myDynasty Privacy Policy

Effective 6 October 2026 · Last updated 6 October 2026 · Version 2.1
Applies to the myDynasty app for iPhone, iPad and Android (com.mydynasty.app) and to the website mydynasty.app.

Short version

Your family tree lives on your device. Names, dates, photos, places, stories and documents are stored only in the app on your phone or tablet. We have no copy. There are no accounts and no registration.
Nothing from your tree leaves the device unless you use something that needs the internet: a map, the cemetery directory or an AI feature. Before an AI feature sends anything to our server, the app shows you what will be sent and to whom, and waits for your consent.
AI features come with the myDynasty Premium subscription on iPhone, iPad and Android. What you choose to send goes to our server "Capybara" in Germany, and from there to OpenAI, which processes it for us. Our server passes it on and does not keep it. OpenAI does not use it to train its models. OpenAI may keep it for up to 30 days to detect abuse. Versions of the app without AI features, including earlier Android versions, do not contact our server.
The app uses a random number, not your identity. To know which installation may use AI and how much of its allowance is left, the app uses a random number that it creates itself. It is not your name, your e-mail or your Apple or Google account. You can see it in Settings.
Apple and Google handle payment. We never see your card, name or e-mail. Our server receives only a purchase record signed by Apple or, on Android, a Google Play purchase token, which it checks with Google Play.
The app has no advertising, no analytics or crash-reporting services of its own, and no tracking. We do not sell data. On Android, maps are drawn by a Google Maps component inside the app, which sends Google its own technical data (section 3).

1. Who is responsible

Controller: Roman Lobko, a private individual resident in Ukraine. He is the seller of myDynasty in the App Store and on Google Play.
Contact for everything, including privacy: mydynastyapp.team@gmail.com
Website: https://mydynasty.app · this policy: https://mydynasty.app/privacy

Versions of the app without AI features send nothing to our server.

Who is responsible for what:

Your tree on your device. You process it yourself, for personal and family purposes, and we have no access to it. Data-protection law calls this the "household exemption" (GDPR Art. 2(2)(c)).
What the app sends to our server. This is the app number, consent records, subscription records, requests for the remaining AI allowance, cemetery-directory requests, the content you send to AI features and your reports about AI results. It is our responsibility. Hetzner, Cloudflare and OpenAI process it for us under their data processing terms (section 9).
Apple and Google. They are responsible for their own services under their own privacy policies: the App Store, Google Play, maps, address search and speech recognition.

2. What stays on your device

The following is stored only in the app's private storage on your device:

people, dates, relationships, biographies and notes;
photos, documents and other files in the archive;
places and coordinates of birth, residence and burial;
drafts of AI features: what you dictated, the answers that came back, and grave photos;
a voice recording that has not been sent yet (iPhone and iPad). It is deleted once it has been sent. If it is older than 7 days, it is deleted the next time you open the screen where you recorded it;
a restored photo that arrived after you left the screen. It waits until you open that photo again. Once it is older than 30 days, the app deletes it the next time it checks for restored photos;
settings, your consent choices and the app number (section 4).

On iPhone and iPad the app marks its data folder so that it is left out of iCloud and computer backups. On Android the app opts out of Android's automatic cloud backup.

If the app crashes, a short technical log is written to a file on the device only, and the app itself uploads nothing. The app has no crash-reporting service of its own. On Android, the Google Maps component inside the app sends Google its own crash and diagnostic data (section 3). If you have agreed in your phone's settings to share diagnostics with app developers, Apple or Google may pass crash reports to us under their own terms.

Your tree leaves the device only when you export or share it yourself. Exported files (GEDCOM, LRV, SVG, PNG) go where you choose, for example Files, Photos or another app. From there, that service may copy them further, for example to iCloud Photos. If you uninstall the app, everything is deleted from the device, except files you exported yourself.

Permissions:

Location, only while you use the app: for maps and for the coordinates of graves.
Camera and photos: to take and attach pictures.
Microphone and speech recognition, only in versions with AI features: for telling about a person by voice.
Notifications: local reminders only, with no push service.

You can turn off each of these in your phone's settings.

3. When something leaves your device

When you…	What is sent	To whom
open a map (on Android, also simply use the app: its Google Maps component may start with it)	technical map requests: IP address and which area of the map. On Android, the Google Maps component inside the app also sends Google its own data: map interactions (moving and zooming), crash traces and crash metrics, device data (model, brand, Android version) and a pseudonymous identifier of the component. Google uses them under its own privacy policy, as an independent controller	Apple Maps (iPhone, iPad) or Google (Android)
search for an address on the map	the address you typed	Apple or Google (the phone's address search)
take grave photos	the place where you took them, to show its address	Apple or Google (the phone's address search)
use the cemetery directory	country, language, region and town, names you type or coordinates, the directory number of a cemetery; without the app number	our server (section 6)
view the cemetery map or the small map in a burial record	which map squares are needed, plus your IP address	OpenStreetMap Foundation
use an AI feature after agreeing	what the consent screen lists, plus the app number	our server, then OpenAI (section 5)
send a report with "Report this result"	the feature, the reason, your comment (if any) and the app number; not the photo or the AI text	our server (section 5)
have Premium and open Settings or a person's card, or restore a photo	only the app number, to show how much AI allowance is left	our server (section 4)
dictate by voice	if your phone cannot recognise speech on the device, the sound also goes to its speech service	Apple or Google (the phone's speech service)
buy or restore the subscription	the purchase itself, then a purchase record signed by Apple or a Google Play purchase token	Apple or Google Play, then our server (section 7)
tap a link or button (e-mail, store page, "Share coordinates", "Get directions")	whatever that link opens; for directions, the place's coordinates and the person's name as a label	the app or site you chose; for directions, the maps app

Versions of the app without AI features, including earlier Android versions, do not contact our server at all.

4. Our server "Capybara" and the app number

Where it runs. Our server runs at Hetzner Online GmbH in Nuremberg, Germany (EU). The app reaches it at api.mydynasty.app through Cloudflare, which carries the encrypted connection.

The app number.

What it is. A random number (a UUID) that the app creates the first time it needs it and keeps in its settings. That can be when you buy the subscription, use an AI feature or, with Premium, open Settings or a person's card. The number is not derived from your device and is not an advertising identifier.
When it is sent. The app sends it with every request to our server, except cemetery-directory lookups (section 6).
Why we treat it as personal data. The number does not tell us who you are. But it is connected to your consent and subscription records, so we treat it as personal data (a pseudonymous identifier).
Apple sees it too. When you buy the subscription on iPhone or iPad, the app gives Apple the same number with the purchase, as the "app account token". This lets the purchase be matched to this installation. Apple therefore sees the number together with your Apple Account.
Google sees it too. When you buy the subscription on Android, the app gives Google Play the same number with the purchase, as an account identifier (Google calls it "obfuscatedAccountId"). Google therefore sees the number together with your Google account.
Where you find it. Settings → "Capybara AI" → "App number". You can copy it there. This section appears with Premium. Once the app has issued a number, for example after you agreed to an AI feature or bought the subscription, the number stays there without Premium too.
When it changes. Reinstalling the app creates a new number. Withdrawing consents does not change it.

Requests without your content. In the version with AI features, the app also contacts our server on its own. None of these requests carries your stories, photos or anything else from your tree:

Remaining allowance. With Premium, when you open Settings or a person's card, and when you restore a photo, the app asks how much of your AI allowance is left. Without Premium it does not ask. Only the app number is sent. Our server stores nothing new from this request. For an app number it already knows, it notes that the number is still in use, at most once a day.
Subscription. With an active subscription, the app sends the purchase record signed by Apple when it starts, after a purchase, restore or renewal, and when our server does not yet know your subscription during an AI request. On Android it sends the Google Play purchase token instead: after a purchase, when it starts while you are subscribed, and when our server does not yet know your subscription during an AI request (section 7).
Photo restoration. After you start a restoration, the phone keeps asking our server for the result for up to 15 minutes, even if you leave the screen. Then it asks the server to delete the result. Only the job number and the app number are sent.

The app does not ask the cemetery directory by itself when you open a burial record or a person's card. It asks only when you tap (section 6).

What our server keeps is listed in section 11. In short: the app number with the dates it was first and last used, consent records, usage counters, subscription records and reports about AI results.

Our server does not keep your texts, recordings, photos, coordinates or searches, and it does not store IP addresses. The only text it keeps is the comment you may add to a report about an AI result (section 5). Its technical logs are set up to leave out your content and coordinates. They may contain internal record numbers, in rare database errors the app number and, if a check with Google Play fails, the first characters of the purchase token (at most 8). They are deleted after 30 days at the latest.

5. AI features ("Capybara AI")

AI features are available on iPhone, iPad and Android with the myDynasty Premium subscription. Without the subscription, the app does not show them.

Before a feature sends anything for the first time, it shows a consent screen. The screen lists what will be sent and names our server "Capybara" and OpenAI. Nothing is sent to our server or to OpenAI until you agree (section 8). Your phone's own speech recognition works as soon as you tap the microphone; see "Speech recognition by your phone" below.

5.1 Tell about a person. You tell about a relative. The AI fills in the card and can ask follow-up questions aloud.

On iPhone and iPad, the app sends the voice recording (compressed audio) and the language you chose, to recognise the speech, and then the text of the story — recognised from the recording or, if that fails, by your phone. After recognition the recording is deleted from the phone.
On Android, the app makes no recording and never sends audio to our server. It sends the text of the story as your phone recognised it, and the language you chose.
Follow-up questions — at a grave, and when the AI needs to know how the person is related to someone in your story — are read aloud by an OpenAI voice. The text of the question, which may contain names you mentioned, is sent to OpenAI to be turned into speech.
The person appears in your tree only after you check the card and tap "Save".

5.2 Grave photos.

The photo of the inscription on the headstone goes to OpenAI, so the inscription can be read.
The place where you took the photos goes only to our server, to find the cemetery in the directory, without the app number (section 6), and only if you agreed. It is not sent to OpenAI.
Your phone's own system (Apple or Google) looks up the address of that place. This happens even if you do not agree to AI.
The wide shot stays on the phone. The portrait from the headstone goes for restoration only with the separate photo-restoration consent (5.3).

5.3 Photo restoration.

What goes to OpenAI:
- the photo: the whole picture, or the portrait taken at a grave;
- the face area of the person's avatar;
- the eye and hair colour you chose.
Our server also receives the image size and whether it is a portrait from a grave. It uses them to set the size of the result and the instructions for OpenAI.
What you get back. The result is an image generated by AI. It may differ from how the person really looked.
- On a person's screen, it replaces the old photo only if you tap "Save". The old photo stays in the archive.
- A restored portrait from a headstone becomes the new person's avatar automatically. The headstone photo stays with the burial.
On our server. The photo is not saved to disk. It is held in memory while the restoration runs. The finished image is kept until the app collects it, and no longer than 10 minutes after it is ready. An unfinished job is dropped after 15 minutes.

5.4 Biography with AI. The AI asks questions and puts what you said in order.

Sent as text:
- what you say, as the phone recognised it;
- the questions already asked and the biography already written;
- the person's full name (first name, patronymic, surname) and dates of birth and death;
- the full names (first name, patronymic, surname) of the spouse, parents, children and siblings from the tree, with the relationship.
No recording, no photos and no location are sent.
Questions are read aloud by an OpenAI voice: the text of the question is sent to OpenAI to be turned into speech. Without a connection, your phone's own voice reads them.

For all AI features:

Photos are re-encoded before sending. This removes hidden metadata such as the camera's location.
Nothing else is sent: no other photos, not your tree and no device data. Our server does not pass the app number or any other identifier to OpenAI.
Our server does not store the content. It forwards the content to OpenAI and returns the answer to your phone.
OpenAI processes the content on our behalf under its data processing terms. According to OpenAI:
- data sent through its API is not used to train its models;
- data may be kept for up to 30 days to detect abuse and is then deleted, unless the law requires longer.
If the connection drops, a story, recording or grave photo you have already agreed to send waits on the phone. While your consent stands, it is sent automatically when the connection returns while that screen is open, or when you open the screen again. If you have withdrawn consent, nothing waiting is sent: it stays on the phone until you tap "Try again" and agree again.
AI makes mistakes. Check the result before you save it.
Stories and photos are usually about other people. Send only what you are entitled to share. Take particular care with details about living relatives, especially children.

Speech recognition by your phone. While you speak, the text on the screen comes from your phone's own system. If it cannot recognise speech on the device, the sound also goes to the phone's speech service — Apple's on iPhone and iPad, usually Google's on Android — under that company's privacy policy. The app warns you about this beforehand.

Reporting a result. On the photo restoration screen, and in "Biography with AI" on the screens where you check or merge the text, you can tap "Report this result". You choose a reason: offensive or inappropriate; untrue about the person (biography); the photo is distorted (restoration); or other. You may add a comment of up to 500 characters. Before you send, the app tells you what goes: the feature, the reason and your comment. The photo and the AI text are not sent. Our server receives the feature, the reason, the comment (if any) and the app number. It keeps the report for 90 days and then deletes it. We use reports only to review complaints and to improve how the AI features are filtered.

6. Cemetery directory

The cemetery directory is part of the versions with AI features, on iPhone, iPad and Android. It is free to use and needs no subscription.

The app contacts our server only when you do something:

you choose a country (the app then loads that country's towns) or tap the town field;
you type the name of a town or cemetery;
you open the cemetery map or look for cemeteries near a point;
you tap the small map in a burial record, or the place of burial on a person's card, to see it on the map;
you take grave photos after agreeing to AI (5.2).

Opening a burial record or a person's card does not contact the directory.

What it sends: only what the search needs, without the app number:

the country and language, and the region and town;
the names you typed;
the directory number of a cemetery already chosen in the record; or
coordinates: a point on the map or the saved location of a grave, with a search radius. For grave photos, also the GPS accuracy and whether it is a pet's grave.

Our server does not store your IP address: it uses it only in memory, to limit how often requests can come.

How our server answers. It uses its own directory, built from OpenStreetMap data. It does not store your searches or coordinates. Nothing from your tree is added to the directory.

Map images. The cemetery map and the small map in a burial record load map images directly from the servers of the OpenStreetMap Foundation (United Kingdom). Those servers receive your IP address, the app's name and version, and which map squares are needed. The images are kept on your phone so they do not have to be loaded again.

7. Subscription and payments

iPhone and iPad. Apple handles the payment. We never receive your card details, name, e-mail or Apple Account.

How your purchase reaches our server:

After you buy or restore the subscription, and each time it renews, Apple gives the app a purchase record signed by Apple.
The app sends this record, with the renewal information, to our server. The server checks Apple's signature and opens AI features for this installation.
The app also sends the record when it starts with an active subscription. If our server does not yet know your subscription during an AI request, the app sends it again and repeats the request once.

What the signed record contains: among other things, the purchase numbers, the product, the purchase and expiry dates, the store country, the price and currency, and the app number of the installation where the purchase was made. It may also contain a technical value that Apple uses to check that the record belongs to the device. It contains no name, e-mail, Apple Account or payment details. Our server keeps only what is listed below.

What our server keeps:

the original purchase number and the product;
the environment (real or test purchase);
the paid-until date and the end of the grace period;
the refund date, if there was one;
whether the subscription renews automatically;
the signature dates, the date your allowance period started, and an internal key for the shared AI allowance;
when the record was created and last updated;
which app numbers use this subscription, with the date each one joined it and the date it was last seen (updated at most once a day).

Notifications from Apple: Apple also tells our server directly about renewals, payment problems, refunds and expiry. Our server updates the subscription record from them. From the notifications themselves we keep only the notification number, its type and subtype, and the time it arrived.

Your devices:

One subscription works on all your devices. Use "Restore purchases" on a new device or after reinstalling.
The AI allowance is shared by all devices of one subscription.

Managing, refunds and cancelling:

Manage or cancel the subscription in your Apple Account settings, or with "Manage subscription" in the app.
Apple handles refunds.
The price and billing period are shown in the app and in the App Store before you buy. Apple's standard licence agreement (EULA) applies.
If you cancel, nothing is deleted. Projects above the free limits become read-only until you subscribe again, and AI features stop.

Android. Google Play handles the purchase and the payment. We never receive your card details, name, e-mail or Google account.

How your purchase reaches our server:

When you buy the subscription, the app gives Google Play the app number as an account identifier (section 4).
After a purchase, and when the app starts while you are subscribed, it sends our server the purchase token that Google Play gave it. If our server does not know your subscription during an AI request, the app sends the token and repeats the request once.
Our server asks Google Play (the Google Play Developer API) whether the subscription is active and, if it is, opens AI features for this installation. It uses the token only for this check and does not keep it.

What our server keeps:

the order number (the Google Play order ID without the ending that Google adds for each renewal) and the product;
whether it is a real or a test purchase;
when the subscription started (your allowance period starts then too) and when the paid period ends;
during a grace period, while Google is still trying to collect a failed payment: a time one day after the check, until which access stays open;
if Google Play reports that the subscription ended before the paid period was over (for example after a refund), the time it ended;
whether the subscription renews automatically;
when our server last checked with Google Play, an internal key for the shared AI allowance, and when the record was created and last updated;
which app numbers use this subscription, with the same dates as for the App Store.

No notifications from Google: our server does not use Google Play's real-time notifications. It learns about renewals, cancellations and refunds only when the app sends the token again.

Your devices, managing and refunds: as on iPhone and iPad, one subscription works on all your devices with the same Google account, and they share one AI allowance. Manage or cancel the subscription in Google Play, or with "Manage subscription" in the app. Google handles refunds. The price and billing period are shown in the app and on Google Play before you buy. If you cancel, nothing is deleted, as described above.

8. Consent and how to withdraw it

There are three consents:
- "Tell about a person" together with "Grave photos";
- "Photo restoration";
- "Biography with AI".
Each consent screen lists what is sent. If the text changes, the app asks again.
When a feature first sends something after you agree, the app registers your consent with our server. The record contains:
- the app number and the feature;
- the data categories you were shown;
- the provider named ("OpenAI via Capybara");
- the app version, the version of the text and the time.
Each record is valid for 30 days. If it has expired, the app registers a new one the next time you use that feature, without asking again, until you withdraw consent. Expired records are deleted automatically within about an hour.
You can withdraw at any time: Settings → "Capybara AI" → "Withdraw consents".
- The phone immediately forgets all AI consents. No AI feature sends anything until you agree again. This includes stories, recordings and grave photos that were waiting to be sent: they stay on your phone and are not sent until you tap "Try again" and agree again.
- The record on our server is not deleted at that moment. It is no longer used and expires within 30 days.
- What is already in your tree stays.
- Withdrawing consent does not cancel the subscription. You cancel that in the store.
The subscription's other benefits (more trees, people and files) do not depend on agreeing to AI.
You can also switch off microphone, camera, photo and location access for myDynasty in your phone's settings.

9. Who processes data for us

Service provider	Role	Location	What it sees
Hetzner Online GmbH (Germany)	runs our server, its database and its disk backups	Nuremberg, Germany (EU)	everything our server receives and keeps
Cloudflare, Inc. (USA)	carries the encrypted connection between the app and our server	worldwide network; company based in the USA	the IP address and request addresses, including the coordinates and search words in them; the requests themselves while passing them on, including the app number (directory lookups carry none)
OpenAI OpCo, LLC (USA)	AI processing	USA, and OpenAI's listed sub-processors	only the content you send to AI features, without the app number

Each of them processes the data only on our instructions under its data processing terms and must protect it at least as well as described here.

Copies of the server database are also kept by the controller on his own computer and backup drive. The database holds only the records listed in section 11: no trees, stories or photos.

Apple, Google and the OpenStreetMap Foundation provide their services to you under their own terms and privacy policies. For Google this includes Google Play and the Google Play Developer API, through which our server checks an Android subscription (section 7), and the Google Maps component in the Android app (section 3).

We use no analytics, advertising, crash-reporting or tracking services of our own (for the Google Maps component on Android, see section 3). We do not sell data, share it for advertising or build profiles. We make no automated decisions about you.

10. Legal bases

Consent. GDPR Art. 6(1)(a); Art. 9(2)(a) for sensitive details about yourself that you choose to include; Law of Ukraine "On Personal Data Protection", Art. 11. This covers sending content to AI features, including its transfer to OpenAI in the USA.
Contract. GDPR Art. 6(1)(b). This covers checking your subscription, the app number and allowance counters, and the directory searches you make.
Legitimate interests. GDPR Art. 6(1)(f). This covers protection against abuse (request limits; for directory lookups by IP address, in memory only), reviewing reports about AI results, backups, technical logs, and the names of relatives that you include in what you send, limited to what the feature needs. You can object by writing to us.
Data on your device: the household exemption (section 1).
Information about people who have died. GDPR does not apply to it (Recital 27), though some countries protect it by national law. We handle it with the same care.

11. How long data is kept

Data	Where	How long
Content sent to AI features: text, recordings, photos, question text	our server	not stored; held in memory only while the request runs
Restored photo	our server's memory	until the app collects it, at most 10 minutes after it is ready; an unfinished job is dropped after 15 minutes
The same content	OpenAI	up to 30 days (abuse monitoring), according to OpenAI
Coordinates, directory searches, allowance requests, IP addresses, Google Play purchase tokens	our server	not stored
App number with the dates it was first and last used (a consent, an AI request or an allowance request)	our server	12 months after its last use
Consent records	our server	30 days each, then deleted within about an hour; earlier if the app number is deleted
Usage entries: app number, feature, time and size in characters, with no content	our server	3 days
Monthly AI-spending totals: app number or subscription, month, amount	our server	31 days from the start of that monthly period (up to 3 days after it ends)
Monthly photo-restoration counters	our server	all counters of one app number or subscription are deleted together, no later than 12 months after the last restoration
Subscription records (App Store and Google Play) and the app numbers linked to them	our server	12 months after the subscription ends (expiry after the grace period, or an earlier end, for example a refund)
Apple notifications: number, type and subtype, time	our server	12 months
Reports about AI results: feature, reason, your comment, app number	our server	90 days, then deleted
Technical logs of the server, without content	our server	up to 30 days
Backups of the server database	our server, Hetzner's backup service, the controller's own computer and backup drive	up to 30 days
Your e-mails to us	mailbox	up to 24 months; longer only for an open matter or where the law requires
Everything in the app	your device	until you delete it or uninstall the app; a waiting recording (iPhone and iPad) is deleted once it is older than 7 days, the next time you open its screen; a restored photo that arrived without the screen is deleted once it is older than 30 days, the next time the app checks for restored photos

Backups contain copies of the server records above. A record deleted from the database can therefore stay in a backup for up to 30 more days.

Service statistics without the app number (the duration and result of AI calls, the daily total cost) are not personal data.

12. Transfers outside the EU

Our server is in the EU (Germany).
OpenAI and Cloudflare are US companies. Their data processing terms include the EU Standard Contractual Clauses for transfers outside the EU. Under Ukrainian law, the transfer of AI content to OpenAI is based on your consent.
The controller is based in Ukraine, which has no EU adequacy decision. He administers the server and keeps the backups.
Apple and Google use their own transfer mechanisms.

13. Children

The app is not directed at children. AI features and the subscription are for people aged 13 or over. In some countries the law sets a higher age for consenting to online services, up to 16 in some EU countries. Below that age, users need the permission of a parent or guardian.

We do not knowingly collect data from children below these ages. If you think a child used AI features without permission, write to us and we will delete the records of that app number.

14. Security

On the device. Data sits in the app's private storage. When a screen lock is set, the system's encryption protects it. The app adds no extra encryption of its own database. Protect your device with a passcode or biometrics.
Connections to our server are encrypted: from your device to Cloudflare, and from Cloudflare to our server through an encrypted tunnel. Our server accepts requests from the app only through that tunnel. Its database and its administration functions cannot be reached from the internet.
What our server holds. Only the records in section 11: no trees or stories, and no names unless you write them in a report comment.

15. Your rights

On your device. You can view, correct, delete and export your data in the app (GEDCOM, LRV, SVG, PNG). Uninstalling the app deletes everything.
On our server. You have the rights of access, correction, deletion, restriction, portability and objection. You can withdraw consent at any time (section 8).
How to reach your records. We don't know who you are, so we can find your records only by the app number — on Android also by the Google Play order number (section 7). You can see and copy the app number in Settings → "Capybara AI" → "App number". Send it to mydynastyapp.team@gmail.com and we will reply within one month.
Complaints:
- EU/EEA: the data protection authority of your country (list: https://edpb.europa.eu/about-edpb/about-edpb/members_en);
- United Kingdom: the ICO (https://ico.org.uk/make-a-complaint/);
- Ukraine: the Ukrainian Parliament Commissioner for Human Rights (https://ombudsman.gov.ua/).
California. We do not sell or share personal information and do not use it for advertising. The categories are:
- identifiers: the app number;
- commercial information: subscription records;
- audio, visual and other content: processed as described in section 5 and not kept by us, except the comment of a report about an AI result (90 days).
To ask to know, delete or correct, write to us.

How to delete your data

On your phone. Delete a person, a photo or a whole tree in the app, or uninstall myDynasty: everything stored on the phone goes with it. We have no copy.
Stop sending. Settings → "Capybara AI" → "Withdraw consents" (section 8).
Records on our server. In Settings → "Capybara AI", copy the app number. If you have Premium: while the subscription is active and the app is installed, the app links it to our server again at its next check — so uninstall the app after copying the number, or write to us after the subscription has ended. Send the number to mydynastyapp.team@gmail.com with the words "Delete my data". We delete everything linked to that number — the app number, consent records, counters, subscription records and reports — and confirm within one month. Lost the number after reinstalling? On Android, send the Google Play order number (it starts with GPA.) from Google's purchase e-mail instead.
Without a request. The server deletes the app number and everything linked to it 12 months after it was last used; an app number linked to a subscription, 12 months after the subscription ends; reports after 90 days; consents when they expire (section 11).
Subscription. Cancel it in your Apple Account settings or in Google Play. Apple and Google keep their own payment records under their own rules.

What stays for a while after deletion: copies in server backups and technical logs, up to 30 days; content already sent to OpenAI, up to 30 days, according to OpenAI; your e-mails to us, up to 24 months; payment records at Apple and Google, under their own rules.

16. The website mydynasty.app

The website is separate from the app.

Hosting. The site is hosted on GitHub Pages (GitHub, Inc., USA). GitHub receives your IP address and technical request data when you open a page.
Fonts. Pages load their font from Google Fonts. Your browser therefore sends your IP address to Google when a page opens.
Analytics. Google Analytics 4 runs only if you allow analytics cookies in the banner. A Global Privacy Control signal from your browser counts as a refusal. Your choice is remembered in your browser.

