y Google Drive (si están conectados), entrega de notificaciones en Chrome y Android (Firebase Cloud Messaging), reconocimiento de voz en Chrome.
• Apple: entrega de notificaciones en iPhone, iPad y Mac (Apple Push Notification service) y reconocimiento de voz en Safari y en iOS.
• Mozilla y otros fabricantes de navegadores: entrega de notificaciones en sus navegadores.
• Open Food Facts: búsqueda de productos y escaneo de códigos de barras; solo se envía la consulta de búsqueda o el código de barras.
• quickchart.io, api.qrserver.com: generación de un código QR con el enlace al sitio web (sin datos personales).

La entrada por voz usa el reconocimiento de voz de tu navegador o de tu sistema: el audio lo procesa su proveedor (Google o Apple) y la aplicación solo recibe el texto reconocido. El análisis del tono de las entradas del diario de emociones se hace en tu dispositivo; el texto no se envía a ninguna parte. Solo comunicamos datos a las autoridades cuando la ley lo exige.

6. Google Calendar y Google Drive (opcional)

La sincronización con Google Calendar solo la activas tú: Ajustes → Google Calendar → «Conectar». Con tu permiso, la aplicación obtiene acceso a los eventos de tu calendario (el ámbito calendar.events) y lo usa únicamente para la sincronización bidireccional: las tareas con fecha se crean, se actualizan y se eliminan como eventos en tu calendario principal, y los eventos que creas en Google Calendar aparecen en Horizon como tareas.

• Qué datos: título del evento, fecha y hora de inicio y de fin, e identificador del evento. No se leen ni se guardan las descripciones, los asistentes, las ubicaciones ni los archivos adjuntos.
• Uso: solo para sincronizar. Los datos no se venden, no se ceden a terceros y no se usan con fines publicitarios ni para entrenar inteligencia artificial. Ninguna persona los lee, salvo que nos pidas ayuda con un error, que lo exija la ley o que sea necesario para prevenir abusos.
• Desconexión: Ajustes → Google Calendar → «Desconectar» revoca el acceso en Google y detiene la sincronización; los eventos ya creados permanecen en tu calendario. Al eliminar tu cuenta, el acceso se revoca automáticamente. También puedes revocarlo en myaccount.google.com/permissions.

Google Drive (carpeta compartida del chat). Solo tú lo activas, desde un chat: botón «Carpeta compartida en Google Drive» → «Crear carpeta». La aplicación solo accede a las carpetas y archivos que ella misma crea (ámbito de acceso drive.file), no a todo tu Drive.

• Qué datos: la carpeta del chat se crea en tu Google Drive y contiene los archivos que tú y los miembros del chat subís a través de la aplicación. Los archivos van del navegador directamente a Google; por nuestros servidores solo pasan el nombre, el tipo y el tamaño del archivo. Guardamos el identificador y el enlace de la carpeta.
• Quién la ve: los miembros del chat reciben un enlace de solo lectura, y Google les muestra tu nombre y la dirección de tu cuenta de Google como propietario de los archivos. Cualquiera a quien se reenvíe el enlace puede abrir la carpeta; quienes salgan del chat conservan el enlace hasta que desvincules la carpeta. Claves públicas de cifrado: mientras exista la cuenta (las 20 últimas); copia de la clave privada: hasta cambiar de clave o eliminar la cuenta. Las invitaciones especiales agotadas se eliminan en un plazo de 7 días.
• Desactivación: «Desvincular la carpeta» cierra el acceso por enlace; «Desconectar Google Drive» cierra el acceso por enlace a todas tus carpetas y revoca el acceso en Google. Al eliminar tu cuenta, esto ocurre automáticamente. Las carpetas y los archivos se quedan en tu Drive; puedes eliminarlos en Google Drive.

El uso que hace Horizon de la información recibida de las API de Google y su transferencia a cualquier otra aplicación se ajustan a la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de uso limitado.

7. Cuánto tiempo se conservan los datos

• La cuenta y el contenido: mientras exista la cuenta. Las tareas, proyectos, hábitos y demás registros que eliminas van a la papelera y se borran definitivamente a los 90 días.
• Mensajes del chat: hasta que quien los envió los elimine para todos o hasta que todos los participantes los eliminen para sí. Cuando alguien elimina su cuenta, sus chats privados se eliminan para ambas partes y sus mensajes se borran de los grupos; el grupo sigue para los demás miembros y el miembro más antiguo pasa a administrarlo. Un grupo se elimina cuando quien lo administra lo elimina o cuando sale su último miembro. Enlace de la carpeta compartida de Google Drive: mientras la carpeta esté vinculada al chat. Denuncias: no más de 12 meses. Los indicadores «en línea» y «escribiendo…» se desactivan en la ventana «Tu código de chat». Los mensajes programados se guardan hasta enviarse; después el registro se elimina en un día, y uno no enviado, a los 30 días.
• Audio de los mensajes de voz: 365 días desde el envío; después se elimina automáticamente y el mensaje sigue en la conversación con una nota de que el audio se eliminó. El audio se guarda en el almacenamiento privado de archivos de Supabase (UE) y solo pueden acceder quienes ven el mensaje; en los chats con cifrado de extremo a extremo se guarda cifrado.
• Las copias de seguridad en el servidor: hasta 4 semanas (se conservan las 4 últimas copias semanales).
• Copia de seguridad cifrada de toda la base de datos en GitHub: hasta 30 días. Sirve para recuperar el servicio tras un fallo y solo nosotros tenemos la clave. Los datos de una cuenta eliminada desaparecen de ella cuando caduca la última copia que los contiene.
• Las suscripciones a notificaciones: mientras se usan; las que llevan más de 180 días inactivas se eliminan automáticamente.
• Los informes de errores: no más de 90 días; la analítica: no más de 12 meses.
• Los datos de versiones anteriores de la aplicación (recorridos GPS de entrenamientos y el modo «mapa de forma») ya no se recogen y se eliminan junto con la cuenta.

8. Tus derechos

• Acceso y portabilidad: Ajustes → «Exportar datos»: una copia completa de tus datos en formato JSON.
• Chat: puedes eliminar tu propio mensaje para todos (menú del mensaje → «Eliminar para todos»), eliminar cualquier mensaje o chat para ti, bloquear a un contacto y salir de un grupo en cualquier momento; quien administra el grupo puede eliminarlo por completo. Tus conversaciones se incluyen en «Exportar datos».
• Rectificación: puedes editar cualquier registro en la aplicación.
• Supresión de la cuenta: Ajustes → «Eliminar la cuenta para siempre». Antes de la eliminación se descarga automáticamente en tu dispositivo una última copia de tus datos. La cuenta y todos los datos del servidor se eliminan de inmediato y de forma definitiva; las copias de seguridad, las claves de Google y los registros se borran en un plazo de 24 horas.
• Datos en el dispositivo: al cerrar sesión, tus datos salen de la pantalla y vuelven la próxima vez que entres en esa cuenta; sin sesión la app está vacía y lo que añadas se guarda por separado. Los datos siguen en el dispositivo sin cifrar. Para eliminarlos, usa Ajustes → «Borrar del dispositivo».
• Retirada del consentimiento: la analítica, en Ajustes → «Participar en la analítica»; Google Calendar, los recordatorios y la integración con salud, con los interruptores correspondientes de Ajustes o de la configuración de tu sistema.
• También puedes pedirnos por escrito que limitemos el tratamiento u oponerte a él, y presentar una reclamación ante la autoridad de protección de datos de tu país.

9. Cookies y almacenamiento local

La aplicación guarda en el dispositivo tu sesión, tus ajustes y tus datos para funcionar sin conexión; esto es estrictamente necesario para el servicio. La analítica de PostHog solo se activa con tu consentimiento. No hay cookies publicitarias ni de seguimiento de terceros.

10. Menores

La aplicación no está dirigida a menores de 16 años y no recogemos sus datos a sabiendas. Si crees que un menor nos ha facilitado datos, escríbenos y los eliminaremos.

11. Seguridad

Usamos conexiones cifradas, aislamiento de los datos a nivel de base de datos, un almacén de secretos cifrado, enlaces firmados de un solo uso para las acciones desde las notificaciones y revisiones de seguridad periódicas. Ningún sistema es totalmente seguro; si una brecha afecta a tus datos, te lo comunicaremos a ti y a la autoridad de control en los plazos que exige la ley.

12. Cambios en esta política

Si hacemos cambios importantes, actualizaremos la fecha de arriba y te avisaremos en la aplicación. Si sigues usando la aplicación después de los cambios, aceptas la nueva versión.

Política de privacidade

Última atualização: 7 de novembro de 2026

Esta política explica quais dados o aplicativo Horizon (o site uhrzn.com, o aplicativo web instalado e os aplicativos para iOS e Android) trata, para quê, onde eles ficam armazenados e como você pode controlá-los.

1. Quem é o controlador dos seus dados

O controlador dos dados é o desenvolvedor do Horizon, Maksim Kozak (pessoa física). Para qualquer dúvida sobre seus dados, para revogar o consentimento ou exercer seus direitos, escreva para [email protected]. Respondemos em até 30 dias.

2. Quais dados tratamos

• Conta. Seu endereço de e-mail (quando você entra com o Google ou com um código enviado por e-mail). Quando você entra com o Google, o serviço de login também recebe o nome e a foto do seu perfil do Google. Não armazenamos senhas.
• Seu conteúdo. Tarefas, subtarefas, projetos, regras de repetição, notas, tabelas e diagramas de projetos, hábitos e o registro de cumprimento, baralhos e cartões de estudo, a roda da vida e as entradas do diário de emoções.
• Chat (se você usar). Seu código pessoal de chat; as mensagens de texto e de voz (gravações da sua voz) que você envia e recebe, e quando foram enviadas, editadas e lidas; os nomes que você dá aos contatos (visíveis só para você); configurações de silêncio e bloqueio. Em grupos: o título do grupo, o código de convite, os membros e o papel de administração, além do nome que você escolheu para o grupo. Se você denunciar alguém: a denúncia, seu comentário e uma cópia das últimas 50 mensagens daquele chat. A pasta compartilhada do Google Drive é descrita na seção 6. As reações às mensagens; as chaves públicas da criptografia de ponta a ponta e uma cópia da sua chave privada criptografada com o seu código de recuperação (só você conhece o código); ao conectar um novo aparelho por QR a partir do antigo, por 10 minutos, a chave pública de uso único do novo aparelho e o seu código de recuperação criptografado para ele (só esse aparelho consegue lê-lo); os convites especiais de grupo (prazo e número de usos). Os papéis nos grupos (criação, administração), as permissões do grupo, as mensagens fixadas, as menções a membros e a marca “encaminhada”. Listas de tarefas (quem marcou um item e quando fica visível para os membros do chat), respostas em conversas, marcações de favoritas, chats fixados e arquivados (visíveis só para você) e mensagens agendadas — até o envio ficam guardadas no servidor, criptografadas nos chats criptografados. Desafios e encontros: o título e o local ficam no texto da mensagem (criptografados junto com a conversa); no servidor ficam as datas, o horário, quem participa e em quais dias marcou, e as respostas “vou / talvez / não vou” (visíveis para os membros do chat); o vínculo de um desafio com seu hábito e de um encontro com sua tarefa no Horizon só você vê. Configurações do grupo: modo lento, quem fixa mensagens e a marca “apagada por um administrador”.
• Dados de saúde (seção “Saúde”, só se você usá-la). Alimentação (refeições, calorias e nutrientes), água, peso e medidas corporais, horários de sono e de alarme, passos e atividade, cronograma de jejum e perfil nutricional (sexo, idade, altura, peso, nível de atividade, objetivo). Se você ativar a “Saúde feminina”: datas e duração do ciclo, bem-estar, sintomas, temperatura e anotações sobre medicamentos e gravidez. São dados pessoais sensíveis: só os tratamos com o seu consentimento específico e destacado, que você dá ao registrá-los e pode revogar excluindo os registros ou desativando a seção nas Configurações.
• Apple Health e Health Connect (só nos aplicativos móveis e só com a sua permissão). O aplicativo lê passos, sono, peso e frequência cardíaca em repouso e pode gravar a água e o peso que você registra manualmente (com uma chave separada). Esses dados servem apenas para exibição na seção “Saúde”: não são usados para publicidade, não são compartilhados com terceiros e não são vendidos.
• Notificações. Se você ativar os lembretes: o endereço técnico da inscrição push do seu navegador ou o token do aparelho, seu fuso horário, idioma e a antecedência escolhida para os lembretes.
• Google Agenda (opcional). Veja a seção 6.
• Feedback. A nota e o comentário que você envia pelo formulário de feedback.
• Dados técnicos. Relatórios de erros (Sentry): tipo de navegador e de sistema operacional, versão do aplicativo, o texto do erro e as ações anteriores a ele, sem o conteúdo das suas tarefas e notas, sem endereços de e-mail e sem tokens de login (eles são removidos antes do envio). Os serviços veem o endereço IP do seu aparelho ao processar as solicitações. O aplicativo não inclui seu endereço IP nos relatórios de erros, e as análises passam pelo nosso proxy, que remove o endereço IP, então o PostHog não o recebe.
• Análises (só depois do seu consentimento no aviso ou nas Configurações). Eventos pseudonimizados de uso de funções e métricas de velocidade das páginas (PostHog), sem o texto que você digita e sem vínculo com a sua conta.

3. Para que tratamos os dados e com qual base legal

• Funcionamento do aplicativo e sincronização entre seus aparelhos: execução do contrato com você (Termos de uso).
• Dados de saúde, integrações com Apple Health, Health Connect e Google Agenda, lembretes e análises: o seu consentimento.
• Correção de erros, prevenção de abusos e cópias de segurança: o nosso legítimo interesse em um serviço estável e seguro.

Não vendemos dados, não exibimos anúncios, não compartilhamos dados com redes de publicidade nem com corretores de dados e não usamos o seu conteúdo para treinar modelos de inteligência artificial.

4. Onde e como os dados são armazenados

• Sua conta e seu conteúdo ficam em um banco de dados Supabase na União Europeia. No nível do banco de dados, só o titular tem acesso aos próprios registros (Row Level Security). A conexão é sempre criptografada (HTTPS).
• As mensagens do chat são os únicos dados que outras pessoas veem: em um chat particular, apenas os dois participantes; em um grupo, os membros atuais, e um membro novo vê só as mensagens enviadas depois da entrada (Row Level Security). Os chats particulares têm criptografia de ponta a ponta: o texto e os áudios são criptografados no dispositivo com chaves que só os dois têm, o servidor guarda apenas texto criptografado e as notificações chegam sem o texto da mensagem. Os chats em grupo também têm criptografia de ponta a ponta quando todos os membros têm chave de criptografia: a chave do grupo é entregue criptografada a cada membro e muda a cada mudança de membros, então quem entra não lê as mensagens anteriores e quem sai não lê as novas; as notificações desse grupo chegam sem texto. Enquanto nem todos tiverem chave (por exemplo, se alguém usa uma versão antiga do app), as mensagens do grupo ficam no banco de dados como o restante do seu conteúdo e a notificação contém o título do grupo, o autor e o início do texto. Ninguém com quem você conversa vê seu e-mail, seu outro conteúdo, seus dados de saúde ou os nomes que você deu a essas pessoas. Os indicadores “online” e “digitando…” vão só para as pessoas com quem você conversa, em tempo real, e não são guardados; você pode desativá-los (aí também não os vê nos outros). A pesquisa em chats criptografados acontece no seu dispositivo. Os membros de um grupo veem os papéis, as mensagens fixadas e quem leu as próprias mensagens deles e quando. “Lembrar” e “Adicionar às minhas tarefas” criam uma tarefa comum na sua conta. Um grupo em que a criptografia já foi ativada continua criptografado mesmo quando entra alguém sem chave: essa pessoa não lê as novas mensagens até ter uma chave. O servidor não vê o texto, mas vê quem escreve para quem e quando, as reações, os nomes dos grupos, os nomes nos grupos e as datas dos encontros. As mensagens não são assinadas, então o código de segurança confirma as chaves dos seus contatos, não cada mensagem.
• As chaves de acesso ao Google Agenda e ao Google Drive ficam em um cofre de segredos criptografado (Supabase Vault) e nunca são enviadas ao navegador.
• Uma cópia de segurança de cada conta é feita no servidor toda semana, e as 4 mais recentes são mantidas. Você pode restaurar uma delas nas Configurações. As cópias ficam na mesma infraestrutura que os próprios dados, por isso não substituem a sua própria cópia (“Exportar dados”).
• Você pode usar o aplicativo sem entrar na conta: nesse caso, os dados ficam apenas no seu aparelho. Ao entrar, eles são transferidos para a sua conta, assim como as alterações feitas depois de sair dela.
• No aparelho, os dados ficam no armazenamento do navegador ou do aplicativo para que ele funcione offline. O código PIN apenas bloqueia a tela do aplicativo; ele não criptografa os dados no aparelho.

5. Quem recebe os dados

Apenas os fornecedores sem os quais o serviço não funciona, e somente na medida necessária para a tarefa de cada um:

• Supabase: banco de dados, login, funções de servidor e armazenamento das cópias de segurança (UE).
• GitHub: cópia de segurança criptografada de todo o banco de dados (EUA).
• Resend: envio dos e-mails com o código de login (recebe o seu endereço de e-mail e o texto da mensagem com o código; empresa dos EUA, os e-mails são enviados por servidores no Japão; transferências com base em cláusulas-padrão contratuais).
• Cloudflare: hospedagem do site, entrega de arquivos, proteção contra bots (Turnstile) e proxy da busca de produtos e das análises; empresa dos EUA, transferências com base em cláusulas-padrão contratuais.
• Sentry: relatórios de erros (UE; endereços IP não são armazenados).
• PostHog: análises pseudonimizadas, só com consentimento (EUA; transferências com base em cláusulas-padrão contratuais).
• Google — login com Google, Google Agenda e Google Drive (se conectados), entrega de notificações no Chrome e no Android (Firebase Cloud Messaging), reconhecimento de fala no Chrome.
• Apple: entrega de notificações no iPhone, iPad e Mac (Apple Push Notification service) e reconhecimento de fala no Safari e no iOS.
• Mozilla e outros fabricantes de navegadores: entrega de notificações nos navegadores deles.
• Open Food Facts: busca de produtos e leitura de códigos de barras; só a consulta ou o código de barras é enviado.
• quickchart.io, api.qrserver.com: geração de um QR code com o link do site (sem dados pessoais).

A entrada por voz usa o reconhecimento de fala do seu navegador ou sistema: o áudio é processado pelo fornecedor dele (Google ou Apple), e o aplicativo recebe apenas o texto reconhecido. A análise de tom das entradas do diário de emoções é feita no seu aparelho; o texto não é enviado a lugar nenhum. Só fornecemos dados às autoridades quando a lei exige.

6. Google Agenda e Google Drive (opcional)

A sincronização com o Google Agenda só é ativada por você: Configurações → Google Agenda → “Conectar”. Com a sua permissão, o aplicativo obtém acesso aos eventos da sua agenda (o escopo calendar.events) e o usa apenas para a sincronização nos dois sentidos: tarefas com data são criadas, atualizadas e excluídas como eventos na sua agenda principal, e os eventos que você cria no Google Agenda aparecem no Horizon como tarefas.

• Quais dados: título do evento, data e hora de início e de término e o identificador do evento. Descrições, participantes, locais e anexos não são lidos nem armazenados.
• Uso: apenas para sincronização. Os dados não são vendidos, não são compartilhados com terceiros e não são usados para publicidade nem para treinar inteligência artificial. Nenhuma pessoa os lê, a menos que você peça ajuda com um erro, que a lei exija ou que seja necessário para evitar abusos.
• Desconexão: Configurações → Google Agenda → “Desconectar” revoga o acesso no Google e interrompe a sincronização; os eventos já criados continuam na sua agenda. Ao excluir a conta, o acesso é revogado automaticamente. Você também pode revogá-lo em myaccount.google.com/permissions.

Google Drive (pasta compartilhada do chat). Só você ativa, a partir de um chat: botão “Pasta compartilhada no Google Drive” → “Criar pasta”. O app só acessa as pastas e arquivos que ele mesmo criou (escopo de acesso drive.file), não o seu Drive inteiro.

• Quais dados: a pasta do chat é criada no seu Google Drive e recebe os arquivos que você e os membros do chat enviam pelo app. Os arquivos vão do navegador direto para o Google; pelos nossos servidores passam apenas o nome, o tipo e o tamanho do arquivo. Guardamos o identificador e o link da pasta.
• Quem vê: os membros do chat recebem um link somente leitura, e o Google mostra a eles seu nome e o endereço da sua Conta Google como dono dos arquivos. Qualquer pessoa que receber o link pode abrir a pasta; pessoas removidas do chat mantêm o link até você desvincular a pasta. Chaves públicas de criptografia — enquanto a conta existir (as 20 últimas); cópia da chave privada — até a troca de chave ou a exclusão da conta. Convites especiais esgotados são apagados em até 7 dias.
• Desativação: “Desvincular a pasta” fecha o acesso por link; “Desconectar o Google Drive” fecha o acesso por link a todas as suas pastas e revoga o acesso no Google. Ao excluir sua conta, isso acontece automaticamente. As pastas e os arquivos continuam no seu Drive — você pode excluí-los no Google Drive.

O uso e a transferência, pelo Horizon, para qualquer outro aplicativo de informações recebidas das APIs do Google seguem a Política de dados do usuário dos serviços de API do Google, incluindo os requisitos de uso limitado.

7. Por quanto tempo os dados são mantidos

• Conta e conteúdo: enquanto a conta existir. Tarefas, projetos, hábitos e outros registros que você exclui vão para a lixeira e são apagados definitivamente após 90 dias.
• Mensagens do chat — até quem enviou excluí-las para todos ou até todos os participantes as excluírem para si. Quando alguém exclui a conta, os chats particulares dessa pessoa são excluídos para os dois lados e as mensagens dela são removidas dos grupos; o grupo continua para os outros membros e o membro mais antigo passa a administrá-lo. Um grupo é excluído quando quem o administra o exclui ou quando o último membro sai. Link da pasta compartilhada do Google Drive — enquanto a pasta estiver vinculada ao chat. Denúncias — no máximo 12 meses. Os indicadores “online” e “digitando…” são desativados na janela “Seu código de chat”. As mensagens agendadas ficam guardadas até o envio; depois o registro é excluído em até um dia, e uma não enviada após 30 dias.
• Áudio das mensagens de voz — 365 dias após o envio; depois é excluído automaticamente, e a mensagem continua na conversa com o aviso de que o áudio foi excluído. O áudio fica no armazenamento privado de arquivos do Supabase (UE) e só quem vê a mensagem tem acesso; em chats com criptografia de ponta a ponta, ele é guardado criptografado.
• Cópias de segurança no servidor: até 4 semanas (as 4 últimas cópias semanais são mantidas).
• Cópia de segurança criptografada de todo o banco de dados no GitHub: até 30 dias. Ela serve para recuperar o serviço após falhas e só nós temos a chave. Os dados de uma conta excluída saem dela quando expira a última cópia que os contém.
• Inscrições em notificações: enquanto estiverem em uso; as inativas há mais de 180 dias são excluídas automaticamente.
• Relatórios de erros: no máximo 90 dias; análises: no máximo 12 meses.
• Dados de versões anteriores do aplicativo (trajetos GPS de treinos e o modo “mapa de forma”) não são mais coletados e são excluídos junto com a conta.

8. Seus direitos

• Acesso e portabilidade: Configurações → “Exportar dados”: uma cópia completa dos seus dados em JSON.
• Chat: você pode excluir sua própria mensagem para todos (menu da mensagem → “Excluir para todos”), excluir qualquer mensagem ou chat para você, bloquear um contato e sair de um grupo a qualquer momento; quem administra o grupo pode excluí-lo por inteiro. Suas conversas estão incluídas em “Exportar dados”.
• Correção: qualquer registro pode ser editado no aplicativo.
• Exclusão da conta: Configurações → “Excluir a conta para sempre”. Antes da exclusão, uma cópia final dos seus dados é baixada automaticamente para o seu aparelho. A conta e todos os dados no servidor são excluídos imediata e definitivamente; cópias de segurança, chaves do Google e registros de log são apagados em até 24 horas.
• Dados no aparelho: ao sair, seus dados somem da tela e voltam no próximo login nessa conta; sem login o app fica vazio e o que você adicionar é guardado à parte. Os dados continuam no aparelho sem criptografia. Para apagá-los, use Ajustes → “Apagar do aparelho”.
• Revogação do consentimento: análises, em Configurações → “Participar das análises”; Google Agenda, lembretes e integração com saúde, nas chaves correspondentes das Configurações ou nas configurações do seu sistema.
• Você também pode nos pedir, por escrito, que limitemos o tratamento ou se opor a ele, e apresentar reclamação à autoridade de proteção de dados do seu país (no Brasil, a ANPD).

9. Cookies e armazenamento local

O aplicativo guarda no aparelho a sua sessão, as suas configurações e os seus dados para funcionar offline; isso é estritamente necessário para o serviço. As análises do PostHog só são ativadas depois do seu consentimento. Não há cookies de publicidade nem de rastreamento de terceiros.

10. Crianças e adolescentes

O aplicativo não se destina a menores de 16 anos, e não coletamos os dados deles intencionalmente. Se você acredita que uma criança ou adolescente nos forneceu dados, escreva para nós e vamos excluí-los.

11. Segurança

Usamos conexões criptografadas, isolamento dos dados no nível do banco de dados, um cofre de segredos criptografado, links assinados de uso único para ações a partir das notificações e revisões de segurança regulares. Nenhum sistema é totalmente seguro; se um incidente afetar os seus dados, vamos comunicar a você e à autoridade competente no prazo exigido por lei.

12. Alterações desta política

Em caso de alterações relevantes, vamos atualizar a data no topo e avisar você no aplicativo. Ao continuar usando o aplicativo depois das alterações, você aceita a nova versão.

Politique de confidentialité

Dernière mise à jour : 7 novembre 2026

Cette politique explique quelles données l’application Horizon (le site uhrzn.com, l’application web installée et les applications iOS et Android) traite, dans quel but, où elles sont stockées et comment vous pouvez les contrôler.

1. Responsable du traitement

Le responsable du traitement est le développeur de Horizon, Maksim Kozak (personne physique). Pour toute question sur vos données, pour retirer votre consentement ou pour exercer vos droits, écrivez à [email protected]. Nous répondons sous 30 jours.

2. Données traitées

• Compte. Votre adresse e-mail (lorsque vous vous connectez avec Google ou avec un code reçu par e-mail). En cas de connexion avec Google, le service de connexion reçoit aussi le nom et la photo de votre profil Google. Nous ne stockons aucun mot de passe.
• Votre contenu. Tâches, sous-tâches, projets, règles de récurrence, notes, tableaux et schémas de projets, habitudes et leur suivi, paquets et cartes d’apprentissage, la roue de la vie et les entrées du journal des émotions.
• Discussion (si vous l’utilisez). Votre code personnel de discussion ; les messages texte et vocaux (enregistrements de votre voix) que vous envoyez et recevez, ainsi que l’heure de leur envoi, de leur modification et de leur lecture ; les noms que vous donnez à vos contacts (visibles par vous seul·e) ; les réglages de sourdine et de blocage. Dans les groupes : le titre du groupe, le code d’invitation, les membres et le rôle de propriétaire, ainsi que le nom que vous avez choisi pour le groupe. Si vous signalez quelqu’un : le signalement, votre commentaire et une copie des 50 derniers messages de cette discussion. Le dossier partagé sur Google Drive est décrit à la section 6. Les réactions aux messages ; les clés publiques de chiffrement de bout en bout et une copie de votre clé privée chiffrée par votre code de récupération (vous seul·e connaissez le code) ; lors de l’association d’un nouvel appareil par QR depuis l’ancien, pendant 10 minutes, la clé publique à usage unique du nouvel appareil et votre code de récupération chiffré pour lui (seul cet appareil peut le lire) ; les invitations spéciales de groupe (échéance et nombre d’utilisations). Les rôles dans les groupes (propriétaire, administration), les autorisations du groupe, les messages épinglés, les mentions de membres et l’indication « transféré ». Listes de tâches (qui a coché un élément et quand est visible par les membres de la discussion), réponses dans les fils, favoris, discussions épinglées et archivées (visibles par vous seul·e) et messages programmés — jusqu’à leur envoi ils sont stockés sur le serveur, chiffrés dans les discussions chiffrées. Défis et rendez-vous : le titre et le lieu figurent dans le texte du message (chiffrés avec la discussion) ; le serveur conserve les dates, l’heure, qui participe et quels jours chacun·e a coché, ainsi que les réponses « j’y vais / peut-être / je n’y vais pas » (visibles par les membres de la discussion) ; le lien entre un défi et votre habitude ou entre un rendez-vous et votre tâche Horizon n’est visible que par vous. Réglages de groupe : mode lent, qui épingle les messages, mention « supprimé par un administrateur ».
• Données de santé (section « Santé », uniquement si vous l’utilisez). Alimentation (repas, calories et nutriments), eau, poids et mensurations, heures de sommeil et de réveil, pas et activité, programme de jeûne, profil nutritionnel (sexe, âge, taille, poids, niveau d’activité, objectif). Si vous activez « Santé féminine » : dates et durée du cycle, bien-être, symptômes, température, notes sur les médicaments et la grossesse. Il s’agit de catégories particulières de données : nous ne les traitons qu’avec votre consentement explicite, que vous donnez en les saisissant et que vous pouvez retirer en supprimant les entrées ou en désactivant la section dans les Réglages.
• Apple Santé et Health Connect (applications mobiles uniquement, et seulement avec votre autorisation). L’application lit les pas, le sommeil, le poids et la fréquence cardiaque au repos, et peut enregistrer l’eau et le poids que vous saisissez à la main (interrupteur distinct). Ces données servent uniquement à l’affichage dans la section « Santé » : elles ne sont pas utilisées à des fins publicitaires, ni transmises à des tiers, ni vendues.
• Notifications. Si vous activez les rappels : l’adresse technique de l’abonnement push de votre navigateur ou le jeton de l’appareil, votre fuseau horaire, votre langue et le délai de rappel choisi.
• Google Agenda (facultatif). Voir la section 6.
• Avis. La note et le commentaire envoyés via le formulaire d’avis.
• Données techniques. Rapports d’erreurs (Sentry) : type de navigateur et de système d’exploitation, version de l’application, texte de l’erreur et actions qui l’ont précédée, sans le contenu de vos tâches et notes, sans adresses e-mail et sans jetons de connexion (ils sont supprimés avant l’envoi). Les services voient l’adresse IP de votre appareil lorsqu’ils traitent les requêtes. L’application n’ajoute pas votre adresse IP aux rapports d’erreurs, et les statistiques passent par notre proxy, qui supprime l’adresse IP : PostHog ne la reçoit donc pas.
• Statistiques (uniquement après votre consentement dans le bandeau ou dans les Réglages). Événements pseudonymisés d’utilisation des fonctionnalités et mesures de vitesse des pages (PostHog), sans le texte que vous saisissez et sans lien avec votre compte.

