Політика приватності

Nuvie працює з тим, що людина розповідає про власне життя: сфери, наміри, події, іноді фото. Це чутливий матеріал, тому тут написано прямо — що ми беремо, навіщо, як довго тримаємо і як це забрати назад.

Редакція: 2026-08-30-draft. Попередніх редакцій немає — це перша.

1. Хто відповідає за ці дані

Контролером даних Nuvie є [юридична назва компанії — заповнити], [адреса — заповнити]. Питання про приватність і запити щодо своїх даних — на [адреса пошти — заповнити, орієнтовно privacy@nuvie.space].

2. Вік

Мінімальний вік у Nuvie — 16 років. Дату народження застосунок питає один раз, під час реєстрації, і перевіряє її до створення акаунта: якщо людині менше, акаунт не створюється взагалі — ні профілю, ні налаштувань, ні персонального запису в журналі. Тобто даних того, кому відмовили, у нас немає, а не «є, але позначені».

Вік — самодекларація. Ми питаємо дату, а не документ, і верифікації віку не обіцяємо.

3. Які дані ми обробляємо

3.1 Акаунт і профіль

• Ім’я або як до тебе звертатися, обрані займенники, мова інтерфейсу, часовий пояс, налаштування.
• Дата народження — тільки для вікового порогу (див. §2).
• Логін і пароль (або вхід через провайдера) обробляє наш процесор автентифікації — у власних даних Nuvie немає ані поля e-mail, ані поля телефону.

Ми не питаємо біологічну стать і не зберігаємо її. Питаємо лише, як до тебе звертатися; це граматика, а не медичний факт.

3.2 Фото і подоба (біометричні дані)

Аватари-грані можна створити з фото. Фото — це біометричні дані, тому:

• фото не приймається без окремої явної згоди: без неї застосунок відмовляє ще до того, як щось потрапить у сховище;
• шлях без фото обовʼязковий — Nuvie повністю працює для того, хто фото не давав ніколи;
• ми не тренуємо моделі на твоїх фото;
• згода на подобу — окрема для кожного продукту екосистеми, і копія артефакту теж окрема. Стирання в Nuvie нищить копію Nuvie, і тільки її (див. §8);
• посилання на файли подоби підписані і мають обмежений строк дії — постійної публічної адреси фото не існує.

Згоду можна відкликати будь-коли. Відкликання негайно закриває приймання нових фото.

3.3 Календар і події (Радар)

Якщо ти підключаєш календар, Nuvie бачить рівно стільки, скільки треба, щоб підказати доречну дію в доречний момент:

• зберігаємо: назву події (у зашифрованому вигляді), час, повторюваність і кількість учасників;
• не зберігаємо: опис події, перелік учасників, посилання із запрошення.

Ключ шифрування назв живе поза базою даних. Дозволів тут не один, а три окремі, і кожен вмикається самостійно: сама синхронізація календаря; показ назв подій на екранах; показ подробиць у сповіщеннях. Дозвіл на перше не вмикає решту.

Ти обираєш, які саме календарі підключити, можеш поставити синхронізацію на паузу і можеш забути всі події одним дотиком — разом з відкликанням дозволу. Ми ніколи не змінюємо і не видаляємо подій у твоєму календарі.

3.4 Кола (соціальний шар)

Коло — це маленька приватна група за запрошенням. Учасникам кола видно твоє ім’я, аватар, роль у колі та грубу ознаку «заходив(ла) нещодавно».

Не видно нічого з твого прогресу: ні рівня, ні Іскор, ні серії, ні «X із Y». У Nuvie немає лідербордів, рейтингів і порівняння людей між собою — і це влаштовано конструкцією, а не налаштуванням, яке можна ввімкнути.

Запрошення — посилання з тимчасовим токеном. Хто саме прийшов за посиланням, стає відомо в момент, коли людина його погашає; публічного профілю і пошуку за іменем у продукті немає.

3.5 Підписка та внутрішня економіка

Платежі проходять через магазини застосунків — номерів карток ми не бачимо і не зберігаємо. У нас лишається факт: який план активний, до якої дати, які права він відкриває. Рухи внутрішньої валюти (Іскри) записуються рядком «скільки, яким каналом, за яким приводом».