The app contains no Google Analytics.

17. Changes to this policy

When this policy changes, we update the date at the top. If a change means that more or different data would leave your device, the AI feature concerned shows its consent screen again before it sends anything.

18. Contact

mydynastyapp.team@gmail.com · https://mydynasty.app · https://mydynasty.app/privacy

Previous version: Privacy Policy of 5 October 2026

Datenschutzerklärung von myDynasty

Gültig ab 6. Oktober 2026 · Zuletzt aktualisiert 6. Oktober 2026 · Version 2.1
Gilt für die App myDynasty für iPhone, iPad und Android (com.mydynasty.app) und für die Website mydynasty.app.

Kurzfassung

Ihr Stammbaum bleibt auf Ihrem Gerät. Namen, Daten, Fotos, Orte, Erzählungen und Dokumente werden nur in der App auf Ihrem Telefon oder Tablet gespeichert. Wir haben keine Kopie. Es gibt weder Konten noch eine Registrierung.
Aus Ihrem Stammbaum verlässt nichts das Gerät, solange Sie nichts nutzen, das das Internet braucht: eine Karte, das Friedhofsverzeichnis oder eine KI-Funktion. Bevor eine KI-Funktion etwas an unseren Server sendet, zeigt Ihnen die App, was gesendet wird und an wen, und wartet auf Ihre Einwilligung.
KI-Funktionen gehören auf iPhone, iPad und Android zum Abonnement myDynasty Premium. Was Sie senden möchten, geht an unseren Server „Capybara“ in Deutschland und von dort an OpenAI, das es in unserem Auftrag verarbeitet. Unser Server leitet es weiter und speichert es nicht. OpenAI nutzt es nicht zum Training seiner Modelle. OpenAI kann es bis zu 30 Tage aufbewahren, um Missbrauch zu erkennen. Versionen der App ohne KI-Funktionen, auch frühere Android-Versionen, verbinden sich nicht mit unserem Server.
Die App nutzt eine Zufallsnummer, nicht Ihre Identität. Um zu wissen, welche Installation KI nutzen darf und wie viel von ihrem Kontingent noch übrig ist, verwendet die App eine Zufallsnummer, die sie selbst erzeugt. Sie ist weder Ihr Name noch Ihre E-Mail-Adresse noch Ihr Apple- oder Google-Konto. Sie sehen sie in den Einstellungen.
Die Zahlung wickeln Apple und Google ab. Wir sehen nie Ihre Karte, Ihren Namen oder Ihre E-Mail-Adresse. Unser Server erhält nur einen von Apple signierten Kaufnachweis oder, unter Android, ein Kauftoken von Google Play, das er bei Google Play prüft.
Die App enthält keine Werbung, keine eigenen Analyse- oder Absturzberichtsdienste und kein Tracking. Wir verkaufen keine Daten. Auf Android zeichnet eine in die App eingebaute Google-Maps-Komponente die Karten; sie sendet Google ihre eigenen technischen Daten (Abschnitt 3).

1. Wer verantwortlich ist

Verantwortlicher: Roman Lobko, Privatperson mit Wohnsitz in der Ukraine. Er ist der Verkäufer von myDynasty im App Store und bei Google Play.
Kontakt für alle Anliegen, auch zum Datenschutz: mydynastyapp.team@gmail.com
Website: https://mydynasty.app · diese Erklärung: https://mydynasty.app/privacy

Versionen der App ohne KI-Funktionen senden nichts an unseren Server.

Wer wofür verantwortlich ist:

Ihr Stammbaum auf Ihrem Gerät. Sie verarbeiten ihn selbst, für persönliche und familiäre Zwecke, und wir haben keinen Zugriff darauf. Das Datenschutzrecht nennt das die Haushaltsausnahme (Art. 2 Abs. 2 lit. c DSGVO).
Was die App an unseren Server sendet. Das sind die App-Nummer, Einwilligungsnachweise, Abonnementdaten, Abfragen des verbleibenden KI-Kontingents, Anfragen an das Friedhofsverzeichnis, die Inhalte, die Sie an KI-Funktionen senden, und Ihre Meldungen zu KI-Ergebnissen. Dafür sind wir verantwortlich. Hetzner, Cloudflare und OpenAI verarbeiten diese Daten als Auftragsverarbeiter für uns, nach ihren Bedingungen zur Auftragsverarbeitung (Abschnitt 9).
Apple und Google. Sie sind nach ihren eigenen Datenschutzerklärungen für ihre eigenen Dienste verantwortlich: App Store, Google Play, Karten, Adresssuche und Spracherkennung.

2. Was auf Ihrem Gerät bleibt

Nur im privaten Speicherbereich der App auf Ihrem Gerät liegen:

Personen, Daten, Verwandtschaftsbeziehungen, Biografien und Notizen;
Fotos, Dokumente und andere Dateien im Archiv;
Orte und Koordinaten von Geburt, Wohnort und Bestattung;
Entwürfe der KI-Funktionen: was Sie diktiert haben, die zurückgekommenen Antworten und Grabfotos;
eine Sprachaufnahme, die noch nicht gesendet wurde (iPhone und iPad). Sie wird gelöscht, sobald sie gesendet ist. Ist sie älter als 7 Tage, wird sie gelöscht, wenn Sie den Bildschirm, auf dem Sie sie aufgenommen haben, das nächste Mal öffnen;
ein restauriertes Foto, das angekommen ist, nachdem Sie den Bildschirm verlassen haben. Es wartet, bis Sie dieses Foto wieder öffnen. Ist es älter als 30 Tage, löscht die App es bei der nächsten Prüfung auf restaurierte Fotos;
Einstellungen, Ihre Einwilligungsentscheidungen und die App-Nummer (Abschnitt 4).

Auf iPhone und iPad markiert die App ihren Datenordner so, dass er von iCloud- und Computer-Backups ausgenommen ist. Unter Android nimmt die App nicht an der automatischen Cloud-Sicherung von Android teil.

Stürzt die App ab, wird ein kurzes technisches Protokoll nur in eine Datei auf dem Gerät geschrieben, und die App selbst lädt nichts hoch. Die App hat keinen eigenen Absturzberichtsdienst. Auf Android sendet die in die App eingebaute Google-Maps-Komponente Google ihre eigenen Absturz- und Diagnosedaten (Abschnitt 3). Wenn Sie in den Einstellungen Ihres Telefons zugestimmt haben, Diagnosedaten mit App-Entwicklern zu teilen, können Apple oder Google uns Absturzberichte nach ihren eigenen Bedingungen weitergeben.

Ihr Stammbaum verlässt das Gerät nur, wenn Sie ihn selbst exportieren oder teilen. Exportierte Dateien (GEDCOM, LRV, SVG, PNG) gehen dorthin, wo Sie es wählen, zum Beispiel in „Dateien“, „Fotos“ oder eine andere App. Von dort kann dieser Dienst sie weiterkopieren, zum Beispiel in iCloud-Fotos. Wenn Sie die App deinstallieren, wird alles vom Gerät gelöscht, außer Dateien, die Sie selbst exportiert haben.

Berechtigungen:

Standort, nur während Sie die App nutzen: für Karten und für die Koordinaten von Gräbern.
Kamera und Fotos: um Bilder aufzunehmen und anzuhängen.
Mikrofon und Spracherkennung, nur in Versionen mit KI-Funktionen: um per Stimme von einer Person zu erzählen.
Mitteilungen: nur lokale Erinnerungen, ohne Push-Dienst.

Jede davon können Sie in den Einstellungen Ihres Telefons abschalten.

3. Wann etwas Ihr Gerät verlässt

Wenn Sie …	Was gesendet wird	An wen
eine Karte öffnen (auf Android auch einfach die App nutzen: ihre Google-Maps-Komponente kann mit ihr starten)	technische Kartenanfragen: IP-Adresse und welcher Kartenausschnitt nötig ist. Auf Android sendet die in die App eingebaute Google-Maps-Komponente Google außerdem ihre eigenen Daten: Karteninteraktionen (Verschieben und Zoomen), Absturzprotokolle und -kennzahlen, Gerätedaten (Modell, Marke, Android-Version) und eine pseudonyme Kennung der Komponente. Google nutzt sie nach seiner eigenen Datenschutzerklärung, als eigenständiger Verantwortlicher	Apple Karten (iPhone, iPad) oder Google (Android)
auf der Karte eine Adresse suchen	die eingegebene Adresse	Apple oder Google (Adresssuche des Telefons)
Grabfotos aufnehmen	den Ort, an dem Sie sie aufgenommen haben, um seine Adresse anzuzeigen	Apple oder Google (Adresssuche des Telefons)
das Friedhofsverzeichnis nutzen	Land, Sprache, Region und Ort, eingegebene Namen oder Koordinaten, die Verzeichnisnummer eines Friedhofs; ohne die App-Nummer	unser Server (Abschnitt 6)
die Friedhofskarte oder die kleine Karte in einem Grabeintrag ansehen	welche Kartenkacheln nötig sind sowie Ihre IP-Adresse	OpenStreetMap Foundation
nach Ihrer Einwilligung eine KI-Funktion nutzen	was der Einwilligungsbildschirm nennt, sowie die App-Nummer	unser Server, dann OpenAI (Abschnitt 5)
mit „Ergebnis melden“ eine Meldung senden	die Funktion, den Grund, Ihren Kommentar (falls vorhanden) und die App-Nummer; nicht das Foto und nicht den Text der KI	unser Server (Abschnitt 5)
Premium haben und die Einstellungen oder eine Personenkarte öffnen oder ein Foto restaurieren	nur die App-Nummer, um anzuzeigen, wie viel KI-Kontingent noch übrig ist	unser Server (Abschnitt 4)
per Stimme diktieren	kann Ihr Telefon Sprache nicht auf dem Gerät erkennen, geht der Ton auch an seinen Spracherkennungsdienst	Apple oder Google (Spracherkennungsdienst des Telefons)
das Abonnement kaufen oder wiederherstellen	den Kauf selbst, danach einen von Apple signierten Kaufnachweis oder ein Kauftoken von Google Play	Apple oder Google Play, danach unser Server (Abschnitt 7)
einen Link oder eine Schaltfläche antippen (E-Mail, Store-Seite, „Koordinaten teilen“, „Route planen“)	was dieser Link öffnet; bei einer Route die Koordinaten des Ortes und der Name der Person als Beschriftung	die App oder Website Ihrer Wahl; bei einer Route die Karten-App

Versionen der App ohne KI-Funktionen, auch frühere Android-Versionen, verbinden sich überhaupt nicht mit unserem Server.

4. Unser Server „Capybara“ und die App-Nummer

Wo er läuft. Unser Server läuft bei der Hetzner Online GmbH in Nürnberg (Deutschland, EU). Die App erreicht ihn unter api.mydynasty.app über Cloudflare, das die verschlüsselte Verbindung überträgt.

Die App-Nummer.

Was sie ist. Eine Zufallsnummer (UUID), die die App erzeugt, wenn sie sie zum ersten Mal braucht, und in ihren Einstellungen speichert. Das kann sein, wenn Sie das Abonnement kaufen, eine KI-Funktion nutzen oder mit Premium die Einstellungen oder eine Personenkarte öffnen. Die Nummer ist nicht von Ihrem Gerät abgeleitet und keine Werbe-ID.
Wann sie gesendet wird. Die App sendet sie mit jeder Anfrage an unseren Server, außer bei Abfragen des Friedhofsverzeichnisses (Abschnitt 6).
Warum wir sie als personenbezogenes Datum behandeln. Die Nummer verrät uns nicht, wer Sie sind. Da sie aber mit Ihren Einwilligungsnachweisen und Abonnementdaten verbunden ist, behandeln wir sie als personenbezogenes Datum (pseudonyme Kennung).
Auch Apple sieht sie. Wenn Sie das Abonnement auf iPhone oder iPad kaufen, übergibt die App Apple dieselbe Nummer mit dem Kauf, als „App Account Token“. So lässt sich der Kauf dieser Installation zuordnen. Apple sieht die Nummer daher zusammen mit Ihrem Apple Account.
Auch Google sieht sie. Wenn Sie das Abonnement unter Android kaufen, übergibt die App Google Play dieselbe Nummer mit dem Kauf, als Kontokennung (Google nennt sie „obfuscatedAccountId“). Google sieht die Nummer daher zusammen mit Ihrem Google-Konto.
Wo Sie sie finden. Einstellungen → „Capybara AI“ → „App-Nummer“. Dort können Sie sie kopieren. Dieser Bereich erscheint mit Premium. Hat die App bereits eine Nummer vergeben, zum Beispiel nachdem Sie einer KI-Funktion zugestimmt oder das Abonnement gekauft haben, bleibt die Nummer dort auch ohne Premium.
Wann sie sich ändert. Eine Neuinstallation der App erzeugt eine neue Nummer. Der Widerruf von Einwilligungen ändert sie nicht.

Anfragen ohne Ihre Inhalte. In der Version mit KI-Funktionen verbindet sich die App auch von selbst mit unserem Server. Keine dieser Anfragen enthält Ihre Erzählungen, Fotos oder sonst etwas aus Ihrem Stammbaum:

Verbleibendes Kontingent. Wenn Sie mit Premium die Einstellungen oder eine Personenkarte öffnen oder ein Foto restaurieren, fragt die App, wie viel von Ihrem KI-Kontingent noch übrig ist. Ohne Premium fragt sie nicht. Nur die App-Nummer wird gesendet. Unser Server speichert aus dieser Anfrage nichts Neues. Bei einer App-Nummer, die er schon kennt, vermerkt er höchstens einmal am Tag, dass die Nummer noch genutzt wird.
Abonnement. Bei aktivem Abonnement sendet die App den von Apple signierten Kaufnachweis beim Start, nach Kauf, Wiederherstellung oder Verlängerung und dann, wenn unser Server Ihr Abonnement bei einer KI-Anfrage noch nicht kennt. Unter Android sendet sie stattdessen das Kauftoken von Google Play: nach dem Kauf, beim Start, solange Sie abonniert haben, und dann, wenn unser Server Ihr Abonnement bei einer KI-Anfrage noch nicht kennt (Abschnitt 7).
Fotorestaurierung. Nachdem Sie eine Restaurierung gestartet haben, fragt das Telefon bis zu 15 Minuten lang bei unserem Server nach dem Ergebnis, auch wenn Sie den Bildschirm verlassen. Danach bittet es den Server, das Ergebnis zu löschen. Gesendet werden nur die Auftragsnummer und die App-Nummer.

Die App fragt das Friedhofsverzeichnis nicht von selbst, wenn Sie einen Grabeintrag oder eine Personenkarte öffnen. Sie fragt nur, wenn Sie tippen (Abschnitt 6).

Was unser Server speichert, steht in Abschnitt 11. Kurz: die App-Nummer mit dem Datum ihrer ersten und letzten Nutzung, Einwilligungsnachweise, Nutzungszähler, Abonnementdaten und Meldungen zu KI-Ergebnissen.

Unser Server speichert nicht Ihre Texte, Aufnahmen, Fotos, Koordinaten oder Suchanfragen, und er speichert keine IP-Adressen. Der einzige Text, den er speichert, ist der Kommentar, den Sie einer Meldung zu einem KI-Ergebnis hinzufügen können (Abschnitt 5). Seine technischen Protokolle sind so eingerichtet, dass Ihre Inhalte und Koordinaten nicht darin landen. Sie können interne Datensatznummern, bei seltenen Datenbankfehlern die App-Nummer und, wenn eine Prüfung bei Google Play fehlschlägt, die ersten Zeichen des Kauftokens (höchstens 8) enthalten. Sie werden spätestens nach 30 Tagen gelöscht.

5. KI-Funktionen („Capybara AI“)

KI-Funktionen gibt es auf iPhone, iPad und Android mit dem Abonnement myDynasty Premium. Ohne das Abonnement zeigt die App sie nicht an.

Bevor eine Funktion zum ersten Mal etwas sendet, zeigt sie einen Einwilligungsbildschirm. Er nennt, was gesendet wird, sowie unseren Server „Capybara“ und OpenAI. Bis Sie zustimmen, wird weder an unseren Server noch an OpenAI etwas gesendet (Abschnitt 8). Die Spracherkennung Ihres Telefons arbeitet, sobald Sie auf das Mikrofon tippen; siehe unten „Spracherkennung durch Ihr Telefon“.

5.1 „Von einer Person erzählen“. Sie erzählen von einem Angehörigen. Die KI füllt die Karte aus und kann laut Rückfragen stellen.

Auf iPhone und iPad sendet die App die Sprachaufnahme (komprimierter Ton) und die gewählte Sprache, damit die Sprache erkannt wird, und danach den Text der Erzählung — aus der Aufnahme erkannt oder, wenn das nicht gelingt, vom Telefon. Nach der Erkennung wird die Aufnahme vom Telefon gelöscht.
Unter Android macht die App keine Aufnahme und sendet nie Ton an unseren Server. Sie sendet den Text der Erzählung, so wie Ihr Telefon ihn erkannt hat, und die gewählte Sprache.
Rückfragen — am Grab und wenn die KI wissen muss, wie die Person mit jemandem aus Ihrer Erzählung verwandt ist — liest eine Stimme von OpenAI vor. Der Text der Frage, der von Ihnen genannte Namen enthalten kann, wird an OpenAI gesendet, damit er in Sprache umgewandelt wird.
Die Person erscheint erst im Stammbaum, nachdem Sie die Karte geprüft und auf „Speichern“ getippt haben.

5.2 „Grabfotos“.

Das Foto der Inschrift auf dem Grabstein geht an OpenAI, damit die Inschrift gelesen werden kann.
Der Ort, an dem Sie die Fotos aufgenommen haben, geht nur an unseren Server, um den Friedhof im Verzeichnis zu finden, ohne die App-Nummer (Abschnitt 6), und nur, wenn Sie zugestimmt haben. An OpenAI geht er nicht.
Die Adresse dieses Ortes ermittelt das System Ihres Telefons selbst (Apple oder Google). Das geschieht auch, wenn Sie der KI nicht zugestimmt haben.
Die Gesamtaufnahme bleibt auf dem Telefon. Das Porträt vom Grabstein geht nur mit der gesonderten Einwilligung zur Fotorestaurierung zur Restaurierung (5.3).

5.3 „Fotorestaurierung“.

Was an OpenAI geht:
- das Foto: das ganze Bild oder das am Grab aufgenommene Porträt;
- der Gesichtsbereich des Avatars der Person;
- die gewählte Augen- und Haarfarbe.
Unser Server erhält außerdem die Bildgröße und die Angabe, ob es ein Porträt von einem Grab ist. Damit legt er die Größe des Ergebnisses und die Anweisungen für OpenAI fest.
Was Sie zurückbekommen. Das Ergebnis ist ein von KI erzeugtes Bild. Es kann davon abweichen, wie die Person wirklich aussah.
- Auf der Seite einer Person ersetzt es das alte Foto nur, wenn Sie auf „Speichern“ tippen. Das alte Foto bleibt im Archiv.
- Ein restauriertes Porträt vom Grabstein wird automatisch zum Avatar der neuen Person. Das Grabsteinfoto bleibt beim Grabeintrag.
Auf unserem Server. Das Foto wird nicht auf die Festplatte geschrieben. Es liegt im Arbeitsspeicher, solange die Restaurierung läuft. Das fertige Bild wird aufbewahrt, bis die App es abholt, höchstens 10 Minuten, nachdem es fertig ist. Ein nicht abgeschlossener Auftrag wird nach 15 Minuten verworfen.

5.4 „Biografie mit KI“. Die KI stellt Fragen und bringt das Gesagte in eine Ordnung.

Als Text gesendet:
- was Sie sagen, so wie das Telefon es erkannt hat;
- die bereits gestellten Fragen und die bereits geschriebene Biografie;
- der vollständige Name der Person (Vorname, Vatersname, Nachname) sowie Geburts- und Sterbedatum;
- die vollständigen Namen (Vorname, Vatersname, Nachname) von Ehepartner, Eltern, Kindern und Geschwistern aus dem Stammbaum, mit dem Verwandtschaftsverhältnis.
Es werden keine Aufnahme, keine Fotos und kein Standort gesendet.
Die Fragen liest eine Stimme von OpenAI vor: Der Text der Frage wird an OpenAI gesendet, damit er in Sprache umgewandelt wird. Ohne Verbindung liest sie die Stimme Ihres Telefons.

Für alle KI-Funktionen:

Fotos werden vor dem Senden neu kodiert. Dadurch werden versteckte Metadaten wie der Aufnahmeort der Kamera entfernt.
Sonst wird nichts gesendet: keine anderen Fotos, nicht Ihr Stammbaum und keine Gerätedaten. Unser Server gibt weder die App-Nummer noch eine andere Kennung an OpenAI weiter.
Unser Server speichert die Inhalte nicht. Er leitet sie an OpenAI weiter und gibt die Antwort an Ihr Telefon zurück.
OpenAI verarbeitet die Inhalte in unserem Auftrag, nach seinen Bedingungen zur Auftragsverarbeitung. Nach Angaben von OpenAI:
- werden über seine API gesendete Daten nicht zum Training seiner Modelle genutzt;
- können die Daten bis zu 30 Tage zur Missbrauchserkennung aufbewahrt werden und werden danach gelöscht, sofern das Gesetz keine längere Aufbewahrung verlangt.
Bricht die Verbindung ab, warten Erzählungen, Aufnahmen oder Grabfotos, deren Versand Sie bereits zugestimmt haben, auf dem Telefon. Solange Ihre Einwilligung besteht, werden sie automatisch gesendet, sobald die Verbindung zurück ist, während dieser Bildschirm offen ist, oder wenn Sie den Bildschirm wieder öffnen. Haben Sie die Einwilligung widerrufen, wird nichts Wartendes gesendet: Es bleibt auf dem Telefon, bis Sie auf „Erneut versuchen“ tippen und erneut zustimmen.
KI macht Fehler. Prüfen Sie das Ergebnis, bevor Sie es speichern.
Erzählungen und Fotos betreffen meist andere Menschen. Senden Sie nur, was Sie teilen dürfen. Seien Sie besonders vorsichtig mit Angaben über lebende Angehörige, vor allem über Kinder.

Spracherkennung durch Ihr Telefon. Während Sie sprechen, stammt der Text auf dem Bildschirm vom System Ihres Telefons. Kann es Sprache nicht auf dem Gerät erkennen, geht der Ton auch an den Spracherkennungsdienst des Telefons — auf iPhone und iPad an den von Apple, unter Android meist an den von Google —, nach der Datenschutzrichtlinie dieses Unternehmens. Die App weist Sie vorher darauf hin.

Ergebnis melden. Auf dem Bildschirm der Fotorestaurierung und in „Biografie mit KI“ auf den Bildschirmen, auf denen Sie den Text prüfen oder zusammenführen, können Sie auf „Ergebnis melden“ tippen. Sie wählen einen Grund: beleidigend oder unangemessen; unwahr über die Person (Biografie); das Foto ist verzerrt (Restaurierung); oder Sonstiges. Sie können einen Kommentar mit bis zu 500 Zeichen hinzufügen. Vor dem Senden zeigt die App, was gesendet wird: die Funktion, der Grund und Ihr Kommentar. Das Foto und der Text der KI werden nicht gesendet. Unser Server erhält die Funktion, den Grund, den Kommentar (falls vorhanden) und die App-Nummer. Er bewahrt die Meldung 90 Tage auf und löscht sie dann. Wir nutzen Meldungen nur, um Beschwerden zu prüfen und die Filterung der KI-Funktionen zu verbessern.

6. Friedhofsverzeichnis

Das Friedhofsverzeichnis gehört zu den Versionen mit KI-Funktionen, auf iPhone, iPad und Android. Es ist kostenlos und braucht kein Abonnement.

Die App kontaktiert unseren Server nur, wenn Sie etwas tun:

Sie wählen ein Land (die App lädt dann die Orte dieses Landes) oder tippen auf das Ortsfeld;
Sie geben den Namen eines Ortes oder Friedhofs ein;
Sie öffnen die Friedhofskarte oder suchen Friedhöfe in der Nähe eines Punktes;
Sie tippen auf die kleine Karte in einem Grabeintrag oder auf den Bestattungsort in einer Personenkarte, um ihn auf der Karte zu sehen;
Sie nehmen nach Ihrer Einwilligung in die KI Grabfotos auf (5.2).

Das Öffnen eines Grabeintrags oder einer Personenkarte kontaktiert das Verzeichnis nicht.

Was gesendet wird: nur das, was die Suche braucht, ohne die App-Nummer:

Land und Sprache sowie Region und Ort;
die eingegebenen Namen;
die Verzeichnisnummer eines Friedhofs, der im Eintrag schon gewählt ist; oder
Koordinaten: ein Punkt auf der Karte oder der gespeicherte Ort eines Grabes, mit einem Suchradius. Bei Grabfotos außerdem die GPS-Genauigkeit und ob es das Grab eines Haustiers ist.

Ihre IP-Adresse speichert unser Server nicht: Er nutzt sie nur im Arbeitsspeicher, um zu begrenzen, wie oft Anfragen kommen können.

Wie unser Server antwortet. Er nutzt sein eigenes Verzeichnis, das aus OpenStreetMap-Daten erstellt ist. Ihre Suchanfragen und Koordinaten speichert er nicht. Nichts aus Ihrem Stammbaum gelangt in das Verzeichnis.

Kartenbilder. Die Friedhofskarte und die kleine Karte im Grabeintrag laden Kartenbilder direkt von Servern der OpenStreetMap Foundation (Vereinigtes Königreich). Diese Server erhalten Ihre IP-Adresse, Name und Version der App und welche Kartenkacheln nötig sind. Die Bilder werden auf Ihrem Telefon gespeichert, damit sie nicht erneut geladen werden müssen.

7. Abonnement und Zahlung

iPhone und iPad. Die Zahlung wickelt Apple ab. Wir erhalten nie Ihre Kartendaten, Ihren Namen, Ihre E-Mail-Adresse oder Ihren Apple Account.