3. Finalités et bases juridiques

• Fonctionnement de l’application et synchronisation entre vos appareils : exécution du contrat conclu avec vous (Conditions d’utilisation).
• Données de santé, intégrations Apple Santé, Health Connect et Google Agenda, rappels et statistiques : votre consentement.
• Correction des erreurs, prévention des abus et sauvegardes : notre intérêt légitime à fournir un service stable et sûr.

Nous ne vendons pas de données, n’affichons pas de publicité, ne partageons pas de données avec des régies publicitaires ou des courtiers en données et n’utilisons pas votre contenu pour entraîner des modèles d’intelligence artificielle.

4. Où et comment les données sont stockées

• Votre compte et votre contenu sont stockés dans une base de données Supabase située dans l’Union européenne. Au niveau de la base de données, seul le titulaire peut accéder à ses enregistrements (Row Level Security). La connexion est toujours chiffrée (HTTPS).
• Les messages de discussion sont les seules données visibles par d’autres personnes : dans une discussion privée, seulement les deux participants ; dans un groupe, ses membres actuels, un nouveau membre ne voyant que les messages postérieurs à son arrivée (Row Level Security). Les discussions privées sont chiffrées de bout en bout : le texte et les messages vocaux sont chiffrés sur l’appareil avec des clés que seuls les deux interlocuteurs possèdent, le serveur ne conserve que le texte chiffré et les notifications arrivent sans le texte du message. Les discussions de groupe sont elles aussi chiffrées de bout en bout dès que tous les membres ont une clé de chiffrement : la clé du groupe est transmise chiffrée à chaque membre et change à chaque modification des membres, de sorte qu’un nouveau membre ne lit pas les messages antérieurs et qu’une personne partie ne lit pas les nouveaux ; les notifications d’un tel groupe arrivent sans texte. Tant que tout le monde n’a pas de clé (par exemple, si quelqu’un utilise une ancienne version de l’application), les messages du groupe sont stockés dans la base de données comme le reste de vos contenus et une notification contient le titre du groupe, l’auteur et le début du texte. Aucun de vos interlocuteurs ne voit votre adresse e-mail, vos autres contenus, vos données de santé ni les noms que vous leur avez donnés. Les indicateurs « en ligne » et « écrit… » ne sont transmis qu’à vos interlocuteurs, en temps réel, et ne sont pas conservés ; vous pouvez les désactiver (vous ne les voyez alors plus chez les autres). La recherche dans les discussions chiffrées s’effectue sur votre appareil. Les membres d’un groupe voient les rôles, les messages épinglés, ainsi que qui a lu leurs propres messages et quand. « Me le rappeler » et « Ajouter à mes tâches » créent une tâche ordinaire dans votre compte. Un groupe où le chiffrement a déjà été activé reste chiffré même si quelqu’un sans clé le rejoint : cette personne ne lit pas les nouveaux messages tant qu’elle n’a pas de clé. Le serveur ne voit pas le texte, mais il voit qui écrit à qui et quand, les réactions, le nom des groupes, les noms dans les groupes et les dates des rendez-vous. Les messages ne sont pas signés : le code de sécurité confirme les clés de vos interlocuteurs, pas chaque message.
• Les clés d’accès à Google Agenda et à Google Drive sont conservées dans un coffre de secrets chiffré (Supabase Vault) et ne sont jamais envoyées au navigateur.
• Une sauvegarde de chaque compte est effectuée chaque semaine côté serveur ; les 4 dernières sont conservées. Vous pouvez en restaurer une dans les Réglages. Les sauvegardes se trouvent dans la même infrastructure que les données elles-mêmes : elles ne remplacent donc pas votre propre copie (« Exporter les données »).
• Vous pouvez utiliser l’application sans vous connecter : vos données ne sont alors stockées que sur votre appareil. Lorsque vous vous connectez, elles sont transférées vers votre compte, tout comme les modifications faites après la déconnexion.
• Sur votre appareil, les données sont conservées dans le stockage du navigateur ou de l’application afin qu’elle fonctionne hors ligne. Le code PIN verrouille seulement l’écran de l’application ; il ne chiffre pas les données sur l’appareil.

5. Destinataires des données

Uniquement les prestataires sans lesquels le service ne peut pas fonctionner, et seulement dans la mesure nécessaire à leur mission :

• Supabase : base de données, connexion, fonctions serveur, stockage des sauvegardes (UE).
• GitHub — sauvegarde chiffrée de toute la base de données (États-Unis).
• Resend : envoi des e-mails contenant le code de connexion (reçoit votre adresse e-mail et le texte du message avec le code ; société américaine, les e-mails sont envoyés via des serveurs situés au Japon ; transferts encadrés par des clauses contractuelles types).
• Cloudflare : hébergement du site, distribution des fichiers, protection contre les robots (Turnstile), proxy de la recherche de produits et des statistiques ; société américaine, transferts encadrés par des clauses contractuelles types.
• Sentry : rapports d’erreurs (UE ; les adresses IP ne sont pas conservées).
• PostHog : statistiques pseudonymisées, uniquement avec votre consentement (États-Unis ; transferts encadrés par des clauses contractuelles types).
• Google — connexion avec Google, Google Agenda et Google Drive (s’ils sont connectés), envoi des notifications dans Chrome et sur Android (Firebase Cloud Messaging), reconnaissance vocale dans Chrome.
• Apple : envoi des notifications sur iPhone, iPad et Mac (Apple Push Notification service), reconnaissance vocale dans Safari et sur iOS.
• Mozilla et les autres éditeurs de navigateurs : envoi des notifications dans leurs navigateurs.
• Open Food Facts : recherche de produits et lecture des codes-barres ; seule la requête de recherche ou le code-barres est transmis.
• quickchart.io, api.qrserver.com : génération d’un QR code contenant le lien vers le site (aucune donnée personnelle).

La saisie vocale utilise la reconnaissance vocale de votre navigateur ou de votre système : l’audio est traité par son éditeur (Google ou Apple) et l’application ne reçoit que le texte reconnu. L’analyse du ton des entrées du journal des émotions s’effectue sur votre appareil ; le texte n’est envoyé nulle part. Nous ne communiquons des données aux autorités que lorsque la loi l’exige.

6. Google Agenda et Google Drive (facultatif)

La synchronisation avec Google Agenda n’est activée que par vous : Réglages → Google Agenda → « Connecter ». Avec votre autorisation, l’application accède aux événements de votre agenda (le champ d’accès calendar.events) et l’utilise uniquement pour la synchronisation dans les deux sens : les tâches datées sont créées, mises à jour et supprimées en tant qu’événements dans votre agenda principal, et les événements que vous créez dans Google Agenda apparaissent dans Horizon sous forme de tâches.

• Données concernées : titre de l’événement, date et heure de début et de fin, identifiant de l’événement. Les descriptions, participants, lieux et pièces jointes ne sont ni lus ni conservés.
• Utilisation : synchronisation uniquement. Les données ne sont ni vendues, ni transmises à des tiers, ni utilisées à des fins publicitaires ou pour entraîner une intelligence artificielle. Personne ne les lit, sauf si vous nous demandez de l’aide pour une erreur, si la loi l’exige ou si c’est nécessaire pour prévenir des abus.
• Déconnexion : Réglages → Google Agenda → « Déconnecter » révoque l’accès chez Google et arrête la synchronisation ; les événements déjà créés restent dans votre agenda. La suppression de votre compte révoque l’accès automatiquement. Vous pouvez aussi le révoquer sur myaccount.google.com/permissions.

Google Drive (dossier partagé de discussion). Vous seul·e l’activez, depuis une discussion : bouton « Dossier partagé sur Google Drive » → « Créer le dossier ». L’application n’accède qu’aux dossiers et fichiers qu’elle a elle-même créés (portée d’accès drive.file), pas à l’ensemble de votre Drive.

• Quelles données : le dossier de la discussion est créé sur votre Google Drive et contient les fichiers que vous et les membres de la discussion envoyez via l’application. Les fichiers vont directement du navigateur à Google ; seuls le nom, le type et la taille du fichier passent par nos serveurs. Nous conservons l’identifiant et le lien du dossier.
• Qui le voit : les membres de la discussion reçoivent un lien en lecture seule, et Google leur affiche votre nom et l’adresse de votre compte Google comme propriétaire des fichiers. Toute personne à qui le lien est transmis peut ouvrir le dossier ; les personnes retirées de la discussion gardent le lien tant que vous ne dissociez pas le dossier. Clés publiques de chiffrement : tant que le compte existe (les 20 dernières) ; copie de la clé privée : jusqu’au changement de clé ou à la suppression du compte. Les invitations spéciales épuisées sont supprimées sous 7 jours.
• Désactivation : « Dissocier le dossier » ferme l’accès par lien ; « Déconnecter Google Drive » ferme l’accès par lien à tous vos dossiers et révoque l’accès auprès de Google. Cela se fait automatiquement lorsque vous supprimez votre compte. Les dossiers et fichiers eux-mêmes restent sur votre Drive ; vous pouvez les supprimer dans Google Drive.

L’utilisation par Horizon des informations reçues des API Google et leur transfert vers toute autre application respectent le Règlement sur les données utilisateur des services d’API Google, y compris les exigences d’utilisation limitée.

7. Durée de conservation

• Compte et contenu : tant que le compte existe. Les tâches, projets, habitudes et autres éléments que vous supprimez vont dans la corbeille et sont définitivement effacés au bout de 90 jours.
• Messages de discussion — jusqu’à ce que l’expéditeur les supprime pour tous ou que chaque participant les supprime pour lui-même. Lorsqu’une personne supprime son compte, ses discussions privées sont supprimées pour les deux participants et ses messages sont retirés des groupes ; un groupe reste aux autres membres et le membre le plus ancien en devient propriétaire. Un groupe est supprimé lorsque son propriétaire le supprime ou que son dernier membre le quitte. Lien du dossier Google Drive partagé — tant que le dossier est associé à la discussion. Signalements — 12 mois au maximum. Les indicateurs « en ligne » et « écrit… » se désactivent dans la fenêtre « Votre code de discussion ». Les messages programmés sont conservés jusqu’à leur envoi ; ensuite l’enregistrement est supprimé sous un jour, et un message non envoyé après 30 jours.
• Audio des messages vocaux — 365 jours après l’envoi, puis supprimé automatiquement ; le message lui-même reste dans la conversation avec la mention que l’audio a été supprimé. L’audio est conservé dans le stockage de fichiers privé de Supabase (UE) et seules les personnes qui voient le message y ont accès ; dans les conversations chiffrées de bout en bout, il est stocké chiffré.
• Sauvegardes côté serveur : jusqu’à 4 semaines (les 4 dernières sauvegardes hebdomadaires sont conservées).
• Sauvegarde chiffrée de toute la base de données sur GitHub : jusqu’à 30 jours. Elle sert à la reprise après incident et nous seuls détenons sa clé. Les données d’un compte supprimé en disparaissent à l’expiration de la dernière copie qui les contient.
• Abonnements aux notifications : tant qu’ils sont utilisés ; ceux inactifs depuis plus de 180 jours sont supprimés automatiquement.
• Rapports d’erreurs : 90 jours au maximum ; statistiques : 12 mois au maximum.
• Les données des anciennes versions de l’application (traces GPS des entraînements et mode « carte de forme ») ne sont plus collectées et sont supprimées avec le compte.

8. Vos droits

• Accès et portabilité : Réglages → « Exporter les données » : une copie complète de vos données au format JSON.
• Discussion : vous pouvez supprimer votre propre message pour tous (menu du message → « Supprimer pour tous »), supprimer n’importe quel message ou discussion pour vous, bloquer un contact et quitter un groupe à tout moment ; le propriétaire peut supprimer tout le groupe. Vos discussions sont incluses dans l’« Export des données ».
• Rectification : tout élément peut être modifié dans l’application.
• Suppression du compte : Réglages → « Supprimer le compte définitivement ». Avant la suppression, une dernière copie de vos données est téléchargée automatiquement sur votre appareil. Le compte et toutes les données sur le serveur sont supprimés immédiatement et définitivement ; les sauvegardes, les clés Google et les journaux sont effacés sous 24 heures.
• Données sur l’appareil : à la déconnexion, vos données quittent l’écran et reviennent à la prochaine connexion à ce compte ; sans connexion, l’application est vide et ce que vous ajoutez est conservé séparément. Les données restent sur l’appareil sans chiffrement. Pour les supprimer, utilisez Réglages → « Effacer de l’appareil ».
• Retrait du consentement : statistiques : Réglages → « Participation aux statistiques » ; Google Agenda, rappels et intégration santé : interrupteurs correspondants dans les Réglages ou dans les réglages de votre système.
• Vous pouvez aussi nous demander par écrit de limiter le traitement ou vous y opposer, et introduire une réclamation auprès de l’autorité de protection des données de votre pays (en France, la CNIL).

9. Cookies et stockage local

L’application conserve sur l’appareil votre session, vos réglages et vos données afin de fonctionner hors ligne ; c’est strictement nécessaire au service. Les statistiques PostHog ne sont activées qu’après votre consentement. Il n’y a ni cookies publicitaires ni cookies de suivi de tiers.

10. Mineurs

L’application ne s’adresse pas aux moins de 16 ans et nous ne collectons pas sciemment leurs données. Si vous pensez qu’un mineur nous a transmis des données, écrivez-nous et nous les supprimerons.

11. Sécurité

Nous utilisons des connexions chiffrées, l’isolement des données au niveau de la base de données, un coffre de secrets chiffré, des liens signés à usage unique pour les actions depuis les notifications et des contrôles de sécurité réguliers. Aucun système n’est totalement sûr ; si une violation touche vos données, nous vous en informerons, ainsi que l’autorité de contrôle, dans les délais prévus par la loi.

12. Modifications de cette politique

En cas de modification importante, nous mettrons à jour la date en haut de la page et vous en informerons dans l’application. En continuant à utiliser l’application après ces modifications, vous acceptez la nouvelle version.

Datenschutzerklärung

Zuletzt aktualisiert: 7. November 2026

Diese Erklärung beschreibt, welche Daten die App Horizon (die Website uhrzn.com, die installierte Web-App sowie die Apps für iOS und Android) verarbeitet, zu welchem Zweck, wo sie gespeichert werden und wie du sie kontrollieren kannst.

1. Verantwortlicher

Verantwortlicher für die Datenverarbeitung ist der Entwickler von Horizon, Maksim Kozak (eine Privatperson). Bei Fragen zu deinen Daten, zum Widerruf einer Einwilligung oder zur Ausübung deiner Rechte schreib an [email protected]. Wir antworten innerhalb von 30 Tagen.

2. Welche Daten wir verarbeiten

• Konto. Deine E-Mail-Adresse (bei der Anmeldung mit Google oder mit einem per E-Mail gesendeten Code). Bei der Anmeldung mit Google erhält der Anmeldedienst zusätzlich den Namen und das Bild deines Google-Profils. Passwörter speichern wir nicht.
• Deine Inhalte. Aufgaben, Unteraufgaben, Projekte, Wiederholungsregeln, Notizen, Projekttabellen und -diagramme, Gewohnheiten und ihre Erledigung, Lernkartenstapel und Karten, das Lebensrad und die Einträge im Gefühlstagebuch.
• Chat (wenn du ihn nutzt). Dein persönlicher Chat-Code; die Text- und Sprachnachrichten (Aufnahmen deiner Stimme), die du sendest und empfängst, und wann sie gesendet, bearbeitet und gelesen wurden; die Namen, die du deinen Kontakten gibst (nur für dich sichtbar); Stummschaltung und Blockierungen. In Gruppen: Gruppentitel, Einladungscode, Mitglieder und die Inhaberrolle sowie der Name, den du für die Gruppe gewählt hast. Wenn du jemanden meldest: die Meldung, dein Kommentar und eine Kopie der letzten 50 Nachrichten dieses Chats. Zum gemeinsamen Google-Drive-Ordner siehe Abschnitt 6. Reaktionen auf Nachrichten; öffentliche Schlüssel der Ende-zu-Ende-Verschlüsselung und eine mit deinem Wiederherstellungscode verschlüsselte Kopie deines privaten Schlüssels (den Code kennst nur du); beim Verbinden eines neuen Geräts per QR-Code vom alten – für 10 Minuten der einmalige öffentliche Schlüssel des neuen Geräts und dein für dieses Gerät verschlüsselter Wiederherstellungscode (lesen kann ihn nur dieses Gerät); besondere Gruppeneinladungen (Frist und Anzahl der Beitritte). Rollen in Gruppen (Inhaber:in, Admin), Gruppenrechte, angeheftete Nachrichten, Erwähnungen von Mitgliedern und die Kennzeichnung „weitergeleitet“. Checklisten (wer einen Punkt wann abgehakt hat, sehen die Chatmitglieder), Antworten in Threads, Favoriten-Markierungen, angeheftete und archivierte Chats (nur für dich sichtbar) und geplante Nachrichten – bis zum Senden werden sie auf dem Server gespeichert, in verschlüsselten Chats verschlüsselt. Challenges und Treffen: Titel und Ort stehen im Nachrichtentext (werden mit dem Chat verschlüsselt); auf dem Server liegen Zeitraum, Uhrzeit, wer mitmacht und an welchen Tagen abgehakt hat sowie die Antworten „Ich komme / Vielleicht / Ich komme nicht“ (für die Chatmitglieder sichtbar); die Verknüpfung einer Challenge mit deiner Gewohnheit und eines Treffens mit deiner Horizon-Aufgabe siehst nur du. Gruppeneinstellungen: langsamer Modus, wer Nachrichten anheftet, der Hinweis „von einem Admin gelöscht“.
• Gesundheitsdaten (Bereich „Gesundheit“, nur wenn du ihn nutzt). Ernährung (Mahlzeiten, Kalorien und Nährstoffe), Wasser, Gewicht und Körpermaße, Schlafzeiten und Weckzeiten, Schritte und Aktivität, Fastenplan, Ernährungsprofil (Geschlecht, Alter, Größe, Gewicht, Aktivitätsniveau, Ziel). Wenn du „Frauengesundheit“ aktivierst: Zyklusdaten und -länge, Befinden, Symptome, Temperatur, Notizen zu Medikamenten und Schwangerschaft. Dies sind besondere Kategorien personenbezogener Daten: Wir verarbeiten sie nur mit deiner ausdrücklichen Einwilligung, die du durch die Eingabe erteilst und jederzeit widerrufen kannst, indem du die Einträge löschst oder den Bereich in den Einstellungen deaktivierst.
• Apple Health und Health Connect (nur in den mobilen Apps und nur mit deiner Erlaubnis). Die App liest Schritte, Schlaf, Gewicht und Ruhepuls und kann Wasser und Gewicht, die du manuell eingibst, dorthin schreiben (separater Schalter). Diese Daten dienen ausschließlich der Anzeige im Bereich „Gesundheit“; sie werden nicht für Werbung genutzt, nicht an Dritte weitergegeben und nicht verkauft.
• Benachrichtigungen. Wenn du Erinnerungen aktivierst: die technische Adresse des Push-Abonnements deines Browsers bzw. das Geräte-Token, deine Zeitzone, deine Sprache und die gewählte Vorlaufzeit der Erinnerungen.
• Google Kalender (optional). Siehe Abschnitt 6.
• Feedback. Die Bewertung und den Kommentar, die du über das Feedback-Formular sendest.
• Technische Daten. Fehlerberichte (Sentry): Browser- und Betriebssystemtyp, App-Version, Fehlertext und die vorangegangenen Schritte – ohne den Inhalt deiner Aufgaben und Notizen, ohne E-Mail-Adressen und ohne Anmelde-Tokens (diese werden vor dem Senden entfernt). Die Dienste sehen bei der Verarbeitung von Anfragen die IP-Adresse deines Geräts. Die App fügt deine IP-Adresse nicht in Fehlerberichte ein, und die Statistik läuft über unseren Proxy, der die IP-Adresse entfernt, sodass PostHog sie nicht erhält.
• Statistik (nur nach deiner Einwilligung im Banner oder in den Einstellungen). Pseudonymisierte Ereignisse zur Nutzung von Funktionen und Messwerte zur Ladegeschwindigkeit (PostHog) – ohne den Text, den du eingibst, und ohne Verknüpfung mit deinem Konto.

3. Zwecke und Rechtsgrundlagen

• Betrieb der App und Synchronisierung zwischen deinen Geräten – Erfüllung des Vertrags mit dir (Nutzungsbedingungen, Art. 6 Abs. 1 lit. b DSGVO).
• Gesundheitsdaten, die Anbindung an Apple Health, Health Connect und Google Kalender, Erinnerungen und Statistik – deine Einwilligung (Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO).
• Fehlerbehebung, Missbrauchsverhinderung und Datensicherung – unser berechtigtes Interesse an einem stabilen und sicheren Dienst (Art. 6 Abs. 1 lit. f DSGVO).

Wir verkaufen keine Daten, zeigen keine Werbung, geben keine Daten an Werbenetzwerke oder Datenhändler weiter und nutzen deine Inhalte nicht zum Training von KI-Modellen.

4. Wo und wie die Daten gespeichert werden

• Dein Konto und deine Inhalte werden in einer Supabase-Datenbank in der Europäischen Union gespeichert. Auf Datenbankebene kann nur der jeweilige Inhaber auf seine Einträge zugreifen (Row Level Security). Die Verbindung ist immer verschlüsselt (HTTPS).
• Chatnachrichten sind die einzigen Daten, die andere Personen sehen: im privaten Chat nur die beiden Beteiligten, in einer Gruppe ihre aktuellen Mitglieder, wobei ein neues Mitglied nur Nachrichten ab seinem Beitritt sieht (Row Level Security). Private Chats sind Ende-zu-Ende-verschlüsselt: Text und Sprachnachrichten werden auf dem Gerät mit Schlüsseln verschlüsselt, die nur ihr beide habt, der Server speichert nur Chiffretext, und Benachrichtigungen kommen ohne Nachrichtentext. Auch Gruppenchats sind Ende-zu-Ende-verschlüsselt, sobald alle Mitglieder einen Schlüssel haben: Der Gruppenschlüssel wird jedem Mitglied verschlüsselt übermittelt und wechselt bei jeder Änderung der Mitglieder, sodass neue Mitglieder frühere Nachrichten und ausgetretene Mitglieder neue Nachrichten nicht lesen können; Benachrichtigungen aus einer solchen Gruppe kommen ohne Text. Solange nicht alle einen Schlüssel haben (z. B. weil jemand eine alte App-Version nutzt), werden Gruppennachrichten wie deine übrigen Inhalte in der Datenbank gespeichert, und eine Benachrichtigung enthält Gruppentitel, Absender und den Anfang des Textes. Niemand, mit dem du schreibst, sieht deine E-Mail-Adresse, deine übrigen Inhalte, deine Gesundheitsdaten oder die Namen, die du vergeben hast. Die Anzeigen „online“ und „schreibt…“ gehen nur in Echtzeit an deine Chatpartner und werden nicht gespeichert; du kannst sie ausschalten (dann siehst du sie auch bei anderen nicht). Die Suche in verschlüsselten Chats läuft auf deinem Gerät. Gruppenmitglieder sehen Rollen, angeheftete Nachrichten und wer ihre eigenen Nachrichten wann gelesen hat. „Erinnern“ und „Zu meinen Aufgaben“ legen eine normale Aufgabe in deinem Konto an. Eine Gruppe, in der die Verschlüsselung schon aktiv war, bleibt verschlüsselt, auch wenn jemand ohne Schlüssel beitritt: Diese Person kann neue Nachrichten erst lesen, wenn sie einen Schlüssel hat. Der Server sieht den Text nicht, aber wer wem wann schreibt, Reaktionen, Gruppennamen, Namen in Gruppen und Termine. Nachrichten sind nicht signiert, der Sicherheitscode bestätigt also die Schlüssel deiner Gesprächspartner, nicht jede einzelne Nachricht.
• Zugangsschlüssel für Google Kalender und Google Drive werden in einem verschlüsselten Geheimnisspeicher (Supabase Vault) aufbewahrt und nie an den Browser gesendet.
• Jede Woche wird serverseitig eine Sicherung jedes Kontos erstellt; die letzten 4 Sicherungen werden aufbewahrt. In den Einstellungen kannst du eine davon wiederherstellen. Die Sicherungen liegen in derselben Infrastruktur wie die Daten selbst und ersetzen daher nicht deine eigene Kopie („Daten exportieren“).
• Du kannst die App ohne Anmeldung nutzen – deine Daten werden dann nur auf deinem Gerät gespeichert. Bei der Anmeldung werden sie in dein Konto übertragen, ebenso wie Änderungen, die du nach dem Abmelden vornimmst.
• Auf deinem Gerät werden die Daten im Speicher des Browsers bzw. der App abgelegt, damit die App offline funktioniert. Ein PIN-Code sperrt nur den App-Bildschirm; er verschlüsselt die Daten auf dem Gerät nicht.

5. Wer Daten erhält

Nur Dienstleister, ohne die der Dienst nicht funktionieren kann, und nur in dem Umfang, den ihre Aufgabe erfordert:

• Supabase – Datenbank, Anmeldung, Serverfunktionen, Speicherung der Sicherungen (EU).
• GitHub — verschlüsselte Sicherung der gesamten Datenbank (USA).
• Resend – Versand der E-Mails mit dem Anmeldecode (erhält deine E-Mail-Adresse und den Text der E-Mail mit dem Code; US-Unternehmen, die E-Mails werden über Server in Japan versendet; Übermittlung auf Grundlage von Standardvertragsklauseln).
• Cloudflare – Hosting der Website, Auslieferung von Dateien, Bot-Schutz (Turnstile), Proxy für die Produktsuche und die Statistik; US-Unternehmen, Übermittlung auf Grundlage von Standardvertragsklauseln.
• Sentry – Fehlerberichte (EU; IP-Adressen werden nicht gespeichert).
• PostHog – pseudonymisierte Statistik, nur mit Einwilligung (USA; Übermittlung auf Grundlage von Standardvertragsklauseln).
• Google – Anmeldung mit Google, Google Kalender und Google Drive (falls verbunden), Zustellung von Benachrichtigungen in Chrome und auf Android (Firebase Cloud Messaging), Spracherkennung in Chrome.
• Apple – Zustellung von Benachrichtigungen auf iPhone, iPad und Mac (Apple Push Notification service), Spracherkennung in Safari und unter iOS.
• Mozilla und andere Browserhersteller – Zustellung von Benachrichtigungen in ihren Browsern.
• Open Food Facts – Produktsuche und Barcode-Scan: Es wird nur die Suchanfrage bzw. der Barcode übermittelt.
• quickchart.io, api.qrserver.com – Erzeugung eines QR-Codes mit dem Link zur Website (keine personenbezogenen Daten).

Die Spracheingabe nutzt die Spracherkennung deines Browsers bzw. Systems: Das Audio verarbeitet dessen Anbieter (Google oder Apple), die App erhält nur den erkannten Text. Die Stimmungsanalyse der Einträge im Gefühlstagebuch findet auf deinem Gerät statt; der Text wird nirgendwohin gesendet. Daten geben wir an Behörden nur weiter, wenn wir gesetzlich dazu verpflichtet sind.

6. Google Kalender und Google Drive (optional)

Die Synchronisierung mit Google Kalender aktivierst ausschließlich du: Einstellungen → Google Kalender → „Verbinden“. Mit deiner Erlaubnis erhält die App Zugriff auf die Termine deines Kalenders (Berechtigung calendar.events) und nutzt ihn nur für die Synchronisierung in beide Richtungen: Aufgaben mit Datum werden als Termine in deinem Hauptkalender erstellt, geändert und gelöscht, und Termine, die du in Google Kalender anlegst, erscheinen in Horizon als Aufgaben.

• Welche Daten: Titel des Termins, Datum und Uhrzeit von Beginn und Ende, Termin-ID. Beschreibungen, Teilnehmende, Orte und Anhänge werden weder gelesen noch gespeichert.
• Nutzung: nur zur Synchronisierung. Die Daten werden nicht verkauft, nicht an Dritte weitergegeben und nicht für Werbung oder KI-Training genutzt. Menschen lesen sie nicht – außer du bittest uns um Hilfe bei einem Fehler, das Gesetz verlangt es oder es ist zur Verhinderung von Missbrauch nötig.
• Trennen: Einstellungen → Google Kalender → „Trennen“ widerruft den Zugriff bei Google und beendet die Synchronisierung; bereits erstellte Termine bleiben in deinem Kalender. Beim Löschen deines Kontos wird der Zugriff automatisch widerrufen. Du kannst ihn auch unter myaccount.google.com/permissions widerrufen.

Google Drive (gemeinsamer Chat-Ordner). Nur du schaltest ihn ein, direkt im Chat: Schaltfläche „Gemeinsamer Ordner in Google Drive“ → „Ordner erstellen“. Die App erhält nur Zugriff auf Ordner und Dateien, die sie selbst erstellt hat (Zugriffsbereich drive.file), nicht auf dein gesamtes Drive.

• Welche Daten: Der Chat-Ordner wird in deinem Google Drive angelegt und enthält die Dateien, die du und die Chat-Mitglieder über die App hochladen. Dateien gehen direkt vom Browser zu Google; über unsere Server laufen nur Dateiname, -typ und -größe. Wir speichern die Ordner-ID und den Link.
• Wer sie sieht: Chat-Mitglieder erhalten einen Link mit reinem Lesezugriff, und Google zeigt ihnen deinen Namen und deine Google-Konto-Adresse als Inhaber:in der Dateien. Jede Person, an die der Link weitergegeben wird, kann den Ordner öffnen; aus dem Chat entfernte Personen behalten den Link, bis du den Ordner trennst. Öffentliche Schlüssel – solange das Konto besteht (die letzten 20 Schlüssel), die Kopie des privaten Schlüssels – bis zum Schlüsselwechsel oder zur Kontolöschung. Verbrauchte besondere Einladungen werden innerhalb von 7 Tagen gelöscht.
• Ausschalten: „Ordner trennen“ schließt den Linkzugriff; „Google Drive trennen“ schließt den Linkzugriff auf alle deine Ordner und widerruft den Zugriff bei Google. Beim Löschen deines Kontos geschieht das automatisch. Die Ordner und Dateien selbst bleiben in deinem Drive – du kannst sie in Google Drive löschen.