3.6 Технічні дані

• токен пристрою для сповіщень і твої налаштування сповіщень;
• журнал «хто дивився чиї дані» — службовий запис на випадок доступу з нашого боку;
• журнал дій адміністрації над акаунтом;
• технічні логи звернень до сервера (метод, шлях, код відповіді).

Рекламних мереж і рекламних ідентифікаторів у Nuvie немає. Реклами в застосунку теж немає.

3.7 Звʼязок із фахівцем (опційно)

Якщо ти сам(а) вмикаєш звʼязок із психологом-партнером, зʼявляється службовий запис про цей звʼязок. Це окремий добровільний крок, він вимкнений за замовчуванням, і його можна припинити.

4. Підстави обробки і згоди

Профіль і базова робота застосунку потрібні, щоб виконати договір із тобою. Усе чутливе — фото, календар, видимість у колі — працює лише на згоді, окремій для кожного потоку.

Кожна згода записується разом із версією тексту, який ти реально бачив(ла). Відкликання не стирає запису: рядок лишається як історія («згода була дана тоді, відкликана тоді»), а чинною перестає бути. Так ми можемо чесно відповісти, на що саме людина погоджувалась і коли.

5. Кому ми передаємо дані

Ми не продаємо дані. Ми користуємось процесорами, кожен — з обмеженою роллю:

• Supabase — автентифікація (логін і пароль), база даних і файлове сховище.
• Власна GPU-нода — генерація зображень і відео аватарів. Фото обробляється в памʼяті, після кожної задачі сліди затираються, а вихід у мережу з ноди обмежений службовими адресами.
• Магазини застосунків (Apple, Google) — підписки й платежі.
• Сервіси доставки push-сповіщень — щоб сповіщення дійшло до пристрою.
• [перелік і країни розміщення — уточнити разом із юристом]

6. Скільки ми зберігаємо

• Події календаря — обмежений строк (за поточним налаштуванням 30 діб), після чого їх прибирає нічна чистка. Або раніше — коли ти сам(а) натискаєш «забути всі події».
• Акаунт після самостійного видалення — 30 днів на роздуми. У цьому вікні акаунт можна повернути тими самими даними входу; після нього виконується стирання.
• Запит на стирання виконується в межах 30 днів від його створення. Годинник іде від створення запиту, а не від кінця вікна на роздуми.
• Заблокований акаунт — не довше 24 місяців від моменту блокування; далі система сама відкриває запит на стирання.
• Розпущене коло — 30 днів на повернення, далі зникає фізично.
• Записи згод і службові журнали лишаються як доказ того, що сталося: рядок не зникає, але персональний вміст у ньому стирається разом із людиною.

7. Твої права

Ти маєш право знати, що ми про тебе тримаємо, виправити це, отримати копію, забрати згоду і вимагати стирання. Як це працює сьогодні — чесно:

• Стирання (Art. 17) — працює в продукті. Видалення акаунта запускає той самий каскад, що й запит через нашу службу приватності: профіль, налаштування, ігровий стан, членства в колах, радарні дані, копії подоби. Кроки каскаду, їхні статуси і строк фіксуються, а частина кроків виконується вручну — і тоді вони так і позначені «виконано вручну», а не закриваються самі собою.
• Копія даних (Art. 15 і 20) — поки що вручну. Автоматичної вивантажки ще немає: сервер на такий запит відповідає чесною відмовою, а не мовчазним «готово». До появи автоматики запит виконує людина з нашої служби приватності поштою. Ми свідомо пишемо це вголос, замість того щоб показувати кнопку, за якою нічого не відбувається.
• Відкликання згоди — у налаштуваннях застосунку, будь-коли.
• Скарга. Ти можеш поскаржитись наглядовому органу з захисту даних [орган і країна — заповнити за юрисдикцією].

Якщо акаунт заблоковано за порушення правил, вхід у застосунок закритий — тоді запит про свої дані і про стирання приймається поштою через нашу службу приватності.