Wie Ihr Kauf zu unserem Server gelangt:

Nachdem Sie das Abonnement gekauft oder wiederhergestellt haben, und bei jeder Verlängerung übergibt Apple der App einen von Apple signierten Kaufnachweis.
Die App sendet diesen Nachweis zusammen mit den Verlängerungsangaben an unseren Server. Der Server prüft Apples Signatur und schaltet die KI-Funktionen für diese Installation frei.
Die App sendet den Nachweis auch beim Start, wenn ein Abonnement aktiv ist. Kennt unser Server Ihr Abonnement bei einer KI-Anfrage noch nicht, sendet die App den Nachweis erneut und wiederholt die Anfrage einmal.

Was der signierte Nachweis enthält: unter anderem die Kaufnummern, das Produkt, Kauf- und Ablaufdatum, das Store-Land, Preis und Währung sowie die App-Nummer der Installation, auf der gekauft wurde. Er kann auch einen technischen Wert enthalten, mit dem Apple prüft, dass der Nachweis zum Gerät gehört. Er enthält keinen Namen, keine E-Mail-Adresse, keinen Apple Account und keine Zahlungsdaten. Unser Server speichert nur, was unten aufgeführt ist.

Was unser Server speichert:

die ursprüngliche Kaufnummer und das Produkt;
die Umgebung (echter Kauf oder Testkauf);
das Bezahlt-bis-Datum und das Ende der Nachfrist;
das Erstattungsdatum, falls es eine Erstattung gab;
ob sich das Abonnement automatisch verlängert;
die Zeitpunkte der Signaturen, das Datum, an dem Ihr Kontingentzeitraum begonnen hat, und einen internen Schlüssel für das gemeinsame KI-Kontingent;
wann der Datensatz angelegt und zuletzt aktualisiert wurde;
welche App-Nummern dieses Abonnement nutzen; zu jeder das Datum, an dem sie hinzukam, und das Datum, an dem sie zuletzt gesehen wurde (höchstens einmal am Tag aktualisiert).

Benachrichtigungen von Apple: Apple informiert unseren Server außerdem direkt über Verlängerungen, Zahlungsprobleme, Erstattungen und Ablauf. Unser Server aktualisiert den Abonnementdatensatz anhand dieser Benachrichtigungen. Von den Benachrichtigungen selbst speichern wir nur die Nummer der Benachrichtigung, ihren Typ und Untertyp und den Eingangszeitpunkt.

Ihre Geräte:

Ein Abonnement gilt auf allen Ihren Geräten. Nutzen Sie auf einem neuen Gerät oder nach einer Neuinstallation „Käufe wiederherstellen“.
Das KI-Kontingent teilen sich alle Geräte eines Abonnements.

Verwalten, Erstattungen und Kündigung:

Verwalten oder kündigen können Sie das Abonnement in den Einstellungen Ihres Apple Accounts oder über „Abonnement verwalten“ in der App.
Erstattungen wickelt Apple ab.
Preis und Abrechnungszeitraum werden vor dem Kauf in der App und im App Store angezeigt. Es gilt Apples Standard-Lizenzvertrag für Endnutzer (EULA).
Kündigen Sie, wird nichts gelöscht. Projekte über den kostenlosen Grenzen sind bis zu einem erneuten Abonnement nur lesbar, und die KI-Funktionen enden.

Android. Kauf und Zahlung wickelt Google Play ab. Wir erhalten nie Ihre Kartendaten, Ihren Namen, Ihre E-Mail-Adresse oder Ihr Google-Konto.

Wie Ihr Kauf zu unserem Server gelangt:

Wenn Sie das Abonnement kaufen, übergibt die App Google Play die App-Nummer als Kontokennung (Abschnitt 4).
Nach dem Kauf und beim Start, solange Sie abonniert haben, sendet die App unserem Server das Kauftoken, das Google Play ihr gegeben hat. Kennt unser Server Ihr Abonnement bei einer KI-Anfrage nicht, sendet die App das Token und wiederholt die Anfrage einmal.
Unser Server fragt Google Play (Google Play Developer API), ob das Abonnement aktiv ist, und schaltet, wenn ja, die KI-Funktionen für diese Installation frei. Er nutzt das Token nur für diese Prüfung und speichert es nicht.

Was unser Server speichert:

die Bestellnummer (die Bestell-ID von Google Play ohne die Endung, die Google bei jeder Verlängerung anhängt) und das Produkt;
ob es ein echter Kauf oder ein Testkauf ist;
wann das Abonnement begonnen hat (damit beginnt auch Ihr Kontingentzeitraum) und wann der bezahlte Zeitraum endet;
während einer Nachfrist, solange Google eine fehlgeschlagene Zahlung noch einzuziehen versucht: einen Zeitpunkt einen Tag nach der Prüfung, bis zu dem der Zugang offen bleibt;
meldet Google Play, dass das Abonnement vor dem Ende des bezahlten Zeitraums geendet hat (zum Beispiel nach einer Erstattung), den Zeitpunkt, zu dem es endete;
ob sich das Abonnement automatisch verlängert;
wann unser Server zuletzt bei Google Play nachgefragt hat, einen internen Schlüssel für das gemeinsame KI-Kontingent sowie wann der Datensatz angelegt und zuletzt aktualisiert wurde;
welche App-Nummern dieses Abonnement nutzen, mit denselben Daten wie beim App Store.

Keine Benachrichtigungen von Google: Echtzeit-Benachrichtigungen von Google Play nutzt unser Server nicht. Von Verlängerungen, Kündigungen und Erstattungen erfährt er erst, wenn die App das Token erneut sendet.

Ihre Geräte, Verwalten und Erstattungen: Wie auf iPhone und iPad gilt ein Abonnement auf allen Ihren Geräten mit demselben Google-Konto, und sie teilen sich ein KI-Kontingent. Verwalten oder kündigen können Sie das Abonnement in Google Play oder über „Abonnement verwalten“ in der App. Erstattungen wickelt Google ab. Preis und Abrechnungszeitraum werden vor dem Kauf in der App und bei Google Play angezeigt. Kündigen Sie, wird nichts gelöscht, wie oben beschrieben.

8. Einwilligung und Widerruf

Es gibt drei Einwilligungen:
- „Von einer Person erzählen“ zusammen mit „Grabfotos“;
- „Fotorestaurierung“;
- „Biografie mit KI“.
Jeder Einwilligungsbildschirm nennt, was gesendet wird. Ändert sich der Text, fragt die App erneut.
Wenn eine Funktion nach Ihrer Zustimmung zum ersten Mal etwas sendet, registriert die App Ihre Einwilligung bei unserem Server. Der Nachweis enthält:
- die App-Nummer und die Funktion;
- die Ihnen gezeigten Datenkategorien;
- den genannten Anbieter („OpenAI via Capybara“);
- die App-Version, die Version des Textes und die Uhrzeit.
Jeder Nachweis gilt 30 Tage. Ist er abgelaufen, registriert die App bei der nächsten Nutzung dieser Funktion einen neuen, ohne erneut zu fragen, bis Sie die Einwilligung widerrufen. Abgelaufene Nachweise werden automatisch innerhalb von etwa einer Stunde gelöscht.
Widerruf jederzeit: Einstellungen → „Capybara AI“ → „Einwilligungen widerrufen“.
- Das Telefon vergisst sofort alle KI-Einwilligungen. Keine KI-Funktion sendet etwas, bis Sie erneut zustimmen. Das gilt auch für Erzählungen, Aufnahmen und Grabfotos, die auf den Versand warteten: Sie bleiben auf Ihrem Telefon und werden nicht gesendet, bis Sie auf „Erneut versuchen“ tippen und erneut zustimmen.
- Der Nachweis auf unserem Server wird in diesem Moment nicht gelöscht. Er wird nicht mehr genutzt und läuft innerhalb von 30 Tagen ab.
- Was bereits in Ihrem Stammbaum ist, bleibt.
- Der Widerruf kündigt nicht das Abonnement. Das kündigen Sie im Store.
Die übrigen Vorteile des Abonnements (mehr Stammbäume, Personen und Dateien) hängen nicht von einer Einwilligung in die KI ab.
Den Zugriff von myDynasty auf Mikrofon, Kamera, Fotos und Standort können Sie außerdem in den Einstellungen Ihres Telefons abschalten.

9. Wer Daten in unserem Auftrag verarbeitet

Auftragsverarbeiter	Aufgabe	Ort	Was er sieht
Hetzner Online GmbH (Deutschland)	betreibt unseren Server, seine Datenbank und die Backups seiner Festplatte	Nürnberg, Deutschland (EU)	alles, was unser Server erhält und speichert
Cloudflare, Inc. (USA)	überträgt die verschlüsselte Verbindung zwischen der App und unserem Server	weltweites Netz; Unternehmen mit Sitz in den USA	die IP-Adresse und die Anfrageadressen, einschließlich der Koordinaten und Suchbegriffe darin; während der Weiterleitung die Anfragen selbst, einschließlich der App-Nummer (Verzeichnisabfragen enthalten keine)
OpenAI OpCo, LLC (USA)	KI-Verarbeitung	USA sowie die von OpenAI aufgeführten Unterauftragsverarbeiter	nur die Inhalte, die Sie an KI-Funktionen senden, ohne die App-Nummer

Jeder von ihnen verarbeitet die Daten nur nach unseren Weisungen gemäß seinen Bedingungen zur Auftragsverarbeitung und muss sie mindestens so gut schützen wie hier beschrieben.

Der Verantwortliche bewahrt außerdem Kopien unserer Serverdatenbank auf seinem eigenen Computer und seinem Backup-Laufwerk auf. Die Datenbank enthält nur die in Abschnitt 11 aufgeführten Einträge: keine Stammbäume, Erzählungen oder Fotos.

Apple, Google und die OpenStreetMap Foundation erbringen ihre Dienste Ihnen gegenüber nach ihren eigenen Bedingungen und Datenschutzerklärungen. Bei Google gehören dazu auch Google Play und die Google Play Developer API, über die unser Server ein Android-Abonnement prüft (Abschnitt 7), sowie die Google-Maps-Komponente in der Android-App (Abschnitt 3).

Wir nutzen keine eigenen Analyse-, Werbe-, Absturzberichts- oder Tracking-Dienste (zur Google-Maps-Komponente auf Android siehe Abschnitt 3). Wir verkaufen keine Daten, geben sie nicht für Werbung weiter und erstellen keine Profile. Wir treffen keine automatisierten Entscheidungen über Sie.

10. Rechtsgrundlagen

Einwilligung. Art. 6 Abs. 1 lit. a DSGVO; Art. 9 Abs. 2 lit. a DSGVO für sensible Angaben über Sie selbst, die Sie aufnehmen möchten; Art. 11 des ukrainischen Gesetzes „Über den Schutz personenbezogener Daten“. Darauf beruht das Senden von Inhalten an KI-Funktionen, einschließlich ihrer Übermittlung an OpenAI in den USA.
Vertrag. Art. 6 Abs. 1 lit. b DSGVO. Darauf beruhen die Prüfung Ihres Abonnements, die App-Nummer und die Kontingentzähler sowie die Verzeichnissuchen, die Sie durchführen.
Berechtigte Interessen. Art. 6 Abs. 1 lit. f DSGVO. Darauf beruhen der Schutz vor Missbrauch (Anfragelimits; bei Verzeichnisabfragen anhand der IP-Adresse, nur im Arbeitsspeicher), die Prüfung von Meldungen zu KI-Ergebnissen, Backups, technische Protokolle und die Namen von Angehörigen, die Sie in Gesendetes aufnehmen, beschränkt auf das, was die Funktion braucht. Sie können widersprechen, indem Sie uns schreiben.
Daten auf Ihrem Gerät: die Haushaltsausnahme (Abschnitt 1).
Angaben über Verstorbene. Die DSGVO gilt für sie nicht (Erwägungsgrund 27), manche Länder schützen sie aber durch nationales Recht. Wir gehen damit genauso sorgfältig um.

11. Speicherdauer

Daten	Wo	Wie lange
Inhalte für KI-Funktionen: Texte, Aufnahmen, Fotos, Fragetexte	unser Server	nicht gespeichert; nur während der Anfrage im Arbeitsspeicher
Restauriertes Foto	Arbeitsspeicher unseres Servers	bis die App es abholt, höchstens 10 Minuten nach Fertigstellung; ein nicht abgeschlossener Auftrag wird nach 15 Minuten verworfen
Dieselben Inhalte	OpenAI	bis zu 30 Tage (Missbrauchserkennung), nach Angaben von OpenAI
Koordinaten, Verzeichnissuchen, Kontingentabfragen, IP-Adressen, Kauftokens von Google Play	unser Server	nicht gespeichert
App-Nummer mit dem Datum der ersten und letzten Nutzung (eine Einwilligung, eine KI-Anfrage oder eine Kontingentabfrage)	unser Server	12 Monate nach der letzten Nutzung
Einwilligungsnachweise	unser Server	je 30 Tage, danach innerhalb von etwa einer Stunde gelöscht; früher, wenn die App-Nummer gelöscht wird
Nutzungseinträge: App-Nummer, Funktion, Zeit und Umfang in Zeichen, ohne Inhalt	unser Server	3 Tage
Monatliche KI-Kostensummen: App-Nummer oder Abonnement, Monat, Betrag	unser Server	31 Tage ab Beginn des jeweiligen Monatszeitraums (bis zu 3 Tage nach seinem Ende)
Monatliche Zähler der Fotorestaurierung	unser Server	alle Zähler einer App-Nummer oder eines Abonnements werden zusammen gelöscht, spätestens 12 Monate nach der letzten Restaurierung
Abonnementdaten (App Store und Google Play) und die damit verknüpften App-Nummern	unser Server	12 Monate nach Ende des Abonnements (Ablauf nach der Nachfrist oder ein früheres Ende, zum Beispiel eine Erstattung)
Apple-Benachrichtigungen: Nummer, Typ und Untertyp, Zeitpunkt	unser Server	12 Monate
Meldungen zu KI-Ergebnissen: Funktion, Grund, Ihr Kommentar, App-Nummer	unser Server	90 Tage, danach gelöscht
Technische Protokolle des Servers, ohne Inhalte	unser Server	bis zu 30 Tage
Backups der Serverdatenbank	unser Server, der Backup-Dienst von Hetzner, eigener Computer und eigenes Backup-Laufwerk des Verantwortlichen	bis zu 30 Tage
Ihre E-Mails an uns	Postfach	bis zu 24 Monate; länger nur für einen offenen Vorgang oder wenn das Gesetz es verlangt
Alles in der App	Ihr Gerät	bis Sie es löschen oder die App deinstallieren; eine wartende Aufnahme (iPhone und iPad) wird gelöscht, sobald sie älter als 7 Tage ist, beim nächsten Öffnen ihres Bildschirms; ein restauriertes Foto, das ohne geöffneten Bildschirm angekommen ist, wird gelöscht, sobald es älter als 30 Tage ist, bei der nächsten Prüfung auf restaurierte Fotos

Backups enthalten Kopien der oben genannten Servereinträge. Ein aus der Datenbank gelöschter Eintrag kann daher noch bis zu 30 Tage in einem Backup verbleiben.

Betriebsstatistiken ohne App-Nummer (Dauer und Ergebnis von KI-Aufrufen, Tagesgesamtkosten) sind keine personenbezogenen Daten.

12. Übermittlungen außerhalb der EU

Unser Server steht in der EU (Deutschland).
OpenAI und Cloudflare sind US-Unternehmen. Ihre Bedingungen zur Auftragsverarbeitung enthalten die EU-Standardvertragsklauseln für Übermittlungen außerhalb der EU. Nach ukrainischem Recht beruht die Übermittlung von KI-Inhalten an OpenAI auf Ihrer Einwilligung.
Der Verantwortliche hat seinen Wohnsitz in der Ukraine, für die kein Angemessenheitsbeschluss der EU besteht. Er verwaltet den Server und bewahrt die Backups auf.
Apple und Google nutzen eigene Übermittlungsmechanismen.

13. Kinder

Die App richtet sich nicht an Kinder. KI-Funktionen und das Abonnement sind für Personen ab 13 Jahren. In manchen Ländern legt das Recht ein höheres Alter für die Einwilligung in Online-Dienste fest, in einigen EU-Ländern bis 16. Wer jünger ist, braucht die Erlaubnis eines Elternteils oder Vormunds.

Wir erheben wissentlich keine Daten von Kindern unterhalb dieser Altersgrenzen. Wenn Sie glauben, dass ein Kind KI-Funktionen ohne Erlaubnis genutzt hat, schreiben Sie uns. Wir löschen dann die Einträge dieser App-Nummer.

14. Sicherheit

Auf dem Gerät. Die Daten liegen im privaten Speicherbereich der App. Wenn eine Bildschirmsperre eingerichtet ist, schützt sie die Verschlüsselung des Systems. Eine zusätzliche eigene Verschlüsselung ihrer Datenbank fügt die App nicht hinzu. Schützen Sie Ihr Gerät mit einem Code oder biometrisch.
Verbindungen zu unserem Server sind verschlüsselt: vom Gerät zu Cloudflare und von Cloudflare zu unserem Server über einen verschlüsselten Tunnel. Anfragen der App nimmt unser Server nur über diesen Tunnel an. Seine Datenbank und seine Verwaltungsfunktionen sind aus dem Internet nicht erreichbar.
Was unser Server enthält. Nur die Einträge aus Abschnitt 11: keine Stammbäume oder Erzählungen und keine Namen, außer Sie schreiben sie in den Kommentar einer Meldung.

15. Ihre Rechte

Auf Ihrem Gerät. Sie können Ihre Daten in der App ansehen, berichtigen, löschen und exportieren (GEDCOM, LRV, SVG, PNG). Das Deinstallieren der App löscht alles.
Auf unserem Server. Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Einwilligungen können Sie jederzeit widerrufen (Abschnitt 8).
Wie wir Ihre Einträge finden. Wir wissen nicht, wer Sie sind, und finden Ihre Einträge daher nur über die App-Nummer — auf Android auch über die Google-Play-Bestellnummer (Abschnitt 7). Die App-Nummer können Sie unter Einstellungen → „Capybara AI“ → „App-Nummer“ ansehen und kopieren. Senden Sie sie an mydynastyapp.team@gmail.com. Wir antworten innerhalb eines Monats.
Beschwerden:
- EU/EWR: die Datenschutzaufsichtsbehörde Ihres Landes (Liste: https://edpb.europa.eu/about-edpb/about-edpb/members_en);
- Vereinigtes Königreich: das ICO (https://ico.org.uk/make-a-complaint/);
- Ukraine: der Menschenrechtsbeauftragte des ukrainischen Parlaments (https://ombudsman.gov.ua/).
Kalifornien. Wir verkaufen oder teilen keine personenbezogenen Informationen und nutzen sie nicht für Werbung. Die Kategorien sind:
- Kennungen: die App-Nummer;
- kommerzielle Informationen: Abonnementdaten;
- Audio-, Bild- und sonstige Inhalte: verarbeitet wie in Abschnitt 5 beschrieben und bei uns nicht gespeichert, außer dem Kommentar einer Meldung zu einem KI-Ergebnis (90 Tage).
Für Auskunft, Löschung oder Berichtigung schreiben Sie uns.

So löschen Sie Ihre Daten

Auf Ihrem Telefon. Löschen Sie eine Person, ein Foto oder einen ganzen Stammbaum in der App oder deinstallieren Sie myDynasty: Alles, was auf dem Telefon gespeichert ist, wird mitgelöscht. Wir haben keine Kopie.
Nichts mehr senden. Einstellungen → „Capybara AI“ → „Einwilligungen widerrufen“ (Abschnitt 8).
Datensätze auf unserem Server. Kopieren Sie unter Einstellungen → „Capybara AI“ die App-Nummer. Mit Premium gilt: Solange das Abonnement läuft und die App installiert ist, verknüpft die App es bei der nächsten Prüfung wieder mit unserem Server — deinstallieren Sie die App also, nachdem Sie die Nummer kopiert haben, oder schreiben Sie uns nach dem Ende des Abonnements. Senden Sie die Nummer mit den Worten „Meine Daten löschen“ an mydynastyapp.team@gmail.com. Wir löschen alles, was mit dieser Nummer verknüpft ist — App-Nummer, Einwilligungsdatensätze, Zähler, Abonnementdatensätze und Meldungen — und bestätigen es innerhalb eines Monats. Nummer nach einer Neuinstallation verloren? Auf Android senden Sie stattdessen die Google-Play-Bestellnummer (sie beginnt mit GPA.) aus der Kaufbestätigung von Google.
Ohne Anfrage. Der Server löscht die App-Nummer und alles damit Verknüpfte 12 Monate nach der letzten Nutzung, eine mit einem Abonnement verknüpfte App-Nummer 12 Monate nach dem Ende des Abonnements, Meldungen nach 90 Tagen, Einwilligungen mit ihrem Ablauf (Abschnitt 11).
Abonnement. Kündigen Sie es in den Einstellungen Ihres Apple-Accounts oder in Google Play. Apple und Google bewahren ihre eigenen Zahlungsdaten nach ihren eigenen Regeln auf.

Was nach dem Löschen noch eine Weile bleibt: Kopien in Server-Backups und technischen Protokollen bis zu 30 Tage; bereits an OpenAI gesendete Inhalte bis zu 30 Tage, laut OpenAI; Ihre E-Mails an uns bis zu 24 Monate; Zahlungsdaten bei Apple und Google nach deren eigenen Regeln.

16. Die Website mydynasty.app

Die Website ist von der App getrennt.

Hosting. Die Website wird auf GitHub Pages (GitHub, Inc., USA) gehostet. GitHub erhält Ihre IP-Adresse und technische Anfragedaten, wenn Sie eine Seite öffnen.
Schriften. Die Seiten laden ihre Schrift von Google Fonts. Ihr Browser sendet deshalb beim Öffnen einer Seite Ihre IP-Adresse an Google.
Analyse. Google Analytics 4 läuft nur, wenn Sie Analyse-Cookies im Banner erlauben. Ein Global-Privacy-Control-Signal Ihres Browsers gilt als Ablehnung. Ihre Wahl wird in Ihrem Browser gespeichert.

Die App enthält kein Google Analytics.

17. Änderungen dieser Erklärung

Ändert sich diese Erklärung, aktualisieren wir das Datum oben. Würden durch eine Änderung mehr oder andere Daten Ihr Gerät verlassen, zeigt die betroffene KI-Funktion ihren Einwilligungsbildschirm erneut, bevor sie etwas sendet.

18. Kontakt

mydynastyapp.team@gmail.com · https://mydynasty.app · https://mydynasty.app/privacy

Frühere Fassung: Datenschutzerklärung vom 5. Oktober 2026

Политика конфиденциальности myDynasty

Действует с 6 октября 2026 · Обновлена 6 октября 2026 · Версия 2.1
Касается приложения myDynasty для iPhone, iPad и Android (com.mydynasty.app) и сайта mydynasty.app.

Коротко

Ваше семейное дерево живёт на вашем устройстве. Имена, даты, фотографии, места, рассказы и документы хранятся только в приложении на вашем телефоне или планшете. Копии у нас нет. Нет ни аккаунтов, ни регистрации.
Из дерева ничего не уходит, пока вы не пользуетесь тем, что работает через интернет: картой, справочником кладбищ или функцией ИИ. Прежде чем функция ИИ что-то отправит на наш сервер, приложение показывает, что именно и куда уйдёт, и ждёт вашего согласия.
Функции ИИ входят в подписку myDynasty Premium на iPhone, iPad и Android. То, что вы решили отправить, уходит на наш сервер «Капибара» в Германии, а оттуда — в OpenAI, который обрабатывает это по нашему поручению. Наш сервер передаёт данные дальше и не хранит их. OpenAI не обучает на них свои модели. OpenAI может хранить их до 30 дней, чтобы выявлять злоупотребления. Версии приложения без функций ИИ, в том числе прежние версии для Android, к нашему серверу не обращаются.
Приложение использует случайный номер, а не вашу личность. Чтобы понимать, какой установке доступен ИИ и сколько ей ещё осталось, приложение использует случайный номер, который создаёт само. Это не ваше имя, не e-mail и не аккаунт Apple или Google. Номер виден в Настройках.
Оплату принимают Apple и Google. Мы никогда не видим вашу карту, имя или e-mail. Наш сервер получает только запись о покупке, подписанную Apple, или, на Android, токен покупки Google Play, который он проверяет в Google Play.
В приложении нет рекламы, собственных сервисов аналитики и отчётов о сбоях и нет слежки. Данные мы не продаём. На Android карты рисует встроенный в приложение компонент Google Maps — он сам отправляет Google свои технические данные (раздел 3).

1. Кто отвечает за данные

Ответственный за обработку (контролёр): Роман Лобко (Roman Lobko), частное лицо, резидент Украины. Он продаёт myDynasty в App Store и Google Play.
Контакт по любым вопросам, в том числе о данных: mydynastyapp.team@gmail.com
Сайт: https://mydynasty.app · эта политика: https://mydynasty.app/privacy

Версии приложения без функций ИИ ничего не отправляют на наш сервер.

Кто за что отвечает:

Дерево на вашем устройстве. Его обрабатываете вы сами, для личных и семейных нужд, и доступа к нему у нас нет. Закон о защите данных называет это исключением для личных и домашних целей (ст. 2(2)(c) GDPR).
То, что приложение отправляет на наш сервер. Это номер приложения, записи о согласиях, записи о подписке, запросы остатка ИИ, запросы к справочнику кладбищ, содержимое, которое вы отправляете функциям ИИ, и ваши жалобы на результаты ИИ. За это отвечаем мы. Hetzner, Cloudflare и OpenAI обрабатывают это по нашему поручению в соответствии со своими условиями обработки данных (раздел 9).
Apple и Google. Они отвечают за свои сервисы по своим политикам конфиденциальности: App Store, Google Play, карты, поиск адресов и распознавание речи.

2. Что остаётся на устройстве

Только в закрытом хранилище приложения на вашем устройстве хранятся:

люди, даты, родственные связи, биографии и заметки;
фотографии, документы и другие файлы архива;
места и координаты рождения, жизни и захоронения;
черновики функций ИИ: то, что вы надиктовали, полученные ответы и снимки могил;
запись голоса, которую ещё не удалось отправить (iPhone и iPad). Она удаляется, как только уйдёт. Если ей больше 7 дней, она удалится при следующем открытии экрана, где вы её записали;
отреставрированное фото, которое пришло, когда вы уже ушли с экрана. Оно ждёт, пока вы снова откроете это фото. Если ему больше 30 дней, приложение удалит его при следующей проверке пришедших реставраций;
настройки, ваши решения о согласиях и номер приложения (раздел 4).