Die Nutzung von Informationen, die Horizon über Google-APIs erhält, und deren Übertragung an andere Apps entsprechen der Richtlinie zu Nutzerdaten für Google API-Dienste, einschließlich der Anforderungen zur eingeschränkten Nutzung.

7. Speicherdauer

• Konto und Inhalte – solange das Konto besteht. Aufgaben, Projekte, Gewohnheiten und andere Einträge, die du löschst, landen im Papierkorb und werden nach 90 Tagen endgültig gelöscht.
• Chatnachrichten – bis die absendende Person sie für alle löscht oder alle Beteiligten sie für sich löschen. Löscht jemand das Konto, werden die privaten Chats dieser Person für beide Seiten gelöscht und ihre Nachrichten aus Gruppen entfernt; eine Gruppe bleibt den übrigen Mitgliedern erhalten, und das am längsten dabei seiende Mitglied übernimmt sie. Eine Gruppe wird gelöscht, wenn die Person, der sie gehört, sie löscht oder das letzte Mitglied sie verlässt. Der Link zum gemeinsamen Google-Drive-Ordner – solange der Ordner mit dem Chat verbunden ist. Meldungen – höchstens 12 Monate. Die Anzeigen „online“ und „schreibt…“ lassen sich im Fenster „Dein Chat-Code“ ausschalten. Geplante Nachrichten werden bis zum Senden gespeichert; danach wird der Eintrag innerhalb eines Tages gelöscht, eine nicht gesendete nach 30 Tagen.
• Ton von Sprachnachrichten – 365 Tage ab dem Senden, danach wird er automatisch gelöscht; die Nachricht selbst bleibt mit dem Hinweis, dass der Ton gelöscht wurde, im Verlauf. Der Ton liegt im privaten Dateispeicher von Supabase (EU), Zugriff haben nur Personen, die die Nachricht sehen; in Ende-zu-Ende-verschlüsselten Chats wird er verschlüsselt gespeichert.
• Serverseitige Sicherungen – bis zu 4 Wochen (die letzten 4 wöchentlichen Sicherungen werden aufbewahrt).
• Verschlüsselte Sicherung der gesamten Datenbank bei GitHub — bis zu 30 Tage. Sie dient der Wiederherstellung nach Ausfällen, den Schlüssel haben nur wir. Daten eines gelöschten Kontos verschwinden daraus, wenn die letzte Kopie mit ihnen abläuft.
• Benachrichtigungsabonnements – solange sie genutzt werden; Abonnements, die länger als 180 Tage inaktiv sind, werden automatisch gelöscht.
• Fehlerberichte – höchstens 90 Tage; Statistik – höchstens 12 Monate.
• Daten aus früheren App-Versionen (GPS-Strecken von Trainings und der Modus „Formkarte“) werden nicht mehr erhoben und mit dem Konto gelöscht.

8. Deine Rechte

• Auskunft und Datenübertragbarkeit: Einstellungen → „Daten exportieren“ – eine vollständige Kopie deiner Daten als JSON.
• Chat: Du kannst deine eigene Nachricht für alle löschen (Nachrichtenmenü → „Für alle löschen“), jede Nachricht und jeden Chat für dich löschen, einen Kontakt blockieren und eine Gruppe jederzeit verlassen; wem die Gruppe gehört, kann sie vollständig löschen. Deine Unterhaltungen sind im „Datenexport“ enthalten.
• Berichtigung: Jeder Eintrag lässt sich in der App bearbeiten.
• Löschung des Kontos: Einstellungen → „Konto endgültig löschen“. Vor der Löschung wird automatisch eine letzte Kopie deiner Daten auf dein Gerät heruntergeladen. Das Konto und alle Daten auf dem Server werden sofort und endgültig gelöscht; Sicherungen, Google-Schlüssel und Protokolle werden innerhalb von 24 Stunden entfernt.
• Daten auf dem Gerät: Bei der Abmeldung verschwinden deine Daten vom Bildschirm und kommen bei der nächsten Anmeldung bei diesem Konto zurück; ohne Anmeldung ist die App leer, und ohne Anmeldung Hinzugefügtes wird getrennt gespeichert. Die Daten bleiben unverschlüsselt auf dem Gerät. Zum Löschen nutze Einstellungen → „Daten vom Gerät löschen“Vom Gerät löschen“.
• Widerruf der Einwilligung: Statistik – Einstellungen → „Teilnahme an Statistiken“; Google Kalender, Erinnerungen und die Gesundheitsanbindung – die entsprechenden Schalter in den Einstellungen oder in deinen Systemeinstellungen. Der Widerruf wirkt für die Zukunft.
• Du kannst außerdem per Nachricht an uns die Einschränkung der Verarbeitung verlangen oder ihr widersprechen und dich bei der Datenschutz-Aufsichtsbehörde deines Landes beschweren.

9. Cookies und lokaler Speicher

Die App speichert deine Anmeldesitzung, deine Einstellungen und deine Daten auf dem Gerät, damit sie offline funktioniert – das ist für den Dienst unbedingt erforderlich. Die Statistik von PostHog wird erst nach deiner Einwilligung aktiviert. Es gibt keine Werbe- oder Tracking-Cookies von Drittanbietern.

10. Kinder

Die App richtet sich nicht an Kinder unter 16 Jahren, und wir erheben ihre Daten nicht wissentlich. Wenn du glaubst, dass uns ein Kind Daten übermittelt hat, schreib uns, und wir löschen sie.

11. Sicherheit

Wir nutzen verschlüsselte Verbindungen, die Isolierung der Daten auf Datenbankebene, einen verschlüsselten Geheimnisspeicher, signierte Einmal-Links für Aktionen aus Benachrichtigungen und regelmäßige Sicherheitsprüfungen. Kein System ist vollkommen sicher; sollte eine Datenpanne deine Daten betreffen, informieren wir dich und die Aufsichtsbehörde innerhalb der gesetzlichen Fristen.

12. Änderungen dieser Erklärung

Bei wesentlichen Änderungen aktualisieren wir das Datum oben und informieren dich in der App. Wenn du die App nach den Änderungen weiter nutzt, akzeptierst du die neue Fassung.

Informativa sulla privacy

Ultimo aggiornamento: 7 novembre 2026

Questa informativa spiega quali dati tratta l’app Horizon (il sito uhrzn.com, l’app web installata e le app per iOS e Android), per quali finalità, dove vengono conservati e come puoi controllarli.

1. Titolare del trattamento

Il titolare del trattamento è lo sviluppatore di Horizon, Maksim Kozak (persona fisica). Per qualsiasi domanda sui tuoi dati, per revocare il consenso o per esercitare i tuoi diritti, scrivi a [email protected]. Rispondiamo entro 30 giorni.

2. Quali dati trattiamo

• Account. Il tuo indirizzo email (quando accedi con Google o con un codice ricevuto via email). Se accedi con Google, il servizio di accesso riceve anche il nome e la foto del tuo profilo Google. Non conserviamo password.
• I tuoi contenuti. Attività, sottoattività, progetti, regole di ripetizione, note, tabelle e schemi dei progetti, abitudini e il loro completamento, mazzi e schede di studio, la ruota della vita e le voci del diario delle emozioni.
• Chat (se la usi). Il tuo codice chat personale; i messaggi di testo e vocali (registrazioni della tua voce) che invii e ricevi e quando sono stati inviati, modificati e letti; i nomi che dai ai tuoi contatti (li vedi solo tu); le impostazioni di silenzio e blocco. Nei gruppi: il titolo del gruppo, il codice di invito, i membri e il ruolo di gestione, oltre al nome che hai scelto per il gruppo. Se segnali qualcuno: la segnalazione, il tuo commento e una copia degli ultimi 50 messaggi di quella chat. La cartella condivisa su Google Drive è descritta nella sezione 6. Le reazioni ai messaggi; le chiavi pubbliche della crittografia end-to-end e una copia della tua chiave privata cifrata con il codice di recupero (il codice lo conosci solo tu); quando colleghi un nuovo dispositivo con il QR dal precedente, per 10 minuti, la chiave pubblica monouso del nuovo dispositivo e il tuo codice di recupero cifrato per esso (solo quel dispositivo può leggerlo); gli inviti speciali ai gruppi (scadenza e numero di ingressi). I ruoli nei gruppi (creazione, amministrazione), i permessi del gruppo, i messaggi fissati, le menzioni dei membri e l’indicazione «inoltrato». Liste di cose da fare (chi ha spuntato una voce e quando lo vedono i membri della chat), risposte nei thread, segni dei preferiti, chat fissate e archiviate (visibili solo a te) e messaggi programmati: fino all’invio sono conservati sul server, cifrati nelle chat crittografate. Sfide e incontri: titolo e luogo sono nel testo del messaggio (cifrati insieme alla conversazione); sul server ci sono date, orario, chi partecipa e in quali giorni ha spuntato, e le risposte «ci sono / forse / non ci sono» (visibili ai membri della chat); il collegamento di una sfida alla tua abitudine e di un incontro alla tua attività di Horizon lo vedi solo tu. Impostazioni del gruppo: modalità lenta, chi fissa i messaggi, l’indicazione «eliminato da un admin».
• Dati sanitari (sezione «Salute», solo se la usi). Alimentazione (pasti, calorie e nutrienti), acqua, peso e misure corporee, orari di sonno e sveglia, passi e attività, programma di digiuno, profilo nutrizionale (sesso, età, altezza, peso, livello di attività, obiettivo). Se attivi «Salute femminile»: date e durata del ciclo, benessere, sintomi, temperatura, note su farmaci e gravidanza. Si tratta di categorie particolari di dati: li trattiamo solo con il tuo consenso esplicito, che dai inserendoli e puoi revocare eliminando le voci o disattivando la sezione nelle Impostazioni.
• Apple Salute e Health Connect (solo nelle app per dispositivi mobili e solo con la tua autorizzazione). L’app legge passi, sonno, peso e frequenza cardiaca a riposo e può salvare l’acqua e il peso che inserisci a mano (con un interruttore separato). Questi dati servono solo alla visualizzazione nella sezione «Salute»: non vengono usati per pubblicità, non vengono comunicati a terzi e non vengono venduti.
• Notifiche. Se attivi i promemoria: l’indirizzo tecnico dell’iscrizione push del browser o il token del dispositivo, il tuo fuso orario, la lingua e l’anticipo scelto per i promemoria.
• Google Calendar (facoltativo). Vedi la sezione 6.
• Feedback. La valutazione e il commento che invii tramite il modulo di feedback.
• Dati tecnici. Segnalazioni di errore (Sentry): tipo di browser e di sistema operativo, versione dell’app, testo dell’errore e passaggi precedenti, senza il contenuto delle tue attività e note, senza indirizzi email e senza token di accesso (vengono rimossi prima dell’invio). I servizi vedono l’indirizzo IP del tuo dispositivo quando elaborano le richieste. L’app non aggiunge il tuo indirizzo IP alle segnalazioni di errore, e le statistiche passano dal nostro proxy, che rimuove l’indirizzo IP, quindi PostHog non lo riceve.
• Statistiche (solo dopo il tuo consenso nel banner o nelle Impostazioni). Eventi pseudonimizzati sull’uso delle funzioni e metriche sulla velocità delle pagine (PostHog), senza il testo che scrivi e senza collegamento al tuo account.

3. Finalità e basi giuridiche

• Funzionamento dell’app e sincronizzazione tra i tuoi dispositivi: esecuzione del contratto con te (Condizioni d’uso).
• Dati sanitari, integrazioni con Apple Salute, Health Connect e Google Calendar, promemoria e statistiche: il tuo consenso.
• Correzione degli errori, prevenzione degli abusi e backup: il nostro legittimo interesse a offrire un servizio stabile e sicuro.

Non vendiamo dati, non mostriamo pubblicità, non condividiamo dati con reti pubblicitarie o intermediari di dati e non usiamo i tuoi contenuti per addestrare modelli di intelligenza artificiale.

4. Dove e come vengono conservati i dati

• Il tuo account e i tuoi contenuti sono conservati in un database Supabase nell’Unione europea. A livello di database solo il titolare dei dati può accedere ai propri record (Row Level Security). La connessione è sempre cifrata (HTTPS).
• I messaggi della chat sono gli unici dati che altre persone vedono: in una chat privata solo i due partecipanti, in un gruppo i suoi membri attuali, e un nuovo membro vede solo i messaggi inviati dopo il suo ingresso (Row Level Security). Le chat private hanno la crittografia end-to-end: testo e vocali sono cifrati sul dispositivo con chiavi che avete solo voi due, il server conserva soltanto testo cifrato e le notifiche arrivano senza il testo del messaggio. Anche le chat di gruppo hanno la crittografia end-to-end quando tutti i membri hanno una chiave di crittografia: la chiave del gruppo viene consegnata cifrata a ogni membro e cambia a ogni modifica dei membri, quindi chi entra non legge i messaggi precedenti e chi esce non legge quelli nuovi; le notifiche di un gruppo così arrivano senza testo. Finché non tutti hanno una chiave (per esempio se qualcuno usa una versione vecchia dell’app), i messaggi del gruppo sono conservati nel database come il resto dei tuoi contenuti e la notifica contiene il titolo del gruppo, l’autore e l’inizio del testo. Nessuna delle persone con cui scrivi vede il tuo indirizzo email, gli altri tuoi contenuti, i tuoi dati sulla salute o i nomi che hai dato loro. Gli indicatori «online» e «sta scrivendo…» arrivano solo alle persone con cui scrivi, in tempo reale, e non vengono salvati; puoi disattivarli (in tal caso non li vedi nemmeno negli altri). La ricerca nelle chat cifrate avviene sul tuo dispositivo. I membri di un gruppo vedono i ruoli, i messaggi fissati e chi ha letto i propri messaggi e quando. «Ricordamelo» e «Aggiungi alle mie attività» creano una normale attività nel tuo account. Un gruppo in cui la crittografia è già stata attivata resta crittografato anche se entra qualcuno senza chiave: quella persona non legge i nuovi messaggi finché non ha una chiave. Il server non vede il testo, ma vede chi scrive a chi e quando, le reazioni, i nomi dei gruppi, i nomi nei gruppi e le date degli eventi. I messaggi non sono firmati: il codice di sicurezza conferma le chiavi dei tuoi interlocutori, non ogni messaggio.
• Le chiavi di accesso a Google Calendar e Google Drive sono custodite in un archivio di segreti cifrato (Supabase Vault) e non vengono mai inviate al browser.
• Ogni settimana viene creato sul server un backup di ciascun account; si conservano gli ultimi 4. Puoi ripristinarne uno nelle Impostazioni. I backup si trovano nella stessa infrastruttura dei dati, quindi non sostituiscono una tua copia personale («Esporta dati»).
• Puoi usare l’app senza accedere: in tal caso i dati restano solo sul tuo dispositivo. Quando accedi, vengono trasferiti nel tuo account, così come le modifiche fatte dopo l’uscita.
• Sul dispositivo i dati sono conservati nella memoria del browser o dell’app, così che funzioni anche offline. Il codice PIN blocca solo la schermata dell’app; non cifra i dati sul dispositivo.

5. Chi riceve i dati

Solo i fornitori senza i quali il servizio non può funzionare, e solo nella misura necessaria al loro compito:

• Supabase: database, accesso, funzioni server, conservazione dei backup (UE).
• GitHub: backup crittografato dell’intero database (USA).
• Resend: invio delle email con il codice di accesso (riceve il tuo indirizzo email e il testo del messaggio con il codice; società statunitense, le email vengono inviate tramite server in Giappone; trasferimenti basati su clausole contrattuali standard).
• Cloudflare: hosting del sito, distribuzione dei file, protezione dai bot (Turnstile), proxy per la ricerca dei prodotti e per le statistiche; società statunitense, trasferimenti basati su clausole contrattuali standard.
• Sentry: segnalazioni di errore (UE; gli indirizzi IP non vengono conservati).
• PostHog: statistiche pseudonimizzate, solo con consenso (USA; trasferimenti basati su clausole contrattuali standard).
• Google — accesso con Google, Google Calendar e Google Drive (se collegati), consegna delle notifiche in Chrome e su Android (Firebase Cloud Messaging), riconoscimento vocale in Chrome.
• Apple: invio delle notifiche su iPhone, iPad e Mac (Apple Push Notification service), riconoscimento vocale in Safari e su iOS.
• Mozilla e altri produttori di browser: invio delle notifiche nei rispettivi browser.
• Open Food Facts: ricerca dei prodotti e scansione dei codici a barre; viene inviata solo la ricerca o il codice a barre.
• quickchart.io, api.qrserver.com: generazione di un codice QR con il link al sito (nessun dato personale).

L’inserimento vocale usa il riconoscimento vocale del browser o del sistema: l’audio viene elaborato dal rispettivo fornitore (Google o Apple) e l’app riceve solo il testo riconosciuto. L’analisi del tono delle voci del diario delle emozioni avviene sul tuo dispositivo; il testo non viene inviato da nessuna parte. Comunichiamo dati alle autorità solo quando la legge lo impone.

6. Google Calendar e Google Drive (facoltativo)

La sincronizzazione con Google Calendar la attivi solo tu: Impostazioni → Google Calendar → «Collega». Con la tua autorizzazione l’app ottiene l’accesso agli eventi del tuo calendario (ambito calendar.events) e lo usa solo per la sincronizzazione bidirezionale: le attività con una data vengono create, aggiornate ed eliminate come eventi nel tuo calendario principale, e gli eventi che crei in Google Calendar compaiono in Horizon come attività.

• Quali dati: titolo dell’evento, data e ora di inizio e di fine, identificativo dell’evento. Descrizioni, partecipanti, luoghi e allegati non vengono letti né conservati.
• Uso: solo per la sincronizzazione. I dati non vengono venduti, non vengono comunicati a terzi e non vengono usati per pubblicità o per addestrare intelligenze artificiali. Nessuna persona li legge, salvo che tu ci chieda aiuto per un errore, che lo imponga la legge o che sia necessario per prevenire abusi.
• Scollegamento: Impostazioni → Google Calendar → «Scollega» revoca l’accesso presso Google e interrompe la sincronizzazione; gli eventi già creati restano nel tuo calendario. L’eliminazione dell’account revoca l’accesso automaticamente. Puoi revocarlo anche su myaccount.google.com/permissions.

Google Drive (cartella condivisa della chat). Lo attivi solo tu, da una chat: pulsante «Cartella condivisa su Google Drive» → «Crea cartella». L’app accede solo alle cartelle e ai file che ha creato lei stessa (ambito di accesso drive.file), non a tutto il tuo Drive.

• Quali dati: la cartella della chat viene creata sul tuo Google Drive e contiene i file che tu e i membri della chat caricate tramite l’app. I file vanno dal browser direttamente a Google; dai nostri server passano solo nome, tipo e dimensione del file. Conserviamo l’identificativo e il link della cartella.
• Chi la vede: i membri della chat ricevono un link di sola lettura, e Google mostra loro il tuo nome e l’indirizzo del tuo account Google come proprietario dei file. Chiunque riceva il link può aprire la cartella; le persone rimosse dalla chat conservano il link finché non scolleghi la cartella. Chiavi pubbliche di crittografia: finché esiste l’account (le ultime 20); copia della chiave privata: fino al cambio di chiave o all’eliminazione dell’account. Gli inviti speciali esauriti vengono eliminati entro 7 giorni.
• Disattivazione: «Scollega la cartella» chiude l’accesso tramite link; «Disconnetti Google Drive» chiude l’accesso tramite link a tutte le tue cartelle e revoca l’accesso presso Google. Quando elimini l’account, questo avviene automaticamente. Le cartelle e i file restano sul tuo Drive: puoi eliminarli in Google Drive.

L’uso da parte di Horizon delle informazioni ricevute dalle API di Google e il loro trasferimento a qualsiasi altra app rispettano le Norme sui dati utente dei servizi API di Google, inclusi i requisiti di uso limitato.

7. Per quanto tempo conserviamo i dati

• Account e contenuti: finché l’account esiste. Attività, progetti, abitudini e altri elementi che elimini finiscono nel cestino e vengono cancellati definitivamente dopo 90 giorni.
• Messaggi della chat: finché chi li ha inviati non li elimina per tutti o finché tutti i partecipanti non li eliminano per sé. Quando qualcuno elimina il proprio account, le sue chat private vengono eliminate per entrambe le parti e i suoi messaggi vengono rimossi dai gruppi; il gruppo resta agli altri membri e la gestione passa al membro presente da più tempo. Un gruppo viene eliminato quando chi lo gestisce lo elimina o quando ne esce l’ultimo membro. Link della cartella condivisa di Google Drive: finché la cartella è collegata alla chat. Segnalazioni: non oltre 12 mesi. Gli indicatori «online» e «sta scrivendo…» si disattivano nella finestra «Il tuo codice chat». I messaggi programmati sono conservati fino all’invio; dopo l’invio il record viene eliminato entro un giorno, e uno non inviato dopo 30 giorni.
• Audio dei messaggi vocali: 365 giorni dall’invio, poi viene eliminato automaticamente; il messaggio resta nella conversazione con l’indicazione che l’audio è stato eliminato. L’audio è conservato nello spazio file privato di Supabase (UE) e vi accede solo chi vede il messaggio; nelle chat con crittografia end-to-end è conservato cifrato.
• Backup sul server: fino a 4 settimane (si conservano gli ultimi 4 backup settimanali).
• Backup crittografato dell’intero database su GitHub: fino a 30 giorni. Serve al ripristino dopo un guasto e solo noi abbiamo la chiave. I dati di un account eliminato ne escono alla scadenza dell’ultima copia che li contiene.
• Iscrizioni alle notifiche: finché sono in uso; quelle inattive da oltre 180 giorni vengono eliminate automaticamente.
• Segnalazioni di errore: non oltre 90 giorni; statistiche: non oltre 12 mesi.
• I dati delle versioni precedenti dell’app (tracciati GPS degli allenamenti e modalità «mappa della forma») non vengono più raccolti e vengono eliminati insieme all’account.

8. I tuoi diritti

• Accesso e portabilità: Impostazioni → «Esporta dati»: una copia completa dei tuoi dati in formato JSON.
• Chat: puoi eliminare un tuo messaggio per tutti (menu del messaggio → «Elimina per tutti»), eliminare qualsiasi messaggio o chat per te, bloccare un contatto e uscire da un gruppo in qualsiasi momento; chi gestisce il gruppo può eliminarlo del tutto. Le tue conversazioni sono incluse in «Esporta dati».
• Rettifica: qualsiasi elemento può essere modificato nell’app.
• Cancellazione dell’account: Impostazioni → «Elimina l’account definitivamente». Prima della cancellazione, un’ultima copia dei tuoi dati viene scaricata automaticamente sul tuo dispositivo. L’account e tutti i dati sul server vengono eliminati immediatamente e in modo definitivo; backup, chiavi di Google e log vengono rimossi entro 24 ore.
• Dati sul dispositivo: quando esci, i dati spariscono dallo schermo e tornano al prossimo accesso a quell’account; senza accesso l’app è vuota e ciò che aggiungi viene conservato a parte. I dati restano sul dispositivo senza crittografia. Per eliminarli usa Impostazioni → «Cancella dal dispositivo».
• Revoca del consenso: statistiche: Impostazioni → «Partecipazione alle statistiche»; Google Calendar, promemoria e integrazione con la salute: i relativi interruttori nelle Impostazioni o nelle impostazioni del sistema.
• Puoi anche chiederci per iscritto di limitare il trattamento od opporti a esso, e proporre reclamo all’autorità di protezione dei dati del tuo Paese (in Italia, il Garante per la protezione dei dati personali).

9. Cookie e memoria locale

L’app conserva sul dispositivo la sessione di accesso, le impostazioni e i tuoi dati per funzionare offline: è strettamente necessario per il servizio. Le statistiche di PostHog si attivano solo dopo il tuo consenso. Non ci sono cookie pubblicitari né cookie di tracciamento di terze parti.

10. Minori

L’app non è destinata ai minori di 16 anni e non raccogliamo consapevolmente i loro dati. Se ritieni che un minore ci abbia fornito dati, scrivici e li elimineremo.

11. Sicurezza

Usiamo connessioni cifrate, l’isolamento dei dati a livello di database, un archivio di segreti cifrato, link firmati monouso per le azioni dalle notifiche e verifiche di sicurezza periodiche. Nessun sistema è completamente sicuro; se una violazione riguarda i tuoi dati, informeremo te e l’autorità di controllo entro i termini previsti dalla legge.

12. Modifiche a questa informativa

In caso di modifiche rilevanti aggiorneremo la data in alto e te lo comunicheremo nell’app. Continuando a usare l’app dopo le modifiche accetti la nuova versione.

Polityka prywatności

Ostatnia aktualizacja: 7 listopada 2026 r.

Niniejsza polityka wyjaśnia, jakie dane przetwarza aplikacja Horizon (strona uhrzn.com, zainstalowana aplikacja webowa oraz aplikacje na iOS i Androida), w jakim celu, gdzie są przechowywane i jak możesz nimi zarządzać.

1. Administrator danych

Administratorem danych jest twórca aplikacji Horizon, Maksim Kozak (osoba fizyczna). W sprawie swoich danych, cofnięcia zgody lub skorzystania ze swoich praw napisz na adres [email protected]. Odpowiadamy w ciągu 30 dni.

2. Jakie dane przetwarzamy

• Konto. Twój adres e-mail (przy logowaniu przez Google lub kodem wysłanym e-mailem). Przy logowaniu przez Google usługa logowania otrzymuje też nazwę i zdjęcie z twojego profilu Google. Nie przechowujemy haseł.
• Twoje treści. Zadania, podzadania, projekty, reguły powtarzania, notatki, tabele i schematy projektów, nawyki i ich wykonanie, talie i fiszki, koło życia oraz wpisy w dzienniku emocji.
• Czat (jeśli z niego korzystasz). Twój osobisty kod czatu; wiadomości tekstowe i głosowe (nagrania twojego głosu), które wysyłasz i otrzymujesz, oraz czas ich wysłania, edycji i odczytania; nazwy, które nadajesz rozmówcom (widoczne tylko dla ciebie); wyciszenia i blokady. W grupach: nazwa grupy, kod zaproszenia, uczestnicy i rola właściciela oraz imię wybrane przez ciebie dla grupy. Jeśli zgłaszasz kogoś: zgłoszenie, twój komentarz i kopia ostatnich 50 wiadomości tego czatu. Wspólny folder na Dysku Google opisuje sekcja 6. Reakcje na wiadomości; publiczne klucze szyfrowania end-to-end oraz kopia twojego klucza prywatnego zaszyfrowana kodem odzyskiwania (kod znasz tylko ty); przy łączeniu nowego urządzenia kodem QR ze starego — przez 10 minut jednorazowy klucz publiczny nowego urządzenia i twój kod odzyskiwania zaszyfrowany dla niego (odczytać go może tylko to urządzenie); specjalne zaproszenia do grup (termin i liczba wejść). Role w grupach (właściciel, administrator), uprawnienia grupy, przypięte wiadomości, wzmianki o uczestnikach i oznaczenie „przekazano”. Listy zadań (kto i kiedy zaznaczył punkt — widzą uczestnicy czatu), odpowiedzi w wątkach, oznaczenia ulubionych, przypięte i zarchiwizowane czaty (widoczne tylko dla ciebie) oraz zaplanowane wiadomości — do wysłania są przechowywane na serwerze, w czatach szyfrowanych w postaci zaszyfrowanej. Wyzwania i spotkania: tytuł i miejsce są w treści wiadomości (szyfrowane razem z rozmową); na serwerze są daty, godzina, kto uczestniczy i w które dni odhaczył, oraz odpowiedzi „idę / może / nie idę” (widoczne dla uczestników czatu); powiązanie wyzwania z twoim nawykiem i spotkania z twoim zadaniem w Horizon widzisz tylko ty. Ustawienia grupy: tryb powolny, kto przypina wiadomości, oznaczenie „usunięte przez administratora”.
• Dane o zdrowiu (sekcja „Zdrowie”, tylko jeśli z niej korzystasz). Odżywianie (posiłki, kalorie i składniki odżywcze), woda, waga i wymiary ciała, godziny snu i budzika, kroki i aktywność, harmonogram postu, profil żywieniowy (płeć, wiek, wzrost, waga, poziom aktywności, cel). Jeśli włączysz „Zdrowie kobiety”: daty i długość cyklu, samopoczucie, objawy, temperatura, notatki o lekach i ciąży. Są to szczególne kategorie danych osobowych: przetwarzamy je wyłącznie na podstawie twojej wyraźnej zgody, której udzielasz, wprowadzając je, i którą możesz cofnąć, usuwając wpisy lub wyłączając sekcję w Ustawieniach.
• Apple Zdrowie i Health Connect (tylko w aplikacjach mobilnych i tylko za twoją zgodą). Aplikacja odczytuje kroki, sen, wagę i tętno spoczynkowe oraz może zapisywać wodę i wagę wprowadzone ręcznie (osobny przełącznik). Dane te służą wyłącznie do wyświetlania w sekcji „Zdrowie”; nie są wykorzystywane do reklam, nie są przekazywane osobom trzecim i nie są sprzedawane.
• Powiadomienia. Jeśli włączysz przypomnienia: techniczny adres subskrypcji push przeglądarki lub token urządzenia, twoja strefa czasowa, język i wybrane wyprzedzenie przypomnień.
• Kalendarz Google (opcjonalnie). Zobacz punkt 6.
• Opinie. Ocena i komentarz wysłane przez formularz opinii.
• Dane techniczne. Raporty błędów (Sentry): typ przeglądarki i systemu operacyjnego, wersja aplikacji, treść błędu i poprzedzające go działania – bez treści twoich zadań i notatek, bez adresów e-mail i bez tokenów logowania (są usuwane przed wysłaniem). Usługi widzą adres IP twojego urządzenia podczas obsługi żądań. Aplikacja nie dodaje twojego adresu IP do raportów błędów, a analityka przechodzi przez nasze proxy, które usuwa adres IP, więc PostHog go nie otrzymuje.
• Analityka (tylko po wyrażeniu zgody w banerze lub w Ustawieniach). Zdarzenia dotyczące korzystania z funkcji i pomiary szybkości stron (PostHog) w postaci spseudonimizowanej – bez wpisywanego przez ciebie tekstu i bez powiązania z twoim kontem.

3. Cele i podstawy prawne przetwarzania

• Działanie aplikacji i synchronizacja między twoimi urządzeniami – wykonanie umowy z tobą (Warunki korzystania).
• Dane o zdrowiu, integracje z Apple Zdrowie, Health Connect i Kalendarzem Google, przypomnienia i analityka – twoja zgoda.
• Usuwanie błędów, zapobieganie nadużyciom i kopie zapasowe – nasz prawnie uzasadniony interes w zapewnieniu stabilnej i bezpiecznej usługi.