8. Екосистема: стирання посвітне

Nuvie сусідить із MasteryWay і Coreway. Ці продукти звʼязані, а не злиті: у кожного власний запис про людину. Тому видалення в Nuvie нищить профіль Nuvie і розриває звʼязок, а записи сусідніх продуктів лишаються цілими — і навпаки. Кнопки «видалити мене з усієї екосистеми» не існує, і це свідомо: інакше вихід з одного застосунку мовчки забирав би доступ до іншого.

9. Безпека

• назви подій календаря шифруються, ключ живе поза базою;
• доступ співробітників до даних приватності обмежений окремою роллю; контент-ролі не бачать фото і не рухають кроків стирання;
• кожен доступ до чутливих даних із нашого боку лишає запис у журналі;
• резервні копії шифруються ключем, персональним для кожної людини — тому стирання з бекапів означає знищення ключа, а не переписування архівів.

10. Зміни

Коли текст змінюється, змінюється і його версія (мітка згори сторінки). Якщо зміна стосується того, на що ти давав(ла) згоду, ми спитаємо згоду наново — стара згода не переноситься на новий текст мовчки.

Privacy Policy

Nuvie works with what a person tells it about their own life: spheres, intentions, events, sometimes a photo. That is sensitive material, so this page says it plainly — what we take, why, how long we keep it, and how you take it back.

Version: 2026-08-30-draft. There are no previous versions — this is the first.

1. Who is responsible for this data

The data controller for Nuvie is [legal entity name — to be filled in], [registered address — to be filled in]. Privacy questions and requests about your data: [mailbox — to be filled in, likely privacy@nuvie.space].

2. Age

The minimum age for Nuvie is 16. The app asks for your date of birth once, during sign-up, and checks it before the account is created: if you are younger, no account is created at all — no profile, no settings, no personal log entry. So we do not hold the data of someone who was refused; it is not "held but flagged".

Age is self-declared. We ask for a date, not a document, and we do not promise age verification.

3. What data we process

3.1 Account and profile

• Your name or how you want to be addressed, chosen pronouns, interface language, time zone, settings.
• Date of birth — used only for the age threshold (see §2).
• Your login and password (or sign-in provider) are handled by our authentication processor — Nuvie's own records contain neither an email field nor a phone field.

We never ask for biological sex and do not store it. We only ask how to address you; that is grammar, not a medical fact.

3.2 Photos and likeness (biometric data)

Facet avatars can be built from a photo. A photo is biometric data, so:

• no photo is accepted without separate explicit consent: without it the app refuses before anything reaches storage;
• the photo-free path is mandatory — Nuvie works fully for someone who never provides a photo;
• we do not train models on your photos;
• likeness consent is per-product across our ecosystem, and so is the stored artifact. Erasure in Nuvie destroys Nuvie's copy, and only that one (see §8);
• links to likeness files are signed and time-limited — there is no permanent public URL for a photo.

You can withdraw consent at any time. Withdrawal immediately closes the intake of new photos.

3.3 Calendar and events (Radar)

If you connect a calendar, Nuvie sees exactly as much as it needs to suggest a fitting action at a fitting moment:

• we store: the event title (encrypted), time, recurrence, and the number of attendees;
• we do not store: the event description, the attendee list, or invitation links.

The key that encrypts titles lives outside the database. There is not one permission here but three separate ones, each switched on by itself: calendar sync; showing event titles on screens; showing details inside notifications. Allowing the first does not turn on the others.

You choose which calendars to connect, you can pause syncing, and you can forget all events with one tap, together with withdrawing the permission. We never modify or delete events in your calendar.

3.4 Circles (the social layer)

A Circle is a small private invite-only group. Members of your Circle can see your name, avatar, role in the Circle, and a coarse "was here recently" signal.

None of your progress is visible: not your level, not Sparks, not your streak, not "X of Y". Nuvie has no leaderboards, no rankings and no comparison between people — and that is a matter of construction, not a setting someone could switch on.

Invitations are links carrying a temporary token. Who actually came through a link becomes known at the moment they redeem it; the product has no public profile and no search by name.