На iPhone и iPad приложение помечает свою папку данных, чтобы она не попадала в резервные копии iCloud и компьютера. На Android приложение отказывается от автоматического облачного резервного копирования Android.

Если приложение упадёт, короткий технический журнал запишется в файл только на устройстве, и приложение никуда его не отправляет. Своего сервиса отчётов о сбоях в приложении нет. На Android встроенный в приложение компонент Google Maps сам отправляет Google свои данные о сбоях и диагностику (раздел 3). Если вы в настройках телефона разрешили делиться диагностикой с разработчиками приложений, Apple или Google могут передать нам отчёты о сбоях по своим условиям.

Дерево покидает устройство, только если вы сами его экспортируете или кому-то отправите. Экспортированные файлы (GEDCOM, LRV, SVG, PNG) попадают туда, куда вы их сохранили: например, в «Файлы», «Фото» или другое приложение. Оттуда этот сервис может копировать их дальше, например в «Фото iCloud». При удалении приложения с устройства удаляется всё, кроме файлов, которые вы сами экспортировали.

Разрешения:

Местоположение — только пока вы пользуетесь приложением: для карт и координат могил.
Камера и фотографии — чтобы снимать и прикреплять снимки.
Микрофон и распознавание речи — только в версиях с функциями ИИ: чтобы рассказывать о человеке голосом.
Уведомления — только локальные напоминания, без push-сервиса.

Любое из них можно выключить в настройках телефона.

3. Когда что-то уходит с устройства

Когда вы…	Что уходит	Куда
открываете карту (на Android — и просто пользуетесь приложением: его компонент Google Maps может запускаться вместе с ним)	технические запросы карты: IP-адрес и какой участок карты нужен. На Android встроенный в приложение компонент Google Maps сам отправляет Google и свои данные: действия с картой (сдвиг и масштаб), трассировки и показатели сбоев, данные устройства (модель, марка, версия Android) и псевдонимный идентификатор компонента. Google использует их по своей политике конфиденциальности как самостоятельный контролёр	Apple Maps (iPhone, iPad) или Google (Android)
ищете адрес на карте	введённый адрес	Apple или Google (поиск адресов системы телефона)
снимаете могилу	место съёмки — чтобы показать его адрес	Apple или Google (поиск адресов системы телефона)
пользуетесь справочником кладбищ	страна, язык, область и город, введённые названия или координаты, номер кладбища из справочника; без номера приложения	наш сервер (раздел 6)
смотрите карту кладбища или маленькую карту в захоронении	какие квадраты карты нужны и ваш IP-адрес	OpenStreetMap Foundation
пользуетесь функцией ИИ после согласия	то, что перечислено на экране согласия, а также номер приложения	наш сервер, затем OpenAI (раздел 5)
отправляете жалобу кнопкой «Пожаловаться на результат»	функция, причина, ваш комментарий (если есть) и номер приложения; ни фото, ни текст ИИ не уходят	наш сервер (раздел 5)
с Premium открываете Настройки или карточку человека, реставрируете фото	только номер приложения — чтобы показать, сколько осталось запаса ИИ	наш сервер (раздел 4)
диктуете голосом	если телефон не умеет распознавать речь сам, звук уходит и в его службу распознавания	Apple или Google (служба распознавания речи телефона)
оформляете или восстанавливаете подписку	сама покупка, затем запись о покупке, подписанная Apple, или токен покупки Google Play	Apple или Google Play, затем наш сервер (раздел 7)
нажимаете ссылку или кнопку (почта, страница магазина, «Поделиться координатами», «Проложить маршрут»)	то, что открывает эта ссылка; для маршрута — координаты места и имя человека как подпись	выбранное вами приложение или сайт; для маршрута — приложение карт

Версии приложения без функций ИИ, в том числе прежние версии для Android, к нашему серверу не обращаются вообще.

4. Наш сервер «Капибара» и номер приложения

Где он работает. Наш сервер работает у Hetzner Online GmbH в Нюрнберге (Германия, ЕС). Приложение обращается к нему по адресу api.mydynasty.app через Cloudflare, который передаёт зашифрованное соединение.

Номер приложения.

Что это. Случайный номер (UUID), который приложение создаёт, когда он впервые понадобится, и хранит в своих настройках. Это может быть, когда вы оформляете подписку, пользуетесь функцией ИИ или, с Premium, открываете Настройки или карточку человека. Номер не получен из данных устройства и не является рекламным идентификатором.
Когда он уходит. Приложение отправляет его с каждым запросом к нашему серверу, кроме запросов к справочнику кладбищ (раздел 6).
Почему мы считаем его персональными данными. Кто вы, номер нам не говорит. Но с ним связаны записи о согласиях и подписке, поэтому мы считаем его персональными данными (псевдонимным идентификатором).
Apple тоже его видит. Когда вы оформляете подписку на iPhone или iPad, приложение передаёт Apple этот же номер вместе с покупкой — как «app account token». Так покупку можно связать с этой установкой. Поэтому Apple видит номер вместе с вашим аккаунтом Apple.
Google тоже его видит. Когда вы оформляете подписку на Android, приложение передаёт Google Play этот же номер вместе с покупкой — как идентификатор аккаунта (Google называет его «obfuscatedAccountId»). Поэтому Google видит номер вместе с вашим аккаунтом Google.
Где его найти. Настройки → «Капибара AI» → «Номер приложения». Там же его можно скопировать. Этот раздел появляется с Premium. Если приложение уже выдало номер — например, после того как вы согласились на функцию ИИ или оформили подписку, — номер остаётся там и без Premium.
Когда он меняется. После переустановки приложения создаётся новый номер. Отзыв согласий номер не меняет.

Запросы без вашего содержимого. В версии с функциями ИИ приложение обращается к нашему серверу и само. Ни один из этих запросов не несёт ваших рассказов, фотографий или чего-то ещё из дерева:

Остаток запаса. Когда вы с Premium открываете Настройки или карточку человека, а также при реставрации фото, приложение спрашивает, сколько осталось запаса ИИ. Без Premium оно не спрашивает. Уходит только номер приложения. Ничего нового из этого запроса наш сервер не сохраняет. Для уже известного ему номера он отмечает, что номером продолжают пользоваться, — не чаще раза в сутки.
Подписка. При действующей подписке приложение отправляет запись о покупке, подписанную Apple: при запуске, после покупки, восстановления или продления, а также если во время запроса ИИ наш сервер ещё не знает вашу подписку. На Android вместо неё уходит токен покупки Google Play: после покупки, при запуске, пока подписка действует, и если во время запроса ИИ наш сервер ещё не знает вашу подписку (раздел 7).
Реставрация фото. После того как вы запустили реставрацию, телефон до 15 минут спрашивает наш сервер о результате, даже если вы ушли с экрана. Потом он просит сервер удалить результат. Уходят только номер задания и номер приложения.

Сам, без вашего нажатия, приложение не спрашивает справочник кладбищ, когда вы открываете захоронение или карточку человека. Только по нажатию (раздел 6).

Что хранит наш сервер — в разделе 11. Если коротко: номер приложения с датами первого и последнего использования, записи о согласиях, счётчики использования, записи о подписке и жалобы на результаты ИИ.

Наш сервер не хранит ваши тексты, записи голоса, фотографии, координаты и поисковые запросы и не сохраняет IP-адреса. Единственный текст, который он хранит, — комментарий, который вы можете добавить к жалобе на результат ИИ (раздел 5). Его технические журналы настроены так, чтобы в них не попадали ваше содержимое и координаты. В них могут быть внутренние номера записей, при редких ошибках базы данных — номер приложения, а если проверка в Google Play не удалась — первые знаки токена покупки (не больше 8). Журналы удаляются не позже чем через 30 дней.

5. Функции ИИ («Капибара AI»)

Функции ИИ есть на iPhone, iPad и Android и входят в подписку myDynasty Premium. Без подписки приложение их не показывает.

Прежде чем функция впервые что-то отправит, она показывает экран согласия. На нём перечислено, что уйдёт, и названы наш сервер «Капибара» и OpenAI. Пока вы не согласились, ни на наш сервер, ни в OpenAI ничего не уходит (раздел 8). Распознавание речи самим телефоном работает сразу, как только вы нажали микрофон, — см. ниже «Распознавание речи телефоном».

5.1 «Рассказать о человеке». Вы рассказываете о родственнике. ИИ заполняет карточку и может задать уточняющие вопросы вслух.

На iPhone и iPad приложение отправляет запись голоса (сжатый звук) и выбранный язык, чтобы распознать речь, а затем текст рассказа — распознанный из записи или, если не вышло, телефоном. После распознавания запись удаляется с телефона.
На Android приложение не делает записи и никогда не отправляет звук на наш сервер. Оно отправляет текст рассказа в том виде, в каком его распознал телефон, и выбранный язык.
Уточняющие вопросы — у могилы и когда ИИ нужно узнать, кем человек приходится кому-то из вашего рассказа, — произносит голос OpenAI. Текст вопроса (в нём бывают названные вами имена) уходит в OpenAI, чтобы прозвучать.
Человек появится в дереве только после того, как вы проверите карточку и нажмёте «Сохранить».

5.2 «Съёмка могилы».

Снимок надписи на памятнике уходит в OpenAI, чтобы надпись прочитали.
Место съёмки уходит только на наш сервер — чтобы найти кладбище в справочнике, без номера приложения (раздел 6), и только если вы согласились. В OpenAI оно не уходит.
Адрес этого места подбирает сама система телефона (Apple или Google). Это происходит, даже если вы не согласились на ИИ.
Общий вид остаётся на телефоне. Портрет с памятника уходит на реставрацию только с отдельного согласия на реставрацию фото (5.3).

5.3 «Реставрация фото».

Что уходит в OpenAI:
- фото: снимок целиком или портрет, снятый на могиле;
- кадр лица с аватарки;
- выбранный цвет глаз и волос.
Наш сервер получает ещё размер изображения и отметку, портрет ли это с могилы. По ним он задаёт размер результата и указания для OpenAI.
Что вы получаете. Результат — изображение, созданное ИИ. Оно может отличаться от того, как человек выглядел на самом деле.
- На экране человека новое фото заменит старое, только если вы нажмёте «Сохранить». Старое останется в архиве.
- Отреставрированный портрет с памятника сам становится аватаркой нового человека. Снимок памятника остаётся в захоронении.
На нашем сервере. Фото не записывается на диск. Сервер держит его в памяти, пока идёт реставрация. Готовое изображение хранится, пока приложение его не заберёт, и не дольше 10 минут после готовности. Незавершённое задание забывается через 15 минут.

5.4 «Биография с ИИ». ИИ задаёт вопросы и приводит сказанное в порядок.

Уходит текстом:
- то, что вы говорите, в виде текста, распознанного телефоном;
- уже заданные вопросы и уже написанная биография;
- полное имя человека (имя, отчество, фамилия), даты рождения и смерти;
- полные имена (имя, отчество, фамилия) супруга, родителей, детей, братьев и сестёр из дерева с указанием родства.
Ни записи голоса, ни фотографий, ни координат не уходит.
Вопросы произносит голос OpenAI: текст вопроса уходит в OpenAI, чтобы прозвучать. Без связи их читает голос телефона.

Для всех функций ИИ:

Фотографии перекодируются перед отправкой. Поэтому скрытые метаданные, например координаты камеры, не уходят.
Больше ничего не уходит: ни другие фото, ни дерево, ни данные устройства. Номер приложения и другие идентификаторы наш сервер в OpenAI не передаёт.
Наш сервер не хранит содержимое. Он передаёт его в OpenAI и возвращает ответ на телефон.
OpenAI обрабатывает содержимое по нашему поручению в соответствии со своими условиями обработки данных. По сведениям OpenAI:
- данные, отправленные через его API, не используются для обучения моделей;
- они могут храниться до 30 дней, чтобы выявлять злоупотребления, и затем удаляются, если закон не требует хранить дольше.
Если связь пропала, рассказ, запись или снимки могилы, которые вы уже согласились отправить, ждут на телефоне. Пока согласие действует, они уходят сами — когда связь вернётся, пока этот экран открыт, или когда вы откроете его снова. Если вы отозвали согласие, ничего из ждущего не уходит: оно остаётся на телефоне, пока вы не нажмёте «Повторить» и не согласитесь снова.
ИИ ошибается. Проверяйте результат, прежде чем сохранять.
Рассказы и фотографии обычно касаются других людей. Отправляйте только то, чем вправе делиться. Будьте особенно осторожны с подробностями о живых родственниках, прежде всего о детях.

Распознавание речи телефоном. Пока вы говорите, текст на экране пишет сама система телефона. Если она не умеет распознавать речь на устройстве, звук уходит и в службу распознавания телефона — на iPhone и iPad в службу Apple, на Android обычно в службу Google — по политике конфиденциальности этой компании. Приложение заранее предупреждает об этом.

Жалоба на результат. На экране реставрации фото и в «Биографии с ИИ» на экранах проверки и склейки текста есть кнопка «Пожаловаться на результат». Вы выбираете причину: оскорбительное или неприемлемое; неправда о человеке (биография); фото искажено (реставрация); другое. Можно добавить комментарий до 500 знаков. Перед отправкой приложение говорит, что уйдёт: функция, причина и ваш комментарий. Фото и текст ИИ не отправляются. Наш сервер получает функцию, причину, комментарий (если он есть) и номер приложения. Он хранит жалобу 90 дней, затем удаляет её. Жалобы нужны нам только для того, чтобы их разбирать и улучшать фильтрацию функций ИИ.

6. Справочник кладбищ

Справочник кладбищ есть в версиях с функциями ИИ — на iPhone, iPad и Android. Он бесплатный, подписка для него не нужна.

Приложение обращается к нашему серверу, только когда вы что-то делаете:

выбираете страну (тогда приложение загружает её города) или нажимаете на поле города;
вводите название города или кладбища;
открываете карту кладбищ или ищете кладбища рядом с точкой;
нажимаете на маленькую карту в захоронении или на место захоронения в карточке человека, чтобы увидеть его на карте;
снимаете могилу после согласия на ИИ (5.2).

Открытие захоронения или карточки человека к справочнику не обращается.

Что уходит: только то, что нужно для поиска, без номера приложения:

страна и язык, область и город;
введённые названия;
номер кладбища из справочника, если оно уже выбрано в записи; или
координаты: точка на карте или сохранённое место могилы, с радиусом поиска. При съёмке могилы — ещё точность GPS и отметка, не могила ли это питомца.

Ваш IP-адрес наш сервер не сохраняет: он использует его только в памяти, чтобы ограничивать частоту запросов.

Как отвечает наш сервер. Он берёт ответ из собственного справочника, построенного на данных OpenStreetMap. Ваши запросы и координаты он не хранит. Ничего из вашего дерева в справочник не попадает.

Изображения карты. Карта кладбища и маленькая карта в захоронении загружают изображения карты прямо с серверов OpenStreetMap Foundation (Великобритания). Эти серверы получают ваш IP-адрес, название и версию приложения и то, какие квадраты карты нужны. Изображения сохраняются на телефоне, чтобы не загружать их снова.

7. Подписка и оплата

iPhone и iPad. Оплату принимает Apple. Мы никогда не получаем данные вашей карты, имя, e-mail или аккаунт Apple.

Как покупка попадает на наш сервер:

После покупки или восстановления подписки и при каждом продлении Apple передаёт приложению запись о покупке, подписанную Apple.
Приложение отправляет эту запись вместе со сведениями о продлении на наш сервер. Сервер проверяет подпись Apple и открывает функции ИИ для этой установки.
Приложение отправляет запись и при запуске, если подписка действует. Если во время запроса ИИ наш сервер ещё не знает вашу подписку, приложение отправляет запись заново и один раз повторяет запрос.

Что есть в подписанной записи: среди прочего номера покупки, товар, даты покупки и окончания, страна магазина, цена и валюта, номер приложения той установки, где была сделана покупка. Там может быть и техническое значение, по которому Apple проверяет, что запись относится к этому устройству. Имени, e-mail, аккаунта Apple и платёжных данных в ней нет. Наш сервер хранит только то, что перечислено ниже.

Что хранит наш сервер:

номер первой покупки и товар;
среду: настоящая это покупка или тестовая;
дату, до которой оплачено, и конец льготного срока;
дату возврата денег, если он был;
продлевается ли подписка автоматически;
даты подписей, дату начала периода запаса ИИ и внутренний ключ общего запаса ИИ;
когда запись создана и когда последний раз изменена;
какие номера приложения пользуются этой подпиской — с датой, когда каждый к ней присоединился, и датой, когда его видели последний раз (обновляется не чаще раза в сутки).

Уведомления Apple: Apple также сам сообщает нашему серверу о продлениях, проблемах с оплатой, возвратах и окончании подписки. По ним наш сервер обновляет запись о подписке. Из самих уведомлений мы храним только номер уведомления, его тип и подтип и время получения.

Ваши устройства:

Одна подписка действует на всех ваших устройствах. На новом устройстве или после переустановки нажмите «Восстановить покупку».
Запас ИИ общий для всех устройств одной подписки.

Управление, возвраты и отмена:

Управлять подпиской и отменить её можно в настройках аккаунта Apple или кнопкой «Управление подпиской» в приложении.
Возвраты денег проводит Apple.
Цена и период оплаты показываются в приложении и в App Store до покупки. Действует стандартное лицензионное соглашение Apple (EULA).
Если вы отмените подписку, ничего не удалится. Проекты сверх бесплатных лимитов станут доступны только для просмотра до новой подписки, а функции ИИ перестанут работать.

Android. Покупку и оплату проводит Google Play. Мы никогда не получаем данные вашей карты, имя, e-mail или аккаунт Google.

Как покупка попадает на наш сервер:

Когда вы оформляете подписку, приложение передаёт Google Play номер приложения как идентификатор аккаунта (раздел 4).
После покупки, а также при запуске, пока подписка действует, приложение отправляет на наш сервер токен покупки, который ему выдал Google Play. Если во время запроса ИИ наш сервер не знает вашу подписку, приложение отправляет токен и один раз повторяет запрос.
Наш сервер спрашивает Google Play (Google Play Developer API), действует ли подписка, и, если да, открывает функции ИИ для этой установки. Токен он использует только для этой проверки и не хранит.

Что хранит наш сервер:

номер заказа (идентификатор заказа Google Play без окончания, которое Google добавляет при каждом продлении) и товар;
настоящая это покупка или тестовая;
когда подписка началась (с этого же момента считается период запаса ИИ) и когда кончается оплаченный период;
в льготный срок, пока Google ещё пытается списать оплату, которая не прошла, — время через сутки после проверки, до которого доступ остаётся открытым;
если Google Play сообщает, что подписка закончилась раньше конца оплаченного периода (например, после возврата денег), — время, когда она закончилась;
продлевается ли подписка автоматически;
когда наш сервер последний раз проверял подписку в Google Play, внутренний ключ общего запаса ИИ, а также когда запись создана и когда последний раз изменена;
какие номера приложения пользуются этой подпиской — с теми же датами, что и для App Store.

Уведомлений от Google нет: уведомления Google Play в реальном времени наш сервер не использует. О продлениях, отменах и возвратах он узнаёт, только когда приложение снова отправит токен.

Ваши устройства, управление и возвраты: как и на iPhone и iPad, одна подписка действует на всех ваших устройствах с тем же аккаунтом Google, и запас ИИ у них общий. Управлять подпиской и отменить её можно в Google Play или кнопкой «Управление подпиской» в приложении. Возвраты денег проводит Google. Цена и период оплаты показываются в приложении и в Google Play до покупки. Если вы отмените подписку, ничего не удалится — как описано выше.

8. Согласие и как его отозвать

Согласий три:
- «Рассказать о человеке» вместе со «Съёмкой могилы»;
- «Реставрация фото»;
- «Биография с ИИ».
На каждом экране согласия перечислено, что уходит. Если текст меняется, приложение спрашивает снова.
Когда функция после вашего согласия впервые что-то отправляет, приложение регистрирует согласие на нашем сервере. В записи:
- номер приложения и функция;
- показанные вам категории данных;
- названный обработчик («OpenAI via Capybara»);
- версия приложения, версия текста и время.
Каждая запись действует 30 дней. Если она истекла, приложение регистрирует новую при следующем использовании этой функции, не спрашивая заново, — пока вы не отзовёте согласие. Просроченные записи удаляются автоматически примерно в течение часа.
Отозвать можно в любой момент: Настройки → «Капибара AI» → «Отозвать согласия».
- Телефон сразу забывает все согласия на ИИ. Ни одна функция ИИ ничего не отправит, пока вы снова не согласитесь. Это касается и рассказов, записей и снимков могил, которые ждали отправки: они остаются на телефоне и не уходят, пока вы не нажмёте «Повторить» и не согласитесь снова.
- Запись на нашем сервере в этот момент не удаляется. Она больше не используется и истекает в течение 30 дней.
- То, что уже есть в дереве, остаётся.
- Отзыв согласия не отменяет подписку. Её отменяют в магазине.
Остальные преимущества подписки (больше деревьев, людей и файлов) от согласия на ИИ не зависят.
Доступ myDynasty к микрофону, камере, фотографиям и местоположению можно выключить в настройках телефона.

9. Кто обрабатывает данные по нашему поручению

Обработчик	Что делает	Где	Что видит
Hetzner Online GmbH (Германия)	держит наш сервер, его базу данных и снимки диска	Нюрнберг, Германия (ЕС)	всё, что наш сервер получает и хранит
Cloudflare, Inc. (США)	передаёт зашифрованное соединение между приложением и нашим сервером	сеть по всему миру; компания в США	IP-адрес и адреса запросов, в том числе координаты и слова поиска в них; сами запросы, пока передаёт их, включая номер приложения (в запросах к справочнику его нет)
OpenAI OpCo, LLC (США)	обработка ИИ	США и перечисленные OpenAI субподрядчики	только содержимое, которое вы отправляете функциям ИИ, без номера приложения

Каждый из них обрабатывает данные только по нашим указаниям в соответствии со своими условиями обработки данных и обязан защищать их не хуже, чем описано здесь.

Копии базы данных нашего сервера хранит также сам ответственный за обработку — на своём компьютере и резервном диске. В этой базе — только записи из раздела 11: ни деревьев, ни рассказов, ни фотографий.

Apple, Google и OpenStreetMap Foundation оказывают вам свои услуги по своим условиям и политикам конфиденциальности. У Google это в том числе Google Play и Google Play Developer API, через который наш сервер проверяет подписку на Android (раздел 7), и компонент Google Maps в Android-приложении (раздел 3).

Мы не используем своих сервисов аналитики, рекламы, отчётов о сбоях и отслеживания (о компоненте Google Maps на Android — раздел 3). Мы не продаём данные, не передаём их для рекламы и не составляем профили. Автоматических решений о вас мы не принимаем.

10. Правовые основания

Согласие. Ст. 6(1)(a) GDPR; ст. 9(2)(a) — для чувствительных сведений о себе, которые вы решили указать; ст. 11 Закона Украины «О защите персональных данных». На нём основана отправка содержимого функциям ИИ, в том числе его передача в OpenAI в США.
Договор. Ст. 6(1)(b) GDPR. На нём основаны проверка подписки, номер приложения, счётчики запаса и поиск в справочнике по вашему запросу.
Законный интерес. Ст. 6(1)(f) GDPR. На нём основаны защита от злоупотреблений (ограничения запросов; для справочника — по IP-адресу, только в памяти), разбор жалоб на результаты ИИ, резервные копии, технические журналы и имена родственников, которые вы включаете в отправляемое, — ровно столько, сколько нужно функции. Вы можете возразить, написав нам.
Данные на устройстве: исключение для личных и домашних целей (раздел 1).
Сведения об умерших. GDPR к ним не применяется (п. 27 преамбулы), но в некоторых странах их защищает национальный закон. Мы обращаемся с ними так же бережно.

11. Сколько хранятся данные

Данные	Где	Сколько
Содержимое для функций ИИ: тексты, записи голоса, фото, текст вопросов	наш сервер	не хранится; держится в памяти только на время запроса
Отреставрированное фото	память нашего сервера	пока приложение его не заберёт, не дольше 10 минут после готовности; незавершённое задание забывается через 15 минут
То же содержимое	OpenAI	до 30 дней (выявление злоупотреблений), по сведениям OpenAI
Координаты, поиск в справочнике, запросы о запасе ИИ, IP-адреса, токены покупок Google Play	наш сервер	не хранятся
Номер приложения с датами первого и последнего использования (согласие, запрос ИИ или запрос остатка)	наш сервер	12 месяцев после последнего использования
Записи о согласиях	наш сервер	30 дней каждая, затем удаляются примерно в течение часа; раньше — если удалён номер приложения
Записи использования: номер приложения, функция, время и объём в символах, без содержимого	наш сервер	3 дня
Месячные суммы расхода ИИ: номер приложения или подписки, месяц, сумма	наш сервер	31 день от начала этого месячного периода (до 3 дней после его конца)
Месячные счётчики реставраций	наш сервер	все счётчики одного номера приложения или подписки удаляются вместе, не позже чем через 12 месяцев после последней реставрации
Записи о подписке (App Store и Google Play) и связанные с ней номера приложения	наш сервер	12 месяцев после окончания подписки (срок вместе с льготным или досрочное окончание, например возврат денег)
Уведомления Apple: номер, тип и подтип, время	наш сервер	12 месяцев
Жалобы на результаты ИИ: функция, причина, ваш комментарий, номер приложения	наш сервер	90 дней, затем удаляются
Технические журналы сервера, без содержимого	наш сервер	до 30 дней
Резервные копии базы сервера	наш сервер, служба резервного копирования Hetzner, собственные компьютер и резервный диск ответственного	до 30 дней
Ваши письма нам	почтовый ящик	до 24 месяцев; дольше — только для незакрытого вопроса или если этого требует закон
Всё в приложении	ваше устройство	пока вы не удалите это или приложение; ждущая запись голоса (iPhone и iPad) удаляется, когда ей больше 7 дней, при следующем открытии её экрана; отреставрированное фото, пришедшее без экрана, удаляется, когда ему больше 30 дней, при следующей проверке пришедших реставраций

В резервных копиях лежат копии записей сервера из этой таблицы. Поэтому запись, удалённая из базы, может оставаться в резервной копии ещё до 30 дней.

Служебная статистика без номера приложения (длительность и итог обращений к ИИ, общая стоимость за день) персональными данными не является.