Nie sprzedajemy danych, nie wyświetlamy reklam, nie przekazujemy danych sieciom reklamowym ani brokerom danych i nie wykorzystujemy twoich treści do trenowania modeli sztucznej inteligencji.

4. Gdzie i jak przechowujemy dane

• Twoje konto i treści są przechowywane w bazie danych Supabase na terenie Unii Europejskiej. Na poziomie bazy danych dostęp do rekordów ma tylko ich właściciel (Row Level Security). Połączenie jest zawsze szyfrowane (HTTPS).
• Wiadomości czatu to jedyne dane, które widzą inne osoby: w czacie prywatnym tylko dwoje uczestników, w grupie jej obecni uczestnicy, przy czym nowy uczestnik widzi wiadomości dopiero od momentu dołączenia (Row Level Security). Czaty prywatne są szyfrowane end-to-end: tekst i nagrania głosowe są szyfrowane na urządzeniu kluczami, które mają tylko rozmówcy, serwer przechowuje wyłącznie szyfrogram, a powiadomienie przychodzi bez treści wiadomości. Czaty grupowe też są szyfrowane end-to-end, gdy wszyscy uczestnicy mają klucz szyfrowania: klucz grupy jest przekazywany każdemu uczestnikowi w postaci zaszyfrowanej i zmienia się przy każdej zmianie składu, więc nowy uczestnik nie czyta wcześniejszych wiadomości, a osoba, która wyszła, nie czyta nowych; powiadomienia z takiej grupy przychodzą bez tekstu. Dopóki nie wszyscy mają klucz (np. ktoś używa starej wersji aplikacji), wiadomości grupy są przechowywane w bazie tak jak pozostałe treści, a powiadomienie zawiera nazwę grupy, autora i początek tekstu. Żaden rozmówca nie widzi twojego adresu e-mail, pozostałych treści, danych o zdrowiu ani nazw, które mu nadajesz. Oznaczenia „online” i „pisze…” trafiają tylko do rozmówców na bieżąco i nie są zapisywane; można je wyłączyć (wtedy nie widzisz ich też u innych). Wyszukiwanie w zaszyfrowanych czatach odbywa się na urządzeniu. Uczestnicy grupy widzą role, przypięte wiadomości oraz to, kto i kiedy przeczytał ich własne wiadomości. „Przypomnij” i „Dodaj do moich zadań” tworzą zwykłe zadanie na twoim koncie. Grupa, w której szyfrowanie było już włączone, pozostaje zaszyfrowana także wtedy, gdy dołącza ktoś bez klucza: ta osoba nie czyta nowych wiadomości, dopóki nie ma klucza. Serwer nie widzi treści, ale widzi, kto, do kogo i kiedy pisze, reakcje, nazwy grup, nazwy w grupach i daty spotkań. Wiadomości nie są podpisywane, więc kod bezpieczeństwa potwierdza klucze rozmówców, a nie każdą wiadomość.
• Klucze dostępu do Kalendarza Google i Dysku Google są przechowywane w zaszyfrowanym magazynie sekretów (Supabase Vault) i nigdy nie trafiają do przeglądarki.
• Co tydzień na serwerze tworzona jest kopia zapasowa każdego konta; przechowujemy 4 ostatnie. Możesz przywrócić jedną z nich w Ustawieniach. Kopie znajdują się w tej samej infrastrukturze co same dane, dlatego nie zastępują twojej własnej kopii („Eksport danych”).
• Możesz korzystać z aplikacji bez logowania – wtedy dane są przechowywane wyłącznie na twoim urządzeniu. Po zalogowaniu są przenoszone na twoje konto, podobnie jak zmiany wprowadzone po wylogowaniu.
• Na urządzeniu dane są przechowywane w pamięci przeglądarki lub aplikacji, aby aplikacja działała offline. Kod PIN jedynie blokuje ekran aplikacji; nie szyfruje danych na urządzeniu.

5. Odbiorcy danych

Wyłącznie dostawcy, bez których usługa nie może działać, i tylko w zakresie niezbędnym do realizacji ich zadań:

• Supabase – baza danych, logowanie, funkcje serwerowe, przechowywanie kopii zapasowych (UE).
• GitHub — zaszyfrowana kopia zapasowa całej bazy danych (USA).
• Resend – wysyłka e-maili z kodem logowania (otrzymuje twój adres e-mail i treść wiadomości z kodem; spółka z USA, e-maile są wysyłane przez serwery w Japonii; przekazywanie na podstawie standardowych klauzul umownych).
• Cloudflare – hosting strony, dostarczanie plików, ochrona przed botami (Turnstile), pośredniczenie w wyszukiwaniu produktów i analityce; spółka z USA, przekazywanie na podstawie standardowych klauzul umownych.
• Sentry – raporty błędów (UE; adresy IP nie są przechowywane).
• PostHog – spseudonimizowana analityka, tylko za zgodą (USA; przekazywanie na podstawie standardowych klauzul umownych).
• Google — logowanie przez Google, Kalendarz Google i Dysk Google (jeśli połączone), dostarczanie powiadomień w Chrome i na Androidzie (Firebase Cloud Messaging), rozpoznawanie mowy w Chrome.
• Apple – dostarczanie powiadomień na iPhone’a, iPada i Maca (Apple Push Notification service), rozpoznawanie mowy w Safari i w iOS.
• Mozilla i inni producenci przeglądarek – dostarczanie powiadomień w ich przeglądarkach.
• Open Food Facts – wyszukiwanie produktów i skanowanie kodów kreskowych: wysyłane jest tylko zapytanie lub kod kreskowy.
• quickchart.io, api.qrserver.com – generowanie kodu QR z linkiem do strony (bez danych osobowych).

Wprowadzanie głosowe korzysta z rozpoznawania mowy w twojej przeglądarce lub systemie: dźwięk przetwarza jego dostawca (Google lub Apple), a aplikacja otrzymuje tylko rozpoznany tekst. Analiza nastroju wpisów w dzienniku emocji odbywa się na twoim urządzeniu; tekst nie jest nigdzie wysyłany. Dane ujawniamy organom państwowym tylko wtedy, gdy wymaga tego prawo.

6. Kalendarz Google i Dysk Google (opcjonalnie)

Synchronizację z Kalendarzem Google włączasz wyłącznie ty: Ustawienia → Kalendarz Google → „Połącz”. Za twoją zgodą aplikacja uzyskuje dostęp do wydarzeń w twoim kalendarzu (zakres calendar.events) i wykorzystuje go tylko do synchronizacji w obu kierunkach: zadania z datą są tworzone, aktualizowane i usuwane jako wydarzenia w twoim kalendarzu głównym, a wydarzenia utworzone w Kalendarzu Google pojawiają się w Horizon jako zadania.

• Jakie dane: tytuł wydarzenia, data i godzina rozpoczęcia i zakończenia, identyfikator wydarzenia. Opisy, uczestnicy, miejsca i załączniki nie są odczytywane ani przechowywane.
• Wykorzystanie: wyłącznie do synchronizacji. Dane nie są sprzedawane, nie są przekazywane osobom trzecim i nie są wykorzystywane do reklam ani trenowania sztucznej inteligencji. Nikt ich nie czyta, chyba że poprosisz nas o pomoc w związku z błędem, wymaga tego prawo lub jest to konieczne, by zapobiec nadużyciom.
• Rozłączenie: Ustawienia → Kalendarz Google → „Rozłącz” cofa dostęp po stronie Google i zatrzymuje synchronizację; utworzone już wydarzenia pozostają w kalendarzu. Usunięcie konta automatycznie cofa dostęp. Możesz go też cofnąć na stronie myaccount.google.com/permissions.

Dysk Google (wspólny folder czatu). Włączasz go tylko ty, z poziomu czatu: przycisk „Wspólny folder na Dysku Google” → „Utwórz folder”. Aplikacja ma dostęp tylko do folderów i plików, które sama utworzyła (zakres dostępu drive.file), a nie do całego twojego Dysku.

• Jakie dane: folder czatu powstaje na twoim Dysku Google i trafiają do niego pliki przesyłane przez ciebie i uczestników czatu za pomocą aplikacji. Pliki trafiają z przeglądarki bezpośrednio do Google; przez nasze serwery przechodzą tylko nazwa, typ i rozmiar pliku. Przechowujemy identyfikator i link do folderu.
• Kto widzi: uczestnicy czatu dostają link do folderu tylko do podglądu, a Google pokazuje im twoje imię i adres konta Google jako właściciela plików. Folder może otworzyć każdy, komu przekazano link; osoby usunięte z czatu zachowują link, dopóki nie odłączysz folderu. Publiczne klucze szyfrowania — dopóki istnieje konto (ostatnie 20 kluczy), kopia klucza prywatnego — do zmiany klucza lub usunięcia konta. Wykorzystane specjalne zaproszenia są usuwane w ciągu 7 dni.
• Wyłączenie: „Odłącz folder” zamyka dostęp przez link; „Odłącz Dysk Google” zamyka dostęp przez link do wszystkich twoich folderów i cofa dostęp w Google. Przy usuwaniu konta dzieje się to automatycznie. Same foldery i pliki zostają na twoim Dysku — możesz je usunąć w Dysku Google.

Sposób, w jaki Horizon wykorzystuje informacje otrzymane z interfejsów API Google i przekazuje je do innych aplikacji, jest zgodny z Zasadami dotyczącymi danych użytkownika w usługach interfejsów API Google, w tym z wymogami dotyczącymi ograniczonego użytkowania.

7. Jak długo przechowujemy dane

• Konto i treści – dopóki istnieje konto. Usunięte zadania, projekty, nawyki i inne wpisy trafiają do kosza i są trwale usuwane po 90 dniach.
• Wiadomości czatu — dopóki nadawca nie usunie ich u wszystkich albo dopóki wszyscy uczestnicy nie usuną ich u siebie. Po usunięciu konta czaty prywatne tej osoby są usuwane w całości u obu stron, a z grup znikają jej wiadomości; grupa zostaje pozostałym uczestnikom, a jej właścicielem zostaje osoba, która dołączyła najwcześniej. Grupa jest usuwana, gdy usunie ją właściciel lub opuści ją ostatni uczestnik. Link do wspólnego folderu na Dysku Google — dopóki folder jest połączony z czatem. Zgłoszenia — nie dłużej niż 12 miesięcy. Oznaczenia „online” i „pisze…” wyłączysz w oknie „Twój kod do czatu”. Zaplanowane wiadomości są przechowywane do wysłania; po wysłaniu wpis jest usuwany w ciągu doby, a niewysłany — po 30 dniach.
• Dźwięk wiadomości głosowych — 365 dni od wysłania, potem jest usuwany automatycznie; sama wiadomość zostaje w rozmowie z informacją, że dźwięk usunięto. Dźwięk jest przechowywany w prywatnym magazynie plików Supabase (UE), dostęp mają tylko osoby, które widzą wiadomość; w czatach z szyfrowaniem end-to-end jest przechowywany w postaci zaszyfrowanej.
• Kopie zapasowe na serwerze – do 4 tygodni (przechowujemy 4 ostatnie kopie tygodniowe).
• Zaszyfrowana kopia zapasowa całej bazy danych w GitHub — do 30 dni. Służy do odtworzenia po awarii, a klucz mamy tylko my. Dane usuniętego konta znikają z niej, gdy wygasa ostatnia kopia, która je zawiera.
• Subskrypcje powiadomień – dopóki są używane; subskrypcje nieaktywne dłużej niż 180 dni są usuwane automatycznie.
• Raporty błędów – nie dłużej niż 90 dni; analityka – nie dłużej niż 12 miesięcy.
• Dane z wcześniejszych wersji aplikacji (trasy GPS treningów i tryb „mapa formy”) nie są już zbierane i są usuwane razem z kontem.

8. Twoje prawa

• Dostęp i przenoszenie danych: Ustawienia → „Eksport danych” – pełna kopia twoich danych w formacie JSON.
• Czat: swoją wiadomość możesz usunąć u wszystkich (menu wiadomości → „Usuń u wszystkich”), dowolną wiadomość lub czat — u siebie, rozmówcę — zablokować, a grupę — opuścić w dowolnym momencie; właściciel może usunąć całą grupę. Rozmowy są zawarte w „Eksporcie danych”.
• Sprostowanie: każdy wpis możesz edytować w aplikacji.
• Usunięcie konta: Ustawienia → „Usuń konto na zawsze”. Przed usunięciem na twoje urządzenie automatycznie pobierana jest ostatnia kopia danych. Konto i wszystkie dane na serwerze są usuwane natychmiast i trwale; kopie zapasowe, klucze Google i logi są usuwane w ciągu 24 godzin.
• Dane na urządzeniu: po wylogowaniu dane znikają z ekranu i wracają przy następnym logowaniu na to konto; bez logowania aplikacja jest pusta, a to, co dodasz, jest przechowywane osobno. Dane pozostają na urządzeniu niezaszyfrowane. Aby je usunąć, użyj Ustawienia → „Usuń z urządzenia”.
• Cofnięcie zgody: analityka – Ustawienia → „Udział w analityce”; Kalendarz Google, przypomnienia i integracja ze zdrowiem – odpowiednie przełączniki w Ustawieniach lub w ustawieniach systemu.
• Możesz też zwrócić się do nas z żądaniem ograniczenia przetwarzania lub wnieść sprzeciw oraz złożyć skargę do organu ochrony danych w swoim kraju (w Polsce – do Prezesa UODO).

9. Pliki cookie i pamięć lokalna

Aplikacja przechowuje na urządzeniu sesję logowania, ustawienia i twoje dane, aby działać offline – jest to niezbędne do świadczenia usługi. Analityka PostHog włącza się dopiero po wyrażeniu zgody. Nie ma reklamowych plików cookie ani śledzących plików cookie podmiotów trzecich.

10. Dzieci

Aplikacja nie jest przeznaczona dla osób poniżej 16. roku życia i nie zbieramy świadomie ich danych. Jeśli uważasz, że dziecko przekazało nam dane, napisz do nas, a je usuniemy.

11. Bezpieczeństwo

Stosujemy szyfrowane połączenia, izolację danych na poziomie bazy danych, zaszyfrowany magazyn sekretów, podpisane jednorazowe linki do działań z powiadomień i regularne przeglądy bezpieczeństwa. Żaden system nie jest w pełni bezpieczny; jeśli naruszenie dotknie twoich danych, powiadomimy ciebie i organ nadzorczy w terminie wymaganym przez prawo.

12. Zmiany polityki

W przypadku istotnych zmian zaktualizujemy datę na górze i poinformujemy cię w aplikacji. Dalsze korzystanie z aplikacji po zmianach oznacza akceptację nowej wersji.

Політика конфіденційності

Останнє оновлення: 7 листопада 2026 року

Ця політика пояснює, які дані обробляє застосунок «Горизонт» (сайт uhrzn.com, встановлений вебзастосунок, а також застосунки для iOS та Android), з якою метою, де вони зберігаються і як ви можете ними керувати.

1. Хто відповідає за ваші дані

Володільцем (контролером) даних є розробник «Горизонту», Maksim Kozak (фізична особа). З будь-яких питань щодо ваших даних, щоб відкликати згоду чи скористатися своїми правами, пишіть на [email protected]. Ми відповідаємо протягом 30 днів.

2. Які дані ми обробляємо

• Акаунт. Ваша адреса електронної пошти (коли ви входите через Google або за кодом, надісланим на пошту). Під час входу через Google сервіс входу також отримує ім’я та фото вашого профілю Google. Паролі ми не зберігаємо.
• Ваш вміст. Завдання, підзавдання, проєкти, правила повторення, нотатки, таблиці й схеми проєктів, звички та їх виконання, колоди й картки для навчання, колесо балансу та записи щоденника емоцій.
• Чат (якщо ви ним користуєтеся). Ваш особистий код для чату; текстові та голосові повідомлення (запис вашого голосу), які ви надсилаєте й отримуєте, час їх надсилання, змін і прочитання; імена, якими ви підписуєте співрозмовників (їх бачите лише ви); позначки «без звуку» та блокування. У групах — назва групи, код запрошення, учасники та роль власника, а також ім’я, яке ви вибрали для групи. Якщо ви скаржитеся — скарга, ваш коментар і копія останніх 50 повідомлень цього чату. Спільна папка на Google Диску — у розділі 6. Реакції на повідомлення; відкриті ключі наскрізного шифрування та копія вашого закритого ключа, зашифрована кодом відновлення (сам код знаєте лише ви); під час підключення нового пристрою за QR зі старого — на 10 хвилин одноразовий відкритий ключ нового пристрою та код відновлення, зашифрований для нього (прочитати його може лише цей пристрій); особливі запрошення до груп (строк і кількість входів). Ролі в групах (власник, адміністратор), права групи, закріплені повідомлення, згадки учасників і позначка «переслано». Списки справ (хто й коли позначив пункт — бачать учасники чату), відповіді в гілках, позначки «Обране», закріплені та архівні чати (бачите лише ви) і заплановані повідомлення — до відправлення вони зберігаються на сервері, у зашифрованих чатах — у зашифрованому вигляді. Челенджі та зустрічі: назва й місце — у тексті повідомлення (шифруються разом із листуванням), на сервері — терміни, час, хто бере участь і в які дні позначився, відповіді «піду / можливо / не піду» (це бачать учасники чату); звʼязок челенджу з вашою звичкою та зустрічі з вашим завданням Горизонту бачите лише ви. Налаштування груп: повільний режим, хто закріплює повідомлення, позначка «видалено адміністратором».
• Дані про здоров’я (розділ «Здоров’я», лише якщо ви ним користуєтеся). Харчування (прийоми їжі, калорії та поживні речовини), вода, вага й обміри тіла, час сну та будильника, кроки й активність, графік голодування, профіль харчування (стать, вік, зріст, вага, рівень активності, мета). Якщо ви ввімкнете «Жіноче здоров’я»: дати й тривалість циклу, самопочуття, симптоми, температура, нотатки про ліки та вагітність. Це особливі категорії персональних даних: ми обробляємо їх лише за вашою явною згодою, яку ви надаєте, вводячи ці дані, і можете відкликати, видаливши записи або вимкнувши розділ у Налаштуваннях.
• Apple Health і Health Connect (лише в мобільних застосунках і лише з вашого дозволу). Застосунок зчитує кроки, сон, вагу та пульс у стані спокою і може записувати воду й вагу, які ви ввели вручну (окремий перемикач). Ці дані використовуються лише для показу в розділі «Здоров’я»: вони не використовуються для реклами, не передаються третім особам і не продаються.
• Сповіщення. Якщо ви ввімкнете нагадування: технічна адреса push-підписки вашого браузера або токен пристрою, ваш часовий пояс, мова та вибраний час завчасного нагадування.
• Google Календар (за бажанням). Див. розділ 6.
• Відгуки. Оцінка й коментар, які ви надсилаєте через форму відгуку.
• Технічні дані. Звіти про помилки (Sentry): тип браузера й операційної системи, версія застосунку, текст помилки та дії перед нею — без вмісту ваших завдань і нотаток, без адрес електронної пошти та без токенів входу (їх видаляють перед надсиланням). Сервіси бачать IP-адресу вашого пристрою під час обробки запитів. Застосунок не додає вашу IP-адресу до звітів про помилки, а аналітика проходить через наш проксі, який видаляє IP-адресу, тож PostHog її не отримує.
• Аналітика (лише після вашої згоди в банері або в Налаштуваннях). Псевдонімізовані події використання функцій і показники швидкості сторінок (PostHog) — без тексту, який ви вводите, і без прив’язки до вашого акаунта.

3. Мета й правові підстави обробки

• Робота застосунку й синхронізація між вашими пристроями — виконання договору з вами (Умови використання).
• Дані про здоров’я, інтеграції з Apple Health, Health Connect і Google Календарем, нагадування та аналітика — ваша згода.
• Виправлення помилок, запобігання зловживанням і резервні копії — наш законний інтерес у стабільній і безпечній роботі сервісу.

Ми не продаємо дані, не показуємо рекламу, не передаємо дані рекламним мережам чи брокерам даних і не використовуємо ваш вміст для навчання моделей штучного інтелекту.

4. Де й як зберігаються дані

• Ваш акаунт і вміст зберігаються в базі даних Supabase в Європейському Союзі. На рівні бази даних доступ до записів має лише їхній власник (Row Level Security). З’єднання завжди зашифроване (HTTPS).
• Повідомлення чату — єдині дані, які бачать інші люди: в особистому чаті — лише два учасники, у групі — її поточні учасники, причому новий учасник бачить листування лише з моменту вступу (Row Level Security). Особисті чати захищені наскрізним шифруванням: текст і голосові шифруються на пристрої ключами, які мають лише співрозмовники, на сервері зберігається тільки шифротекст, а сповіщення приходить без тексту повідомлення. Групові чати теж захищені наскрізним шифруванням, коли ключ шифрування є в усіх учасників: ключ групи передається кожному учаснику в зашифрованому вигляді й змінюється за кожної зміни складу, тож новий учасник не читає попередніх повідомлень, а той, хто вийшов, — нових; сповіщення з такої групи надходять без тексту. Поки ключ є не в усіх (наприклад, хтось користується старою версією застосунку), повідомлення групи зберігаються в базі так само, як решта контенту, а сповіщення містить назву групи, автора й початок тексту. Ніхто зі співрозмовників не бачить вашу електронну адресу, інший ваш контент, дані про здоров’я та імена, якими ви їх підписали. Позначки «у мережі» та «друкує…» передаються лише співрозмовникам у моменті й не зберігаються; їх можна вимкнути (тоді ви не бачите їх і в інших). Пошук у зашифрованих чатах виконується на пристрої. Учасники групи бачать ролі, закріплені повідомлення і те, хто й коли прочитав їхні власні повідомлення. «Нагадати» та «Додати собі в задачі» створюють звичайну задачу у вашому акаунті. Група, у якій шифрування вже вмикалося, залишається зашифрованою і тоді, коли приєднується людина без ключа: вона не читає нових повідомлень, доки ключ не з’явиться. Сервер не бачить тексту, але бачить, хто, кому й коли пише, реакції, назви груп, імена в групах і дати зустрічей. Повідомлення не підписуються, тому код безпеки підтверджує ключі співрозмовників, а не кожне повідомлення.
• Ключі доступу до Google Календаря і Google Диска зберігаються в зашифрованому сховищі секретів (Supabase Vault) і не передаються в браузер.
• Щотижня на сервері створюється резервна копія кожного акаунта; зберігаються 4 останні. Ви можете відновити одну з них у Налаштуваннях. Копії зберігаються в тій самій інфраструктурі, що й самі дані, тож не замінюють вашої власної копії («Експорт даних»).
• Користуватися застосунком можна без входу — тоді ваші дані зберігаються лише на вашому пристрої. Після входу вони переносяться у ваш акаунт, як і зміни, зроблені після виходу.
• На пристрої дані зберігаються в сховищі браузера або застосунку, щоб він працював офлайн. PIN-код лише блокує екран застосунку; він не шифрує дані на пристрої.

5. Хто отримує дані

Лише постачальники, без яких сервіс не може працювати, і лише в обсязі, потрібному для їхнього завдання:

• Supabase — база даних, вхід, серверні функції, зберігання резервних копій (ЄС).
• GitHub — зашифрована резервна копія всієї бази даних (США).
• Resend — надсилання листів із кодом входу (отримує вашу адресу електронної пошти й текст листа з кодом; компанія зі США, листи надсилаються через сервери в Японії; передавання на підставі стандартних договірних положень).
• Cloudflare — хостинг сайту, доставлення файлів, захист від ботів (Turnstile), проксіювання пошуку продуктів і аналітики; компанія зі США, передавання на підставі стандартних договірних положень.
• Sentry — звіти про помилки (ЄС; IP-адреси не зберігаються).
• PostHog — псевдонімізована аналітика, лише за згодою (США; передавання на підставі стандартних договірних положень).
• Google — вхід через Google, Google Календар і Google Диск (якщо підключено), доставлення сповіщень у Chrome та на Android (Firebase Cloud Messaging), розпізнавання мовлення в Chrome.
• Apple — доставлення сповіщень на iPhone, iPad і Mac (Apple Push Notification service), розпізнавання мовлення в Safari та iOS.
• Mozilla та інші розробники браузерів — доставлення сповіщень у їхніх браузерах.
• Open Food Facts — пошук продуктів і сканування штрихкодів: надсилається лише пошуковий запит або штрихкод.
• quickchart.io, api.qrserver.com — створення QR-коду з посиланням на сайт (без персональних даних).

Голосове введення використовує розпізнавання мовлення вашого браузера чи системи: звук обробляє їхній постачальник (Google або Apple), а застосунок отримує лише розпізнаний текст. Аналіз настрою записів щоденника емоцій виконується на вашому пристрої; текст нікуди не надсилається. Ми розкриваємо дані державним органам лише тоді, коли цього вимагає закон.

6. Google Календар і Google Диск (за бажанням)

Синхронізацію з Google Календарем вмикаєте лише ви: Налаштування → Google Календар → «Підключити». З вашого дозволу застосунок отримує доступ до подій вашого календаря (область calendar.events) і використовує його лише для двосторонньої синхронізації: завдання з датою створюються, оновлюються й видаляються як події у вашому основному календарі, а події, які ви створюєте в Google Календарі, з’являються в «Горизонті» як завдання.

• Які дані: назва події, дата й час початку та кінця, ідентифікатор події. Описи, учасники, місця й вкладення не зчитуються і не зберігаються.
• Використання: лише для синхронізації. Дані не продаються, не передаються третім особам і не використовуються для реклами чи навчання штучного інтелекту. Люди їх не читають, якщо тільки ви не попросите нас допомогти з помилкою, цього не вимагає закон або це не потрібно для запобігання зловживанням.
• Відключення: Налаштування → Google Календар → «Відключити» відкликає доступ у Google і зупиняє синхронізацію; уже створені події залишаються у вашому календарі. Під час видалення акаунта доступ відкликається автоматично. Відкликати доступ можна також на сторінці myaccount.google.com/permissions.

Google Диск (спільна папка чату). Підключається лише вами з чату: кнопка «Спільна папка на Google Диску» → «Створити папку». Застосунок отримує доступ лише до папок і файлів, які сам створив (область доступу drive.file), а не до всього вашого Диска.

• Які дані: папка чату створюється на вашому Google Диску, у неї потрапляють файли, які ви й учасники чату завантажуєте через застосунок. Файли передаються з браузера безпосередньо в Google; через наші сервери проходять лише ім’я, тип і розмір файлу. Ми зберігаємо ідентифікатор і посилання на папку.
• Хто бачить: учасники чату отримують посилання на папку з правом лише перегляду, і Google показує їм ваше ім’я та адресу Google-акаунта як власника файлів. Відкрити папку може будь-хто, кому передали посилання; люди, яких видалили з чату, зберігають посилання, доки ви не від’єднаєте папку. Відкриті ключі шифрування — доки існує акаунт (останні 20 ключів), копія закритого ключа — до зміни ключа або видалення акаунта. Використані особливі запрошення видаляються протягом 7 днів.
• Вимкнення: «Від’єднати папку» закриває доступ за посиланням; «Відключити Google Диск» закриває доступ за посиланням до всіх ваших папок і відкликає доступ у Google. Під час видалення акаунта це відбувається автоматично. Самі папки й файли залишаються на вашому Диску — їх можна видалити в Google Диску.

Використання «Горизонтом» інформації, отриманої від API Google, і її передавання до будь-яких інших застосунків відповідають Правилам щодо даних користувачів сервісів API Google, зокрема вимогам щодо обмеженого використання.

7. Скільки зберігаються дані

• Акаунт і вміст — поки існує акаунт. Видалені вами завдання, проєкти, звички та інші записи потрапляють у кошик і остаточно видаляються через 90 днів.
• Повідомлення чату — доки відправник не видалить їх у всіх або доки їх не видалять у себе всі учасники. Під час видалення акаунта особисті чати цієї людини видаляються повністю в обох, а в групах видаляються її повідомлення; група залишається іншим учасникам, власником стає учасник, який вступив раніше за всіх. Група видаляється, коли її видаляє власник або з неї виходить останній учасник. Посилання на спільну папку Google Диска — доки папка прив’язана до чату. Скарги — не довше 12 місяців. Позначки «у мережі» та «друкує…» вимикаються у вікні «Ваш код для чату». Заплановані повідомлення зберігаються до відправлення; після відправлення запис видаляється протягом доби, а невідправлене — через 30 днів.
• Звук голосових повідомлень — 365 днів від надсилання, потім видаляється автоматично; саме повідомлення залишається в листуванні з позначкою, що звук видалено. Звук зберігається в закритому файловому сховищі Supabase (ЄС), доступ до нього мають лише ті, кому видно повідомлення; у чатах із наскрізним шифруванням — у зашифрованому вигляді.
• Резервні копії на сервері — до 4 тижнів (зберігаються 4 останні щотижневі копії).
• Зашифрована резервна копія всієї бази даних у GitHub — до 30 днів. Вона потрібна для відновлення після збою, ключ до неї є лише в нас. Дані видаленого акаунта зникають із неї, коли спливає термін останньої копії, що їх містить.
• Підписки на сповіщення — поки ними користуються; підписки, неактивні понад 180 днів, видаляються автоматично.
• Звіти про помилки — не довше 90 днів; аналітика — не довше 12 місяців.
• Дані з попередніх версій застосунку (GPS-треки тренувань і режим «карта форми») більше не збираються й видаляються разом з акаунтом.

8. Ваші права

• Доступ і перенесення: Налаштування → «Експорт даних» — повна копія ваших даних у форматі JSON.
• Чат: своє повідомлення можна видалити в усіх учасників (меню повідомлення → «Видалити в усіх»), будь-яке повідомлення або чат — видалити в себе, співрозмовника — заблокувати, з групи — вийти будь-коли; власник може видалити групу повністю. Листування входить до «Експорту даних».
• Виправлення: будь-який запис можна відредагувати в застосунку.
• Видалення акаунта: Налаштування → «Видалити акаунт назавжди». Перед видаленням на ваш пристрій автоматично завантажується остання копія ваших даних. Акаунт і всі дані на сервері видаляються негайно й безповоротно; резервні копії, ключі Google і журнали видаляються протягом 24 годин.
• Дані на пристрої: під час виходу дані зникають з екрана й повертаються під час наступного входу в цей акаунт; без входу застосунок порожній, а записи, зроблені без входу, зберігаються окремо. Дані залишаються на пристрої незашифрованими. Щоб видалити їх, скористайтеся Налаштування → «Стерти з пристрою».
• Відкликання згоди: аналітика — Налаштування → «Участь в аналітиці»; Google Календар, нагадування та інтеграція зі здоров’ям — відповідні перемикачі в Налаштуваннях або в налаштуваннях вашої системи.
• Ви також можете письмово попросити нас обмежити обробку чи заперечити проти неї та подати скаргу до органу із захисту персональних даних вашої країни (в Україні — до Уповноваженого Верховної Ради України з прав людини).