3.5 Subscription and in-app economy

Payments go through the app stores — we never see or store card numbers. What stays with us is the fact: which plan is active, until when, and what it unlocks. Movements of the in-app currency (Sparks) are recorded as "how much, through which channel, on what occasion".

3.6 Technical data

• device token for notifications, and your notification settings;
• a "who looked at whose data" log — a record kept in case of access from our side;
• a log of administrative actions on an account;
• technical server logs (method, path, response code).

Nuvie contains no advertising networks and no advertising identifiers. There are no ads in the app either.

3.7 Link with a specialist (optional)

If you yourself turn on a link with a partner psychologist, a service record of that link appears. This is a separate voluntary step, it is off by default, and it can be ended.

4. Legal bases and consent

Your profile and the basic operation of the app are needed to perform our agreement with you. Everything sensitive — photos, calendar, visibility inside a Circle — runs on consent only, separately for each stream.

Every consent is recorded together with the version of the text you actually saw. Withdrawal does not erase the record: the row remains as history ("consent given then, withdrawn then") and simply stops being current. That way we can answer honestly what a person agreed to, and when.

5. Who we share data with

We do not sell data. We use processors, each with a limited role:

• Supabase — authentication (login and password), database, and file storage.
• Our own GPU node — generation of avatar images and video. Photos are processed in memory, traces are wiped after every job, and the node's outbound network access is restricted to service addresses.
• App stores (Apple, Google) — subscriptions and payments.
• Push notification delivery services — so a notification reaches your device.
• [full list and hosting countries — to be confirmed with counsel]

6. How long we keep it

• Calendar events — for a limited period (30 days under the current setting), after which a nightly cleanup removes them. Or sooner, when you tap "forget all events" yourself.
• An account after you delete it yourself — 30 days to change your mind. Within that window the account can be restored with the same credentials; after it, erasure runs.
• An erasure request is completed within 30 days of being created. The clock runs from the creation of the request, not from the end of the change-your-mind window.
• A blocked account — no longer than 24 months from the moment of blocking; after that the system opens an erasure request by itself.
• A dissolved Circle — 30 days to bring it back, then it is physically gone.
• Consent records and service logs remain as evidence of what happened: the row does not disappear, but the personal content inside it is erased together with the person.

7. Your rights

You have the right to know what we hold about you, to correct it, to get a copy, to withdraw consent and to demand erasure. Here is how that works today — honestly:

• Erasure (Art. 17) — built and working. Deleting your account starts the same cascade as a request filed through our privacy role: profile, settings, game state, Circle memberships, radar data, copies of your likeness. The steps, their statuses and the deadline are recorded, and some steps are carried out by hand — in which case they are marked as done by hand, rather than closing themselves.
• A copy of your data (Art. 15 and 20) — manual for now. Automated export does not exist yet: the server answers such a request with an honest refusal rather than a silent "done". Until the automation ships, a person from our privacy role fulfils the request by email. We say this out loud instead of showing a button that does nothing.
• Withdrawing consent — in the app settings, at any time.
• Complaint. You may complain to a data protection supervisory authority [authority and country — to be filled in per jurisdiction].

If an account is blocked for breaking the rules, sign-in is closed — in that case requests about your data and about erasure are accepted by email through our privacy role.

8. Ecosystem: erasure is per-world

Nuvie sits next to MasteryWay and Coreway. These products are linked, not merged: each keeps its own record of a person. So deleting in Nuvie destroys the Nuvie profile and cuts the link, while the neighbouring products' records stay intact — and vice versa. There is no "delete me from the whole ecosystem" button, and that is deliberate: otherwise leaving one app would silently take away access to another.

9. Security

• calendar event titles are encrypted, and the key lives outside the database;
• staff access to privacy data is restricted to a dedicated role; content roles never see photos and never move erasure steps;
• every access to sensitive data from our side leaves a log entry;
• backups are encrypted with a key that is personal to each individual — so erasure from backups means destroying that key, not rewriting archives.

10. Changes

When the text changes, its version changes too (the tag at the top of this page). If a change affects something you consented to, we will ask for consent again — an old consent is never silently carried over to a new text.