12. Передача за пределы ЕС

Наш сервер находится в ЕС (Германия).
OpenAI и Cloudflare — американские компании. Их условия обработки данных включают Стандартные договорные условия ЕС для передачи данных за пределы ЕС. По закону Украины передача содержимого для ИИ в OpenAI основана на вашем согласии.
Ответственный за обработку находится в Украине, для которой нет решения ЕС об адекватности защиты. Он администрирует сервер и хранит резервные копии.
Apple и Google используют собственные механизмы передачи.

13. Дети

Приложение не предназначено для детей. Функции ИИ и подписка — для людей от 13 лет. В некоторых странах закон устанавливает более высокий возраст согласия на онлайн-сервисы — до 16 лет в ряде стран ЕС. Младше этого возраста нужно разрешение родителя или опекуна.

Мы сознательно не собираем данные детей младше этого возраста. Если вы считаете, что ребёнок пользовался функциями ИИ без разрешения, напишите нам — мы удалим записи этого номера приложения.

14. Безопасность

На устройстве. Данные лежат в закрытом хранилище приложения. Когда включена блокировка экрана, их защищает шифрование системы. Собственного дополнительного шифрования базы приложение не добавляет. Защитите устройство кодом или биометрией.
Соединения с нашим сервером зашифрованы: от устройства до Cloudflare и от Cloudflare до нашего сервера через зашифрованный туннель. Запросы приложения наш сервер принимает только через этот туннель. Его база данных и функции администрирования из интернета недоступны.
Что хранит наш сервер. Только записи из раздела 11: ни деревьев, ни рассказов, а имена — только если вы сами напишете их в комментарии к жалобе.

15. Ваши права

На устройстве. Вы можете смотреть, исправлять, удалять и экспортировать данные в приложении (GEDCOM, LRV, SVG, PNG). Удаление приложения удаляет всё.
На нашем сервере. У вас есть права на доступ, исправление, удаление, ограничение обработки, переносимость и возражение. Согласие можно отозвать в любой момент (раздел 8).
Как найти ваши записи. Мы не знаем, кто вы, поэтому найти ваши записи можем только по номеру приложения — на Android ещё и по номеру заказа Google Play (раздел 7). Номер приложения можно посмотреть и скопировать в Настройках → «Капибара AI» → «Номер приложения». Пришлите его на mydynastyapp.team@gmail.com — мы ответим в течение месяца.
Жалобы:
- ЕС/ЕЭЗ — орган по защите данных вашей страны (список: https://edpb.europa.eu/about-edpb/about-edpb/members_en);
- Великобритания — ICO (https://ico.org.uk/make-a-complaint/);
- Украина — Уполномоченный Верховной Рады Украины по правам человека (https://ombudsman.gov.ua/).
Жители Калифорнии. Мы не продаём и не передаём персональную информацию и не используем её для рекламы. Категории:
- идентификаторы: номер приложения;
- коммерческие сведения: записи о подписке;
- аудио-, визуальное и иное содержимое: обрабатывается, как описано в разделе 5, и у нас не хранится, кроме комментария к жалобе на результат ИИ (90 дней).
Чтобы узнать, удалить или исправить данные, напишите нам.

Как удалить свои данные

На телефоне. Удалите человека, фото или всё дерево в приложении — или удалите myDynasty: всё, что хранится на телефоне, удалится вместе с ним. Копии у нас нет.
Больше ничего не отправлять. Настройки → «Капибара AI» → «Отозвать согласия» (раздел 8).
Записи на нашем сервере. В Настройках → «Капибара AI» скопируйте номер приложения. Если у вас Premium: пока подписка действует и приложение установлено, при следующей проверке оно снова свяжет подписку с нашим сервером — поэтому удалите приложение, скопировав номер, или напишите нам после окончания подписки. Пришлите номер на mydynastyapp.team@gmail.com со словами «Удалите мои данные». Мы удалим всё, что связано с этим номером, — номер приложения, записи согласий, счётчики, записи о подписке и жалобы — и подтвердим в течение месяца. Номер потерялся после переустановки? На Android пришлите вместо него номер заказа Google Play (начинается с GPA.) из письма Google о покупке.
Без запроса. Сервер сам удаляет номер приложения и всё связанное с ним через 12 месяцев после последнего использования, номер, связанный с подпиской, — через 12 месяцев после окончания подписки, жалобы — через 90 дней, согласия — по окончании их срока (раздел 11).
Подписка. Отмените её в настройках аккаунта Apple или в Google Play. Apple и Google хранят свои записи об оплате по своим правилам.

Что ещё какое-то время остаётся после удаления: копии в резервных копиях сервера и технических журналах — до 30 дней; то, что уже ушло в OpenAI, — до 30 дней, по словам OpenAI; ваши письма нам — до 24 месяцев; записи об оплате у Apple и Google — по их собственным правилам.

16. Сайт mydynasty.app

Сайт существует отдельно от приложения.

Хостинг. Сайт размещён на GitHub Pages (GitHub, Inc., США). Когда вы открываете страницу, GitHub получает ваш IP-адрес и технические данные запроса.
Шрифты. Страницы загружают шрифт из Google Fonts. Поэтому при открытии страницы ваш браузер отправляет ваш IP-адрес Google.
Аналитика. Google Analytics 4 включается, только если вы разрешили аналитические cookie в баннере. Сигнал Global Privacy Control из браузера считается отказом. Ваш выбор запоминается в вашем браузере.

В приложении Google Analytics нет.

17. Изменения политики

Когда политика меняется, мы обновляем дату вверху. Если из-за изменения с устройства уходило бы больше данных или другие данные, соответствующая функция ИИ снова покажет экран согласия, прежде чем что-то отправить.

18. Контакты

mydynastyapp.team@gmail.com · https://mydynasty.app · https://mydynasty.app/privacy

Предыдущая редакция: политика от 5 октября 2026

Політика конфіденційності myDynasty

Діє з 6 жовтня 2026 · Оновлено 6 жовтня 2026 · Версія 2.1
Стосується застосунку myDynasty для iPhone, iPad і Android (com.mydynasty.app) та сайту mydynasty.app.

Коротко

Ваше родинне дерево живе на вашому пристрої. Імена, дати, фотографії, місця, розповіді й документи зберігаються лише в застосунку на вашому телефоні чи планшеті. Копії в нас немає. Немає ні акаунтів, ні реєстрації.
З дерева нічого не надсилається, поки ви не користуєтеся тим, що працює через інтернет: картою, довідником кладовищ або функцією ШІ. Перш ніж функція ШІ щось надішле на наш сервер, застосунок показує, що саме й куди буде надіслано, і чекає вашої згоди.
Функції ШІ входять до підписки myDynasty Premium на iPhone, iPad та Android. Те, що ви вирішили надіслати, потрапляє на наш сервер «Капібара» в Німеччині, а звідти — до OpenAI, який обробляє це на наше доручення. Наш сервер передає дані далі й не зберігає їх. OpenAI не навчає на них свої моделі. OpenAI може зберігати їх до 30 днів, щоб виявляти зловживання. Версії застосунку без функцій ШІ, зокрема попередні версії для Android, до нашого сервера не звертаються.
Застосунок використовує випадковий номер, а не вашу особу. Щоб знати, на якому встановленні доступний ШІ і скільки ще лишилося його запасу, застосунок використовує випадковий номер, який створює сам. Це не ваше ім'я, не e-mail і не акаунт Apple чи Google. Номер видно в Налаштуваннях.
Оплату приймають Apple і Google. Ми ніколи не бачимо вашої картки, імені чи e-mail. Наш сервер отримує лише запис про покупку, підписаний Apple, або, на Android, токен покупки Google Play, який він перевіряє в Google Play.
У застосунку немає реклами, власних сервісів аналітики та звітів про збої і немає відстеження. Дані ми не продаємо. На Android карти малює вбудований у застосунок компонент Google Maps — він сам надсилає Google свої технічні дані (розділ 3).

1. Хто відповідає за дані

Володілець персональних даних (контролер): Роман Лобко (Roman Lobko), приватна особа, резидент України. Він продає myDynasty в App Store і Google Play.
Контакт з будь-яких питань, зокрема щодо даних: mydynastyapp.team@gmail.com
Сайт: https://mydynasty.app · ця політика: https://mydynasty.app/privacy

Версії застосунку без функцій ШІ нічого не надсилають на наш сервер.

Хто за що відповідає:

Дерево на вашому пристрої. Його обробляєте ви самі, для особистих і сімейних потреб, і доступу до нього в нас немає. Закон про захист даних називає це винятком для особистих і домашніх цілей (ст. 2(2)(c) GDPR).
Те, що застосунок надсилає на наш сервер. Це номер застосунку, записи про згоди, записи про підписку, запити про залишок запасу ШІ, запити до довідника кладовищ, вміст, який ви надсилаєте функціям ШІ, і ваші скарги на результати ШІ. За це відповідаємо ми. Hetzner, Cloudflare та OpenAI обробляють це на наше доручення відповідно до своїх умов обробки даних (розділ 9).
Apple і Google. Вони відповідають за свої сервіси за власними політиками конфіденційності: App Store, Google Play, карти, пошук адрес і розпізнавання мовлення.

2. Що залишається на пристрої

Лише в закритому сховищі застосунку на вашому пристрої зберігаються:

люди, дати, родинні зв'язки, біографії та нотатки;
фотографії, документи та інші файли архіву;
місця й координати народження, проживання та поховання;
чернетки функцій ШІ: те, що ви надиктували, отримані відповіді та знімки могил;
запис голосу, який ще не вдалося надіслати (iPhone і iPad). Він видаляється, щойно його надіслано. Якщо він старший за 7 днів, то видалиться, коли ви наступного разу відкриєте екран, де його записали;
відреставроване фото, яке надійшло, коли ви вже пішли з екрана. Воно чекає, поки ви знову відкриєте це фото. Якщо йому більше 30 днів, застосунок видалить його під час наступної перевірки реставрацій, що надійшли;
налаштування, ваші рішення щодо згод і номер застосунку (розділ 4).

На iPhone і iPad застосунок позначає свою теку даних, щоб вона не потрапляла до резервних копій iCloud і комп'ютера. На Android застосунок відмовляється від автоматичного хмарного резервного копіювання Android.

Якщо застосунок аварійно закриється, короткий технічний журнал запишеться у файл лише на пристрої, і застосунок нікуди його не надсилає. Власного сервісу звітів про збої в застосунку немає. На Android вбудований у застосунок компонент Google Maps сам надсилає Google свої дані про збої та діагностику (розділ 3). Якщо ви в налаштуваннях телефона дозволили ділитися діагностикою з розробниками застосунків, Apple або Google можуть передати нам звіти про збої за своїми умовами.

Дерево залишає пристрій, лише якщо ви самі його експортуєте або комусь надішлете. Експортовані файли (GEDCOM, LRV, SVG, PNG) потрапляють туди, куди ви їх зберегли: наприклад, у «Файли», «Фото» чи інший застосунок. Звідти цей сервіс може копіювати їх далі, наприклад у «Фото iCloud». Коли ви видаляєте застосунок із пристрою, видаляється все, крім файлів, які ви самі експортували.

Дозволи:

Місцезнаходження — лише поки ви користуєтеся застосунком: для карт і координат могил.
Камера й фотографії — щоб знімати та прикріплювати знімки.
Мікрофон і розпізнавання мовлення — лише у версіях із функціями ШІ: щоб розповідати про людину голосом.
Сповіщення — лише локальні нагадування, без push-сервісу.

Будь-який із них можна вимкнути в налаштуваннях телефона.

3. Коли щось залишає пристрій

Коли ви…	Що надсилається	Куди
відкриваєте карту (на Android — і просто користуєтеся застосунком: його компонент Google Maps може запускатися разом із ним)	технічні запити карти: IP-адреса і яка ділянка карти потрібна. На Android вбудований у застосунок компонент Google Maps сам надсилає Google і свої дані: дії з картою (зсув і масштаб), трасування та показники збоїв, дані пристрою (модель, марка, версія Android) і псевдонімний ідентифікатор компонента. Google використовує їх за власною політикою конфіденційності як самостійний контролер	Apple Maps (iPhone, iPad) або Google (Android)
шукаєте адресу на карті	введена адреса	Apple або Google (пошук адрес системи телефона)
знімаєте могилу	місце зйомки — щоб показати його адресу	Apple або Google (пошук адрес системи телефона)
користуєтеся довідником кладовищ	країна, мова, область і місто, введені назви або координати, номер кладовища з довідника; без номера застосунку	наш сервер (розділ 6)
переглядаєте карту кладовища або маленьку карту в записі про поховання	які фрагменти карти потрібні та ваша IP-адреса	OpenStreetMap Foundation
користуєтеся функцією ШІ після згоди	те, що перелічено на екрані згоди, а також номер застосунку	наш сервер, потім OpenAI (розділ 5)
надсилаєте скаргу кнопкою «Поскаржитися на результат»	функція, причина, ваш коментар (якщо є) і номер застосунку; ні фото, ні текст ШІ не надсилаються	наш сервер (розділ 5)
із Premium відкриваєте Налаштування чи картку людини, реставруєте фото	лише номер застосунку — щоб показати, скільки лишилося запасу ШІ	наш сервер (розділ 4)
диктуєте голосом	якщо телефон не вміє розпізнавати мовлення сам, звук надсилається й до його служби розпізнавання	Apple або Google (служба розпізнавання мовлення телефона)
оформлюєте або відновлюєте підписку	сама покупка, потім запис про покупку, підписаний Apple, або токен покупки Google Play	Apple або Google Play, потім наш сервер (розділ 7)
натискаєте посилання або кнопку (пошта, сторінка магазину, «Поділитися координатами», «Прокласти маршрут»)	те, що відкриває це посилання; для маршруту — координати місця й ім'я людини як підпис	обраний вами застосунок чи сайт; для маршруту — застосунок карт

Версії застосунку без функцій ШІ, зокрема попередні версії для Android, до нашого сервера не звертаються взагалі.

4. Наш сервер «Капібара» і номер застосунку

Де він працює. Наш сервер розміщено в Hetzner Online GmbH у Нюрнберзі (Німеччина, ЄС). Застосунок звертається до нього за адресою api.mydynasty.app через Cloudflare, який передає зашифроване з'єднання.

Номер застосунку.

Що це. Випадковий номер (UUID), який застосунок створює, коли він уперше знадобиться, і зберігає у своїх налаштуваннях. Це може статися, коли ви оформлюєте підписку, користуєтеся функцією ШІ або, маючи Premium, відкриваєте Налаштування чи картку людини. Номер не отримано з даних пристрою, і він не є рекламним ідентифікатором.
Коли він надсилається. Застосунок надсилає його з кожним запитом до нашого сервера, крім запитів до довідника кладовищ (розділ 6).
Чому ми вважаємо його персональними даними. Хто ви, номер нам не каже. Але з ним пов'язані записи про згоди й підписку, тому ми вважаємо його персональними даними (псевдонімним ідентифікатором).
Apple теж його бачить. Коли ви оформлюєте підписку на iPhone чи iPad, застосунок передає Apple цей самий номер разом із покупкою — як «app account token». Так покупку можна пов'язати з цим встановленням. Тому Apple бачить номер разом із вашим акаунтом Apple.
Google теж його бачить. Коли ви оформлюєте підписку на Android, застосунок передає Google Play цей самий номер разом із покупкою — як ідентифікатор акаунта (Google називає його «obfuscatedAccountId»). Тому Google бачить номер разом із вашим акаунтом Google.
Де його знайти. Налаштування → «Капібара AI» → «Номер застосунку». Там само його можна скопіювати. Цей розділ з'являється з Premium. Якщо застосунок уже видав номер — наприклад, після того як ви погодилися на функцію ШІ чи оформили підписку, — номер залишається там і без Premium.
Коли він змінюється. Після перевстановлення застосунку створюється новий номер. Відкликання згод номер не змінює.

Запити без вашого вмісту. У версії з функціями ШІ застосунок звертається до нашого сервера й сам. Жоден із цих запитів не містить ваших розповідей, фотографій чи чогось іншого з дерева:

Залишок запасу. Коли ви, маючи Premium, відкриваєте Налаштування чи картку людини, а також під час реставрації фото, застосунок питає, скільки лишилося запасу ШІ. Без Premium він не питає. Надсилається лише номер застосунку. Нічого нового з цього запиту наш сервер не зберігає. Для вже відомого йому номера він позначає, що номером і далі користуються, — не частіше ніж раз на добу.
Підписка. За чинної підписки застосунок надсилає запис про покупку, підписаний Apple: під час запуску, після покупки, відновлення чи продовження, а також якщо під час запиту ШІ наш сервер ще не знає вашої підписки. На Android замість нього надсилається токен покупки Google Play: після покупки, під час запуску, поки підписка чинна, і якщо під час запиту ШІ наш сервер ще не знає вашої підписки (розділ 7).
Реставрація фото. Після того як ви запустили реставрацію, телефон до 15 хвилин питає наш сервер про результат, навіть якщо ви пішли з екрана. Потім він просить сервер видалити результат. Надсилаються лише номер завдання й номер застосунку.

Без вашого натискання застосунок не звертається до довідника кладовищ, коли ви відкриваєте запис про поховання чи картку людини. Лише коли ви натиснете (розділ 6).

Що зберігає наш сервер — у розділі 11. Якщо коротко: номер застосунку з датами першого й останнього використання, записи про згоди, лічильники використання, записи про підписку та скарги на результати ШІ.

Наш сервер не зберігає ваші тексти, записи голосу, фотографії, координати й пошукові запити і не зберігає IP-адреси. Єдиний текст, який він зберігає, — коментар, який ви можете додати до скарги на результат ШІ (розділ 5). Його технічні журнали налаштовано так, щоб до них не потрапляли ваш вміст і координати. У них можуть бути внутрішні номери записів, за рідкісних помилок бази даних — номер застосунку, а якщо перевірка в Google Play не вдалася — перші знаки токена покупки (не більше 8). Журнали видаляються не пізніше ніж через 30 днів.

5. Функції ШІ («Капібара AI»)

Функції ШІ є на iPhone, iPad і Android і входять до підписки myDynasty Premium. Без підписки застосунок їх не показує.

Перш ніж функція вперше щось надішле, вона показує екран згоди. На ньому перелічено, що буде надіслано, і названо наш сервер «Капібара» та OpenAI. Поки ви не погодилися, нічого не надсилається ні на наш сервер, ні до OpenAI (розділ 8). Розпізнавання мовлення самим телефоном працює одразу, щойно ви натиснули мікрофон, — див. нижче «Розпізнавання мовлення телефоном».

5.1 «Розповісти про людину». Ви розповідаєте про родича. ШІ заповнює картку й може поставити уточнювальні запитання вголос.

На iPhone і iPad застосунок надсилає запис голосу (стиснутий звук) і обрану мову, щоб розпізнати мовлення, а потім текст розповіді — розпізнаний із запису або, якщо не вийшло, телефоном. Після розпізнавання запис видаляється з телефона.
На Android застосунок не робить запису й ніколи не надсилає звук на наш сервер. Він надсилає текст розповіді в тому вигляді, у якому його розпізнав телефон, і обрану мову.
Уточнювальні запитання — біля могили і коли ШІ треба дізнатися, ким людина доводиться комусь із вашої розповіді, — промовляє голос OpenAI. Текст запитання (у ньому бувають названі вами імена) надсилається до OpenAI, щоб його озвучити.
Людина з'явиться в дереві лише після того, як ви перевірите картку й натиснете «Зберегти».

5.2 «Зйомка могили».

Знімок напису на пам'ятнику надсилається до OpenAI, щоб напис прочитали.
Місце зйомки надсилається лише на наш сервер — щоб знайти кладовище в довіднику, без номера застосунку (розділ 6), і лише якщо ви погодилися. До OpenAI воно не надсилається.
Адресу цього місця визначає сама система телефона (Apple або Google). Це відбувається, навіть якщо ви не погодилися на ШІ.
Загальний план залишається на телефоні. Портрет із пам'ятника надсилається на реставрацію лише з окремої згоди на реставрацію фото (5.3).

5.3 «Реставрація фото».

Що надсилається до OpenAI:
- фото: знімок повністю або портрет, знятий на могилі;
- ділянка обличчя з аватарки;
- обраний колір очей і волосся.
Наш сервер отримує ще розмір зображення й позначку, чи це портрет із могили. За ними він задає розмір результату та вказівки для OpenAI.
Що ви отримуєте. Результат — зображення, створене ШІ. Воно може відрізнятися від того, як людина виглядала насправді.
- На екрані людини нове фото замінить старе, лише якщо ви натиснете «Зберегти». Старе залишиться в архіві.
- Відреставрований портрет із пам'ятника сам стає аватаркою нової людини. Знімок пам'ятника залишається в записі про поховання.
На нашому сервері. Фото не записується на диск. Сервер тримає його в пам'яті, поки триває реставрація. Готове зображення зберігається, поки застосунок його не забере, і не довше 10 хвилин після готовності. Незавершене завдання сервер забуває через 15 хвилин.

5.4 «Біографія з ШІ». ШІ ставить запитання й упорядковує сказане.

Надсилається текстом:
- те, що ви кажете, у вигляді тексту, розпізнаного телефоном;
- уже поставлені запитання й уже написана біографія;
- повне ім'я людини (ім'я, по батькові, прізвище), дати народження й смерті;
- повні імена (ім'я, по батькові, прізвище) чоловіка чи дружини, батьків, дітей, братів і сестер із дерева, із зазначенням родинного зв'язку.
Ні запису голосу, ні фотографій, ні координат не надсилається.
Питання вимовляє голос OpenAI: текст питання надходить до OpenAI, щоб прозвучати. Без зв'язку їх читає голос телефона.

Для всіх функцій ШІ:

Фотографії перекодовуються перед надсиланням. Тому приховані метадані, наприклад координати камери, не надсилаються.
Більше нічого не надсилається: ні інші фото, ні дерево, ні дані пристрою. Номер застосунку та інші ідентифікатори наш сервер до OpenAI не передає.
Наш сервер не зберігає вміст. Він передає його до OpenAI і повертає відповідь на телефон.
OpenAI обробляє вміст на наше доручення відповідно до своїх умов обробки даних. За даними OpenAI:
- дані, надіслані через його API, не використовуються для навчання моделей;
- вони можуть зберігатися до 30 днів, щоб виявляти зловживання, і потім видаляються, якщо закон не вимагає зберігати довше.
Якщо зв'язок зник, розповідь, запис або знімки могили, які ви вже погодилися надіслати, чекають на телефоні. Поки згода чинна, вони надсилаються самі — коли зв'язок повернеться, поки цей екран відкритий, або коли ви відкриєте його знову. Якщо ви відкликали згоду, нічого з того, що чекає, не надсилається: воно залишається на телефоні, поки ви не натиснете «Повторити» і знову не погодитеся.
ШІ помиляється. Перевіряйте результат, перш ніж зберігати.
Розповіді й фотографії зазвичай стосуються інших людей. Надсилайте лише те, чим маєте право ділитися. Будьте особливо обережні з подробицями про живих родичів, передусім про дітей.

Розпізнавання мовлення телефоном. Поки ви говорите, текст на екрані пише сама система телефона. Якщо вона не вміє розпізнавати мовлення на пристрої, звук надсилається й до служби розпізнавання телефона — на iPhone і iPad до служби Apple, на Android зазвичай до служби Google — за політикою конфіденційності цієї компанії. Застосунок заздалегідь попереджає про це.

Скарга на результат. На екрані реставрації фото та в «Біографії з ШІ» на екранах перевірки й склеювання тексту є кнопка «Поскаржитися на результат». Ви обираєте причину: образливе або неприйнятне; неправда про людину (біографія); фото спотворене (реставрація); інше. Можна додати коментар до 500 знаків. Перед надсиланням застосунок повідомляє, що буде надіслано: функція, причина та ваш коментар. Фото й текст ШІ не надсилаються. Наш сервер отримує функцію, причину, коментар (якщо він є) і номер застосунку. Він зберігає скаргу 90 днів, потім видаляє її. Скарги потрібні нам лише для того, щоб їх розглядати й покращувати фільтрування функцій ШІ.

6. Довідник кладовищ

Довідник кладовищ є у версіях із функціями ШІ — на iPhone, iPad і Android. Він безкоштовний, підписка для нього не потрібна.

Застосунок звертається до нашого сервера, лише коли ви щось робите:

обираєте країну (тоді застосунок завантажує її міста) або натискаєте на поле міста;
вводите назву міста чи кладовища;
відкриваєте карту кладовищ або шукаєте кладовища поблизу точки;
натискаєте на маленьку карту в записі про поховання або на місце поховання в картці людини, щоб побачити його на карті;
знімаєте могилу після згоди на ШІ (5.2).

Коли ви просто відкриваєте запис про поховання чи картку людини, застосунок до довідника не звертається.

Що надсилається: лише те, що потрібно для пошуку, без номера застосунку:

країна й мова, область і місто;
введені назви;
номер кладовища з довідника, якщо його вже обрано в записі; або
координати: точка на карті чи збережене місце могили, з радіусом пошуку. Під час зйомки могили — ще точність GPS і позначка, чи це не могила домашньої тварини.

Вашу IP-адресу наш сервер не зберігає: він використовує її лише в пам'яті, щоб обмежувати частоту запитів.

Як відповідає наш сервер. Він бере відповідь із власного довідника, побудованого на даних OpenStreetMap. Ваші запити й координати він не зберігає. Нічого з вашого дерева до довідника не потрапляє.

Зображення карти. Карта кладовища й маленька карта в записі про поховання завантажують зображення карти безпосередньо із серверів OpenStreetMap Foundation (Велика Британія). Ці сервери отримують вашу IP-адресу, назву й версію застосунку та те, які фрагменти карти потрібні. Зображення зберігаються на телефоні, щоб не завантажувати їх знову.

7. Підписка й оплата

iPhone і iPad. Оплату приймає Apple. Ми ніколи не отримуємо даних вашої картки, імені, e-mail чи акаунта Apple.

Як покупка потрапляє на наш сервер:

Після покупки чи відновлення підписки та під час кожного продовження Apple передає застосунку запис про покупку, підписаний Apple.
Застосунок надсилає цей запис разом із відомостями про продовження на наш сервер. Сервер перевіряє підпис Apple і відкриває функції ШІ для цього встановлення.
Застосунок надсилає запис і під час запуску, якщо підписка чинна. Якщо під час запиту ШІ наш сервер ще не знає вашої підписки, застосунок надсилає запис повторно й один раз повторює запит.