9. Файли cookie та локальне сховище

Застосунок зберігає на пристрої сеанс входу, налаштування й ваші дані, щоб працювати офлайн, — це суворо необхідно для роботи сервісу. Аналітика PostHog вмикається лише після вашої згоди. Рекламних файлів cookie та файлів cookie для стеження третіх сторін немає.

10. Діти

Застосунок не призначений для дітей до 16 років, і ми свідомо не збираємо їхніх даних. Якщо ви вважаєте, що дитина передала нам дані, напишіть нам, і ми їх видалимо.

11. Безпека

Ми використовуємо зашифровані з’єднання, ізоляцію даних на рівні бази даних, зашифроване сховище секретів, підписані одноразові посилання для дій зі сповіщень і регулярні перевірки безпеки. Жодна система не є цілком захищеною; якщо витік торкнеться ваших даних, ми повідомимо вас і наглядовий орган у строки, встановлені законом.

12. Зміни цієї політики

У разі суттєвих змін ми оновимо дату вгорі й повідомимо вас у застосунку. Продовжуючи користуватися застосунком після змін, ви приймаєте нову редакцію.

Gizlilik Politikası

Son güncelleme: 7 Kasım 2026

Bu politika, Horizon uygulamasının (uhrzn.com web sitesi, yüklenen web uygulaması ve iOS ile Android uygulamaları) hangi verileri hangi amaçla işlediğini, nerede sakladığını ve bunları nasıl kontrol edebileceğini açıklar.

1. Veri sorumlusu

Veri sorumlusu, Horizon’un geliştiricisi Maksim Kozak’tır (gerçek kişi). Verilerinle ilgili her türlü soru, açık rızanı geri alma veya haklarını kullanma talebin için [email protected] adresine yaz. 30 gün içinde yanıt veririz.

2. Hangi verileri işliyoruz

• Hesap. E-posta adresin (Google ile ya da e-postayla gönderilen bir kodla giriş yaptığında). Google ile giriş yaptığında giriş hizmeti, Google profilindeki adı ve fotoğrafı da alır. Şifre saklamayız.
• İçeriğin. Görevler, alt görevler, projeler, tekrar kuralları, notlar, proje tabloları ve şemaları, alışkanlıklar ve tamamlanma kayıtları, kart desteleri ve kartlar, yaşam çarkı ve duygu günlüğü kayıtları.
• Sohbet (kullanıyorsan). Kişisel sohbet kodun; gönderdiğin ve aldığın yazılı ve sesli mesajlar (sesinin kaydı) ile bunların gönderilme, düzenlenme ve okunma zamanları; kişilerine verdiğin adlar (yalnızca sen görürsün); sessize alma ve engelleme ayarları. Gruplarda: grup başlığı, davet kodu, üyeler ve sahip rolü ile grup için seçtiğin ad. Birini şikâyet edersen: şikâyet, yorumun ve o sohbetin son 50 mesajının kopyası. Google Drive’daki ortak klasör 6. bölümde açıklanır. Mesajlara verilen tepkiler; uçtan uca şifrelemenin açık anahtarları ve kurtarma kodunla şifrelenmiş özel anahtar kopyan (kodu yalnızca sen bilirsin); eski cihazdan QR ile yeni cihaz bağlarken 10 dakika boyunca yeni cihazın tek kullanımlık açık anahtarı ve onun için şifrelenmiş kurtarma kodun (yalnızca o cihaz okuyabilir); gruplara özel davetler (süre ve kullanım sayısı). Gruplardaki roller (sahip, yönetici), grup izinleri, sabitlenmiş mesajlar, üye bahsetmeleri ve “iletildi” işareti. Yapılacaklar listeleri (bir maddeyi kimin ne zaman işaretlediğini sohbet üyeleri görür), konulardaki yanıtlar, yıldızlar, sabitlenen ve arşivlenen sohbetler (yalnızca sen görürsün) ve zamanlanmış mesajlar — gönderilene kadar sunucuda, şifreli sohbetlerde şifreli olarak saklanır. Meydan okumalar ve buluşmalar: başlık ve yer mesaj metnindedir (sohbetle birlikte şifrelenir); sunucuda tarihler, saat, kimin katıldığı ve hangi günler işaretlediği ile “geliyorum / belki / gelmiyorum” yanıtları bulunur (sohbet üyeleri görür); bir meydan okumanın alışkanlığınla, bir buluşmanın Horizon görevinle bağlantısını yalnızca sen görürsün. Grup ayarları: yavaş mod, mesajları kimin sabitlediği, “yönetici sildi” işareti.
• Sağlık verileri (“Sağlık” bölümü, yalnızca kullanırsan). Beslenme (öğünler, kalori ve besin değerleri), su, kilo ve vücut ölçüleri, uyku ve alarm saatleri, adımlar ve aktivite, oruç programı, beslenme profili (cinsiyet, yaş, boy, kilo, aktivite düzeyi, hedef). “Kadın sağlığı”nı açarsan: döngü tarihleri ve süresi, genel durum, belirtiler, vücut ısısı, ilaç ve gebelik notları. Bunlar özel nitelikli kişisel verilerdir: yalnızca, verileri girerek verdiğin ve kayıtları silerek ya da bölümü Ayarlar’dan kapatarak geri alabileceğin açık rızana dayanarak işlenir.
• Apple Sağlık ve Health Connect (yalnızca mobil uygulamalarda ve yalnızca iznine bağlı olarak). Uygulama adımları, uykuyu, kiloyu ve dinlenme nabzını okur; elle girdiğin su ve kiloyu da yazabilir (ayrı bir anahtarla). Bu veriler yalnızca “Sağlık” bölümünde gösterilmek için kullanılır; reklam amacıyla kullanılmaz, üçüncü kişilere aktarılmaz ve satılmaz.
• Bildirimler. Hatırlatıcıları açarsan: tarayıcının push aboneliğinin teknik adresi veya cihaz belirteci (token), saat dilimin, dilin ve seçtiğin hatırlatma süresi.
• Google Takvim (isteğe bağlı). Bkz. 6. bölüm.
• Geri bildirim. Geri bildirim formu aracılığıyla gönderdiğin puan ve yorum.
• Teknik veriler. Hata raporları (Sentry): tarayıcı ve işletim sistemi türü, uygulama sürümü, hata metni ve öncesindeki adımlar; görev ve notlarının içeriği, e-posta adresleri ve giriş belirteçleri olmadan (gönderilmeden önce silinir). Hizmetler, istekleri işlerken cihazının IP adresini görür. Uygulama IP adresini hata raporlarına eklemez; analizler de IP adresini silen proxy sunucumuz üzerinden geçer, bu yüzden PostHog IP adresini almaz.
• Analiz (yalnızca banner’da veya Ayarlar’da onay verdikten sonra). Özellik kullanımına ilişkin takma adlandırılmış olaylar ve sayfa hızı ölçümleri (PostHog); yazdığın metin olmadan ve hesabınla ilişkilendirilmeden.

3. İşleme amaçları ve hukuki sebepleri

• Uygulamanın çalışması ve cihazlarının arasında verilerin eşitlenmesi: seninle yaptığımız sözleşmenin ifası (Kullanım Koşulları).
• Sağlık verileri; Apple Sağlık, Health Connect ve Google Takvim entegrasyonları; hatırlatıcılar ve analiz: açık rızan.
• Hataların giderilmesi, kötüye kullanımın önlenmesi ve yedekleme: istikrarlı ve güvenli bir hizmete ilişkin meşru menfaatimiz.

Verileri satmayız, reklam göstermeyiz, verileri reklam ağlarıyla veya veri simsarlarıyla paylaşmayız ve içeriğini yapay zekâ modellerini eğitmek için kullanmayız.

4. Veriler nerede ve nasıl saklanır

• Hesabın ve içeriğin Avrupa Birliği’ndeki bir Supabase veritabanında saklanır. Veritabanı düzeyinde kayıtlara yalnızca sahibi erişebilir (Row Level Security). Bağlantı her zaman şifrelidir (HTTPS).
• Sohbet mesajları, başka kişilerin gördüğü tek veridir: özel sohbette yalnızca iki katılımcı, grupta mevcut üyeler görür; yeni üye yalnızca katıldıktan sonraki mesajları görür (Row Level Security). Özel sohbetler uçtan uca şifrelidir: metin ve sesli mesajlar, yalnızca ikinizde bulunan anahtarlarla cihazda şifrelenir, sunucuda yalnızca şifreli metin tutulur ve bildirimler mesaj metni olmadan gelir. Tüm üyelerin şifreleme anahtarı olduğunda grup sohbetleri de uçtan uca şifrelenir: grup anahtarı her üyeye şifreli olarak iletilir ve üyeler her değiştiğinde yenilenir; böylece yeni üye önceki mesajları, ayrılan kişi de yeni mesajları okuyamaz; böyle bir grubun bildirimleri metinsiz gelir. Herkesin anahtarı olana kadar (örneğin biri uygulamanın eski bir sürümünü kullanıyorsa) grup mesajları diğer içeriklerin gibi veritabanında saklanır ve bildirim grubun başlığını, yazanı ve metnin başını içerir. Yazıştığın hiç kimse e-posta adresini, diğer içeriğini, sağlık verilerini veya onlara verdiğin adları göremez. “Çevrimiçi” ve “yazıyor…” göstergeleri yalnızca anlık olarak yazıştığın kişilere gider ve saklanmaz; bunları kapatabilirsin (o zaman başkalarında da göremezsin). Şifreli sohbetlerde arama cihazında yapılır. Grup üyeleri rolleri, sabitlenmiş mesajları ve kendi mesajlarını kimin ne zaman okuduğunu görür. “Hatırlat” ve “Görevlerime ekle” hesabında normal bir görev oluşturur. Şifrelemesi bir kez açılmış grup, anahtarı olmayan biri katılsa da şifreli kalır: o kişi anahtarı olana kadar yeni mesajları okuyamaz. Sunucu metni görmez ama kimin kime ne zaman yazdığını, tepkileri, grup adlarını, gruptaki adları ve etkinlik tarihlerini görür. Mesajlar imzalı değildir, bu yüzden güvenlik kodu her mesajı değil, konuştuğun kişilerin anahtarlarını doğrular.
• Google Takvim ve Google Drive erişim anahtarları şifreli bir gizli bilgi kasasında (Supabase Vault) tutulur ve hiçbir zaman tarayıcıya gönderilmez.
• Her hesabın sunucu tarafında haftalık yedeği alınır; son 4 yedek saklanır. Bunlardan birini Ayarlar’dan geri yükleyebilirsin. Yedekler verilerin kendisiyle aynı altyapıda tutulduğundan kendi kopyanın (“Verileri dışa aktar”) yerini tutmaz.
• Uygulamayı giriş yapmadan kullanabilirsin; bu durumda verilerin yalnızca cihazında saklanır. Giriş yaptığında veriler hesabına taşınır; oturumu kapattıktan sonra yapılan değişiklikler de öyle.
• Uygulamanın çevrim dışı çalışabilmesi için veriler cihazında tarayıcının veya uygulamanın depolama alanında saklanır. PIN kodu yalnızca uygulama ekranını kilitler; cihazdaki verileri şifrelemez.

5. Verilerin aktarıldığı taraflar

Yalnızca hizmetin onlarsız çalışamayacağı sağlayıcılar ve yalnızca görevlerinin gerektirdiği ölçüde:

• Supabase: veritabanı, giriş, sunucu işlevleri, yedeklerin saklanması (AB).
• GitHub: tüm veritabanının şifreli yedeği (ABD).
• Resend: giriş kodu içeren e-postaların gönderilmesi (e-posta adresini ve kodlu e-postanın metnini alır; ABD şirketi, e-postalar Japonya’daki sunucular üzerinden gönderilir; aktarım standart sözleşmelere dayanır).
• Cloudflare: web sitesi barındırma, dosya dağıtımı, bot koruması (Turnstile), ürün araması ve analiz için proxy; ABD şirketi, aktarım standart sözleşmelere dayanır.
• Sentry: hata raporları (AB; IP adresleri saklanmaz).
• PostHog: takma adlandırılmış analiz, yalnızca onayla (ABD; aktarım standart sözleşmelere dayanır).
• Google — Google ile giriş, Google Takvim ve Google Drive (bağlıysa), Chrome’da ve Android’de bildirim iletimi (Firebase Cloud Messaging), Chrome’da konuşma tanıma.
• Apple: iPhone, iPad ve Mac’te bildirim iletimi (Apple Push Notification service), Safari’de ve iOS’ta konuşma tanıma.
• Mozilla ve diğer tarayıcı üreticileri: kendi tarayıcılarında bildirim iletimi.
• Open Food Facts: ürün arama ve barkod tarama; yalnızca arama sorgusu veya barkod gönderilir.
• quickchart.io, api.qrserver.com: web sitesine bağlantı içeren QR kodu oluşturma (kişisel veri yok).

Sesli giriş, tarayıcının veya sisteminin konuşma tanıma özelliğini kullanır: ses kaydı ilgili sağlayıcı (Google veya Apple) tarafından işlenir, uygulama yalnızca tanınan metni alır. Duygu günlüğü kayıtlarının duygu analizi cihazında yapılır; metin hiçbir yere gönderilmez. Verileri resmî makamlara yalnızca kanunen zorunlu olduğunda açıklarız.

6. Google Takvim ve Google Drive (isteğe bağlı)

Google Takvim eşitlemesini yalnızca sen açarsın: Ayarlar → Google Takvim → “Bağla”. İzninle uygulama, takvimindeki etkinliklere erişim (calendar.events kapsamı) elde eder ve bunu yalnızca iki yönlü eşitleme için kullanır: tarihli görevler ana takviminde etkinlik olarak oluşturulur, güncellenir ve silinir; Google Takvim’de oluşturduğun etkinlikler de Horizon’da görev olarak görünür.

• Hangi veriler: etkinlik başlığı, başlangıç ve bitiş tarihi ile saati, etkinlik kimliği. Açıklamalar, katılımcılar, konumlar ve ekler okunmaz ve saklanmaz.
• Kullanım: yalnızca eşitleme. Veriler satılmaz, üçüncü kişilere aktarılmaz, reklam veya yapay zekâ eğitimi için kullanılmaz. Bir hatayla ilgili yardım istemen, kanunun gerektirmesi veya kötüye kullanımı önlemek için zorunlu olması dışında hiç kimse bu verileri okumaz.
• Bağlantıyı kesme: Ayarlar → Google Takvim → “Bağlantıyı kes”, Google’daki erişimi iptal eder ve eşitlemeyi durdurur; daha önce oluşturulan etkinlikler takviminde kalır. Hesabını sildiğinde erişim otomatik olarak iptal edilir. Erişimi myaccount.google.com/permissions adresinden de iptal edebilirsin.

Google Drive (sohbetin ortak klasörü). Yalnızca sen, bir sohbetin içinden açarsın: “Google Drive’da ortak klasör” düğmesi → “Klasör oluştur”. Uygulama yalnızca kendi oluşturduğu klasörlere ve dosyalara erişir (erişim kapsamı drive.file), Drive’ının tamamına erişmez.

• Hangi veriler: sohbet klasörü senin Google Drive’ında oluşturulur ve senin ile sohbet üyelerinin uygulama üzerinden yüklediği dosyaları içerir. Dosyalar tarayıcıdan doğrudan Google’a gider; sunucularımızdan yalnızca dosyanın adı, türü ve boyutu geçer. Klasörün kimliğini ve bağlantısını saklarız.
• Kim görür: sohbet üyeleri klasöre yalnızca görüntüleme bağlantısı alır ve Google onlara dosyaların sahibi olarak adını ve Google hesabı adresini gösterir. Bağlantının iletildiği herkes klasörü açabilir; sohbetten çıkarılan kişiler, klasörün bağını kaldırana kadar bağlantıyı saklar. Açık şifreleme anahtarları — hesap var olduğu sürece (son 20 anahtar); özel anahtar kopyası — anahtar değişene veya hesap silinene kadar. Kullanımı biten özel davetler 7 gün içinde silinir.
• Kapatma: “Klasörün bağını kaldır” bağlantıyla erişimi kapatır; “Google Drive bağlantısını kes” tüm klasörlerine bağlantıyla erişimi kapatır ve Google’daki erişimi iptal eder. Hesabını sildiğinde bu otomatik olarak gerçekleşir. Klasörler ve dosyalar Drive’ında kalır; bunları Google Drive’dan silebilirsin.

Horizon’un Google API’lerinden aldığı bilgileri kullanması ve başka herhangi bir uygulamaya aktarması, Sınırlı Kullanım şartları dahil Google API Hizmetleri Kullanıcı Verileri Politikası’na uygundur.

7. Saklama süreleri

• Hesap ve içerik: hesap var olduğu sürece. Sildiğin görevler, projeler, alışkanlıklar ve diğer kayıtlar çöp kutusuna taşınır ve 90 gün sonra kalıcı olarak silinir.
• Sohbet mesajları — gönderen kişi herkes için silene veya tüm katılımcılar kendileri için silene kadar. Bir kişi hesabını sildiğinde özel sohbetleri iki taraf için de silinir ve mesajları gruplardan kaldırılır; grup diğer üyelerle devam eder ve en eski üye grubun sahibi olur. Grup, sahibi sildiğinde veya son üye ayrıldığında silinir. Google Drive ortak klasör bağlantısı — klasör sohbete bağlı olduğu sürece. Şikâyetler — en fazla 12 ay. “Çevrimiçi” ve “yazıyor…” göstergeleri “Sohbet kodun” penceresinden kapatılır. Zamanlanmış mesajlar gönderilene kadar saklanır; gönderildikten sonra kayıt bir gün içinde, gönderilemeyen mesaj 30 gün sonra silinir.
• Sesli mesajların sesi — gönderildikten 365 gün sonra otomatik olarak silinir; mesajın kendisi, sesin silindiği notuyla sohbette kalır. Ses, Supabase’in özel dosya depolama alanında (AB) tutulur ve yalnızca mesajı görebilen kişiler erişebilir; uçtan uca şifreli sohbetlerde şifreli olarak saklanır.
• Sunucu tarafındaki yedekler: en fazla 4 hafta (son 4 haftalık yedek saklanır).
• Tüm veritabanının GitHub’daki şifreli yedeği: en fazla 30 gün. Arıza sonrası kurtarma içindir ve anahtarı yalnızca bizdedir. Silinen hesabın verileri, onları içeren son kopyanın süresi dolunca buradan kalkar.
• Bildirim abonelikleri: kullanıldıkları sürece; 180 günden uzun süre etkin olmayan abonelikler otomatik olarak silinir.
• Hata raporları: en fazla 90 gün; analiz verileri: en fazla 12 ay.
• Uygulamanın önceki sürümlerinden kalan veriler (antrenman GPS rotaları ve “form haritası” modu) artık toplanmaz ve hesapla birlikte silinir.

8. Hakların

• Erişim ve veri taşınabilirliği: Ayarlar → “Verileri dışa aktar”: verilerinin JSON biçiminde tam kopyası.
• Sohbet: kendi mesajını herkes için silebilir (mesaj menüsü → “Herkesten sil”), herhangi bir mesajı veya sohbeti kendin için silebilir, bir kişiyi engelleyebilir ve bir gruptan istediğin zaman ayrılabilirsin; grubun sahibi grubu tamamen silebilir. Yazışmaların “Verileri dışa aktar” kapsamındadır.
• Düzeltme: her kaydı uygulamada düzenleyebilirsin.
• Hesabın silinmesi: Ayarlar → “Hesabı kalıcı olarak sil”. Silmeden önce verilerinin son bir kopyası otomatik olarak cihazına indirilir. Hesap ve sunucudaki tüm veriler derhal ve kalıcı olarak silinir; yedekler, Google anahtarları ve kayıtlar 24 saat içinde kaldırılır.
• Cihazdaki veriler: çıkış yaptığında veriler ekrandan kalkar ve bu hesaba bir sonraki girişinde geri gelir; giriş yapmadan uygulama boştur ve eklediklerin ayrı saklanır. Veriler cihazda şifresiz kalır. Silmek için Ayarlar → “Cihazdan sil” seçeneğini kullan.
• Açık rızanın geri alınması: analiz için Ayarlar → “Analize katılım”; Google Takvim, hatırlatıcılar ve sağlık entegrasyonu için Ayarlar’daki veya sistem ayarlarındaki ilgili anahtarlar.
• Ayrıca bize yazarak işlemenin kısıtlanmasını isteyebilir veya işlemeye itiraz edebilir, ülkendeki veri koruma otoritesine (Türkiye’de Kişisel Verileri Koruma Kurulu) şikâyette bulunabilirsin.

9. Çerezler ve yerel depolama

Uygulama, çevrim dışı çalışabilmek için oturumunu, ayarlarını ve verilerini cihazda saklar; bu, hizmet için kesinlikle gereklidir. PostHog analizi yalnızca onayından sonra etkinleşir. Reklam çerezleri veya üçüncü taraf izleme çerezleri yoktur.

10. Çocuklar

Uygulama 16 yaşından küçükler için tasarlanmamıştır ve onların verilerini bilerek toplamayız. Bir çocuğun bize veri verdiğini düşünüyorsan bize yaz, verileri sileriz.

11. Güvenlik

Şifreli bağlantılar, veritabanı düzeyinde veri yalıtımı, şifreli bir gizli bilgi kasası, bildirimlerden yapılan işlemler için tek kullanımlık imzalı bağlantılar ve düzenli güvenlik incelemeleri kullanırız. Hiçbir sistem tamamen güvenli değildir; bir veri ihlali verilerini etkilerse seni ve denetim makamını kanunda öngörülen süre içinde bilgilendiririz.

12. Bu politikadaki değişiklikler

Önemli değişikliklerde en üstteki tarihi güncelleriz ve seni uygulamada bilgilendiririz. Değişikliklerden sonra uygulamayı kullanmaya devam etmen, yeni sürümü kabul ettiğin anlamına gelir.

隐私政策

最后更新：2026年11月7日

本政策说明 Horizon 应用（uhrzn.com 网站、已安装的网页应用以及 iOS 和 Android 应用）处理哪些数据、出于什么目的、存储在哪里，以及您如何管理这些数据。

1. 谁负责您的数据

个人信息处理者（数据控制者）是 Horizon 的开发者 Maksim Kozak（自然人）。如对您的数据有任何疑问，或需要撤回同意、行使您的权利，请发送邮件至 [email protected]。我们会在 30 天内答复。

2. 我们处理哪些数据

• 账户。您的电子邮箱地址（使用 Google 或邮件验证码登录时）。使用 Google 登录时，登录服务还会获得您 Google 个人资料中的姓名和头像。我们不存储密码。
• 您的内容。任务、子任务、项目、重复规则、笔记、项目表格和思维导图、习惯及其完成记录、卡组和卡片、平衡轮以及情绪日记条目。
• 聊天（如果您使用）。您的个人聊天代码；您发送和接收的文字及语音消息（您的语音录音），以及其发送、编辑和已读的时间；您为联系人设置的名称（仅您可见）；静音和屏蔽设置。在群组中：群名、邀请代码、成员和群主身份，以及您为该群选择的昵称。如果您进行举报：举报内容、您的说明以及该聊天最近 50 条消息的副本。Google 云端硬盘共享文件夹见第 6 节。消息回应；端到端加密的公钥，以及用恢复码加密的私钥副本（恢复码只有您知道）；用旧设备扫码连接新设备时，在 10 分钟内保存新设备的一次性公钥以及为其加密的恢复码（只有该设备能读取）；群组特殊邀请（有效期和使用次数）。群组角色（群主、管理员）、群组权限、置顶消息、成员提及以及“转发”标记。待办清单（谁在何时勾选了事项对聊天成员可见）、话题中的回复、收藏标记、置顶和归档的聊天（仅你可见）以及定时消息（发送前保存在服务器上，在加密聊天中以加密形式保存）。挑战和聚会：标题和地点在消息正文中（与对话一起加密）；服务器上保存日期、时间、谁参加以及哪些天打卡，以及“参加／可能／不参加”的回复（聊天成员可见）；挑战与你的习惯、聚会与你的 Horizon 任务之间的关联只有你能看到。群组设置：慢速模式、谁可以置顶消息、“已被管理员删除”的标记。
• 健康数据（“健康”板块，仅在您使用时）。饮食（餐食、热量和营养素）、饮水、体重和身体围度、睡眠和闹钟时间、步数和活动、断食计划、营养档案（性别、年龄、身高、体重、活动水平、目标）。如果您开启“女性健康”：月经周期日期和长度、身体状态、症状、体温、用药和怀孕备注。这些属于敏感个人信息：我们仅在取得您单独同意的情况下处理。您录入这些数据即表示同意，也可以通过删除相关记录或在“设置”中关闭该板块来撤回同意。
• Apple 健康和 Health Connect（仅限移动应用，且仅在获得您授权后）。应用会读取步数、睡眠、体重和静息心率，并可写入您手动录入的饮水量和体重（由单独的开关控制）。这些数据仅用于在“健康”板块中显示，不会用于广告，不会提供给第三方，也不会出售。
• 通知。如果您开启提醒：浏览器推送订阅的技术地址或设备令牌、您的时区、语言以及所选的提前提醒时间。
• Google 日历（可选）。见第 6 节。
• 反馈。您通过反馈表单提交的评分和评论。
• 技术数据。错误报告（Sentry）：浏览器和操作系统类型、应用版本、错误文本及出错前的操作步骤，不包含您的任务和笔记内容、电子邮箱地址和登录令牌（发送前会被删除）。各项服务在处理请求时会看到您设备的 IP 地址。应用不会把您的 IP 地址写入错误报告；数据分析经由我们的代理服务器转发，该代理会删除 IP 地址，因此 PostHog 无法获得您的 IP 地址。
• 数据分析（仅在您通过横幅或在“设置”中同意后）。经过假名化处理的功能使用事件和页面速度指标（PostHog），不包含您输入的文字，也不与您的账户关联。

3. 处理目的和法律依据

• 应用运行以及在您的各台设备之间同步：为履行我们与您之间的合同（《使用条款》）所必需。
• 健康数据，与 Apple 健康、Health Connect 和 Google 日历的集成，提醒以及数据分析：基于您的同意。
• 修复错误、防止滥用和备份数据：基于我们提供稳定、安全服务的合法利益。

我们不出售数据，不展示广告，不与广告网络或数据经纪商共享数据，也不使用您的内容训练人工智能模型。

4. 数据的存储地点和方式

• 您的账户和内容存储在位于欧盟的 Supabase 数据库中。在数据库层面，只有数据所有者本人可以访问自己的记录（行级安全，Row Level Security）。连接始终经过加密（HTTPS）。
• 聊天消息是其他人唯一能看到的数据：私聊中只有两位参与者可见，群组中只有当前成员可见，新成员只能看到其加入之后的消息（Row Level Security）。私聊采用端到端加密：文字和语音在设备上用只有双方持有的密钥加密，服务器只保存密文，通知中不含消息内容。当所有成员都拥有加密密钥时，群聊同样采用端到端加密：群组密钥以加密形式发给每位成员，并在成员每次变动时更换，因此新成员无法读取之前的消息，已退出的成员也无法读取新消息；此类群组的通知不含正文。在并非所有人都有密钥之前（例如有人使用旧版应用），群组消息与您的其他内容一样存储在数据库中，通知包含群名、发送者和正文开头。与您聊天的任何人都看不到您的邮箱地址、您的其他内容、健康数据以及您为他们设置的名称。“在线”和“正在输入”状态只实时发送给聊天对象，不会保存；您可以关闭它们（关闭后您也看不到他人的状态）。在加密聊天中的搜索在您的设备上进行。群成员可以看到角色、置顶消息，以及谁在何时读过自己发的消息。“提醒我”和“加入我的任务”会在您的账号中创建普通任务。 已启用过加密的群组，即使有没有密钥的人加入也会保持加密：此人在获得密钥前无法读取新消息。服务器看不到文本，但能看到谁在何时给谁发消息、表情回应、群组名称、群内昵称和活动日期。消息没有签名，因此安全码确认的是对方的密钥，而不是每条消息。
• Google 日历和 Google 云端硬盘的访问密钥保存在加密的密钥存储库（Supabase Vault）中，绝不会发送到浏览器。
• 服务器每周为每个账户创建一次备份，保留最近 4 份。您可以在“设置”中恢复其中一份。备份与数据本身位于同一基础设施中，因此不能代替您自己保存的副本（“导出数据”）。
• 您可以不登录就使用应用，此时您的数据仅存储在您的设备上。登录后，这些数据会转移到您的账户中；退出登录后所做的更改也会同样转移。
• 为了支持离线使用，数据会保存在设备上的浏览器或应用存储中。PIN 码仅用于锁定应用界面，不会加密设备上的数据。

5. 谁会收到数据

仅限服务运行所必需的服务提供商，且仅在完成其任务所需的范围内：

• Supabase：数据库、登录、服务器函数、备份存储（欧盟）。
• GitHub：整个数据库的加密备份（美国）。
• Resend：发送包含登录验证码的邮件（会获得您的电子邮箱地址和含验证码的邮件正文；美国公司，邮件经由位于日本的服务器发送；依据标准合同条款进行跨境传输）。
• Cloudflare：网站托管、文件分发、机器人防护（Turnstile），以及商品搜索和数据分析的代理转发；美国公司，依据标准合同条款进行跨境传输。
• Sentry：错误报告（欧盟；不保存 IP 地址）。
• PostHog：假名化数据分析，仅在您同意后进行（美国；依据标准合同条款进行跨境传输）。
• Google — Google 登录、Google 日历和 Google 云端硬盘（如已连接）、Chrome 和 Android 上的通知推送（Firebase Cloud Messaging）、Chrome 中的语音识别。
• Apple：在 iPhone、iPad 和 Mac 上推送通知（Apple Push Notification service）、在 Safari 和 iOS 上进行语音识别。
• Mozilla 及其他浏览器厂商：在其浏览器中推送通知。
• Open Food Facts：商品搜索和条形码扫描，仅发送搜索词或条形码。
• quickchart.io、api.qrserver.com：生成包含网站链接的二维码（不涉及个人信息）。