Що є в підписаному записі: серед іншого номери покупки, товар, дати покупки й закінчення, країна магазину, ціна й валюта, номер застосунку того встановлення, де зроблено покупку. Там може бути й технічне значення, за яким Apple перевіряє, що запис стосується цього пристрою. Імені, e-mail, акаунта Apple і платіжних даних у ньому немає. Наш сервер зберігає лише те, що перелічено нижче.

Що зберігає наш сервер:

номер першої покупки й товар;
середовище: справжня це покупка чи тестова;
дату, до якої сплачено, і кінець пільгового періоду;
дату повернення коштів, якщо воно було;
чи продовжується підписка автоматично;
дати підписів, дату початку періоду запасу ШІ і внутрішній ключ спільного запасу ШІ;
коли запис створено і коли його востаннє змінено;
які номери застосунку користуються цією підпискою — з датою, коли кожен до неї приєднався, і датою, коли його бачили востаннє (оновлюється не частіше ніж раз на добу).

Сповіщення Apple: Apple також сама повідомляє наш сервер про продовження, проблеми з оплатою, повернення коштів і закінчення підписки. За ними наш сервер оновлює запис про підписку. Із самих сповіщень ми зберігаємо лише номер сповіщення, його тип і підтип та час отримання.

Ваші пристрої:

Одна підписка діє на всіх ваших пристроях. На новому пристрої або після перевстановлення натисніть «Відновити покупку».
Запас ШІ спільний для всіх пристроїв однієї підписки.

Керування, повернення коштів і скасування:

Керувати підпискою й скасувати її можна в налаштуваннях акаунта Apple або кнопкою «Керування підпискою» в застосунку.
Повернення коштів проводить Apple.
Ціна й період оплати показуються в застосунку та в App Store до покупки. Діє стандартна ліцензійна угода Apple (EULA).
Якщо ви скасуєте підписку, нічого не видалиться. Проєкти понад безкоштовні ліміти стануть доступні лише для перегляду до нової підписки, а функції ШІ перестануть працювати.

Android. Покупку й оплату проводить Google Play. Ми ніколи не отримуємо даних вашої картки, імені, e-mail чи акаунта Google.

Як покупка потрапляє на наш сервер:

Коли ви оформлюєте підписку, застосунок передає Google Play номер застосунку як ідентифікатор акаунта (розділ 4).
Після покупки, а також під час запуску, поки підписка чинна, застосунок надсилає на наш сервер токен покупки, який йому видав Google Play. Якщо під час запиту ШІ наш сервер не знає вашої підписки, застосунок надсилає токен і один раз повторює запит.
Наш сервер питає Google Play (Google Play Developer API), чи чинна підписка, і, якщо так, відкриває функції ШІ для цього встановлення. Токен він використовує лише для цієї перевірки й не зберігає.

Що зберігає наш сервер:

номер замовлення (ідентифікатор замовлення Google Play без закінчення, яке Google додає під час кожного продовження) і товар;
справжня це покупка чи тестова;
коли підписка почалася (з цього ж моменту рахується період запасу ШІ) і коли закінчується оплачений період;
у пільговий період, поки Google ще намагається списати оплату, що не пройшла, — час через добу після перевірки, до якого доступ залишається відкритим;
якщо Google Play повідомляє, що підписка закінчилася раніше за кінець оплаченого періоду (наприклад, після повернення коштів), — час, коли вона закінчилася;
чи продовжується підписка автоматично;
коли наш сервер востаннє перевіряв підписку в Google Play, внутрішній ключ спільного запасу ШІ, а також коли запис створено і коли його востаннє змінено;
які номери застосунку користуються цією підпискою — з тими самими датами, що й для App Store.

Сповіщень від Google немає: сповіщень Google Play у реальному часі наш сервер не використовує. Про продовження, скасування й повернення коштів він дізнається, лише коли застосунок знову надішле токен.

Ваші пристрої, керування й повернення коштів: як і на iPhone та iPad, одна підписка діє на всіх ваших пристроях з тим самим акаунтом Google, і запас ШІ в них спільний. Керувати підпискою й скасувати її можна в Google Play або кнопкою «Керування підпискою» в застосунку. Повернення коштів проводить Google. Ціна й період оплати показуються в застосунку та в Google Play до покупки. Якщо ви скасуєте підписку, нічого не видалиться — як описано вище.

8. Згода і як її відкликати

Згод три:
- «Розповісти про людину» разом із «Зйомкою могили»;
- «Реставрація фото»;
- «Біографія з ШІ».
На кожному екрані згоди перелічено, що надсилається. Якщо текст змінюється, застосунок питає знову.
Коли функція після вашої згоди вперше щось надсилає, застосунок реєструє згоду на нашому сервері. У записі:
- номер застосунку й функція;
- показані вам категорії даних;
- названий розпорядник («OpenAI via Capybara»);
- версія застосунку, версія тексту й час.
Кожен запис діє 30 днів. Якщо строк минув, застосунок реєструє новий запис під час наступного використання цієї функції, не питаючи знову, — поки ви не відкличете згоду. Прострочені записи видаляються автоматично приблизно протягом години.
Відкликати можна будь-коли: Налаштування → «Капібара AI» → «Відкликати згоди».
- Телефон одразу забуває всі згоди на ШІ. Жодна функція ШІ нічого не надішле, поки ви знову не погодитеся. Це стосується й розповідей, записів і знімків могил, що чекали надсилання: вони залишаються на телефоні й не надсилаються, поки ви не натиснете «Повторити» і знову не погодитеся.
- Запис на нашому сервері в цю мить не видаляється. Він більше не використовується, і його строк спливає протягом 30 днів.
- Те, що вже є в дереві, залишається.
- Відкликання згоди не скасовує підписку. Її скасовують у магазині.
Інші переваги підписки (більше дерев, людей і файлів) від згоди на ШІ не залежать.
Доступ myDynasty до мікрофона, камери, фотографій і місцезнаходження можна вимкнути в налаштуваннях телефона.

9. Хто обробляє дані на наше доручення

Розпорядник	Що робить	Де	Що бачить
Hetzner Online GmbH (Німеччина)	розміщує наш сервер, його базу даних і знімки диска	Нюрнберг, Німеччина (ЄС)	усе, що наш сервер отримує й зберігає
Cloudflare, Inc. (США)	передає зашифроване з'єднання між застосунком і нашим сервером	глобальна мережа; компанія в США	IP-адресу й адреси запитів, зокрема координати й слова пошуку в них; самі запити, поки передає їх, включно з номером застосунку (у запитах до довідника його немає)
OpenAI OpCo, LLC (США)	обробка ШІ	США та перелічені OpenAI субпідрядники	лише вміст, який ви надсилаєте функціям ШІ, без номера застосунку

Кожен із них обробляє дані лише за нашими вказівками відповідно до своїх умов обробки даних і мусить захищати їх не гірше, ніж описано тут.

Копії бази даних нашого сервера зберігає також сам володілець — на своєму комп'ютері й резервному диску. У цій базі — лише записи з розділу 11: ні дерев, ні розповідей, ні фотографій.

Apple, Google та OpenStreetMap Foundation надають вам свої послуги за власними умовами й політиками конфіденційності. У Google це зокрема Google Play і Google Play Developer API, через який наш сервер перевіряє підписку на Android (розділ 7), і компонент Google Maps в Android-застосунку (розділ 3).

Ми не використовуємо власних сервісів аналітики, реклами, звітів про збої та відстеження (про компонент Google Maps на Android — розділ 3). Ми не продаємо дані, не передаємо їх для реклами й не складаємо профілів. Автоматизованих рішень щодо вас ми не ухвалюємо.

10. Правові підстави

Згода. Ст. 6(1)(a) GDPR; ст. 9(2)(a) — для чутливих відомостей про себе, які ви вирішили вказати; ст. 11 Закону України «Про захист персональних даних». На ній ґрунтується надсилання вмісту функціям ШІ, зокрема його передача до OpenAI у США.
Договір. Ст. 6(1)(b) GDPR. На ньому ґрунтуються перевірка підписки, номер застосунку, лічильники запасу й пошук у довіднику на ваш запит.
Законний інтерес. Ст. 6(1)(f) GDPR. На ньому ґрунтуються захист від зловживань (обмеження запитів; для довідника — за IP-адресою, лише в пам'яті), розгляд скарг на результати ШІ, резервні копії, технічні журнали та імена родичів, які ви додаєте до того, що надсилаєте, — рівно стільки, скільки потрібно функції. Ви можете заперечити, написавши нам.
Дані на пристрої: виняток для особистих і домашніх цілей (розділ 1).
Відомості про померлих. GDPR до них не застосовується (п. 27 преамбули), але в деяких країнах їх захищає національний закон. Ми поводимося з ними так само дбайливо.

11. Скільки зберігаються дані

Дані	Де	Скільки
Вміст для функцій ШІ: тексти, записи голосу, фото, текст запитань	наш сервер	не зберігається; тримається в пам'яті лише на час запиту
Відреставроване фото	пам'ять нашого сервера	поки застосунок його не забере, не довше 10 хвилин після готовності; незавершене завдання сервер забуває через 15 хвилин
Той самий вміст	OpenAI	до 30 днів (виявлення зловживань), за даними OpenAI
Координати, пошук у довіднику, запити про запас ШІ, IP-адреси, токени покупок Google Play	наш сервер	не зберігаються
Номер застосунку з датами першого й останнього використання (згода, запит ШІ або запит залишку)	наш сервер	12 місяців після останнього використання
Записи про згоди	наш сервер	30 днів кожен, потім видаляються приблизно протягом години; раніше — якщо видалено номер застосунку
Записи використання: номер застосунку, функція, час і обсяг у символах, без вмісту	наш сервер	3 дні
Місячні суми витрат ШІ: номер застосунку чи підписки, місяць, сума	наш сервер	31 день від початку цього місячного періоду (до 3 днів після його кінця)
Місячні лічильники реставрацій	наш сервер	усі лічильники одного номера застосунку чи підписки видаляються разом, не пізніше ніж через 12 місяців після останньої реставрації
Записи про підписку (App Store і Google Play) й пов'язані з нею номери застосунку	наш сервер	12 місяців після закінчення підписки (кінець строку разом із пільговим періодом або дострокове закінчення, наприклад повернення коштів)
Сповіщення Apple: номер, тип і підтип, час	наш сервер	12 місяців
Скарги на результати ШІ: функція, причина, ваш коментар, номер застосунку	наш сервер	90 днів, потім видаляються
Технічні журнали сервера, без вмісту	наш сервер	до 30 днів
Резервні копії бази сервера	наш сервер, служба резервного копіювання Hetzner, власні комп'ютер і резервний диск володільця	до 30 днів
Ваші листи до нас	поштова скринька	до 24 місяців; довше — лише для незакритого питання або якщо цього вимагає закон
Усе в застосунку	ваш пристрій	поки ви не видалите це чи застосунок; запис голосу, що чекає (iPhone і iPad), видаляється, коли йому більше 7 днів, під час наступного відкриття його екрана; відреставроване фото, що надійшло без відкритого екрана, видаляється, коли йому більше 30 днів, під час наступної перевірки реставрацій, що надійшли

У резервних копіях лежать копії записів сервера з цієї таблиці. Тому запис, видалений із бази, може залишатися в резервній копії ще до 30 днів.

Службова статистика без номера застосунку (тривалість і результат звернень до ШІ, загальна вартість за день) персональними даними не є.

12. Передача за межі ЄС

Наш сервер розташований у ЄС (Німеччина).
OpenAI і Cloudflare — американські компанії. Їхні умови обробки даних містять Стандартні договірні умови ЄС для передачі даних за межі ЄС. За Законом України «Про захист персональних даних» передача вмісту для ШІ до OpenAI ґрунтується на вашій згоді.
Володілець перебуває в Україні, щодо якої немає рішення ЄС про адекватність захисту. Він адмініструє сервер і зберігає резервні копії.
Apple і Google використовують власні механізми передачі.

13. Діти

Застосунок не призначений для дітей. Функції ШІ й підписка — для людей від 13 років. У деяких країнах закон установлює вищий вік згоди на онлайн-сервіси — до 16 років у низці країн ЄС. Молодшим за цей вік потрібен дозвіл батьків або опікуна.

Ми свідомо не збираємо даних дітей, молодших за цей вік. Якщо ви вважаєте, що дитина користувалася функціями ШІ без дозволу, напишіть нам — ми видалимо записи цього номера застосунку.

14. Безпека

На пристрої. Дані лежать у закритому сховищі застосунку. Коли ввімкнено блокування екрана, їх захищає шифрування системи. Власного додаткового шифрування бази застосунок не додає. Захистіть пристрій кодом або біометрією.
З'єднання з нашим сервером зашифровані: від пристрою до Cloudflare і від Cloudflare до нашого сервера через зашифрований тунель. Запити застосунку наш сервер приймає лише через цей тунель. Його база даних і функції адміністрування з інтернету недоступні.
Що зберігає наш сервер. Лише записи з розділу 11: ні дерев, ні розповідей, а імена — лише якщо ви самі напишете їх у коментарі до скарги.

15. Ваші права

На пристрої. Ви можете переглядати, виправляти, видаляти й експортувати дані в застосунку (GEDCOM, LRV, SVG, PNG). Видалення застосунку видаляє все.
На нашому сервері. У вас є права на доступ, виправлення, видалення, обмеження обробки, перенесення даних і заперечення. Згоду можна відкликати будь-коли (розділ 8).
Як знайти ваші записи. Ми не знаємо, хто ви, тому знайти ваші записи можемо лише за номером застосунку — на Android ще й за номером замовлення Google Play (розділ 7). Номер застосунку можна переглянути й скопіювати в Налаштуваннях → «Капібара AI» → «Номер застосунку». Надішліть його на mydynastyapp.team@gmail.com — ми відповімо протягом місяця.
Скарги:
- ЄС/ЄЕЗ — орган із захисту даних вашої країни (перелік: https://edpb.europa.eu/about-edpb/about-edpb/members_en);
- Велика Британія — ICO (https://ico.org.uk/make-a-complaint/);
- Україна — Уповноважений Верховної Ради України з прав людини (https://ombudsman.gov.ua/).
Мешканці Каліфорнії. Ми не продаємо й не передаємо персональну інформацію та не використовуємо її для реклами. Категорії:
- ідентифікатори: номер застосунку;
- комерційні відомості: записи про підписку;
- аудіо-, візуальний та інший вміст: обробляється, як описано в розділі 5, і в нас не зберігається, крім коментаря до скарги на результат ШІ (90 днів).
Щоб дізнатися, видалити чи виправити дані, напишіть нам.

Як видалити свої дані

На телефоні. Видаліть людину, фото чи все дерево в застосунку — або видаліть myDynasty: усе, що зберігається на телефоні, видалиться разом із ним. Копії в нас немає.
Більше нічого не надсилати. Налаштування → «Капібара AI» → «Відкликати згоди» (розділ 8).
Записи на нашому сервері. У Налаштуваннях → «Капібара AI» скопіюйте номер застосунку. Якщо у вас Premium: поки підписка діє і застосунок встановлено, під час наступної перевірки він знову пов'яже підписку з нашим сервером — тож видаліть застосунок, скопіювавши номер, або напишіть нам після закінчення підписки. Надішліть номер на mydynastyapp.team@gmail.com зі словами «Видаліть мої дані». Ми видалимо все, що пов'язано з цим номером, — номер застосунку, записи згод, лічильники, записи про підписку та скарги — і підтвердимо протягом місяця. Номер загубився після перевстановлення? На Android надішліть натомість номер замовлення Google Play (починається з GPA.) з листа Google про покупку.
Без запиту. Сервер сам видаляє номер застосунку й усе пов'язане з ним через 12 місяців після останнього використання, номер, пов'язаний із підпискою, — через 12 місяців після закінчення підписки, скарги — через 90 днів, згоди — після закінчення їхнього строку (розділ 11).
Підписка. Скасуйте її в налаштуваннях акаунта Apple або в Google Play. Apple і Google зберігають свої записи про оплату за власними правилами.

Що ще певний час лишається після видалення: копії в резервних копіях сервера й технічних журналах — до 30 днів; те, що вже надійшло до OpenAI, — до 30 днів, за словами OpenAI; ваші листи нам — до 24 місяців; записи про оплату в Apple і Google — за їхніми власними правилами.

16. Сайт mydynasty.app

Сайт існує окремо від застосунку.

Хостинг. Сайт розміщено на GitHub Pages (GitHub, Inc., США). Коли ви відкриваєте сторінку, GitHub отримує вашу IP-адресу й технічні дані запиту.
Шрифти. Сторінки завантажують шрифт із Google Fonts. Тому, коли сторінка відкривається, ваш браузер надсилає вашу IP-адресу Google.
Аналітика. Google Analytics 4 вмикається, лише якщо ви дозволили аналітичні cookie в банері. Сигнал Global Privacy Control з браузера вважається відмовою. Ваш вибір запам'ятовується у вашому браузері.

У застосунку Google Analytics немає.

17. Зміни політики

Коли політика змінюється, ми оновлюємо дату вгорі. Якщо через зміну з пристрою надсилалося б більше даних або інші дані, відповідна функція ШІ знову покаже екран згоди, перш ніж щось надіслати.

18. Контакти

mydynastyapp.team@gmail.com · https://mydynasty.app · https://mydynasty.app/privacy

Попередня редакція: політика від 5 жовтня 2026

Política de privacidad de myDynasty

Vigente desde el 6 de octubre de 2026 · Última actualización: 6 de octubre de 2026 · Versión 2.1
Se aplica a la aplicación myDynasty para iPhone, iPad y Android (com.mydynasty.app) y al sitio web mydynasty.app.

Versión breve

Su árbol genealógico se guarda en su dispositivo. Los nombres, fechas, fotos, lugares, relatos y documentos se almacenan únicamente en la aplicación de su teléfono o tableta. Nosotros no tenemos ninguna copia. No hay cuentas ni registro.
Nada de su árbol sale del dispositivo, salvo que usted utilice algo que necesite internet: un mapa, el directorio de cementerios o una función de IA. Antes de que una función de IA envíe algo a nuestro servidor, la aplicación le muestra qué se enviará y a quién, y espera su consentimiento.
Las funciones de IA se incluyen en la suscripción myDynasty Premium en iPhone, iPad y Android. Lo que usted decide enviar va a nuestro servidor "Capybara" en Alemania y, desde allí, a OpenAI, que lo procesa por encargo nuestro. Nuestro servidor lo reenvía y no lo conserva. OpenAI no lo utiliza para entrenar sus modelos. OpenAI puede conservarlo hasta 30 días para detectar abusos. Las versiones de la aplicación sin funciones de IA, incluidas las versiones anteriores para Android, no se comunican con nuestro servidor.
La aplicación usa un número aleatorio, no su identidad. Para saber qué instalación puede usar la IA y cuánto le queda de su cupo, la aplicación usa un número aleatorio que ella misma genera. No es su nombre, ni su correo electrónico, ni su cuenta de Apple o de Google. Puede verlo en Ajustes.
Apple y Google se encargan del pago. Nunca vemos su tarjeta, su nombre ni su correo electrónico. Nuestro servidor recibe únicamente un registro de compra firmado por Apple o, en Android, un token de compra de Google Play, que verifica con Google Play.
La aplicación no tiene publicidad, ni servicios propios de analítica o de informes de fallos, ni seguimiento. No vendemos datos. En Android, los mapas los dibuja un componente de Google Maps dentro de la aplicación, que envía a Google sus propios datos técnicos (sección 3).

1. Quién es el responsable

Responsable del tratamiento: Roman Lobko, persona física residente en Ucrania. Es el vendedor de myDynasty en el App Store y en Google Play.
Contacto para todo, incluida la privacidad: mydynastyapp.team@gmail.com
Sitio web: https://mydynasty.app · esta política: https://mydynasty.app/privacy

Las versiones de la aplicación sin funciones de IA no envían nada a nuestro servidor.

Quién es responsable de qué:

Su árbol en su dispositivo. Usted mismo lo trata, con fines personales y familiares, y nosotros no tenemos acceso a él. La normativa de protección de datos lo denomina "excepción doméstica" (RGPD (GDPR), art. 2, apdo. 2, letra c).
Lo que la aplicación envía a nuestro servidor. Se trata del número de la app, los registros de consentimiento, los registros de suscripción, las consultas sobre el cupo de IA restante, las consultas al directorio de cementerios, el contenido que usted envía a las funciones de IA y sus reportes sobre resultados de la IA. Es nuestra responsabilidad. Hetzner, Cloudflare y OpenAI lo tratan por encargo nuestro conforme a sus condiciones de tratamiento de datos (sección 9).
Apple y Google. Son responsables de sus propios servicios conforme a sus propias políticas de privacidad: el App Store, Google Play, los mapas, la búsqueda de direcciones y el reconocimiento de voz.

2. Lo que permanece en su dispositivo

Lo siguiente se almacena únicamente en el almacenamiento privado de la aplicación en su dispositivo:

personas, fechas, parentescos, biografías y notas;
fotos, documentos y otros archivos del Archivo;
lugares y coordenadas de nacimiento, residencia y sepultura;
borradores de las funciones de IA: lo que usted dictó, las respuestas recibidas y las fotos de tumbas;
una grabación de voz que todavía no se ha enviado (iPhone y iPad). Se elimina una vez enviada. Si tiene más de 7 días, se elimina la próxima vez que usted abra la pantalla en la que la grabó;
una foto restaurada que llegó después de que usted salió de la pantalla. Espera hasta que usted vuelva a abrir esa foto. Cuando tiene más de 30 días, la aplicación la elimina la próxima vez que busca fotos restauradas;
los ajustes, sus decisiones sobre el consentimiento y el número de la app (sección 4).

En iPhone y iPad, la aplicación marca su carpeta de datos para que quede excluida de las copias de seguridad de iCloud y de la computadora. En Android, la aplicación se excluye de la copia de seguridad automática en la nube de Android.

Si la aplicación falla, se escribe un breve registro técnico en un archivo únicamente en el dispositivo, y la propia aplicación no sube nada. La aplicación no tiene un servicio propio de informes de fallos. En Android, el componente de Google Maps dentro de la aplicación envía a Google sus propios datos de fallos y de diagnóstico (sección 3). Si usted aceptó en los ajustes de su teléfono compartir diagnósticos con los desarrolladores de aplicaciones, Apple o Google pueden transmitirnos informes de fallos conforme a sus propias condiciones.

Su árbol sale del dispositivo solo cuando usted mismo lo exporta o lo comparte. Los archivos exportados (GEDCOM, LRV, SVG, PNG) van adonde usted elija, por ejemplo a Archivos, Fotos u otra aplicación. Desde allí, ese servicio puede copiarlos a otros lugares, por ejemplo a Fotos de iCloud. Si desinstala la aplicación, todo se elimina del dispositivo, excepto los archivos que usted mismo haya exportado.

Permisos:

Ubicación, solo mientras usa la aplicación: para los mapas y para las coordenadas de las tumbas.
Cámara y fotos: para tomar y adjuntar imágenes.
Micrófono y reconocimiento de voz, solo en las versiones con funciones de IA: para hablar de una persona por voz.
Notificaciones: solo recordatorios locales, sin servicio de notificaciones push.

Puede desactivar cada uno de ellos en los ajustes de su teléfono.

3. Cuándo sale algo de su dispositivo

Cuando usted…	Qué se envía	A quién
abre un mapa (en Android, también simplemente usa la aplicación: su componente de Google Maps puede iniciarse con ella)	solicitudes técnicas de mapa: la dirección IP y qué zona del mapa. En Android, el componente de Google Maps dentro de la aplicación también envía a Google sus propios datos: interacciones con el mapa (desplazamiento y zoom), trazas y métricas de fallos, datos del dispositivo (modelo, marca, versión de Android) y un identificador seudónimo del componente. Google los utiliza conforme a su propia política de privacidad, como responsable independiente	Apple Maps (iPhone, iPad) o Google (Android)
busca una dirección en el mapa	la dirección que escribió	Apple o Google (la búsqueda de direcciones del teléfono)
toma fotos de una tumba	el lugar donde las tomó, para mostrar su dirección	Apple o Google (la búsqueda de direcciones del teléfono)
usa el directorio de cementerios	país, idioma, región y localidad, los nombres que escribe o coordenadas, el número de directorio de un cementerio; sin el número de la app	nuestro servidor (sección 6)
ve el mapa de cementerios o el pequeño mapa de un registro de sepultura	qué cuadros del mapa se necesitan, además de su dirección IP	OpenStreetMap Foundation
usa una función de IA después de haber dado su consentimiento	lo que indica la pantalla de consentimiento, además del número de la app	nuestro servidor y, luego, OpenAI (sección 5)
envía un reporte con "Reportar este resultado"	la función, el motivo, su comentario (si lo hay) y el número de la app; no la foto ni el texto de la IA	nuestro servidor (sección 5)
tiene Premium y abre Ajustes o la ficha de una persona, o restaura una foto	solo el número de la app, para mostrar cuánto cupo de IA queda	nuestro servidor (sección 4)
dicta por voz	si su teléfono no puede reconocer la voz en el dispositivo, el audio también se envía a su servicio de voz	Apple o Google (el servicio de voz del teléfono)
compra o restaura la suscripción	la compra en sí y, luego, un registro de compra firmado por Apple o un token de compra de Google Play	Apple o Google Play y, luego, nuestro servidor (sección 7)
toca un enlace o un botón (correo electrónico, página de la tienda, "Compartir coordenadas", "Cómo llegar")	lo que abra ese enlace; para "Cómo llegar", las coordenadas del lugar y el nombre de la persona como etiqueta	la aplicación o el sitio que usted eligió; para "Cómo llegar", la aplicación de mapas

Las versiones de la aplicación sin funciones de IA, incluidas las versiones anteriores para Android, no se comunican en absoluto con nuestro servidor.

4. Nuestro servidor "Capybara" y el número de la app

Dónde funciona. Nuestro servidor funciona en Hetzner Online GmbH en Núremberg, Alemania (UE). La aplicación accede a él en api.mydynasty.app a través de Cloudflare, que transporta la conexión cifrada.

El número de la app.

Qué es. Un número aleatorio (un UUID) que la aplicación genera la primera vez que lo necesita y guarda en sus ajustes. Esto puede ocurrir cuando usted compra la suscripción, usa una función de IA o, con Premium, abre Ajustes o la ficha de una persona. El número no se deriva de su dispositivo y no es un identificador publicitario.
Cuándo se envía. La aplicación lo envía con cada solicitud a nuestro servidor, excepto las consultas al directorio de cementerios (sección 6).
Por qué lo tratamos como dato personal. El número no nos dice quién es usted. Pero está vinculado a sus registros de consentimiento y de suscripción, por lo que lo tratamos como dato personal (un identificador seudónimo).
Apple también lo ve. Cuando usted compra la suscripción en iPhone o iPad, la aplicación entrega a Apple ese mismo número junto con la compra, como "app account token". Esto permite asociar la compra a esta instalación. Por lo tanto, Apple ve el número junto con su cuenta de Apple.
Google también lo ve. Cuando usted compra la suscripción en Android, la aplicación entrega a Google Play ese mismo número junto con la compra, como identificador de cuenta (Google lo llama "obfuscatedAccountId"). Por lo tanto, Google ve el número junto con su cuenta de Google.
Dónde encontrarlo. Ajustes → "Capybara AI" → "Número de la app". Allí puede copiarlo. Esta sección aparece con Premium. Una vez que la aplicación ha generado un número, por ejemplo después de que usted dio su consentimiento a una función de IA o compró la suscripción, el número permanece allí también sin Premium.
Cuándo cambia. Al reinstalar la aplicación se genera un número nuevo. Retirar los consentimientos no lo cambia.

Solicitudes sin su contenido. En la versión con funciones de IA, la aplicación también se comunica por sí sola con nuestro servidor. Ninguna de estas solicitudes contiene sus relatos, fotos ni ninguna otra cosa de su árbol:

Cupo restante. Con Premium, cuando usted abre Ajustes o la ficha de una persona, y cuando restaura una foto, la aplicación consulta cuánto le queda de su cupo de IA. Sin Premium no lo consulta. Solo se envía el número de la app. Nuestro servidor no almacena nada nuevo a partir de esta solicitud. Para un número de la app que ya conoce, anota que el número sigue en uso, como máximo una vez al día.
Suscripción. Con una suscripción activa, la aplicación envía el registro de compra firmado por Apple al iniciarse, después de una compra, restauración o renovación, y cuando nuestro servidor todavía no conoce su suscripción durante una solicitud de IA. En Android, en su lugar envía el token de compra de Google Play: después de una compra, al iniciarse mientras usted está suscrito, y cuando nuestro servidor todavía no conoce su suscripción durante una solicitud de IA (sección 7).
Restauración de fotos. Después de que usted inicia una restauración, el teléfono sigue consultando a nuestro servidor por el resultado durante un máximo de 15 minutos, aunque usted salga de la pantalla. Luego le pide al servidor que elimine el resultado. Solo se envían el número de trabajo y el número de la app.

La aplicación no consulta por sí sola el directorio de cementerios cuando usted abre un registro de sepultura o la ficha de una persona. Lo consulta solo cuando usted toca (sección 6).

Lo que conserva nuestro servidor se detalla en la sección 11. En resumen: el número de la app con las fechas de su primer y último uso, los registros de consentimiento, los contadores de uso, los registros de suscripción y los reportes sobre resultados de la IA.

Nuestro servidor no conserva sus textos, grabaciones, fotos, coordenadas ni búsquedas, y no almacena direcciones IP. El único texto que conserva es el comentario que usted puede agregar a un reporte sobre un resultado de la IA (sección 5). Sus registros técnicos están configurados para excluir su contenido y sus coordenadas. Pueden contener números internos de registros, en errores poco frecuentes de la base de datos el número de la app y, si falla una verificación con Google Play, los primeros caracteres del token de compra (como máximo 8). Se eliminan a más tardar a los 30 días.

5. Funciones de IA ("Capybara AI")

Las funciones de IA están disponibles en iPhone, iPad y Android con la suscripción myDynasty Premium. Sin la suscripción, la aplicación no las muestra.

Antes de que una función envíe algo por primera vez, muestra una pantalla de consentimiento. La pantalla indica qué se enviará y nombra a nuestro servidor "Capybara" y a OpenAI. No se envía nada a nuestro servidor ni a OpenAI hasta que usted dé su consentimiento (sección 8). El reconocimiento de voz propio de su teléfono funciona en cuanto usted toca el micrófono; consulte "Reconocimiento de voz por su teléfono" más abajo.

5.1 Hablar de una persona. Usted habla de un familiar. La IA completa la ficha y puede hacer preguntas de seguimiento en voz alta.

En iPhone y iPad, la aplicación envía la grabación de voz (audio comprimido) y el idioma que usted eligió, para reconocer la voz, y luego el texto del relato, reconocido a partir de la grabación o, si eso falla, por su teléfono. Después del reconocimiento, la grabación se elimina del teléfono.
En Android, la aplicación no realiza ninguna grabación y nunca envía audio a nuestro servidor. Envía el texto del relato tal como lo reconoció su teléfono, y el idioma que usted eligió.
Las preguntas de seguimiento (en una tumba, y cuando la IA necesita saber qué parentesco tiene la persona con alguien de su relato) las lee en voz alta una voz de OpenAI. El texto de la pregunta, que puede contener nombres que usted mencionó, se envía a OpenAI para convertirlo en voz.
La persona aparece en su árbol solo después de que usted revisa la ficha y toca "Guardar".

5.2 Fotos de la tumba.

La foto de la inscripción de la lápida se envía a OpenAI para que se pueda leer la inscripción.
El lugar donde usted tomó las fotos se envía solo a nuestro servidor, para encontrar el cementerio en el directorio, sin el número de la app (sección 6), y solo si usted dio su consentimiento. No se envía a OpenAI.
El sistema propio de su teléfono (Apple o Google) busca la dirección de ese lugar. Esto ocurre aunque usted no dé su consentimiento a la IA.
La toma general permanece en el teléfono. El retrato de la lápida se envía a restaurar solo con el consentimiento independiente para la restauración de fotos (5.3).

5.3 Restauración de fotos.

Qué se envía a OpenAI:
- la foto: la imagen completa, o el retrato tomado en una tumba;
- la zona del rostro del avatar de la persona;
- el color de ojos y de cabello que usted eligió.
Nuestro servidor también recibe el tamaño de la imagen y si se trata de un retrato de una tumba. Los utiliza para fijar el tamaño del resultado y las instrucciones para OpenAI.
Lo que usted recibe. El resultado es una imagen generada por IA. Puede diferir de cómo era realmente la persona.
- En la pantalla de una persona, reemplaza la foto anterior solo si usted toca "Guardar". La foto anterior permanece en el Archivo.
- Un retrato restaurado de una lápida se convierte automáticamente en el avatar de la nueva persona. La foto de la lápida permanece con la sepultura.
En nuestro servidor. La foto no se guarda en disco. Se mantiene en la memoria mientras dura la restauración. La imagen terminada se conserva hasta que la aplicación la recoge, y no más de 10 minutos después de que está lista. Un trabajo sin terminar se descarta a los 15 minutos.

5.4 Biografía con IA. La IA hace preguntas y ordena lo que usted dijo.

Se envía como texto:
- lo que usted dice, tal como lo reconoció el teléfono;
- las preguntas ya formuladas y la biografía ya escrita;
- el nombre completo de la persona (nombre, patronímico, apellido) y las fechas de nacimiento y fallecimiento;
- los nombres completos (nombre, patronímico, apellido) del cónyuge, los padres, los hijos y los hermanos que figuran en el árbol, con el parentesco.
No se envían grabaciones, fotos ni ubicación.
Las preguntas las lee en voz alta una voz de OpenAI: el texto de la pregunta se envía a OpenAI para convertirlo en voz. Sin conexión, las lee la voz propia de su teléfono.

Para todas las funciones de IA:

Las fotos se vuelven a codificar antes de enviarse. Esto elimina metadatos ocultos, como la ubicación de la cámara.
No se envía nada más: ninguna otra foto, ni su árbol, ni datos del dispositivo. Nuestro servidor no transmite a OpenAI el número de la app ni ningún otro identificador.
Nuestro servidor no almacena el contenido. Reenvía el contenido a OpenAI y devuelve la respuesta a su teléfono.
OpenAI trata el contenido por encargo nuestro conforme a sus condiciones de tratamiento de datos. Según OpenAI:
- los datos enviados a través de su API no se utilizan para entrenar sus modelos;
- los datos pueden conservarse hasta 30 días para detectar abusos y luego se eliminan, salvo que la ley exija un plazo mayor.
Si se interrumpe la conexión, un relato, una grabación o una foto de tumba que usted ya aceptó enviar queda en espera en el teléfono. Mientras su consentimiento siga vigente, se envía automáticamente cuando vuelve la conexión mientras esa pantalla está abierta, o cuando usted vuelve a abrir la pantalla. Si usted retiró su consentimiento, no se envía nada de lo que está en espera: permanece en el teléfono hasta que usted toque "Reintentar" y vuelva a dar su consentimiento.
La IA comete errores. Revise el resultado antes de guardarlo.
Los relatos y las fotos suelen tratar sobre otras personas. Envíe solo lo que usted tenga derecho a compartir. Tenga especial cuidado con los datos de familiares vivos, en particular de niños.

Reconocimiento de voz por su teléfono. Mientras usted habla, el texto en la pantalla proviene del sistema propio de su teléfono. Si este no puede reconocer la voz en el dispositivo, el audio también se envía al servicio de voz del teléfono (el de Apple en iPhone y iPad, normalmente el de Google en Android), conforme a la política de privacidad de esa empresa. La aplicación se lo advierte de antemano.

Reportar un resultado. En la pantalla de restauración de fotos, y en "Biografía con IA" en las pantallas donde usted revisa o combina el texto, puede tocar "Reportar este resultado". Usted elige un motivo: ofensivo o inapropiado; falso sobre la persona (biografía); la foto está deformada (restauración); u otro. Puede agregar un comentario de hasta 500 caracteres. Antes de enviarlo, la aplicación le indica qué se envía: la función, el motivo y su comentario. No se envían la foto ni el texto de la IA. Nuestro servidor recibe la función, el motivo, el comentario (si lo hay) y el número de la app. Conserva el reporte durante 90 días y luego lo elimina. Utilizamos los reportes únicamente para revisar quejas y para mejorar el filtrado de las funciones de IA.

6. Directorio de cementerios

El directorio de cementerios forma parte de las versiones con funciones de IA, en iPhone, iPad y Android. Su uso es gratuito y no requiere suscripción.

La aplicación se comunica con nuestro servidor solo cuando usted hace algo:

elige un país (la aplicación carga entonces las localidades de ese país) o toca el campo de la localidad;
escribe el nombre de una localidad o de un cementerio;
abre el mapa de cementerios o busca cementerios cerca de un punto;
toca el pequeño mapa de un registro de sepultura, o el lugar de sepultura en la ficha de una persona, para verlo en el mapa;
toma fotos de una tumba después de haber dado su consentimiento a la IA (5.2).

Abrir un registro de sepultura o la ficha de una persona no consulta el directorio.

Qué envía: solo lo que necesita la búsqueda, sin el número de la app:

el país y el idioma, y la región y la localidad;
los nombres que usted escribió;
el número de directorio de un cementerio ya elegido en el registro; o
coordenadas: un punto del mapa o la ubicación guardada de una tumba, con un radio de búsqueda. Para las fotos de la tumba, también la precisión del GPS y si se trata de la tumba de una mascota.

Nuestro servidor no almacena su dirección IP: la utiliza solo en memoria, para limitar la frecuencia con que pueden llegar solicitudes.

Cómo responde nuestro servidor. Utiliza su propio directorio, elaborado a partir de datos de OpenStreetMap. No almacena sus búsquedas ni sus coordenadas. No se agrega al directorio nada de su árbol.

Imágenes del mapa. El mapa de cementerios y el pequeño mapa de un registro de sepultura cargan las imágenes del mapa directamente desde los servidores de la OpenStreetMap Foundation (Reino Unido). Esos servidores reciben su dirección IP, el nombre y la versión de la aplicación, y qué cuadros del mapa se necesitan. Las imágenes se guardan en su teléfono para no tener que cargarlas de nuevo.

7. Suscripción y pagos

iPhone y iPad. Apple se encarga del pago. Nunca recibimos los datos de su tarjeta, su nombre, su correo electrónico ni su cuenta de Apple.

Cómo llega su compra a nuestro servidor:

Después de que usted compra o restaura la suscripción, y cada vez que se renueva, Apple entrega a la aplicación un registro de compra firmado por Apple.
La aplicación envía este registro, con la información de renovación, a nuestro servidor. El servidor verifica la firma de Apple y habilita las funciones de IA para esta instalación.
La aplicación también envía el registro cuando se inicia con una suscripción activa. Si nuestro servidor todavía no conoce su suscripción durante una solicitud de IA, la aplicación lo envía de nuevo y repite la solicitud una vez.

Qué contiene el registro firmado: entre otras cosas, los números de compra, el producto, las fechas de compra y de vencimiento, el país de la tienda, el precio y la moneda, y el número de la app de la instalación en la que se realizó la compra. También puede contener un valor técnico que Apple utiliza para verificar que el registro pertenece al dispositivo. No contiene nombre, correo electrónico, cuenta de Apple ni datos de pago. Nuestro servidor conserva solo lo que se indica a continuación.

Lo que conserva nuestro servidor:

el número de compra original y el producto;
el entorno (compra real o de prueba);
la fecha hasta la que está pagada y el fin del período de gracia;
la fecha de reembolso, si lo hubo;
si la suscripción se renueva automáticamente;
las fechas de las firmas, la fecha en que comenzó su período de cupo y una clave interna para el cupo de IA compartido;
cuándo se creó el registro y cuándo se actualizó por última vez;
qué números de la app usan esta suscripción, con la fecha en que cada uno se incorporó y la fecha en que se vio por última vez (actualizada como máximo una vez al día).

Notificaciones de Apple: Apple también informa directamente a nuestro servidor sobre renovaciones, problemas de pago, reembolsos y vencimientos. Nuestro servidor actualiza el registro de suscripción a partir de ellas. De las notificaciones en sí conservamos solo el número de la notificación, su tipo y subtipo, y la hora en que llegó.

Sus dispositivos:

Una suscripción funciona en todos sus dispositivos. Use "Restaurar compras" en un dispositivo nuevo o después de reinstalar.
El cupo de IA lo comparten todos los dispositivos de una misma suscripción.

Administración, reembolsos y cancelación:

Administre o cancele la suscripción en los ajustes de su cuenta de Apple, o con "Administrar suscripción" en la aplicación.
Apple se encarga de los reembolsos.
El precio y el período de facturación se muestran en la aplicación y en el App Store antes de la compra. Se aplica el contrato de licencia estándar de Apple (EULA).
Si cancela, no se elimina nada. Los proyectos que superan los límites gratuitos pasan a ser de solo lectura hasta que vuelva a suscribirse, y las funciones de IA dejan de funcionar.

Android. Google Play se encarga de la compra y del pago. Nunca recibimos los datos de su tarjeta, su nombre, su correo electrónico ni su cuenta de Google.

Cómo llega su compra a nuestro servidor:

Cuando usted compra la suscripción, la aplicación entrega a Google Play el número de la app como identificador de cuenta (sección 4).
Después de una compra, y cuando la aplicación se inicia mientras usted está suscrito, envía a nuestro servidor el token de compra que le entregó Google Play. Si nuestro servidor no conoce su suscripción durante una solicitud de IA, la aplicación envía el token y repite la solicitud una vez.
Nuestro servidor consulta a Google Play (la Google Play Developer API) si la suscripción está activa y, si lo está, habilita las funciones de IA para esta instalación. Utiliza el token solo para esta verificación y no lo conserva.

Lo que conserva nuestro servidor:

el número de pedido (el ID de pedido de Google Play sin la terminación que Google agrega en cada renovación) y el producto;
si se trata de una compra real o de prueba;
cuándo comenzó la suscripción (su período de cupo también comienza entonces) y cuándo termina el período pagado;
durante un período de gracia, mientras Google todavía intenta cobrar un pago fallido: un momento un día posterior a la verificación, hasta el cual el acceso permanece habilitado;
si Google Play informa que la suscripción terminó antes de que concluyera el período pagado (por ejemplo, después de un reembolso), el momento en que terminó;
si la suscripción se renueva automáticamente;
cuándo verificó nuestro servidor por última vez con Google Play, una clave interna para el cupo de IA compartido, y cuándo se creó el registro y cuándo se actualizó por última vez;
qué números de la app usan esta suscripción, con las mismas fechas que para el App Store.

Sin notificaciones de Google: nuestro servidor no utiliza las notificaciones en tiempo real de Google Play. Se entera de las renovaciones, cancelaciones y reembolsos solo cuando la aplicación vuelve a enviar el token.

Sus dispositivos, administración y reembolsos: al igual que en iPhone y iPad, una suscripción funciona en todos sus dispositivos con la misma cuenta de Google, y estos comparten un único cupo de IA. Administre o cancele la suscripción en Google Play, o con "Administrar suscripción" en la aplicación. Google se encarga de los reembolsos. El precio y el período de facturación se muestran en la aplicación y en Google Play antes de la compra. Si cancela, no se elimina nada, como se describe más arriba.

8. El consentimiento y cómo retirarlo

Hay tres consentimientos:
- "Hablar de una persona" junto con "Fotos de la tumba";
- "Restauración de fotos";
- "Biografía con IA".
Cada pantalla de consentimiento indica qué se envía. Si el texto cambia, la aplicación vuelve a preguntar.
Cuando una función envía algo por primera vez después de que usted da su consentimiento, la aplicación registra su consentimiento en nuestro servidor. El registro contiene:
- el número de la app y la función;
- las categorías de datos que se le mostraron;
- el proveedor indicado ("OpenAI via Capybara");
- la versión de la aplicación, la versión del texto y la hora.
Cada registro es válido durante 30 días. Si ha vencido, la aplicación registra uno nuevo la próxima vez que usted use esa función, sin volver a preguntar, hasta que usted retire el consentimiento. Los registros vencidos se eliminan automáticamente en aproximadamente una hora.
Puede retirarlo en cualquier momento: Ajustes → "Capybara AI" → "Retirar consentimientos".
- El teléfono olvida de inmediato todos los consentimientos de IA. Ninguna función de IA envía nada hasta que usted vuelva a dar su consentimiento. Esto incluye los relatos, las grabaciones y las fotos de tumbas que estaban en espera de envío: permanecen en su teléfono y no se envían hasta que usted toque "Reintentar" y vuelva a dar su consentimiento.
- El registro en nuestro servidor no se elimina en ese momento. Deja de utilizarse y vence en un plazo de 30 días.
- Lo que ya está en su árbol permanece.
- Retirar el consentimiento no cancela la suscripción. Esta se cancela en la tienda.
Los demás beneficios de la suscripción (más árboles, personas y archivos) no dependen de dar el consentimiento a la IA.
También puede desactivar el acceso de myDynasty al micrófono, la cámara, las fotos y la ubicación en los ajustes de su teléfono.

9. Quién trata datos por encargo nuestro

Proveedor de servicios	Función	Ubicación	Qué ve
Hetzner Online GmbH (Alemania)	opera nuestro servidor, su base de datos y sus copias de seguridad en disco	Núremberg, Alemania (UE)	todo lo que nuestro servidor recibe y conserva
Cloudflare, Inc. (EE. UU.)	transporta la conexión cifrada entre la aplicación y nuestro servidor	red mundial; empresa con sede en EE. UU.	la dirección IP y las direcciones de las solicitudes, incluidas las coordenadas y las palabras de búsqueda que contienen; las solicitudes en sí mientras las transmite, incluido el número de la app (las consultas al directorio no lo llevan)
OpenAI OpCo, LLC (EE. UU.)	procesamiento de IA	EE. UU., y los subencargados de OpenAI que figuran en su lista	solo el contenido que usted envía a las funciones de IA, sin el número de la app

Cada uno de ellos trata los datos únicamente siguiendo nuestras instrucciones, conforme a sus condiciones de tratamiento de datos, y debe protegerlos al menos tan bien como se describe aquí.

El responsable del tratamiento también conserva copias de la base de datos del servidor en su propia computadora y en su unidad de respaldo. La base de datos contiene solo los registros indicados en la sección 11: ni árboles, ni relatos, ni fotos.

Apple, Google y la OpenStreetMap Foundation le prestan sus servicios a usted conforme a sus propias condiciones y políticas de privacidad. En el caso de Google, esto incluye Google Play y la Google Play Developer API, mediante la cual nuestro servidor verifica una suscripción de Android (sección 7), y el componente de Google Maps en la aplicación para Android (sección 3).

No utilizamos servicios propios de analítica, publicidad, informes de fallos ni seguimiento (sobre el componente de Google Maps en Android, consulte la sección 3). No vendemos datos, no los compartimos con fines publicitarios ni elaboramos perfiles. No tomamos decisiones automatizadas sobre usted.

10. Bases jurídicas

Consentimiento. RGPD, art. 6, apdo. 1, letra a; art. 9, apdo. 2, letra a, para los datos sensibles sobre usted mismo que usted decida incluir; Ley de Ucrania "Sobre la protección de datos personales", art. 11. Esto abarca el envío de contenido a las funciones de IA, incluida su transferencia a OpenAI en EE. UU.
Contrato. RGPD, art. 6, apdo. 1, letra b. Esto abarca la verificación de su suscripción, el número de la app y los contadores de cupo, y las búsquedas que usted realiza en el directorio.
Intereses legítimos. RGPD, art. 6, apdo. 1, letra f. Esto abarca la protección contra abusos (límites de solicitudes; en las consultas al directorio, por dirección IP, solo en memoria), la revisión de los reportes sobre resultados de la IA, las copias de seguridad, los registros técnicos y los nombres de familiares que usted incluye en lo que envía, limitados a lo que necesita la función. Puede oponerse escribiéndonos.
Datos en su dispositivo: la excepción doméstica (sección 1).
Información sobre personas fallecidas. El RGPD no se aplica a ella (considerando 27), aunque algunos países la protegen mediante su legislación nacional. La tratamos con el mismo cuidado.

11. Cuánto tiempo se conservan los datos

Datos	Dónde	Cuánto tiempo
Contenido enviado a las funciones de IA: texto, grabaciones, fotos, texto de las preguntas	nuestro servidor	no se almacena; se mantiene en memoria solo mientras se procesa la solicitud
Foto restaurada	memoria de nuestro servidor	hasta que la aplicación la recoge, como máximo 10 minutos después de que está lista; un trabajo sin terminar se descarta a los 15 minutos
El mismo contenido	OpenAI	hasta 30 días (supervisión de abusos), según OpenAI
Coordenadas, búsquedas en el directorio, consultas de cupo, direcciones IP, tokens de compra de Google Play	nuestro servidor	no se almacenan
Número de la app con las fechas de su primer y último uso (un consentimiento, una solicitud de IA o una consulta de cupo)	nuestro servidor	12 meses después de su último uso
Registros de consentimiento	nuestro servidor	30 días cada uno; luego se eliminan en aproximadamente una hora; antes, si se elimina el número de la app
Entradas de uso: número de la app, función, hora y tamaño en caracteres, sin contenido	nuestro servidor	3 días
Totales mensuales de gasto en IA: número de la app o suscripción, mes, importe	nuestro servidor	31 días desde el inicio de ese período mensual (hasta 3 días después de su fin)
Contadores mensuales de restauración de fotos	nuestro servidor	todos los contadores de un mismo número de la app o suscripción se eliminan juntos, a más tardar 12 meses después de la última restauración
Registros de suscripción (App Store y Google Play) y los números de la app vinculados a ellos	nuestro servidor	12 meses después de que termina la suscripción (vencimiento tras el período de gracia, o un fin anterior, por ejemplo, un reembolso)
Notificaciones de Apple: número, tipo y subtipo, hora	nuestro servidor	12 meses
Reportes sobre resultados de la IA: función, motivo, su comentario, número de la app	nuestro servidor	90 días; luego se eliminan
Registros técnicos del servidor, sin contenido	nuestro servidor	hasta 30 días
Copias de seguridad de la base de datos del servidor	nuestro servidor, el servicio de copias de seguridad de Hetzner, la propia computadora y la unidad de respaldo del responsable del tratamiento	hasta 30 días
Sus correos electrónicos dirigidos a nosotros	buzón de correo	hasta 24 meses; más tiempo solo si hay un asunto pendiente o si la ley lo exige
Todo lo que hay en la aplicación	su dispositivo	hasta que usted lo elimine o desinstale la aplicación; una grabación en espera (iPhone y iPad) se elimina cuando tiene más de 7 días, la próxima vez que usted abra su pantalla; una foto restaurada que llegó sin la pantalla abierta se elimina cuando tiene más de 30 días, la próxima vez que la aplicación busca fotos restauradas

Las copias de seguridad contienen copias de los registros del servidor indicados arriba. Por lo tanto, un registro eliminado de la base de datos puede permanecer en una copia de seguridad hasta 30 días más.

Las estadísticas del servicio sin el número de la app (la duración y el resultado de las llamadas a la IA, el costo total diario) no son datos personales.

12. Transferencias fuera de la UE

Nuestro servidor está en la UE (Alemania).
OpenAI y Cloudflare son empresas estadounidenses. Sus condiciones de tratamiento de datos incluyen las Cláusulas Contractuales Tipo de la UE para transferencias fuera de la UE. Conforme a la legislación ucraniana, la transferencia del contenido de IA a OpenAI se basa en su consentimiento.
El responsable del tratamiento tiene su sede en Ucrania, que no cuenta con una decisión de adecuación de la UE. Él administra el servidor y conserva las copias de seguridad.
Apple y Google utilizan sus propios mecanismos de transferencia.

13. Niños

La aplicación no está dirigida a niños. Las funciones de IA y la suscripción son para personas de 13 años o más. En algunos países, la ley fija una edad mayor para dar el consentimiento a servicios en línea, de hasta 16 años en algunos países de la UE. Por debajo de esa edad, los usuarios necesitan el permiso de uno de sus padres o de su tutor.

No recopilamos a sabiendas datos de niños por debajo de estas edades. Si cree que un niño usó funciones de IA sin permiso, escríbanos y eliminaremos los registros de ese número de la app.