语音输入使用您的浏览器或系统自带的语音识别：音频由其提供商（Google 或 Apple）处理，应用只接收识别出的文字。情绪日记条目的情绪分析在您的设备上完成，文字不会发送到任何地方。仅在法律要求时，我们才会向有关机关披露数据。

6. Google 日历和 Google 云端硬盘（可选）

Google 日历同步只能由您本人开启：设置 → Google 日历 → “连接”。经您授权后，应用可以访问您日历中的日程（calendar.events 权限范围），并且仅将其用于双向同步：带日期的任务会作为日程在您的主日历中创建、更新和删除，您在 Google 日历中创建的日程也会作为任务出现在 Horizon 中。

• 涉及的数据：日程标题、开始和结束的日期与时间、日程 ID。不会读取或保存日程说明、参与者、地点和附件。
• 用途：仅用于同步。这些数据不会被出售，不会提供给第三方，也不会用于广告或人工智能训练。除非您请求我们协助处理错误、法律有要求或为防止滥用所必需，否则任何人都不会查看这些数据。
• 断开连接：设置 → Google 日历 → “断开”会撤销在 Google 处的访问权限并停止同步；已创建的日程仍保留在您的日历中。删除账户时，访问权限会自动撤销。您也可以在 myaccount.google.com/permissions 撤销访问权限。

Google 云端硬盘（聊天共享文件夹）。只能由您在聊天中开启：“Google 云端硬盘共享文件夹”按钮 →“创建文件夹”。应用只能访问它自己创建的文件夹和文件（访问范围 drive.file），而不是您的整个云端硬盘。

• 涉及的数据：聊天文件夹创建在您的 Google 云端硬盘中，存放您和聊天成员通过应用上传的文件。文件从浏览器直接发送到 Google；经过我们服务器的只有文件名、类型和大小。我们保存文件夹的 ID 和链接。
• 谁能看到：聊天成员会获得仅可查看的链接，Google 会向他们显示您的姓名和 Google 账号地址作为文件所有者。任何收到转发链接的人都能打开文件夹；被移出聊天的人在您解除文件夹关联之前仍持有链接。加密公钥在账号存在期间保留（最近 20 个），私钥副本保留至更换密钥或删除账号为止。已用完的特殊邀请会在 7 天内删除。
• 关闭：“解除文件夹关联”会关闭链接访问；“断开 Google 云端硬盘”会关闭您所有文件夹的链接访问，并在 Google 处撤销访问权限。删除账号时会自动执行这些操作。文件夹和文件本身仍保留在您的云端硬盘中，您可以在 Google 云端硬盘中删除它们。

Horizon 对从 Google API 获得的信息的使用及向任何其他应用的传输，均遵守 Google API 服务用户数据政策，包括其中的“有限使用”要求。

7. 数据保存期限

• 账户和内容：在账户存续期间保存。您删除的任务、项目、习惯和其他记录会移入回收站，90 天后永久删除。
• 聊天消息——直到发送者为所有人删除，或所有参与者各自删除为止。某人删除账号后，其私聊会为双方完整删除，其在群组中的消息也会被删除；群组仍保留给其他成员，最早加入的成员成为群主。群主删除群组或最后一名成员退出时，群组被删除。Google 云端硬盘共享文件夹链接——在文件夹与聊天关联期间。举报——不超过 12 个月。“在线”和“正在输入”状态可在“你的聊天代码”窗口中关闭。定时消息保存至发送为止；发送后记录会在一天内删除，未发送的在 30 天后删除。
• 语音消息的音频——自发送起保存 365 天，之后自动删除；消息本身仍保留在对话中，并注明音频已删除。音频存放在 Supabase 的私有文件存储（欧盟）中，只有能看到该消息的人才能访问；在端到端加密的聊天中以加密形式存储。
• 服务器备份：最长 4 周（保留最近 4 份每周备份）。
• GitHub 上整个数据库的加密备份：最多 30 天。用于故障后的恢复，密钥只有我们持有。已删除账户的数据会在包含它的最后一份副本到期时消失。
• 通知订阅：在使用期间保存；超过 180 天未使用的订阅会被自动删除。
• 错误报告：不超过 90 天；分析数据：不超过 12 个月。
• 应用早期版本的数据（训练 GPS 轨迹和“体型地图”模式）已不再收集，并会随账户一并删除。

8. 您的权利

• 查阅和转移：设置 → “导出数据”，获取 JSON 格式的完整数据副本。
• 聊天：您可以为所有人删除自己的消息（消息菜单 →“为所有人删除”），为自己删除任何消息或聊天，屏蔽联系人，并可随时退出群组；群主可以删除整个群组。您的对话包含在“导出数据”中。
• 更正：任何记录都可以在应用中编辑。
• 删除账户：设置 → “永久删除账户”。删除前，您的数据的最终副本会自动下载到您的设备上。账户及服务器上的所有数据会立即被永久删除；备份、Google 密钥和日志会在 24 小时内清除。
• 设备上的数据：退出登录后，数据从屏幕上消失，下次登录该账户时恢复；未登录时应用为空，添加的内容单独保存。数据以未加密形式留在设备上。如需删除，请使用设置 →“从设备清除”。
• 撤回同意：数据分析，在 设置 → “参与数据分析” 中关闭；Google 日历、提醒和健康集成，使用“设置”或系统设置中的相应开关。
• 您还可以写信要求我们限制处理或对处理提出反对，并可向您所在国家或地区的个人信息保护主管部门投诉。

9. Cookie 和本地存储

应用会在设备上保存您的登录会话、设置和数据，以便离线使用，这是提供服务所必需的。PostHog 数据分析仅在您同意后启用。我们不使用广告 Cookie 或第三方跟踪 Cookie。

10. 未成年人

本应用不面向 16 周岁以下的未成年人，我们不会在明知的情况下收集其数据。如果您认为有未成年人向我们提供了数据，请写信告知我们，我们会将其删除。

11. 安全

我们采用加密连接、数据库层面的数据隔离、加密的密钥存储库、用于通知操作的一次性签名链接，并定期进行安全审查。没有任何系统是绝对安全的；如果发生影响您数据的安全事件，我们将在法律规定的期限内通知您和监管机构。

12. 本政策的变更

如有重大变更，我们会更新顶部的日期并在应用内通知您。变更后继续使用本应用，即表示您接受新版本。

プライバシーポリシー

最終更新日：2026年11月7日

本ポリシーは、Horizon アプリ（uhrzn.com のウェブサイト、インストールしたウェブアプリ、iOS および Android アプリ）がどのようなデータを、どのような目的で取り扱い、どこに保存するか、またお客様がそれをどのように管理できるかを説明するものです。

1. データの管理責任者

データの管理者（管理責任者）は Horizon の開発者である Maksim Kozak（個人）です。ご自身のデータに関するご質問、同意の撤回、権利の行使については、[email protected] までご連絡ください。30日以内に回答します。

2. 取り扱うデータ

• アカウント。メールアドレス（Google またはメールで届くコードでログインした場合）。Google でログインした場合、ログインサービスは Google プロフィールの名前と写真も受け取ります。パスワードは保存しません。
• お客様のコンテンツ。タスク、サブタスク、プロジェクト、繰り返しのルール、メモ、プロジェクトの表と図、習慣とその達成記録、デッキとカード、バランスホイール、感情ジャーナルの記録。
• チャット（ご利用の場合）。あなたの個人チャットコード、送受信したテキストメッセージとボイスメッセージ（あなたの声の録音）およびその送信・編集・既読の日時、連絡先に付けた名前（あなたにのみ表示）、ミュートとブロックの設定。グループでは、グループ名、招待コード、メンバーとオーナーの役割、およびそのグループで使うためにあなたが選んだ名前。通報した場合は、通報内容、あなたのコメント、そのチャットの直近50件のメッセージのコピー。Google ドライブの共有フォルダについては第6条をご覧ください。メッセージへのリアクション、エンドツーエンド暗号化の公開鍵と、回復コードで暗号化した秘密鍵のコピー（コードはご本人だけが知っています）、旧端末からQRで新しい端末を連携するときは、10分間、新しい端末の使い捨て公開鍵と、その端末向けに暗号化した回復コード（読めるのはその端末だけです）、グループの特別な招待（期限と利用回数）。グループの役割（オーナー、管理者）、グループの権限、ピン留めされたメッセージ、メンバーへのメンション、「転送」の表示。チェックリスト（誰がいつ項目にチェックしたかはチャットのメンバーに表示されます）、スレッドでの返信、スター、固定・アーカイブしたチャット（あなただけに表示）、予約メッセージ（送信まではサーバーに保存され、暗号化チャットでは暗号化された状態で保存されます）。チャレンジと予定：タイトルと場所はメッセージ本文にあり（会話と一緒に暗号化されます）、サーバーには期間・日時・参加者とチェックした日・「参加／未定／不参加」の回答が保存されます（チャットのメンバーに表示されます）。チャレンジとあなたの習慣、予定とあなたの Horizon のタスクの紐づけは、あなただけに表示されます。グループ設定：スローモード、メッセージを固定できる人、「管理者が削除」の表示。
• 健康データ（「健康」セクション。ご利用の場合のみ）。食事（食事内容、カロリー、栄養素）、水分、体重と体のサイズ、睡眠時間とアラームの時刻、歩数と活動量、断食のスケジュール、栄養プロフィール（性別、年齢、身長、体重、活動レベル、目標）。「女性の健康」をオンにした場合：生理周期の日付と長さ、体調、症状、体温、服薬と妊娠に関するメモ。これらは要配慮個人情報にあたるため、お客様の明示的な同意がある場合にのみ取り扱います。同意は入力によって与えられ、記録の削除または「設定」でのセクションのオフにより撤回できます。
• Apple ヘルスケアと Health Connect（モバイルアプリのみ。お客様の許可がある場合のみ）。アプリは歩数、睡眠、体重、安静時心拍数を読み取り、手動で入力した水分量と体重を書き込むことができます（別のスイッチで設定）。これらのデータは「健康」セクションでの表示にのみ使用し、広告には使用せず、第三者に提供せず、販売もしません。
• 通知。リマインダーをオンにした場合：ブラウザのプッシュ購読の技術的なアドレスまたはデバイストークン、タイムゾーン、言語、選択した通知の事前時間。
• Google カレンダー（任意）。第6項をご覧ください。
• フィードバック。フィードバックフォームから送信された評価とコメント。
• 技術データ。エラーレポート（Sentry）：ブラウザと OS の種類、アプリのバージョン、エラーの内容とその直前の操作。タスクやメモの内容、メールアドレス、ログイントークンは含まれません（送信前に削除されます）。各サービスはリクエストの処理時にお客様の端末の IP アドレスを確認できます。アプリは IP アドレスをエラーレポートに含めません。また、分析データは IP アドレスを削除する当社のプロキシを経由するため、PostHog が IP アドレスを受け取ることはありません。
• 分析（バナーまたは「設定」で同意した後のみ）。機能の利用状況に関する仮名化されたイベントとページ速度の指標（PostHog）。入力したテキストは含まれず、お客様のアカウントとも結び付けられません。

3. 利用目的と法的根拠

• アプリの運営とお客様の端末間の同期：お客様との契約（利用規約）の履行のため。
• 健康データ、Apple ヘルスケア・Health Connect・Google カレンダーとの連携、リマインダー、分析：お客様の同意に基づきます。
• エラーの修正、不正利用の防止、バックアップ：安定した安全なサービスを提供するという当社の正当な利益に基づきます。

当社はデータを販売せず、広告を表示せず、広告ネットワークやデータブローカーにデータを提供せず、お客様のコンテンツを AI モデルの学習に使用しません。

4. データの保存場所と保存方法

• アカウントとコンテンツは、欧州連合（EU）にある Supabase のデータベースに保存されます。データベースのレベルで、記録にアクセスできるのはその所有者本人だけです（Row Level Security）。通信は常に暗号化されています（HTTPS）。
• ほかの人が見られるデータはチャットのメッセージだけです。個人チャットでは2人の参加者のみ、グループでは現在のメンバーのみが閲覧でき、新しいメンバーは参加後のメッセージしか見られません（Row Level Security）。個人チャットはエンドツーエンドで暗号化されます。テキストとボイスメッセージは2人だけが持つ鍵で端末上で暗号化され、サーバーには暗号文だけが保存され、通知にはメッセージ本文が含まれません。メンバー全員が暗号化キーを持つと、グループチャットもエンドツーエンド暗号化されます。グループのキーは各メンバーに暗号化して渡され、メンバーが変わるたびに更新されるため、新しいメンバーは以前のメッセージを、退出した人は新しいメッセージを読めません。このようなグループの通知には本文が含まれません。全員がキーを持つまで（古いバージョンのアプリを使っている人がいる場合など）は、グループのメッセージはほかのコンテンツと同様にデータベースに保存され、通知にはグループ名、送信者、本文の冒頭が含まれます。チャットの相手は、あなたのメールアドレス、そのほかのコンテンツ、健康データ、あなたが相手に付けた名前を見ることはできません。「オンライン」と「入力中」の表示はリアルタイムでチャット相手にだけ届き、保存されません。オフにすることもできます（その場合、ほかの人の表示も見えなくなります）。暗号化されたチャットの検索は端末上で行われます。グループのメンバーには、役割、ピン留めされたメッセージ、自分のメッセージを誰がいつ読んだかが表示されます。「リマインド」と「自分のタスクに追加」はアカウントに通常のタスクを作成します。 一度暗号化が有効になったグループは、鍵を持たない人が参加しても暗号化されたままです。その人は鍵を持つまで新しいメッセージを読めません。サーバーは本文を見られませんが、誰がいつ誰に書いたか、リアクション、グループ名、グループ内の名前、イベントの日時は見えます。メッセージに署名はないため、セキュリティコードが確認するのは相手の鍵であり、各メッセージではありません。
• Google カレンダーと Google ドライブへのアクセスキーは暗号化されたシークレット保管庫（Supabase Vault）に保存され、ブラウザに送信されることはありません。
• 各アカウントのバックアップをサーバー側で毎週作成し、直近4件を保持します。「設定」からいずれかを復元できます。バックアップはデータ本体と同じ基盤に保存されているため、お客様ご自身のコピー（「データを書き出す」）の代わりにはなりません。
• ログインせずにアプリを使うこともできます。その場合、データはお客様の端末にのみ保存されます。ログインすると、ログアウト後の変更も含めてデータがアカウントに移されます。
• オフラインでも使えるように、データは端末のブラウザまたはアプリのストレージに保存されます。PIN コードはアプリの画面をロックするだけで、端末上のデータを暗号化するものではありません。

5. データの提供先

サービスの運営に欠かせない事業者にのみ、その業務に必要な範囲で提供します。

• Supabase：データベース、ログイン、サーバー機能、バックアップの保管（EU）。
• GitHub：データベース全体の暗号化バックアップ（米国）。
• Resend：ログインコードを記載したメールの送信（メールアドレスとコードを含むメール本文を受け取ります。米国企業であり、メールは日本のサーバーから送信され、標準契約条項に基づいて移転されます）。
• Cloudflare：ウェブサイトのホスティング、ファイル配信、ボット対策（Turnstile）、商品検索と分析のプロキシ（米国企業であり、標準契約条項に基づいて移転されます）。
• Sentry：エラーレポート（EU。IP アドレスは保存されません）。
• PostHog：仮名化された分析。同意がある場合のみ（米国。標準契約条項に基づいて移転されます）。
• Google — Google ログイン、Google カレンダーと Google ドライブ（連携している場合）、Chrome と Android での通知配信（Firebase Cloud Messaging）、Chrome での音声認識。
• Apple：iPhone、iPad、Mac での通知配信（Apple Push Notification service）、Safari と iOS での音声認識。
• Mozilla およびその他のブラウザ提供元：各社ブラウザでの通知配信。
• Open Food Facts：商品検索とバーコードの読み取り。送信されるのは検索語またはバーコードのみです。
• quickchart.io、api.qrserver.com：ウェブサイトへのリンクを含む QR コードの生成（個人情報は含みません）。

音声入力には、お客様のブラウザまたはシステムの音声認識を使用します。音声はその提供元（Google または Apple）が処理し、アプリは認識されたテキストのみを受け取ります。感情ジャーナルの記録の感情分析はお客様の端末上で行われ、テキストはどこにも送信されません。法令で求められた場合にのみ、当局にデータを開示します。

6. Google カレンダーと Google ドライブ（任意）

Google カレンダーとの同期は、お客様ご自身がオンにした場合にのみ有効になります（設定 → Google カレンダー → 「接続」）。お客様の許可を得て、アプリはカレンダーの予定へのアクセス権（calendar.events スコープ）を取得し、双方向の同期にのみ使用します。日付のあるタスクはメインのカレンダーに予定として作成・更新・削除され、Google カレンダーで作成した予定は Horizon にタスクとして表示されます。

• 対象となるデータ：予定のタイトル、開始と終了の日時、予定の ID。説明、参加者、場所、添付ファイルは読み取らず、保存もしません。
• 利用方法：同期のみ。データを販売せず、第三者に提供せず、広告や AI の学習にも使用しません。お客様からエラー対応のご依頼があった場合、法令で求められた場合、または不正利用の防止に必要な場合を除き、人がデータを閲覧することはありません。
• 接続の解除：設定 → Google カレンダー → 「接続解除」で Google 側のアクセス権が取り消され、同期が停止します。すでに作成された予定はカレンダーに残ります。アカウントを削除すると、アクセス権は自動的に取り消されます。myaccount.google.com/permissions から取り消すこともできます。

Google ドライブ（チャットの共有フォルダ）。チャットからご自身でのみ有効にできます（「Google ドライブの共有フォルダ」ボタン → 「フォルダを作成」）。アプリがアクセスできるのは自ら作成したフォルダとファイルだけで（アクセス範囲 drive.file）、ドライブ全体ではありません。

• 対象データ：チャットのフォルダはあなたの Google ドライブに作成され、あなたとチャットのメンバーがアプリを通じてアップロードしたファイルが入ります。ファイルはブラウザから直接 Google に送られ、当社のサーバーを通るのはファイル名、種類、サイズだけです。当社はフォルダの ID とリンクを保存します。
• 閲覧できる人：チャットのメンバーは閲覧専用のリンクを受け取り、Google はファイルのオーナーとしてあなたの名前と Google アカウントのアドレスを表示します。リンクを転送された人は誰でもフォルダを開けます。チャットから削除された人も、あなたがフォルダの連携を解除するまではリンクを持ったままです。暗号化の公開鍵はアカウントが存在する間（直近20件）、秘密鍵のコピーは鍵の変更またはアカウント削除まで保存されます。使い終わった特別な招待は7日以内に削除されます。
• 無効化：「フォルダの連携を解除」でリンクでのアクセスが閉じられます。「Google ドライブとの接続を解除」で、すべてのフォルダへのリンクでのアクセスが閉じられ、Google でのアクセス権も取り消されます。アカウントを削除すると、これらは自動的に行われます。フォルダとファイル自体はドライブに残り、Google ドライブで削除できます。

Horizon による Google API から取得した情報の使用およびその他のアプリへの転送は、限定使用の要件を含め、Google API サービスのユーザーデータに関するポリシーに準拠します。

7. データの保存期間

• アカウントとコンテンツ：アカウントが存在する限り保存します。削除したタスク、プロジェクト、習慣などの記録はゴミ箱に移り、90日後に完全に削除されます。
• チャットのメッセージ — 送信者が全員から削除するか、参加者全員が自分の画面から削除するまで。アカウントが削除されると、その人の個人チャットは双方から完全に削除され、グループ内のその人のメッセージも削除されます。グループはほかのメンバーに残り、最も早く参加したメンバーがオーナーになります。グループは、オーナーが削除するか最後のメンバーが退出したときに削除されます。Google ドライブ共有フォルダのリンク — フォルダがチャットに連携されている間。通報 — 最長12か月。「オンライン」と「入力中」の表示は「あなたのチャットコード」画面でオフにできます。予約メッセージは送信まで保存され、送信後は1日以内に、送信されなかったものは30日後に記録が削除されます。
• ボイスメッセージの音声 — 送信から365日後に自動的に削除されます。メッセージ自体は「音声は削除されました」という表示とともに会話に残ります。音声は Supabase の非公開ファイルストレージ（EU）に保存され、そのメッセージを見られる人だけがアクセスできます。エンドツーエンド暗号化されたチャットでは暗号化された状態で保存されます。
• サーバー側のバックアップ：最長4週間（毎週のバックアップの直近4件を保持）。
• GitHub上のデータベース全体の暗号化バックアップ：最長30日。障害からの復旧のためのもので、鍵は当社のみが保有します。削除されたアカウントのデータは、それを含む最後のコピーの期限が切れると消えます。
• 通知の購読：利用されている間。180日以上使われていない購読は自動的に削除されます。
• エラーレポート：最長90日。分析データ：最長12か月。
• 以前のバージョンのアプリのデータ（トレーニングの GPS 記録と「体型マップ」モード）は現在収集しておらず、アカウントとともに削除されます。

8. お客様の権利

• 開示とデータポータビリティ：設定 → 「データを書き出す」で、データの完全なコピーを JSON 形式で取得できます。
• チャット：自分のメッセージを全員から削除する（メッセージメニュー →「全員から削除」）、任意のメッセージやチャットを自分の画面から削除する、相手をブロックする、グループからいつでも退出することができます。グループのオーナーはグループ全体を削除できます。会話は「データのエクスポート」に含まれます。
• 訂正：すべての記録はアプリ内で編集できます。
• アカウントの削除：設定 → 「アカウントを完全に削除」。削除の前に、データの最終コピーが自動的に端末にダウンロードされます。アカウントとサーバー上のすべてのデータは直ちに完全に削除され、バックアップ、Google のキー、ログは24時間以内に消去されます。
• 端末上のデータ：ログアウトするとデータは画面から消え、そのアカウントに次にログインすると戻ります。ログインしていない間はアプリは空で、追加した内容は別に保存されます。データは暗号化されないまま端末に残ります。削除するには「設定」→「端末から消去」を使ってください。
• 同意の撤回：分析は 設定 → 「分析への参加」、Google カレンダー・リマインダー・健康データ連携は「設定」またはシステム設定の該当するスイッチで撤回できます。
• また、当社に連絡して利用停止や処理への異議を申し出ること、お住まいの国のデータ保護機関（日本では個人情報保護委員会）に苦情を申し立てることもできます。

9. Cookie とローカルストレージ

アプリはオフラインで動作するよう、ログインセッション、設定、データを端末に保存します。これはサービスの提供に必要不可欠なものです。PostHog による分析は、お客様の同意後にのみ有効になります。広告用 Cookie や第三者のトラッキング Cookie は使用していません。

10. 未成年者

本アプリは16歳未満の方を対象としておらず、当社がその方のデータを故意に収集することはありません。16歳未満の方がデータを提供したと思われる場合はご連絡ください。削除いたします。

11. セキュリティ

当社は、暗号化された通信、データベースレベルでのデータ分離、暗号化されたシークレット保管庫、通知からの操作に使う署名付きの使い捨てリンク、定期的なセキュリティ点検を採用しています。完全に安全なシステムは存在しません。お客様のデータに影響する漏えい等が発生した場合は、法令で定められた期間内にお客様と監督機関に通知します。

12. 本ポリシーの変更

重要な変更を行う場合は、冒頭の日付を更新し、アプリ内でお知らせします。変更後もアプリを使い続けることで、新しいバージョンに同意したものとみなされます。

개인정보 처리방침

최종 업데이트: 2026년 11월 7일

이 방침은 Horizon 앱(uhrzn.com 웹사이트, 설치한 웹 앱, iOS 및 Android 앱)이 어떤 데이터를 어떤 목적으로 처리하는지, 어디에 보관하는지, 이용자가 이를 어떻게 관리할 수 있는지 설명합니다.

1. 개인정보처리자

개인정보처리자(데이터 관리자)는 Horizon 개발자인 Maksim Kozak(개인)입니다. 데이터에 관한 문의, 동의 철회, 권리 행사는 [email protected]으로 연락해 주세요. 30일 이내에 답변드립니다.

2. 처리하는 데이터

• 계정. 이메일 주소(Google 또는 이메일로 받은 코드로 로그인하는 경우). Google로 로그인하면 로그인 서비스가 Google 프로필의 이름과 사진도 받습니다. 비밀번호는 저장하지 않습니다.
• 이용자의 콘텐츠. 할 일, 하위 할 일, 프로젝트, 반복 규칙, 메모, 프로젝트 표와 다이어그램, 습관과 달성 기록, 카드 덱과 카드, 균형 바퀴, 감정 일기 기록.
• 채팅(사용하는 경우). 개인 채팅 코드, 주고받은 텍스트 및 음성 메시지(내 목소리 녹음)와 그 전송·수정·읽음 시각, 연락처에 지정한 이름(본인만 볼 수 있음), 알림 끄기 및 차단 설정. 그룹의 경우 그룹 이름, 초대 코드, 멤버와 소유자 역할, 그리고 그룹에서 쓰려고 직접 정한 이름. 신고하는 경우 신고 내용, 내 의견, 해당 채팅의 최근 메시지 50개 사본. Google 드라이브 공유 폴더는 6항에서 설명합니다. 메시지에 대한 반응, 종단 간 암호화의 공개 키와 복구 코드로 암호화된 개인 키 사본(코드는 본인만 알고 있음), 이전 기기에서 QR로 새 기기를 연결할 때 10분간 보관되는 새 기기의 일회용 공개 키와 그 기기용으로 암호화된 복구 코드(그 기기만 읽을 수 있음), 그룹 특별 초대(기한 및 사용 횟수). 그룹 역할(소유자, 관리자), 그룹 권한, 고정된 메시지, 멤버 언급, "전달" 표시. 할 일 목록(누가 언제 항목을 체크했는지는 채팅 멤버에게 보임), 스레드 답장, 별표, 고정 및 보관한 채팅(나에게만 보임), 예약 메시지(전송 전까지 서버에 보관되며 암호화된 채팅에서는 암호화된 상태로 보관). 챌린지와 모임: 제목과 장소는 메시지 본문에 있으며(대화와 함께 암호화됨), 서버에는 기간, 시간, 참여자와 체크한 날짜, "참석 / 미정 / 불참" 답변이 저장됩니다(채팅 멤버에게 보임). 챌린지와 내 습관, 모임과 내 Horizon 할 일의 연결은 나에게만 보입니다. 그룹 설정: 슬로 모드, 메시지를 고정할 수 있는 사람, "관리자가 삭제함" 표시.
• 건강 데이터('건강' 섹션, 이용하는 경우에만). 식단(식사, 칼로리, 영양소), 수분, 체중과 신체 치수, 수면 및 알람 시간, 걸음 수와 활동량, 단식 일정, 영양 프로필(성별, 나이, 키, 체중, 활동 수준, 목표). '여성 건강'을 켜면 생리 주기 날짜와 길이, 컨디션, 증상, 체온, 복용 약과 임신 관련 메모도 포함됩니다. 이는 민감정보에 해당하므로 이용자의 별도 동의가 있는 경우에만 처리합니다. 동의는 해당 정보를 입력함으로써 이루어지며, 기록을 삭제하거나 '설정'에서 섹션을 끄면 철회할 수 있습니다.
• Apple 건강 앱 및 Health Connect(모바일 앱에서만, 이용자가 허용한 경우에만). 앱은 걸음 수, 수면, 체중, 안정 시 심박수를 읽고, 직접 입력한 물 섭취량과 체중을 기록할 수 있습니다(별도 스위치). 이 데이터는 '건강' 섹션에 표시하는 데에만 사용하며, 광고에 사용하거나 제3자에게 제공하거나 판매하지 않습니다.
• 알림. 알림을 켜는 경우: 브라우저 푸시 구독의 기술 주소 또는 기기 토큰, 시간대, 언어, 선택한 사전 알림 시간.
• Google 캘린더(선택). 제6조를 참고하세요.
• 피드백. 피드백 양식으로 보낸 평점과 의견.
• 기술 데이터. 오류 보고서(Sentry): 브라우저 및 운영체제 종류, 앱 버전, 오류 내용과 직전 동작. 할 일과 메모의 내용, 이메일 주소, 로그인 토큰은 포함되지 않습니다(전송 전에 삭제됩니다). 각 서비스는 요청을 처리할 때 이용자 기기의 IP 주소를 볼 수 있습니다. 앱은 오류 보고서에 IP 주소를 넣지 않으며, 분석 데이터는 IP 주소를 삭제하는 당사 프록시를 거치므로 PostHog는 IP 주소를 받지 않습니다.
• 분석(배너 또는 '설정'에서 동의한 후에만). 가명 처리된 기능 사용 이벤트와 페이지 속도 지표(PostHog). 입력한 텍스트는 포함되지 않으며 계정과 연결되지 않습니다.

3. 처리 목적과 법적 근거

• 앱 운영 및 이용자 기기 간 동기화: 이용자와의 계약(이용약관) 이행.
• 건강 데이터, Apple 건강 앱·Health Connect·Google 캘린더 연동, 알림, 분석: 이용자의 동의.
• 오류 수정, 부정 이용 방지, 백업: 안정적이고 안전한 서비스를 제공하기 위한 당사의 정당한 이익.

당사는 데이터를 판매하지 않고, 광고를 표시하지 않으며, 광고 네트워크나 데이터 브로커에 데이터를 제공하지 않고, 이용자의 콘텐츠를 AI 모델 학습에 사용하지 않습니다.

4. 데이터 보관 장소와 방법

• 계정과 콘텐츠는 유럽연합(EU)에 있는 Supabase 데이터베이스에 보관됩니다. 데이터베이스 수준에서 각 기록에는 그 소유자만 접근할 수 있습니다(Row Level Security). 연결은 항상 암호화됩니다(HTTPS).
• 다른 사람이 볼 수 있는 데이터는 채팅 메시지뿐입니다. 개인 채팅은 두 참여자만, 그룹은 현재 멤버만 볼 수 있으며, 새 멤버는 참여한 이후의 메시지만 볼 수 있습니다(Row Level Security). 개인 채팅은 종단 간 암호화됩니다. 텍스트와 음성 메시지는 두 사람만 가진 키로 기기에서 암호화되고, 서버에는 암호문만 저장되며, 알림에는 메시지 내용이 포함되지 않습니다. 모든 멤버에게 암호화 키가 있으면 그룹 채팅도 종단 간 암호화됩니다. 그룹 키는 각 멤버에게 암호화되어 전달되고 멤버가 바뀔 때마다 변경되므로, 새 멤버는 이전 메시지를, 나간 사람은 새 메시지를 읽을 수 없습니다. 이런 그룹의 알림에는 본문이 포함되지 않습니다. 모두에게 키가 생기기 전까지(예: 누군가 이전 버전의 앱을 사용하는 경우) 그룹 메시지는 다른 콘텐츠와 마찬가지로 데이터베이스에 저장되며, 알림에는 그룹 이름, 작성자, 본문 앞부분이 포함됩니다. 대화 상대는 내 이메일 주소, 다른 콘텐츠, 건강 데이터, 내가 상대에게 붙인 이름을 볼 수 없습니다. "온라인"과 "입력 중" 표시는 실시간으로 대화 상대에게만 전달되며 저장되지 않습니다. 끌 수 있으며, 끄면 다른 사람의 상태도 볼 수 없습니다. 암호화된 채팅 검색은 기기에서 이루어집니다. 그룹 멤버는 역할, 고정된 메시지, 그리고 자기 메시지를 누가 언제 읽었는지 볼 수 있습니다. "알림 받기"와 "내 할 일에 추가"는 계정에 일반 할 일을 만듭니다. 암호화가 한 번 켜진 그룹은 키가 없는 사람이 들어와도 계속 암호화됩니다. 그 사람은 키가 생길 때까지 새 메시지를 읽을 수 없습니다. 서버는 본문을 볼 수 없지만 누가 언제 누구에게 쓰는지, 반응, 그룹 이름, 그룹 내 이름, 일정 날짜는 볼 수 있습니다. 메시지에는 서명이 없으므로 보안 코드는 각 메시지가 아니라 상대방의 키를 확인합니다.
• Google 캘린더와 Google 드라이브 접근 키는 암호화된 비밀 저장소(Supabase Vault)에 보관되며 브라우저로 전송되지 않습니다.
• 서버에서 매주 계정별 백업을 만들고 최근 4개를 보관합니다. '설정'에서 그중 하나를 복원할 수 있습니다. 백업은 데이터 자체와 같은 인프라에 보관되므로 이용자가 직접 만든 사본('데이터 내보내기')을 대신하지 않습니다.
• 로그인하지 않고도 앱을 사용할 수 있으며, 이 경우 데이터는 이용자의 기기에만 저장됩니다. 로그인하면 로그아웃 이후의 변경 사항을 포함해 데이터가 계정으로 옮겨집니다.
• 오프라인에서도 사용할 수 있도록 데이터는 기기의 브라우저 또는 앱 저장 공간에 저장됩니다. PIN 코드는 앱 화면만 잠그며 기기의 데이터를 암호화하지는 않습니다.

5. 데이터를 받는 자

서비스 운영에 꼭 필요한 업체에만, 그 업무에 필요한 범위에서 제공합니다.

• Supabase: 데이터베이스, 로그인, 서버 기능, 백업 보관(EU).
• GitHub: 전체 데이터베이스의 암호화된 백업(미국).
• Resend: 로그인 코드 이메일 발송(이메일 주소와 코드가 담긴 메일 본문을 받습니다. 미국 기업이며, 이메일은 일본에 있는 서버를 통해 발송되고, 표준계약조항에 따라 국외 이전됩니다).
• Cloudflare: 웹사이트 호스팅, 파일 전송, 봇 방지(Turnstile), 상품 검색 및 분석 프록시(미국 기업이며, 표준계약조항에 따라 국외 이전됩니다).
• Sentry: 오류 보고서(EU, IP 주소는 저장되지 않음).
• PostHog: 가명 처리된 분석, 동의한 경우에만(미국. 표준계약조항에 따라 국외 이전됩니다).
• Google — Google 로그인, Google 캘린더와 Google 드라이브(연결한 경우), Chrome 및 Android 알림 전달(Firebase Cloud Messaging), Chrome 음성 인식.
• Apple: iPhone, iPad, Mac의 알림 전송(Apple Push Notification service), Safari와 iOS의 음성 인식.
• Mozilla 및 기타 브라우저 제조사: 각 브라우저의 알림 전송.
• Open Food Facts: 상품 검색과 바코드 스캔. 검색어 또는 바코드만 전송됩니다.
• quickchart.io, api.qrserver.com: 웹사이트 링크가 담긴 QR 코드 생성(개인정보 없음).

음성 입력은 이용자의 브라우저 또는 시스템 음성 인식을 사용합니다. 음성은 해당 제공업체(Google 또는 Apple)가 처리하며, 앱은 인식된 텍스트만 받습니다. 감정 일기 기록의 감정 분석은 이용자의 기기에서 이루어지며, 텍스트는 어디로도 전송되지 않습니다. 법령에 따라 요구되는 경우에만 관계 기관에 데이터를 제공합니다.

6. Google 캘린더와 Google 드라이브(선택)

Google 캘린더 동기화는 이용자가 직접 켠 경우에만 작동합니다: 설정 → Google 캘린더 → '연결'. 이용자의 허락을 받아 앱은 캘린더 일정에 대한 접근 권한(calendar.events 범위)을 얻고, 이를 양방향 동기화에만 사용합니다. 날짜가 있는 할 일은 기본 캘린더에 일정으로 생성·수정·삭제되며, Google 캘린더에서 만든 일정은 Horizon에 할 일로 나타납니다.

• 대상 데이터: 일정 제목, 시작 및 종료 날짜와 시간, 일정 ID. 설명, 참석자, 장소, 첨부 파일은 읽거나 저장하지 않습니다.
• 이용: 동기화에만 사용합니다. 데이터를 판매하지 않고, 제3자에게 제공하지 않으며, 광고나 AI 학습에 사용하지 않습니다. 이용자가 오류 해결을 요청한 경우, 법령이 요구하는 경우, 부정 이용 방지에 필요한 경우를 제외하고는 사람이 데이터를 열람하지 않습니다.
• 연결 해제: 설정 → Google 캘린더 → '연결 해제'를 누르면 Google의 접근 권한이 취소되고 동기화가 중단됩니다. 이미 만들어진 일정은 캘린더에 남습니다. 계정을 삭제하면 접근 권한이 자동으로 취소됩니다. myaccount.google.com/permissions에서도 취소할 수 있습니다.

Google 드라이브(채팅 공유 폴더). 채팅에서 본인만 켤 수 있습니다: "Google 드라이브 공유 폴더" 버튼 → "폴더 만들기". 앱은 직접 만든 폴더와 파일에만 접근하며(접근 범위 drive.file), 드라이브 전체에는 접근하지 않습니다.

• 대상 데이터: 채팅 폴더는 내 Google 드라이브에 만들어지며, 나와 채팅 멤버가 앱을 통해 업로드한 파일이 들어갑니다. 파일은 브라우저에서 Google로 바로 전송되며, 당사 서버를 거치는 것은 파일 이름, 형식, 크기뿐입니다. 당사는 폴더 ID와 링크를 저장합니다.
• 볼 수 있는 사람: 채팅 멤버는 보기 전용 링크를 받고, Google은 파일 소유자로 내 이름과 Google 계정 주소를 표시합니다. 링크를 전달받은 사람은 누구나 폴더를 열 수 있으며, 채팅에서 내보낸 사람도 내가 폴더 연결을 해제할 때까지 링크를 가지고 있습니다. 암호화 공개 키는 계정이 있는 동안(최근 20개), 개인 키 사본은 키를 바꾸거나 계정을 삭제할 때까지 보관됩니다. 사용이 끝난 특별 초대는 7일 이내에 삭제됩니다.
• 끄기: "폴더 연결 해제"는 링크 접근을 닫고, "Google 드라이브 연결 끊기"는 모든 폴더의 링크 접근을 닫고 Google에서 접근 권한을 취소합니다. 계정을 삭제하면 자동으로 처리됩니다. 폴더와 파일 자체는 내 드라이브에 남으며 Google 드라이브에서 삭제할 수 있습니다.

Horizon이 Google API에서 받은 정보를 사용하고 다른 앱으로 전송하는 행위는 제한적 사용 요구사항을 포함하여 Google API 서비스 사용자 데이터 정책을 준수합니다.

7. 보관 기간

• 계정과 콘텐츠: 계정이 존재하는 동안. 삭제한 할 일, 프로젝트, 습관 등의 기록은 휴지통으로 이동하며 90일 후 영구 삭제됩니다.
• 채팅 메시지 — 보낸 사람이 모두에게서 삭제하거나 모든 참여자가 자신에게서 삭제할 때까지. 계정이 삭제되면 그 사람의 개인 채팅은 양쪽 모두에서 삭제되고 그룹 안의 메시지도 삭제됩니다. 그룹은 다른 멤버에게 남고 가장 먼저 참여한 멤버가 소유자가 됩니다. 그룹은 소유자가 삭제하거나 마지막 멤버가 나가면 삭제됩니다. Google 드라이브 공유 폴더 링크 — 폴더가 채팅에 연결되어 있는 동안. 신고 — 최대 12개월. "온라인"과 "입력 중" 표시는 "내 채팅 코드" 창에서 끌 수 있습니다. 예약 메시지는 전송될 때까지 보관되며, 전송 후 기록은 하루 안에, 전송되지 않은 메시지는 30일 후에 삭제됩니다.
• 음성 메시지의 음성 — 보낸 후 365일이 지나면 자동으로 삭제되며, 메시지 자체는 음성이 삭제되었다는 표시와 함께 대화에 남습니다. 음성은 Supabase의 비공개 파일 저장소(EU)에 보관되며 해당 메시지를 볼 수 있는 사람만 접근할 수 있습니다. 종단 간 암호화가 적용된 채팅에서는 암호화된 상태로 보관됩니다.
• 서버 백업: 최대 4주(최근 4개의 주간 백업을 보관).
• GitHub에 있는 전체 데이터베이스의 암호화된 백업: 최대 30일. 장애 복구용이며 키는 저희만 보유합니다. 삭제된 계정의 데이터는 이를 포함한 마지막 사본이 만료되면 사라집니다.
• 알림 구독: 사용되는 동안. 180일 넘게 사용되지 않은 구독은 자동으로 삭제됩니다.
• 오류 보고서: 최대 90일. 분석 데이터: 최대 12개월.
• 이전 버전 앱의 데이터(운동 GPS 경로와 '체형 지도' 모드)는 더 이상 수집하지 않으며 계정과 함께 삭제됩니다.

8. 이용자의 권리

• 열람 및 전송: 설정 → '데이터 내보내기'로 데이터 전체 사본을 JSON 형식으로 받을 수 있습니다.
• 채팅: 내 메시지를 모두에게서 삭제하고(메시지 메뉴 → "모두에게서 삭제"), 어떤 메시지나 채팅이든 나에게서 삭제하고, 상대를 차단하고, 언제든 그룹에서 나갈 수 있습니다. 그룹 소유자는 그룹 전체를 삭제할 수 있습니다. 대화는 "데이터 내보내기"에 포함됩니다.
• 정정: 모든 기록은 앱에서 수정할 수 있습니다.
• 계정 삭제: 설정 → '계정 영구 삭제'. 삭제 전에 데이터의 최종 사본이 자동으로 기기에 다운로드됩니다. 계정과 서버의 모든 데이터는 즉시 영구 삭제되며, 백업, Google 키, 로그는 24시간 이내에 삭제됩니다.
• 기기의 데이터: 로그아웃하면 데이터가 화면에서 사라지고 해당 계정으로 다시 로그인하면 돌아옵니다. 로그인하지 않으면 앱은 비어 있고 추가한 내용은 따로 보관됩니다. 데이터는 암호화되지 않은 채 기기에 남습니다. 삭제하려면 설정 → ‘기기에서 지우기’를 사용하세요.
• 동의 철회: 분석은 설정 → '분석 참여', Google 캘린더·알림·건강 연동은 '설정' 또는 시스템 설정의 해당 스위치에서 철회할 수 있습니다.
• 또한 당사에 연락해 처리 정지를 요구하거나 처리에 이의를 제기할 수 있으며, 거주 국가의 개인정보 보호 기관(한국의 경우 개인정보보호위원회)에 민원을 제기할 수 있습니다.

9. 쿠키 및 로컬 저장소

앱은 오프라인에서도 작동하도록 로그인 세션, 설정, 데이터를 기기에 저장합니다. 이는 서비스 제공에 반드시 필요합니다. PostHog 분석은 동의한 후에만 활성화됩니다. 광고용 쿠키나 제3자 추적 쿠키는 사용하지 않습니다.

10. 아동

이 앱은 만 16세 미만을 대상으로 하지 않으며, 당사는 이들의 데이터를 알면서 수집하지 않습니다. 아동이 데이터를 제공했다고 생각되면 연락해 주세요. 해당 데이터를 삭제하겠습니다.

11. 보안

당사는 암호화된 연결, 데이터베이스 수준의 데이터 격리, 암호화된 비밀 저장소, 알림에서 실행하는 작업을 위한 서명된 일회용 링크, 정기적인 보안 점검을 적용하고 있습니다. 완벽하게 안전한 시스템은 없으며, 유출 등의 사고가 이용자의 데이터에 영향을 미치면 법령이 정한 기간 내에 이용자와 감독 기관에 알리겠습니다.

12. 방침의 변경

중요한 변경이 있으면 상단의 날짜를 업데이트하고 앱에서 알려 드립니다. 변경 후에도 앱을 계속 사용하면 새 버전에 동의한 것으로 봅니다.

गोपनीयता नीति

अंतिम अपडेट: 7 नवंबर 2026

यह नीति बताती है कि Horizon ऐप (uhrzn.com वेबसाइट, इंस्टॉल किया गया वेब ऐप तथा iOS और Android ऐप) कौन-सा डेटा, किस उद्देश्य से प्रोसेस करता है, उसे कहाँ संग्रहीत किया जाता है और आप उसे कैसे नियंत्रित कर सकते हैं।

1. आपके डेटा के लिए कौन ज़िम्मेदार है

डेटा के लिए ज़िम्मेदार (डेटा फ़िड्यूशरी / डेटा नियंत्रक) Horizon का डेवलपर Maksim Kozak (एक व्यक्ति) है। अपने डेटा से जुड़े किसी भी प्रश्न, सहमति वापस लेने या अपने अधिकारों का उपयोग करने के लिए [email protected] पर लिखें। हम 30 दिनों के भीतर जवाब देते हैं।

2. हम कौन-सा डेटा प्रोसेस करते हैं

• खाता। आपका ईमेल पता (जब आप Google से या ईमेल पर भेजे गए कोड से साइन इन करते हैं)। Google से साइन इन करने पर साइन-इन सेवा को आपकी Google प्रोफ़ाइल का नाम और फ़ोटो भी मिलती है। हम पासवर्ड संग्रहीत नहीं करते।
• आपकी सामग्री। कार्य, उप-कार्य, प्रोजेक्ट, दोहराव के नियम, नोट्स, प्रोजेक्ट की तालिकाएँ और आरेख, आदतें और उनकी पूर्ति, फ़्लैशकार्ड डेक और कार्ड, जीवन-संतुलन चक्र और भावना डायरी की प्रविष्टियाँ।
• चैट (अगर आप इसका इस्तेमाल करते हैं)। आपका निजी चैट कोड; आपके भेजे और पाए गए टेक्स्ट और वॉइस संदेश (आपकी आवाज़ की रिकॉर्डिंग) और उनके भेजे जाने, बदले जाने और पढ़े जाने का समय; संपर्कों को आपके दिए नाम (सिर्फ़ आपको दिखते हैं); म्यूट और ब्लॉक की सेटिंग। समूहों में: समूह का नाम, आमंत्रण कोड, सदस्य और मालिक की भूमिका, साथ ही वह नाम जो आपने समूह के लिए चुना। अगर आप शिकायत करते हैं: शिकायत, आपकी टिप्पणी और उस चैट के आख़िरी 50 संदेशों की प्रति। Google ड्राइव का साझा फ़ोल्डर खंड 6 में बताया गया है। संदेशों पर प्रतिक्रियाएँ; एंड-टू-एंड एन्क्रिप्शन की सार्वजनिक कुंजियाँ और रिकवरी कोड से एन्क्रिप्ट की गई आपकी निजी कुंजी की प्रति (कोड सिर्फ़ आप जानते हैं); पुराने डिवाइस से QR द्वारा नया डिवाइस जोड़ते समय — 10 मिनट के लिए नए डिवाइस की एक बार की सार्वजनिक कुंजी और उसके लिए एन्क्रिप्ट किया गया आपका रिकवरी कोड (उसे केवल वही डिवाइस पढ़ सकता है); समूहों के ख़ास आमंत्रण (अवधि और इस्तेमाल की संख्या)। समूहों में भूमिकाएँ (मालिक, एडमिन), समूह की अनुमतियाँ, पिन किए गए संदेश, सदस्यों का ज़िक्र और “आगे भेजा गया” निशान। कार्य सूचियाँ (किसने कब मद पर निशान लगाया — चैट सदस्यों को दिखता है), थ्रेड में जवाब, पसंदीदा के निशान, पिन और संग्रहित चैट (केवल आपको दिखते हैं) और शेड्यूल किए गए संदेश — भेजे जाने तक वे सर्वर पर रखे जाते हैं, एन्क्रिप्टेड चैट में एन्क्रिप्टेड रूप में। चैलेंज और मुलाक़ातें: शीर्षक और जगह संदेश के टेक्स्ट में होते हैं (बातचीत के साथ एन्क्रिप्ट होते हैं); सर्वर पर अवधि, समय, कौन भाग ले रहा है और किन दिनों निशान लगाया, तथा “शामिल / शायद / शामिल नहीं” जवाब रहते हैं (चैट सदस्यों को दिखते हैं); चैलेंज का आपकी आदत से और मुलाक़ात का आपके Horizon कार्य से जुड़ाव केवल आपको दिखता है। समूह सेटिंग: धीमा मोड, कौन संदेश पिन करता है, “एडमिन ने हटाया” चिह्न।
• स्वास्थ्य डेटा (“स्वास्थ्य” अनुभाग, केवल तभी जब आप उसका उपयोग करें)। भोजन (मील, कैलोरी और पोषक तत्व), पानी, वज़न और शरीर के माप, नींद और अलार्म का समय, क़दम और गतिविधि, उपवास की समय-सारणी, पोषण प्रोफ़ाइल (लिंग, आयु, ऊँचाई, वज़न, गतिविधि स्तर, लक्ष्य)। यदि आप “महिला स्वास्थ्य” चालू करते हैं: चक्र की तारीख़ें और अवधि, तबीयत, लक्षण, तापमान, दवाओं और गर्भावस्था से जुड़े नोट्स। यह संवेदनशील व्यक्तिगत डेटा है: हम इसे केवल आपकी स्पष्ट सहमति से प्रोसेस करते हैं, जो आप इसे दर्ज करके देते हैं और प्रविष्टियाँ हटाकर या सेटिंग्स में अनुभाग बंद करके वापस ले सकते हैं।
• Apple Health और Health Connect (केवल मोबाइल ऐप में और केवल आपकी अनुमति से)। ऐप क़दम, नींद, वज़न और आराम की हृदय गति पढ़ता है और आपके द्वारा हाथ से दर्ज किया गया पानी और वज़न लिख सकता है (अलग स्विच से)। यह डेटा केवल “स्वास्थ्य” अनुभाग में दिखाने के लिए उपयोग होता है; इसका उपयोग विज्ञापन के लिए नहीं होता, इसे तीसरे पक्षों से साझा नहीं किया जाता और बेचा नहीं जाता।
• सूचनाएँ। यदि आप रिमाइंडर चालू करते हैं: आपके ब्राउज़र की पुश सब्सक्रिप्शन का तकनीकी पता या डिवाइस टोकन, आपका टाइम ज़ोन, भाषा और रिमाइंडर के लिए चुना गया अग्रिम समय।
• Google कैलेंडर (वैकल्पिक)। अनुभाग 6 देखें।
• फ़ीडबैक। फ़ीडबैक फ़ॉर्म से भेजी गई रेटिंग और टिप्पणी।
• तकनीकी डेटा। त्रुटि रिपोर्ट (Sentry): ब्राउज़र और ऑपरेटिंग सिस्टम का प्रकार, ऐप का संस्करण, त्रुटि का पाठ और उससे पहले के क़दम — आपके कार्यों और नोट्स की सामग्री, ईमेल पतों और साइन-इन टोकन के बिना (इन्हें भेजने से पहले हटा दिया जाता है)। अनुरोधों को प्रोसेस करते समय सेवाएँ आपके डिवाइस का IP पता देखती हैं। ऐप आपका IP पता त्रुटि रिपोर्ट में नहीं जोड़ता, और एनालिटिक्स हमारे प्रॉक्सी से होकर जाता है, जो IP पता हटा देता है, इसलिए PostHog को यह नहीं मिलता।
• एनालिटिक्स (केवल बैनर में या सेटिंग्स में आपकी सहमति के बाद)। सुविधाओं के उपयोग की छद्मनामित घटनाएँ और पेज की गति के माप (PostHog) — आपके द्वारा लिखे गए पाठ के बिना और आपके खाते से जोड़े बिना।

3. हम डेटा किस उद्देश्य और किस आधार पर प्रोसेस करते हैं

• ऐप का संचालन और आपके डिवाइसों के बीच सिंक — आपके साथ हमारे अनुबंध (उपयोग की शर्तें) का पालन।
• स्वास्थ्य डेटा, Apple Health, Health Connect और Google कैलेंडर के साथ एकीकरण, रिमाइंडर और एनालिटिक्स — आपकी सहमति।
• त्रुटियाँ ठीक करना, दुरुपयोग रोकना और बैकअप रखना — एक स्थिर और सुरक्षित सेवा देने में हमारा वैध हित।

हम डेटा नहीं बेचते, विज्ञापन नहीं दिखाते, डेटा को विज्ञापन नेटवर्क या डेटा ब्रोकरों से साझा नहीं करते और आपकी सामग्री का उपयोग AI मॉडल को प्रशिक्षित करने के लिए नहीं करते।

4. डेटा कहाँ और कैसे संग्रहीत होता है

• आपका खाता और सामग्री यूरोपीय संघ में स्थित Supabase डेटाबेस में संग्रहीत होते हैं। डेटाबेस के स्तर पर केवल मालिक ही अपने रिकॉर्ड तक पहुँच सकता है (Row Level Security)। कनेक्शन हमेशा एन्क्रिप्टेड होता है (HTTPS)।
• चैट संदेश ही एकमात्र डेटा है जिसे दूसरे लोग देखते हैं: निजी चैट में सिर्फ़ दोनों प्रतिभागी, समूह में उसके मौजूदा सदस्य, और नया सदस्य सिर्फ़ शामिल होने के बाद के संदेश देखता है (Row Level Security)। निजी चैट एंड-टू-एंड एन्क्रिप्टेड हैं: टेक्स्ट और वॉइस संदेश डिवाइस पर उन कुंजियों से एन्क्रिप्ट होते हैं जो सिर्फ़ आप दोनों के पास हैं, सर्वर पर सिर्फ़ सिफ़रटेक्स्ट रहता है और सूचना संदेश के टेक्स्ट के बिना आती है। जब सभी सदस्यों के पास एन्क्रिप्शन कुंजी होती है, तो समूह चैट भी एंड-टू-एंड एन्क्रिप्टेड होती हैं: समूह की कुंजी हर सदस्य को एन्क्रिप्ट करके दी जाती है और सदस्यों में हर बदलाव पर बदलती है, इसलिए नया सदस्य पहले के संदेश और छोड़ने वाला व्यक्ति नए संदेश नहीं पढ़ सकता; ऐसे समूह की सूचनाएँ बिना टेक्स्ट के आती हैं। जब तक सबके पास कुंजी न हो (जैसे किसी के पास ऐप का पुराना संस्करण हो), समूह के संदेश आपकी बाकी सामग्री की तरह डेटाबेस में रखे जाते हैं, और सूचना में समूह का नाम, लेखक और टेक्स्ट की शुरुआत होती है। जिनसे आप चैट करते हैं, उनमें से कोई भी आपका ईमेल पता, आपकी बाकी सामग्री, स्वास्थ्य डेटा या उन्हें दिए गए नाम नहीं देख सकता। “ऑनलाइन” और “टाइप कर रहे हैं…” संकेत सिर्फ़ चैट के साथियों को उसी पल भेजे जाते हैं और सहेजे नहीं जाते; आप इन्हें बंद कर सकते हैं (तब आप भी दूसरों के नहीं देख पाएँगे)। एन्क्रिप्टेड चैट में खोज आपके डिवाइस पर होती है। समूह के सदस्य भूमिकाएँ, पिन किए गए संदेश और यह देखते हैं कि उनके अपने संदेश किसने और कब पढ़े। “याद दिलाएँ” और “मेरे कामों में जोड़ें” आपके खाते में सामान्य काम बनाते हैं। जिस समूह में एन्क्रिप्शन एक बार चालू हो चुका है, वह बिना कुंजी वाले व्यक्ति के जुड़ने पर भी एन्क्रिप्टेड रहता है: वह व्यक्ति कुंजी मिलने तक नए संदेश नहीं पढ़ सकता। सर्वर पाठ नहीं देखता, पर यह देखता है कि कौन किसे कब लिखता है, प्रतिक्रियाएँ, समूहों के नाम, समूहों में नाम और मुलाकातों की तारीखें। संदेशों पर हस्ताक्षर नहीं होते, इसलिए सुरक्षा कोड आपके संपर्कों की कुंजियों की पुष्टि करता है, हर संदेश की नहीं।
• Google कैलेंडर और Google ड्राइव की एक्सेस कुंजियाँ एक एन्क्रिप्टेड सीक्रेट स्टोर (Supabase Vault) में रखी जाती हैं और कभी ब्राउज़र को नहीं भेजी जातीं।
• हर खाते का सर्वर पर साप्ताहिक बैकअप बनाया जाता है; अंतिम 4 बैकअप रखे जाते हैं। आप सेटिंग्स में इनमें से किसी एक को पुनर्स्थापित कर सकते हैं। बैकअप उसी इंफ़्रास्ट्रक्चर में रखे जाते हैं जिसमें स्वयं डेटा है, इसलिए वे आपकी अपनी कॉपी (“डेटा निर्यात करें”) की जगह नहीं लेते।
• आप साइन इन किए बिना भी ऐप का उपयोग कर सकते हैं — तब आपका डेटा केवल आपके डिवाइस पर संग्रहीत होता है। साइन इन करने पर इसे आपके खाते में ले जाया जाता है, जैसे साइन आउट के बाद किए गए बदलाव भी।
• ऐप ऑफ़लाइन काम कर सके, इसलिए आपके डिवाइस पर डेटा ब्राउज़र या ऐप के स्टोरेज में रखा जाता है। PIN कोड केवल ऐप की स्क्रीन लॉक करता है; यह डिवाइस पर डेटा को एन्क्रिप्ट नहीं करता।

5. डेटा किसे मिलता है

केवल उन सेवा प्रदाताओं को जिनके बिना सेवा काम नहीं कर सकती, और केवल उतना जितना उनके काम के लिए ज़रूरी है:

• Supabase — डेटाबेस, साइन-इन, सर्वर फ़ंक्शन, बैकअप स्टोरेज (EU)।
• GitHub — पूरे डेटाबेस की एन्क्रिप्टेड बैकअप प्रति (अमेरिका)।
• Resend — साइन-इन कोड वाले ईमेल भेजना (आपका ईमेल पता और कोड वाले ईमेल का पाठ प्राप्त करता है; अमेरिकी कंपनी, ईमेल जापान स्थित सर्वरों से भेजे जाते हैं; स्थानांतरण मानक संविदात्मक खंडों के आधार पर)।
• Cloudflare — वेबसाइट होस्टिंग, फ़ाइल डिलीवरी, बॉट से सुरक्षा (Turnstile), उत्पाद खोज और एनालिटिक्स का प्रॉक्सी; अमेरिकी कंपनी, स्थानांतरण मानक संविदात्मक खंडों के आधार पर।
• Sentry — त्रुटि रिपोर्ट (EU; IP पते संग्रहीत नहीं किए जाते)।
• PostHog — छद्मनामित एनालिटिक्स, केवल सहमति से (अमेरिका; स्थानांतरण मानक संविदात्मक खंडों के आधार पर)।
• Google — Google से साइन इन, Google कैलेंडर और Google ड्राइव (अगर जुड़े हों), Chrome और Android पर सूचनाएँ पहुँचाना (Firebase Cloud Messaging), Chrome में वाक् पहचान।
• Apple — iPhone, iPad और Mac पर सूचनाएँ पहुँचाना (Apple Push Notification service), Safari और iOS में वाक् पहचान।
• Mozilla और अन्य ब्राउज़र निर्माता — अपने ब्राउज़रों में सूचनाएँ पहुँचाना।
• Open Food Facts — उत्पाद खोज और बारकोड स्कैन: केवल खोज शब्द या बारकोड भेजा जाता है।
• quickchart.io, api.qrserver.com — वेबसाइट के लिंक वाला QR कोड बनाना (कोई व्यक्तिगत डेटा नहीं)।

आवाज़ से इनपुट आपके ब्राउज़र या सिस्टम की वाक् पहचान का उपयोग करता है: ऑडियो को उसका प्रदाता (Google या Apple) प्रोसेस करता है और ऐप को केवल पहचाना गया पाठ मिलता है। भावना डायरी की प्रविष्टियों का मनोभाव विश्लेषण आपके डिवाइस पर होता है; पाठ कहीं नहीं भेजा जाता। हम अधिकारियों को डेटा केवल तभी देते हैं जब क़ानून इसकी माँग करे।

6. Google कैलेंडर और Google ड्राइव (वैकल्पिक)

Google कैलेंडर सिंक केवल आप ही चालू करते हैं: सेटिंग्स → Google कैलेंडर → “कनेक्ट करें”। आपकी अनुमति से ऐप को आपके कैलेंडर के इवेंट तक पहुँच (calendar.events स्कोप) मिलती है और वह इसका उपयोग केवल दो-तरफ़ा सिंक के लिए करता है: तारीख़ वाले कार्य आपके मुख्य कैलेंडर में इवेंट के रूप में बनाए, अपडेट किए और हटाए जाते हैं, और Google कैलेंडर में आपके द्वारा बनाए गए इवेंट Horizon में कार्यों के रूप में दिखते हैं।

• कौन-सा डेटा: इवेंट का शीर्षक, शुरू और ख़त्म होने की तारीख़ और समय, इवेंट ID। विवरण, प्रतिभागी, स्थान और अटैचमेंट न पढ़े जाते हैं, न संग्रहीत किए जाते हैं।
• उपयोग: केवल सिंक के लिए। डेटा बेचा नहीं जाता, तीसरे पक्षों से साझा नहीं किया जाता और विज्ञापन या AI प्रशिक्षण के लिए उपयोग नहीं होता। कोई व्यक्ति इसे तब तक नहीं पढ़ता जब तक आप किसी त्रुटि में मदद न माँगें, क़ानून इसकी माँग न करे या दुरुपयोग रोकने के लिए यह ज़रूरी न हो।
• डिस्कनेक्ट करना: सेटिंग्स → Google कैलेंडर → “डिस्कनेक्ट करें” Google पर पहुँच रद्द कर देता है और सिंक रोक देता है; पहले से बने इवेंट आपके कैलेंडर में बने रहते हैं। खाता हटाने पर पहुँच अपने आप रद्द हो जाती है। आप myaccount.google.com/permissions पर भी पहुँच रद्द कर सकते हैं।

Google ड्राइव (चैट का साझा फ़ोल्डर)। इसे सिर्फ़ आप ही चैट से चालू करते हैं: “Google ड्राइव पर साझा फ़ोल्डर” बटन → “फ़ोल्डर बनाएँ”। ऐप को सिर्फ़ उन्हीं फ़ोल्डरों और फ़ाइलों तक पहुँच मिलती है जो उसने ख़ुद बनाए (एक्सेस दायरा drive.file), आपके पूरे ड्राइव तक नहीं।

• कौन-सा डेटा: चैट का फ़ोल्डर आपके Google ड्राइव पर बनता है और उसमें वे फ़ाइलें जाती हैं जो आप और चैट के सदस्य ऐप के ज़रिए अपलोड करते हैं। फ़ाइलें ब्राउज़र से सीधे Google को जाती हैं; हमारे सर्वर से सिर्फ़ फ़ाइल का नाम, प्रकार और आकार गुज़रता है। हम फ़ोल्डर की ID और लिंक रखते हैं।
• कौन देखता है: चैट के सदस्यों को फ़ोल्डर का सिर्फ़ देखने वाला लिंक मिलता है, और Google उन्हें फ़ाइलों के मालिक के रूप में आपका नाम और Google खाते का पता दिखाता है। जिसे भी लिंक भेजा जाए, वह फ़ोल्डर खोल सकता है; चैट से हटाए गए लोगों के पास लिंक तब तक रहता है जब तक आप फ़ोल्डर अलग नहीं करते। सार्वजनिक एन्क्रिप्शन कुंजियाँ — जब तक खाता है (आख़िरी 20 कुंजियाँ), निजी कुंजी की प्रति — कुंजी बदलने या खाता हटाने तक। इस्तेमाल हो चुके ख़ास आमंत्रण 7 दिनों के भीतर हटा दिए जाते हैं।
• बंद करना: “फ़ोल्डर अलग करें” लिंक से पहुँच बंद करता है; “Google ड्राइव डिस्कनेक्ट करें” आपके सभी फ़ोल्डरों की लिंक से पहुँच बंद करता है और Google पर पहुँच रद्द करता है। खाता हटाने पर यह अपने-आप होता है। फ़ोल्डर और फ़ाइलें आपके ड्राइव पर रहती हैं — आप उन्हें Google ड्राइव में हटा सकते हैं।

Google API से प्राप्त जानकारी का Horizon द्वारा उपयोग और किसी अन्य ऐप को उसका स्थानांतरण, सीमित उपयोग की आवश्यकताओं सहित, Google API सेवा उपयोगकर्ता डेटा नीति का पालन करेगा।

7. डेटा कितने समय तक रखा जाता है

• खाता और सामग्री — जब तक खाता मौजूद है। आपके द्वारा हटाए गए कार्य, प्रोजेक्ट, आदतें और अन्य रिकॉर्ड ट्रैश में जाते हैं और 90 दिनों के बाद स्थायी रूप से हटा दिए जाते हैं।
• चैट संदेश — जब तक भेजने वाला उन्हें सभी के लिए न हटाए या सभी प्रतिभागी उन्हें अपने लिए न हटा दें। किसी के खाता हटाने पर उसकी निजी चैट दोनों के लिए पूरी तरह हट जाती हैं और समूहों से उसके संदेश हट जाते हैं; समूह बाकी सदस्यों के पास रहता है और सबसे पहले जुड़ा सदस्य मालिक बन जाता है। समूह तब हटता है जब मालिक उसे हटाए या आख़िरी सदस्य उसे छोड़ दे। Google ड्राइव के साझा फ़ोल्डर का लिंक — जब तक फ़ोल्डर चैट से जुड़ा है। शिकायतें — 12 महीने से ज़्यादा नहीं। “ऑनलाइन” और “टाइप कर रहे हैं…” संकेत “आपका चैट कोड” विंडो में बंद किए जा सकते हैं। शेड्यूल किए गए संदेश भेजे जाने तक रखे जाते हैं; भेजने के बाद रिकॉर्ड एक दिन में और न भेजा गया संदेश 30 दिन बाद हटा दिया जाता है।
• वॉइस संदेशों का ऑडियो — भेजने के 365 दिन बाद अपने-आप हटा दिया जाता है; संदेश स्वयं बातचीत में इस सूचना के साथ बना रहता है कि ऑडियो हटा दिया गया है। ऑडियो Supabase के निजी फ़ाइल स्टोरेज (EU) में रखा जाता है और केवल वही लोग उस तक पहुँच सकते हैं जिन्हें संदेश दिखता है; एंड-टू-एंड एन्क्रिप्शन वाली चैट में यह एन्क्रिप्टेड रूप में रखा जाता है।
• सर्वर बैकअप — 4 सप्ताह तक (अंतिम 4 साप्ताहिक बैकअप रखे जाते हैं)।
• GitHub पर पूरे डेटाबेस की एन्क्रिप्टेड बैकअप प्रति — 30 दिनों तक। यह विफलता के बाद पुनर्स्थापना के लिए है और इसकी कुंजी केवल हमारे पास है। हटाए गए खाते का डेटा उसे रखने वाली अंतिम प्रति की अवधि समाप्त होने पर उससे हट जाता है।
• सूचना सब्सक्रिप्शन — जब तक उपयोग में हों; 180 दिनों से अधिक समय से निष्क्रिय सब्सक्रिप्शन अपने आप हटा दिए जाते हैं।
• त्रुटि रिपोर्ट — 90 दिनों से अधिक नहीं; एनालिटिक्स — 12 महीनों से अधिक नहीं।
• ऐप के पुराने संस्करणों का डेटा (वर्कआउट के GPS ट्रैक और “शेप मैप” मोड) अब एकत्र नहीं किया जाता और खाते के साथ हटा दिया जाता है।

8. आपके अधिकार

• पहुँच और पोर्टेबिलिटी: सेटिंग्स → “डेटा निर्यात करें” — JSON में आपके डेटा की पूरी कॉपी।
• चैट: आप अपना संदेश सभी के लिए हटा सकते हैं (संदेश मेनू → “सभी के लिए हटाएँ”), कोई भी संदेश या चैट अपने लिए हटा सकते हैं, संपर्क को ब्लॉक कर सकते हैं और किसी भी समय समूह छोड़ सकते हैं; समूह का मालिक पूरा समूह हटा सकता है। आपकी बातचीत “डेटा निर्यात” में शामिल है।
• सुधार: ऐप में कोई भी रिकॉर्ड संपादित किया जा सकता है।
• खाता हटाना: सेटिंग्स → “खाता हमेशा के लिए हटाएँ”। हटाने से पहले आपके डेटा की अंतिम कॉपी अपने आप आपके डिवाइस पर डाउनलोड हो जाती है। खाता और सर्वर पर मौजूद सारा डेटा तुरंत और स्थायी रूप से हटा दिया जाता है; बैकअप, Google कुंजियाँ और लॉग 24 घंटों के भीतर हटा दिए जाते हैं।
• डिवाइस पर डेटा: साइन आउट करने पर आपका डेटा स्क्रीन से हट जाता है और उसी खाते में अगली बार साइन इन करने पर लौट आता है; बिना साइन इन के ऐप खाली रहता है और तब जोड़ा गया डेटा अलग रखा जाता है। डेटा डिवाइस पर बिना एन्क्रिप्शन के रहता है। इसे हटाने के लिए सेटिंग्स → “डिवाइस से मिटाएँ” का उपयोग करें।
• सहमति वापस लेना: एनालिटिक्स — सेटिंग्स → “एनालिटिक्स में भागीदारी”; Google कैलेंडर, रिमाइंडर और स्वास्थ्य एकीकरण — सेटिंग्स या आपके सिस्टम की सेटिंग्स में संबंधित स्विच।
• आप हमें लिखकर प्रोसेसिंग सीमित करने का अनुरोध भी कर सकते हैं या उस पर आपत्ति कर सकते हैं, और अपने देश के डेटा संरक्षण प्राधिकरण (भारत में भारतीय डेटा संरक्षण बोर्ड) में शिकायत दर्ज कर सकते हैं।

9. कुकी और लोकल स्टोरेज

ऐप ऑफ़लाइन काम कर सके, इसके लिए वह आपका साइन-इन सत्र, सेटिंग्स और डेटा डिवाइस पर रखता है — यह सेवा के लिए अनिवार्य रूप से आवश्यक है। PostHog एनालिटिक्स केवल आपकी सहमति के बाद चालू होता है। विज्ञापन या तीसरे पक्ष की ट्रैकिंग कुकी नहीं हैं।

10. बच्चे

यह ऐप 16 वर्ष से कम आयु के बच्चों के लिए नहीं है और हम जानबूझकर उनका डेटा एकत्र नहीं करते। यदि आपको लगता है कि किसी बच्चे ने हमें डेटा दिया है, तो हमें लिखें, हम उसे हटा देंगे।

11. सुरक्षा

हम एन्क्रिप्टेड कनेक्शन, डेटाबेस स्तर पर डेटा का अलगाव, एन्क्रिप्टेड सीक्रेट स्टोर, सूचनाओं से की जाने वाली कार्रवाइयों के लिए एक बार उपयोग होने वाले हस्ताक्षरित लिंक और नियमित सुरक्षा समीक्षाओं का उपयोग करते हैं। कोई भी सिस्टम पूरी तरह सुरक्षित नहीं होता; यदि किसी उल्लंघन से आपका डेटा प्रभावित होता है, तो हम क़ानून द्वारा निर्धारित समय के भीतर आपको और पर्यवेक्षी प्राधिकरण को सूचित करेंगे।

12. इस नीति में बदलाव

महत्वपूर्ण बदलावों पर हम ऊपर दी गई तारीख़ अपडेट करेंगे और ऐप में आपको सूचित करेंगे। बदलावों के बाद ऐप का उपयोग जारी रखकर आप नया संस्करण स्वीकार करते हैं।

Kebijakan Privasi

Terakhir diperbarui: 7 November 2026

Kebijakan ini menjelaskan data apa yang diproses oleh aplikasi Horizon (situs web uhrzn.com, aplikasi web yang dipasang, serta aplikasi iOS dan Android), untuk tujuan apa, di mana data disimpan, dan bagaimana Anda dapat mengendalikannya.

1. Pengendali data

Pengendali Data Pribadi adalah pengembang Horizon, Maksim Kozak (perorangan). Untuk pertanyaan apa pun tentang data Anda, untuk menarik persetujuan, atau untuk menggunakan hak Anda, kirim email ke [email protected]. Kami membalas dalam 30 hari.

2. Data yang kami proses

• Akun. Alamat email Anda (saat Anda masuk dengan Google atau dengan kode yang dikirim lewat email). Saat Anda masuk dengan Google, layanan masuk juga menerima nama dan foto profil Google Anda. Kami tidak menyimpan kata sandi.
• Konten Anda. Tugas, subtugas, proyek, aturan pengulangan, catatan, tabel dan diagram proyek, kebiasaan dan catatan penyelesaiannya, dek dan kartu belajar, roda keseimbangan, serta entri jurnal emosi.
• Obrolan (jika Anda menggunakannya). Kode obrolan pribadi Anda; pesan teks dan pesan suara (rekaman suara Anda) yang Anda kirim dan terima serta waktu pengiriman, pengeditan, dan pembacaannya; nama yang Anda berikan kepada kontak (hanya terlihat oleh Anda); pengaturan senyap dan blokir. Di grup: judul grup, kode undangan, anggota dan peran pemilik, serta nama yang Anda pilih untuk grup tersebut. Jika Anda melaporkan seseorang: laporan, komentar Anda, dan salinan 50 pesan terakhir dari obrolan itu. Folder bersama di Google Drive dijelaskan di bagian 6. Tanggapan atas pesan; kunci publik enkripsi end-to-end dan salinan kunci privat Anda yang dienkripsi dengan kode pemulihan (hanya Anda yang mengetahui kodenya); saat menautkan perangkat baru dengan QR dari perangkat lama — selama 10 menit, kunci publik sekali pakai perangkat baru dan kode pemulihan Anda yang dienkripsi untuknya (hanya perangkat itu yang dapat membacanya); undangan khusus grup (batas waktu dan jumlah penggunaan). Peran di grup (pemilik, admin), izin grup, pesan yang disematkan, sebutan anggota, dan tanda “diteruskan”. Daftar tugas (siapa yang mencentang butir dan kapan terlihat oleh anggota obrolan), balasan di utas, tanda berbintang, obrolan yang disematkan dan diarsipkan (hanya terlihat oleh Anda), serta pesan terjadwal — hingga dikirim, pesan disimpan di server, terenkripsi di obrolan terenkripsi. Tantangan dan pertemuan: judul dan tempat ada di teks pesan (dienkripsi bersama percakapan); server menyimpan tanggal, waktu, siapa yang ikut dan pada hari apa mencentang, serta jawaban “hadir / mungkin / tidak hadir” (terlihat oleh anggota obrolan); tautan tantangan dengan kebiasaan Anda dan pertemuan dengan tugas Horizon Anda hanya terlihat oleh Anda. Pengaturan grup: mode lambat, siapa yang menyematkan pesan, tanda “dihapus oleh admin”.
• Data kesehatan (bagian “Kesehatan”, hanya jika Anda menggunakannya). Makanan (hidangan, kalori, dan nutrisi), air, berat badan dan ukuran tubuh, waktu tidur dan alarm, langkah dan aktivitas, jadwal puasa, profil nutrisi (jenis kelamin, usia, tinggi, berat badan, tingkat aktivitas, tujuan). Jika Anda mengaktifkan “Kesehatan wanita”: tanggal dan panjang siklus, kondisi tubuh, gejala, suhu tubuh, catatan obat dan kehamilan. Ini adalah data pribadi yang bersifat spesifik: kami hanya memprosesnya dengan persetujuan eksplisit Anda, yang Anda berikan dengan memasukkannya dan dapat Anda tarik dengan menghapus entri atau menonaktifkan bagian tersebut di Pengaturan.
• Apple Health dan Health Connect (hanya di aplikasi seluler dan hanya dengan izin Anda). Aplikasi membaca langkah, tidur, berat badan, dan detak jantung saat istirahat, serta dapat menulis air dan berat badan yang Anda masukkan secara manual (dengan sakelar terpisah). Data ini hanya digunakan untuk ditampilkan di bagian “Kesehatan”; data ini tidak digunakan untuk iklan, tidak dibagikan kepada pihak ketiga, dan tidak dijual.
• Notifikasi. Jika Anda mengaktifkan pengingat: alamat teknis langganan push peramban Anda atau token perangkat, zona waktu, bahasa, dan waktu pengingat yang Anda pilih.
• Google Kalender (opsional). Lihat bagian 6.
• Masukan. Penilaian dan komentar yang Anda kirim melalui formulir masukan.
• Data teknis. Laporan kesalahan (Sentry): jenis peramban dan sistem operasi, versi aplikasi, teks kesalahan, dan langkah sebelum kesalahan terjadi — tanpa isi tugas dan catatan Anda, tanpa alamat email, dan tanpa token masuk (semuanya dihapus sebelum dikirim). Layanan melihat alamat IP perangkat Anda saat memproses permintaan. Aplikasi tidak menambahkan alamat IP Anda ke laporan kesalahan, dan analitik melewati proksi kami yang menghapus alamat IP, sehingga PostHog tidak menerimanya.
• Analitik (hanya setelah Anda menyetujuinya di banner atau di Pengaturan). Peristiwa penggunaan fitur yang dipseudonimkan dan metrik kecepatan halaman (PostHog) — tanpa teks yang Anda ketik dan tanpa dikaitkan dengan akun Anda.

3. Tujuan dan dasar pemrosesan

• Menjalankan aplikasi dan menyinkronkan data antarperangkat Anda — pelaksanaan perjanjian dengan Anda (Ketentuan Penggunaan).
• Data kesehatan, integrasi dengan Apple Health, Health Connect, dan Google Kalender, pengingat, serta analitik — persetujuan Anda.
• Memperbaiki kesalahan, mencegah penyalahgunaan, dan membuat cadangan — kepentingan yang sah dari kami untuk menyediakan layanan yang stabil dan aman.

Kami tidak menjual data, tidak menampilkan iklan, tidak membagikan data kepada jaringan iklan atau pialang data, dan tidak menggunakan konten Anda untuk melatih model kecerdasan buatan.

4. Di mana dan bagaimana data disimpan

• Akun dan konten Anda disimpan di basis data Supabase di Uni Eropa. Di tingkat basis data, hanya pemiliknya yang dapat mengakses catatannya (Row Level Security). Koneksi selalu dienkripsi (HTTPS).
• Pesan obrolan adalah satu-satunya data yang dilihat orang lain: di obrolan pribadi hanya dua peserta, di grup hanya anggota saat ini, dan anggota baru hanya melihat pesan setelah ia bergabung (Row Level Security). Obrolan pribadi dienkripsi end-to-end: teks dan pesan suara dienkripsi di perangkat dengan kunci yang hanya dimiliki kedua peserta, server hanya menyimpan teks terenkripsi, dan notifikasi datang tanpa isi pesan. Obrolan grup juga dienkripsi end-to-end setelah semua anggota memiliki kunci enkripsi: kunci grup dikirim terenkripsi kepada setiap anggota dan berganti setiap kali anggota berubah, sehingga anggota baru tidak dapat membaca pesan sebelumnya dan yang keluar tidak dapat membaca pesan baru; notifikasi dari grup seperti itu datang tanpa teks. Selama belum semua memiliki kunci (misalnya ada yang memakai versi lama aplikasi), pesan grup disimpan di basis data seperti konten Anda yang lain, dan notifikasi berisi judul grup, penulis, dan awal teks. Tidak seorang pun lawan bicara Anda dapat melihat alamat email Anda, konten Anda yang lain, data kesehatan, atau nama yang Anda berikan kepada mereka. Indikator “online” dan “sedang mengetik…” hanya dikirim secara langsung kepada lawan bicara dan tidak disimpan; Anda dapat mematikannya (maka Anda juga tidak melihatnya pada orang lain). Pencarian di obrolan terenkripsi dilakukan di perangkat Anda. Anggota grup melihat peran, pesan yang disematkan, serta siapa yang membaca pesan mereka sendiri dan kapan. “Ingatkan saya” dan “Tambah ke tugas saya” membuat tugas biasa di akun Anda. Grup yang enkripsinya pernah aktif tetap terenkripsi meskipun ada orang tanpa kunci yang bergabung: orang itu tidak dapat membaca pesan baru sampai memiliki kunci. Server tidak melihat isi teks, tetapi melihat siapa menulis kepada siapa dan kapan, reaksi, nama grup, nama dalam grup, dan tanggal acara. Pesan tidak ditandatangani, jadi kode keamanan mengonfirmasi kunci lawan bicara Anda, bukan setiap pesan.
• Kunci akses Google Kalender dan Google Drive disimpan di penyimpanan rahasia terenkripsi (Supabase Vault) dan tidak pernah dikirim ke peramban.
• Cadangan setiap akun dibuat di server setiap minggu; 4 cadangan terakhir disimpan. Anda dapat memulihkan salah satunya di Pengaturan. Cadangan disimpan di infrastruktur yang sama dengan datanya, sehingga tidak menggantikan salinan Anda sendiri (“Ekspor data”).
• Anda dapat menggunakan aplikasi tanpa masuk — data Anda kemudian hanya disimpan di perangkat Anda. Saat Anda masuk, data dipindahkan ke akun Anda, begitu pula perubahan yang dibuat setelah Anda keluar.
• Di perangkat Anda, data disimpan di penyimpanan peramban atau aplikasi agar aplikasi dapat berfungsi secara offline. Kode PIN hanya mengunci layar aplikasi; kode ini tidak mengenkripsi data di perangkat.

5. Siapa yang menerima data

Hanya penyedia yang tanpanya layanan tidak dapat berjalan, dan hanya sejauh yang diperlukan untuk tugas mereka:

• Supabase — basis data, proses masuk, fungsi server, penyimpanan cadangan (UE).
• GitHub — cadangan terenkripsi seluruh basis data (AS).
• Resend — pengiriman email berisi kode masuk (menerima alamat email Anda dan teks email berisi kode; perusahaan AS, email dikirim melalui server di Jepang; transfer berdasarkan klausul kontrak standar).
• Cloudflare — hosting situs web, pengiriman berkas, perlindungan dari bot (Turnstile), proksi untuk pencarian produk dan analitik; perusahaan AS, transfer berdasarkan klausul kontrak standar.
• Sentry — laporan kesalahan (UE; alamat IP tidak disimpan).
• PostHog — analitik yang dipseudonimkan, hanya dengan persetujuan (AS; transfer berdasarkan klausul kontrak standar).
• Google — masuk dengan Google, Google Kalender dan Google Drive (jika terhubung), pengiriman notifikasi di Chrome dan Android (Firebase Cloud Messaging), pengenalan suara di Chrome.
• Apple — pengiriman notifikasi di iPhone, iPad, dan Mac (Apple Push Notification service), pengenalan ucapan di Safari dan iOS.
• Mozilla dan pembuat peramban lainnya — pengiriman notifikasi di peramban mereka.
• Open Food Facts — pencarian produk dan pemindaian barcode: hanya kueri pencarian atau barcode yang dikirim.
• quickchart.io, api.qrserver.com — pembuatan kode QR berisi tautan ke situs web (tanpa data pribadi).

Input suara menggunakan pengenalan ucapan dari peramban atau sistem Anda: audio diproses oleh penyedianya (Google atau Apple), dan aplikasi hanya menerima teks yang dikenali. Analisis suasana hati pada entri jurnal emosi dilakukan di perangkat Anda; teksnya tidak dikirim ke mana pun. Kami hanya mengungkapkan data kepada pihak berwenang jika diwajibkan oleh hukum.

6. Google Kalender dan Google Drive (opsional)

Sinkronisasi dengan Google Kalender hanya diaktifkan oleh Anda: Pengaturan → Google Kalender → “Hubungkan”. Dengan izin Anda, aplikasi mendapatkan akses ke acara di kalender Anda (cakupan calendar.events) dan menggunakannya hanya untuk sinkronisasi dua arah: tugas bertanggal dibuat, diperbarui, dan dihapus sebagai acara di kalender utama Anda, dan acara yang Anda buat di Google Kalender muncul di Horizon sebagai tugas.

• Data apa: judul acara, tanggal dan waktu mulai serta selesai, ID acara. Deskripsi, peserta, lokasi, dan lampiran tidak dibaca maupun disimpan.
• Penggunaan: hanya untuk sinkronisasi. Data tidak dijual, tidak dibagikan kepada pihak ketiga, dan tidak digunakan untuk iklan atau pelatihan kecerdasan buatan. Tidak ada orang yang membacanya, kecuali Anda meminta bantuan kami terkait kesalahan, hukum mewajibkannya, atau hal itu diperlukan untuk mencegah penyalahgunaan.
• Memutuskan hubungan: Pengaturan → Google Kalender → “Putuskan” mencabut akses di Google dan menghentikan sinkronisasi; acara yang sudah dibuat tetap ada di kalender Anda. Menghapus akun akan mencabut akses secara otomatis. Anda juga dapat mencabut akses di myaccount.google.com/permissions.

Google Drive (folder bersama obrolan). Hanya Anda yang mengaktifkannya, dari obrolan: tombol “Folder bersama di Google Drive” → “Buat folder”. Aplikasi hanya mendapat akses ke folder dan file yang dibuatnya sendiri (cakupan akses drive.file), bukan ke seluruh Drive Anda.

• Data apa: folder obrolan dibuat di Google Drive Anda dan berisi file yang Anda dan anggota obrolan unggah melalui aplikasi. File dikirim dari peramban langsung ke Google; yang melewati server kami hanya nama, jenis, dan ukuran file. Kami menyimpan ID dan tautan folder.
• Siapa yang melihat: anggota obrolan mendapat tautan hanya-lihat, dan Google menampilkan nama dan alamat Akun Google Anda sebagai pemilik file. Siapa pun yang menerima tautan dapat membuka folder; orang yang dikeluarkan dari obrolan tetap memegang tautan sampai Anda melepaskan folder. Kunci publik enkripsi — selama akun ada (20 kunci terakhir); salinan kunci privat — sampai kunci diganti atau akun dihapus. Undangan khusus yang sudah habis dihapus dalam 7 hari.
• Menonaktifkan: “Lepaskan folder” menutup akses lewat tautan; “Putuskan Google Drive” menutup akses lewat tautan ke semua folder Anda dan mencabut akses di Google. Saat Anda menghapus akun, hal ini terjadi otomatis. Folder dan file tetap ada di Drive Anda — Anda dapat menghapusnya di Google Drive.

Penggunaan dan transfer informasi yang diterima Horizon dari API Google ke aplikasi lain mana pun akan mematuhi Kebijakan Data Pengguna Layanan API Google, termasuk persyaratan Penggunaan Terbatas.

7. Berapa lama data disimpan

• Akun dan konten — selama akun ada. Tugas, proyek, kebiasaan, dan catatan lain yang Anda hapus masuk ke tempat sampah dan dihapus permanen setelah 90 hari.
• Pesan obrolan — sampai pengirim menghapusnya untuk semua orang atau semua peserta menghapusnya untuk diri sendiri. Saat seseorang menghapus akunnya, obrolan pribadinya dihapus untuk kedua pihak dan pesannya dihapus dari grup; grup tetap ada untuk anggota lain dan anggota yang paling awal bergabung menjadi pemilik. Grup dihapus saat pemiliknya menghapusnya atau anggota terakhir keluar. Tautan folder bersama Google Drive — selama folder terhubung ke obrolan. Laporan — paling lama 12 bulan. Indikator “online” dan “sedang mengetik…” dimatikan di jendela “Kode obrolan Anda”. Pesan terjadwal disimpan hingga dikirim; setelah terkirim catatannya dihapus dalam sehari, dan yang tidak terkirim setelah 30 hari.
• Audio pesan suara — 365 hari sejak dikirim, lalu dihapus otomatis; pesannya tetap ada di percakapan dengan keterangan bahwa audio telah dihapus. Audio disimpan di penyimpanan file privat Supabase (UE) dan hanya dapat diakses oleh orang yang dapat melihat pesan tersebut; di obrolan dengan enkripsi end-to-end, audio disimpan dalam bentuk terenkripsi.
• Cadangan di server — hingga 4 minggu (4 cadangan mingguan terakhir disimpan).
• Cadangan terenkripsi seluruh basis data di GitHub — hingga 30 hari. Cadangan ini untuk pemulihan setelah gangguan dan kuncinya hanya kami yang memegang. Data akun yang dihapus hilang darinya saat salinan terakhir yang memuatnya berakhir.
• Langganan notifikasi — selama digunakan; langganan yang tidak aktif lebih dari 180 hari dihapus secara otomatis.
• Laporan kesalahan — tidak lebih dari 90 hari; analitik — tidak lebih dari 12 bulan.
• Data dari versi aplikasi sebelumnya (rute GPS latihan dan mode “peta bentuk tubuh”) tidak lagi dikumpulkan dan dihapus bersama akun.

8. Hak Anda

• Akses dan portabilitas: Pengaturan → “Ekspor data” — salinan lengkap data Anda dalam format JSON.
• Obrolan: Anda dapat menghapus pesan Anda sendiri untuk semua orang (menu pesan → “Hapus untuk semua”), menghapus pesan atau obrolan apa pun untuk diri sendiri, memblokir kontak, dan keluar dari grup kapan saja; pemilik grup dapat menghapus seluruh grup. Percakapan Anda termasuk dalam “Ekspor data”.
• Pembetulan: setiap catatan dapat diedit di aplikasi.
• Penghapusan akun: Pengaturan → “Hapus akun secara permanen”. Sebelum penghapusan, salinan terakhir data Anda diunduh secara otomatis ke perangkat Anda. Akun dan semua data di server dihapus seketika dan secara permanen; cadangan, kunci Google, dan log dihapus dalam 24 jam.
• Data di perangkat: saat Anda keluar, data hilang dari layar dan kembali saat Anda masuk lagi ke akun itu; tanpa masuk, aplikasi kosong dan yang Anda tambahkan disimpan terpisah. Data tetap ada di perangkat tanpa enkripsi. Untuk menghapusnya, gunakan Pengaturan → “Hapus dari perangkat”.
• Menarik persetujuan: analitik — Pengaturan → “Ikut serta dalam analitik”; Google Kalender, pengingat, dan integrasi kesehatan — sakelar terkait di Pengaturan atau di pengaturan sistem Anda.
• Anda juga dapat meminta kami secara tertulis untuk membatasi pemrosesan atau menyatakan keberatan atasnya, serta mengajukan pengaduan kepada otoritas pelindungan data pribadi di negara Anda.

9. Cookie dan penyimpanan lokal

Aplikasi menyimpan sesi masuk, pengaturan, dan data Anda di perangkat agar dapat berfungsi secara offline — hal ini mutlak diperlukan untuk layanan. Analitik PostHog hanya diaktifkan setelah Anda menyetujuinya. Tidak ada cookie iklan atau cookie pelacakan pihak ketiga.

10. Anak-anak

Aplikasi ini tidak ditujukan untuk anak di bawah 16 tahun, dan kami tidak dengan sengaja mengumpulkan data mereka. Jika Anda yakin seorang anak telah memberikan data kepada kami, hubungi kami dan kami akan menghapusnya.

11. Keamanan

Kami menggunakan koneksi terenkripsi, isolasi data di tingkat basis data, penyimpanan rahasia terenkripsi, tautan bertanda tangan sekali pakai untuk tindakan dari notifikasi, dan peninjauan keamanan secara rutin. Tidak ada sistem yang sepenuhnya aman; jika terjadi kegagalan pelindungan data pribadi yang memengaruhi data Anda, kami akan memberi tahu Anda dan otoritas pengawas dalam jangka waktu yang diwajibkan oleh hukum.

12. Perubahan kebijakan ini

Untuk perubahan yang signifikan, kami akan memperbarui tanggal di bagian atas dan memberi tahu Anda di aplikasi. Dengan terus menggunakan aplikasi setelah perubahan, Anda menerima versi yang baru.