14. Seguridad

En el dispositivo. Los datos se encuentran en el almacenamiento privado de la aplicación. Cuando hay un bloqueo de pantalla configurado, el cifrado del sistema los protege. La aplicación no agrega un cifrado propio adicional a su base de datos. Proteja su dispositivo con un código de acceso o con datos biométricos.
Las conexiones con nuestro servidor están cifradas: desde su dispositivo hasta Cloudflare, y desde Cloudflare hasta nuestro servidor mediante un túnel cifrado. Nuestro servidor acepta solicitudes de la aplicación solo a través de ese túnel. Su base de datos y sus funciones de administración no son accesibles desde internet.
Lo que contiene nuestro servidor. Solo los registros de la sección 11: ni árboles ni relatos, y ningún nombre, salvo que usted lo escriba en el comentario de un reporte.

15. Sus derechos

En su dispositivo. Puede ver, corregir, eliminar y exportar sus datos en la aplicación (GEDCOM, LRV, SVG, PNG). Al desinstalar la aplicación se elimina todo.
En nuestro servidor. Usted tiene los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición. Puede retirar su consentimiento en cualquier momento (sección 8).
Cómo acceder a sus registros. No sabemos quién es usted, por lo que solo podemos encontrar sus registros mediante el número de la app y, en Android, también mediante el número de pedido de Google Play (sección 7). Puede ver y copiar el número de la app en Ajustes → "Capybara AI" → "Número de la app". Envíelo a mydynastyapp.team@gmail.com y le responderemos en el plazo de un mes.
Reclamaciones:
- UE/EEE: la autoridad de protección de datos de su país (lista: https://edpb.europa.eu/about-edpb/about-edpb/members_en);
- Reino Unido: la ICO (https://ico.org.uk/make-a-complaint/);
- Ucrania: el Comisionado para los Derechos Humanos del Parlamento de Ucrania (https://ombudsman.gov.ua/).
California. No vendemos ni compartimos información personal y no la utilizamos con fines publicitarios. Las categorías son:
- identificadores: el número de la app;
- información comercial: registros de suscripción;
- contenido de audio, visual y de otro tipo: tratado como se describe en la sección 5 y no conservado por nosotros, excepto el comentario de un reporte sobre un resultado de la IA (90 días).
Para solicitar conocer, eliminar o corregir información, escríbanos.

Cómo eliminar sus datos

En su teléfono. Elimine una persona, una foto o un árbol completo en la aplicación, o desinstale myDynasty: todo lo que está almacenado en el teléfono se elimina con ella. Nosotros no tenemos ninguna copia.
Dejar de enviar. Ajustes → "Capybara AI" → "Retirar consentimientos" (sección 8).
Registros en nuestro servidor. En Ajustes → "Capybara AI", copie el número de la app. Si tiene Premium: mientras la suscripción esté activa y la aplicación esté instalada, la aplicación vuelve a vincularla con nuestro servidor en su siguiente verificación; por eso, desinstale la aplicación después de copiar el número, o escríbanos después de que haya terminado la suscripción. Envíe el número a mydynastyapp.team@gmail.com con las palabras "Eliminar mis datos". Eliminamos todo lo vinculado a ese número (el número de la app, los registros de consentimiento, los contadores, los registros de suscripción y los reportes) y lo confirmamos en el plazo de un mes. ¿Perdió el número tras reinstalar? En Android, envíe en su lugar el número de pedido de Google Play (comienza con GPA.) que figura en el correo electrónico de compra de Google.
Sin solicitud. El servidor elimina el número de la app y todo lo vinculado a él 12 meses después de su último uso; un número de la app vinculado a una suscripción, 12 meses después de que termina la suscripción; los reportes, a los 90 días; los consentimientos, cuando vencen (sección 11).
Suscripción. Cancélela en los ajustes de su cuenta de Apple o en Google Play. Apple y Google conservan sus propios registros de pago conforme a sus propias normas.

Lo que permanece durante un tiempo después de la eliminación: las copias en las copias de seguridad del servidor y en los registros técnicos, hasta 30 días; el contenido ya enviado a OpenAI, hasta 30 días, según OpenAI; sus correos electrónicos dirigidos a nosotros, hasta 24 meses; los registros de pago en Apple y Google, conforme a sus propias normas.

16. El sitio web mydynasty.app

El sitio web es independiente de la aplicación.

Alojamiento. El sitio está alojado en GitHub Pages (GitHub, Inc., EE. UU.). GitHub recibe su dirección IP y los datos técnicos de la solicitud cuando usted abre una página.
Fuentes. Las páginas cargan su fuente desde Google Fonts. Por lo tanto, su navegador envía su dirección IP a Google cuando se abre una página.
Analítica. Google Analytics 4 funciona solo si usted permite las cookies de analítica en el aviso. Una señal Global Privacy Control de su navegador cuenta como rechazo. Su elección se recuerda en su navegador.

La aplicación no contiene Google Analytics.

17. Cambios en esta política

Cuando esta política cambia, actualizamos la fecha que figura al principio. Si un cambio implica que saldrían de su dispositivo más datos o datos distintos, la función de IA correspondiente vuelve a mostrar su pantalla de consentimiento antes de enviar nada.

18. Contacto

mydynastyapp.team@gmail.com · https://mydynasty.app · https://mydynasty.app/privacy

Versión anterior: Política de privacidad del 5 de octubre de 2026

Politique de confidentialité de myDynasty

En vigueur à compter du 6 octobre 2026 · Dernière mise à jour le 6 octobre 2026 · Version 2.1
S’applique à l’application myDynasty pour iPhone, iPad et Android (com.mydynasty.app) et au site web mydynasty.app.

En bref

Votre arbre généalogique est conservé sur votre appareil. Les noms, dates, photos, lieux, récits et documents sont stockés uniquement dans l’application, sur votre téléphone ou votre tablette. Nous n’en avons aucune copie. Il n’y a ni compte ni inscription.
Rien de votre arbre ne quitte l’appareil, sauf si vous utilisez une fonction qui a besoin d’Internet : une carte, l’annuaire des cimetières ou une fonction d’IA. Avant qu’une fonction d’IA n’envoie quoi que ce soit à notre serveur, l’application vous montre ce qui sera envoyé et à qui, et attend votre consentement.
Les fonctions d’IA sont incluses dans l’abonnement myDynasty Premium sur iPhone, iPad et Android. Ce que vous choisissez d’envoyer est transmis à notre serveur « Capybara » en Allemagne, puis à OpenAI, qui le traite pour notre compte. Notre serveur le transmet et ne le conserve pas. OpenAI ne l’utilise pas pour entraîner ses modèles. OpenAI peut le conserver jusqu’à 30 jours pour détecter les abus. Les versions de l’application sans fonctions d’IA, y compris les versions antérieures pour Android, ne contactent pas notre serveur.
L’application utilise un numéro aléatoire, et non votre identité. Pour savoir quelle installation peut utiliser l’IA et combien il lui reste de son quota, l’application utilise un numéro aléatoire qu’elle crée elle-même. Ce n’est ni votre nom, ni votre adresse e-mail, ni votre compte Apple ou Google. Vous pouvez le voir dans les Réglages.
Le paiement est géré par Apple et Google. Nous ne voyons jamais votre carte, votre nom ni votre adresse e-mail. Notre serveur reçoit uniquement un justificatif d’achat signé par Apple ou, sur Android, un jeton d’achat Google Play, qu’il vérifie auprès de Google Play.
L’application ne contient aucune publicité, aucun service d’analyse ou de rapport de plantage qui lui soit propre, et aucun pistage. Nous ne vendons pas de données. Sur Android, les cartes sont affichées par un composant Google Maps intégré à l’application, qui envoie à Google ses propres données techniques (section 3).

1. Qui est responsable

Responsable du traitement : Roman Lobko, particulier résidant en Ukraine. Il est le vendeur de myDynasty sur l’App Store et sur Google Play.
Contact pour toute question, y compris la protection des données : mydynastyapp.team@gmail.com
Site web : https://mydynasty.app · la présente politique : https://mydynasty.app/privacy

Les versions de l’application sans fonctions d’IA n’envoient rien à notre serveur.

Qui est responsable de quoi :

Votre arbre sur votre appareil. Vous le traitez vous-même, à des fins personnelles et familiales, et nous n’y avons pas accès. Le droit de la protection des données appelle cela l’« exemption domestique » (RGPD (GDPR), art. 2(2)(c)).
Ce que l’application envoie à notre serveur. Il s’agit du numéro d’application, des enregistrements de consentement, des enregistrements d’abonnement, des demandes de quota d’IA restant, des requêtes à l’annuaire des cimetières, du contenu que vous envoyez aux fonctions d’IA et de vos signalements concernant des résultats d’IA. Cela relève de notre responsabilité. Hetzner, Cloudflare et OpenAI le traitent pour notre compte conformément à leurs conditions de traitement des données (section 9).
Apple et Google. Ils sont responsables de leurs propres services, conformément à leurs propres politiques de confidentialité : l’App Store, Google Play, les cartes, la recherche d’adresses et la reconnaissance vocale.

2. Ce qui reste sur votre appareil

Les éléments suivants sont stockés uniquement dans l’espace de stockage privé de l’application sur votre appareil :

les personnes, dates, liens de parenté, biographies et notes ;
les photos, documents et autres fichiers des Archives ;
les lieux et coordonnées de naissance, de résidence et de sépulture ;
les brouillons des fonctions d’IA : ce que vous avez dicté, les réponses reçues et les photos de tombes ;
un enregistrement vocal qui n’a pas encore été envoyé (iPhone et iPad). Il est supprimé dès qu’il a été envoyé. S’il date de plus de 7 jours, il est supprimé la prochaine fois que vous ouvrez l’écran où vous l’avez enregistré ;
une photo restaurée arrivée après que vous avez quitté l’écran. Elle attend que vous ouvriez à nouveau cette photo. Une fois qu’elle date de plus de 30 jours, l’application la supprime lors de sa prochaine vérification des photos restaurées ;
les réglages, vos choix en matière de consentement et le numéro d’application (section 4).

Sur iPhone et iPad, l’application marque son dossier de données afin qu’il soit exclu des sauvegardes iCloud et des sauvegardes sur ordinateur. Sur Android, l’application refuse la sauvegarde automatique d’Android dans le cloud.

Si l’application plante, un court journal technique est écrit dans un fichier, uniquement sur l’appareil, et l’application elle-même n’envoie rien. L’application n’a pas de service de rapport de plantage qui lui soit propre. Sur Android, le composant Google Maps intégré à l’application envoie à Google ses propres données de plantage et de diagnostic (section 3). Si vous avez accepté, dans les réglages de votre téléphone, de partager des diagnostics avec les développeurs d’applications, Apple ou Google peuvent nous transmettre des rapports de plantage selon leurs propres conditions.

Votre arbre ne quitte l’appareil que lorsque vous l’exportez ou le partagez vous-même. Les fichiers exportés (GEDCOM, LRV, SVG, PNG) vont là où vous le choisissez, par exemple dans Fichiers, Photos ou une autre application. De là, ce service peut les copier ailleurs, par exemple vers Photos iCloud. Si vous désinstallez l’application, tout est supprimé de l’appareil, à l’exception des fichiers que vous avez exportés vous-même.

Autorisations :

Localisation, uniquement pendant que vous utilisez l’application : pour les cartes et pour les coordonnées des tombes.
Appareil photo et photos : pour prendre et joindre des photos.
Micro et reconnaissance vocale, uniquement dans les versions avec fonctions d’IA : pour parler d’une personne à voix haute.
Notifications : rappels locaux uniquement, sans service de notifications push.

Vous pouvez désactiver chacune de ces autorisations dans les réglages de votre téléphone.

3. Quand quelque chose quitte votre appareil

Quand vous…	Ce qui est envoyé	À qui
ouvrez une carte (sur Android, ou utilisez simplement l’application : son composant Google Maps peut démarrer avec elle)	requêtes techniques de carte : adresse IP et zone de la carte concernée. Sur Android, le composant Google Maps intégré à l’application envoie aussi à Google ses propres données : interactions avec la carte (déplacement et zoom), traces et statistiques de plantage, données de l’appareil (modèle, marque, version d’Android) et un identifiant pseudonyme du composant. Google les utilise conformément à sa propre politique de confidentialité, en tant que responsable du traitement indépendant	Apple Maps (iPhone, iPad) ou Google (Android)
recherchez une adresse sur la carte	l’adresse que vous avez saisie	Apple ou Google (la recherche d’adresses du téléphone)
prenez des photos de tombes	le lieu où vous les avez prises, pour afficher son adresse	Apple ou Google (la recherche d’adresses du téléphone)
utilisez l’annuaire des cimetières	pays, langue, région et ville, noms que vous saisissez ou coordonnées, numéro d’un cimetière dans l’annuaire ; sans le numéro d’application	notre serveur (section 6)
consultez la carte des cimetières ou la petite carte d’une sépulture	les tuiles de carte nécessaires, ainsi que votre adresse IP	OpenStreetMap Foundation
utilisez une fonction d’IA après avoir donné votre accord	ce que l’écran de consentement énumère, ainsi que le numéro d’application	notre serveur, puis OpenAI (section 5)
envoyez un signalement via « Signaler ce résultat »	la fonction, le motif, votre commentaire (le cas échéant) et le numéro d’application ; ni la photo ni le texte de l’IA	notre serveur (section 5)
avez Premium et ouvrez les Réglages ou la fiche d’une personne, ou restaurez une photo	uniquement le numéro d’application, pour afficher le quota d’IA restant	notre serveur (section 4)
dictez à voix haute	si votre téléphone ne peut pas reconnaître la parole sur l’appareil, le son est aussi envoyé à son service de reconnaissance vocale	Apple ou Google (le service de reconnaissance vocale du téléphone)
achetez ou restaurez l’abonnement	l’achat lui-même, puis un justificatif d’achat signé par Apple ou un jeton d’achat Google Play	Apple ou Google Play, puis notre serveur (section 7)
touchez un lien ou un bouton (e-mail, page de la boutique, « Partager les coordonnées », « Itinéraire »)	ce que ce lien ouvre ; pour l’itinéraire, les coordonnées du lieu et le nom de la personne comme libellé	l’application ou le site que vous avez choisi ; pour l’itinéraire, l’application de cartes

Les versions de l’application sans fonctions d’IA, y compris les versions antérieures pour Android, ne contactent pas du tout notre serveur.

4. Notre serveur « Capybara » et le numéro d’application

Où il fonctionne. Notre serveur est hébergé chez Hetzner Online GmbH à Nuremberg, en Allemagne (UE). L’application l’atteint à l’adresse api.mydynasty.app via Cloudflare, qui achemine la connexion chiffrée.

Le numéro d’application.

De quoi il s’agit. Un numéro aléatoire (un UUID) que l’application crée la première fois qu’elle en a besoin et qu’elle conserve dans ses réglages. Cela peut être lorsque vous achetez l’abonnement, utilisez une fonction d’IA ou, avec Premium, ouvrez les Réglages ou la fiche d’une personne. Ce numéro n’est pas dérivé de votre appareil et n’est pas un identifiant publicitaire.
Quand il est envoyé. L’application l’envoie avec chaque requête adressée à notre serveur, à l’exception des recherches dans l’annuaire des cimetières (section 6).
Pourquoi nous le traitons comme une donnée personnelle. Ce numéro ne nous dit pas qui vous êtes. Mais il est lié à vos enregistrements de consentement et d’abonnement ; nous le traitons donc comme une donnée personnelle (un identifiant pseudonyme).
Apple le voit aussi. Lorsque vous achetez l’abonnement sur iPhone ou iPad, l’application transmet ce même numéro à Apple avec l’achat, en tant que « app account token ». Cela permet de rattacher l’achat à cette installation. Apple voit donc ce numéro en même temps que votre compte Apple.
Google le voit aussi. Lorsque vous achetez l’abonnement sur Android, l’application transmet ce même numéro à Google Play avec l’achat, en tant qu’identifiant de compte (Google l’appelle « obfuscatedAccountId »). Google voit donc ce numéro en même temps que votre compte Google.
Où le trouver. Réglages → « Capybara AI » → « Numéro d’application ». Vous pouvez l’y copier. Cette section apparaît avec Premium. Une fois que l’application a attribué un numéro, par exemple après que vous avez accepté une fonction d’IA ou acheté l’abonnement, le numéro y reste affiché, même sans Premium.
Quand il change. Réinstaller l’application crée un nouveau numéro. Retirer les consentements ne le modifie pas.

Requêtes sans votre contenu. Dans la version avec fonctions d’IA, l’application contacte aussi notre serveur d’elle-même. Aucune de ces requêtes ne contient vos récits, vos photos ni quoi que ce soit d’autre provenant de votre arbre :

Quota restant. Avec Premium, lorsque vous ouvrez les Réglages ou la fiche d’une personne, et lorsque vous restaurez une photo, l’application demande combien il reste de votre quota d’IA. Sans Premium, elle ne le demande pas. Seul le numéro d’application est envoyé. Notre serveur n’enregistre rien de nouveau à partir de cette requête. Pour un numéro d’application qu’il connaît déjà, il note que ce numéro est toujours utilisé, au plus une fois par jour.
Abonnement. Avec un abonnement actif, l’application envoie le justificatif d’achat signé par Apple au démarrage, après un achat, une restauration ou un renouvellement, et lorsque notre serveur ne connaît pas encore votre abonnement au moment d’une requête d’IA. Sur Android, elle envoie à la place le jeton d’achat Google Play : après un achat, au démarrage lorsque vous êtes abonné, et lorsque notre serveur ne connaît pas encore votre abonnement au moment d’une requête d’IA (section 7).
Restauration de photos. Après que vous avez lancé une restauration, le téléphone continue de demander le résultat à notre serveur pendant 15 minutes au maximum, même si vous quittez l’écran. Il demande ensuite au serveur de supprimer le résultat. Seuls le numéro de la tâche et le numéro d’application sont envoyés.

L’application n’interroge pas l’annuaire des cimetières d’elle-même lorsque vous ouvrez une sépulture ou la fiche d’une personne. Elle ne l’interroge que lorsque vous appuyez (section 6).

Ce que notre serveur conserve est indiqué à la section 11. En bref : le numéro d’application avec les dates de sa première et de sa dernière utilisation, les enregistrements de consentement, les compteurs d’utilisation, les enregistrements d’abonnement et les signalements concernant des résultats d’IA.

Notre serveur ne conserve pas vos textes, enregistrements vocaux, photos, coordonnées ou recherches, et il n’enregistre pas les adresses IP. Le seul texte qu’il conserve est le commentaire que vous pouvez ajouter à un signalement concernant un résultat d’IA (section 5). Ses journaux techniques sont configurés pour exclure votre contenu et vos coordonnées. Ils peuvent contenir des numéros d’enregistrement internes, en cas de rares erreurs de base de données le numéro d’application et, si une vérification auprès de Google Play échoue, les premiers caractères du jeton d’achat (8 au maximum). Ils sont supprimés au plus tard après 30 jours.

5. Fonctions d’IA (« Capybara AI »)

Les fonctions d’IA sont disponibles sur iPhone, iPad et Android avec l’abonnement myDynasty Premium. Sans l’abonnement, l’application ne les affiche pas.

Avant qu’une fonction n’envoie quoi que ce soit pour la première fois, elle affiche un écran de consentement. Cet écran énumère ce qui sera envoyé et nomme notre serveur « Capybara » et OpenAI. Rien n’est envoyé à notre serveur ni à OpenAI tant que vous n’avez pas donné votre accord (section 8). La reconnaissance vocale propre à votre téléphone fonctionne dès que vous touchez le micro ; voir « Reconnaissance vocale par votre téléphone » ci-dessous.

5.1 Parler d’une personne. Vous parlez d’un proche. L’IA remplit la fiche et peut poser des questions complémentaires à voix haute.

Sur iPhone et iPad, l’application envoie l’enregistrement vocal (audio compressé) et la langue que vous avez choisie, pour reconnaître la parole, puis le texte du récit — reconnu à partir de l’enregistrement ou, en cas d’échec, par votre téléphone. Après la reconnaissance, l’enregistrement est supprimé du téléphone.
Sur Android, l’application ne fait aucun enregistrement et n’envoie jamais d’audio à notre serveur. Elle envoie le texte du récit tel que votre téléphone l’a reconnu, ainsi que la langue que vous avez choisie.
Les questions complémentaires — devant une tombe, et lorsque l’IA a besoin de savoir quel est le lien de parenté entre la personne et quelqu’un de votre récit — sont lues à voix haute par une voix d’OpenAI. Le texte de la question, qui peut contenir des noms que vous avez mentionnés, est envoyé à OpenAI pour être converti en parole.
La personne n’apparaît dans votre arbre qu’après que vous avez vérifié la fiche et touché « Enregistrer ».

5.2 Photos de la tombe.

La photo de l’inscription sur la pierre tombale est envoyée à OpenAI, afin que l’inscription puisse être lue.
Le lieu où vous avez pris les photos est envoyé uniquement à notre serveur, pour trouver le cimetière dans l’annuaire, sans le numéro d’application (section 6), et uniquement si vous avez donné votre accord. Il n’est pas envoyé à OpenAI.
Le système propre à votre téléphone (Apple ou Google) recherche l’adresse de ce lieu. Cela se produit même si vous n’acceptez pas l’IA.
La vue d’ensemble reste sur le téléphone. Le portrait figurant sur la pierre tombale n’est envoyé en restauration qu’avec le consentement distinct à la restauration de photos (5.3).

5.3 Restauration de photos.

Ce qui est envoyé à OpenAI :
- la photo : l’image entière, ou le portrait photographié sur une tombe ;
- la zone du visage de l’avatar de la personne ;
- la couleur des yeux et des cheveux que vous avez choisie.
Notre serveur reçoit également la taille de l’image et l’indication s’il s’agit ou non d’un portrait provenant d’une tombe. Il les utilise pour définir la taille du résultat et les instructions destinées à OpenAI.
Ce que vous recevez en retour. Le résultat est une image générée par l’IA. Elle peut différer de l’apparence réelle de la personne.
- Sur l’écran d’une personne, elle ne remplace l’ancienne photo que si vous touchez « Enregistrer ». L’ancienne photo reste dans les Archives.
- Un portrait restauré provenant d’une pierre tombale devient automatiquement l’avatar de la nouvelle personne. La photo de la pierre tombale reste attachée à la sépulture.
Sur notre serveur. La photo n’est pas enregistrée sur disque. Elle est conservée en mémoire pendant la restauration. L’image terminée est conservée jusqu’à ce que l’application la récupère, et pas plus de 10 minutes après qu’elle est prête. Une tâche non terminée est abandonnée au bout de 15 minutes.

5.4 Biographie avec l’IA. L’IA pose des questions et met en ordre ce que vous avez dit.

Envoyé sous forme de texte :
- ce que vous dites, tel que le téléphone l’a reconnu ;
- les questions déjà posées et la biographie déjà rédigée ;
- le nom complet de la personne (prénom, patronyme, nom de famille) et ses dates de naissance et de décès ;
- les noms complets (prénom, patronyme, nom de famille) du conjoint, des parents, des enfants et des frères et sœurs figurant dans l’arbre, avec le lien de parenté.
Aucun enregistrement vocal, aucune photo et aucune localisation ne sont envoyés.
Les questions sont lues à voix haute par une voix d’OpenAI : le texte de la question est envoyé à OpenAI pour être converti en parole. Sans connexion, c’est la voix propre à votre téléphone qui les lit.

Pour toutes les fonctions d’IA :

Les photos sont réencodées avant l’envoi. Cela supprime les métadonnées cachées, comme la position de l’appareil photo.
Rien d’autre n’est envoyé : ni d’autres photos, ni votre arbre, ni des données de l’appareil. Notre serveur ne transmet à OpenAI ni le numéro d’application ni aucun autre identifiant.
Notre serveur ne stocke pas le contenu. Il transmet le contenu à OpenAI et renvoie la réponse à votre téléphone.
OpenAI traite le contenu pour notre compte conformément à ses conditions de traitement des données. Selon OpenAI :
- les données envoyées via son API ne sont pas utilisées pour entraîner ses modèles ;
- les données peuvent être conservées jusqu’à 30 jours pour détecter les abus, puis sont supprimées, sauf si la loi exige une conservation plus longue.
Si la connexion est interrompue, un récit, un enregistrement vocal ou une photo de tombe que vous avez déjà accepté d’envoyer attend sur le téléphone. Tant que votre consentement est valable, il est envoyé automatiquement lorsque la connexion revient pendant que cet écran est ouvert, ou lorsque vous rouvrez cet écran. Si vous avez retiré votre consentement, rien de ce qui est en attente n’est envoyé : cela reste sur le téléphone jusqu’à ce que vous touchiez « Réessayer » et donniez à nouveau votre accord.
L’IA fait des erreurs. Vérifiez le résultat avant de l’enregistrer.
Les récits et les photos concernent généralement d’autres personnes. N’envoyez que ce que vous êtes en droit de partager. Faites particulièrement attention aux informations concernant des proches vivants, en particulier des enfants.

Reconnaissance vocale par votre téléphone. Pendant que vous parlez, le texte à l’écran est produit par le système propre à votre téléphone. S’il ne peut pas reconnaître la parole sur l’appareil, le son est aussi envoyé au service de reconnaissance vocale du téléphone — celui d’Apple sur iPhone et iPad, généralement celui de Google sur Android — conformément à la politique de confidentialité de cette entreprise. L’application vous en avertit au préalable.

Signaler un résultat. Sur l’écran de restauration de photos, ainsi que dans « Biographie avec l’IA » sur les écrans où vous vérifiez ou fusionnez le texte, vous pouvez toucher « Signaler ce résultat ». Vous choisissez un motif : offensant ou inapproprié ; faux à propos de la personne (biographie) ; la photo est déformée (restauration) ; ou autre. Vous pouvez ajouter un commentaire de 500 caractères au maximum. Avant l’envoi, l’application vous indique ce qui est envoyé : la fonction, le motif et votre commentaire. La photo et le texte de l’IA ne sont pas envoyés. Notre serveur reçoit la fonction, le motif, le commentaire (le cas échéant) et le numéro d’application. Il conserve le signalement pendant 90 jours, puis le supprime. Nous utilisons les signalements uniquement pour examiner les réclamations et améliorer le filtrage des fonctions d’IA.

6. Annuaire des cimetières

L’annuaire des cimetières fait partie des versions avec fonctions d’IA, sur iPhone, iPad et Android. Son utilisation est gratuite et ne nécessite pas d’abonnement.

L’application ne contacte notre serveur que lorsque vous effectuez une action :

vous choisissez un pays (l’application charge alors les villes de ce pays) ou touchez le champ de la ville ;
vous saisissez le nom d’une ville ou d’un cimetière ;
vous ouvrez la carte des cimetières ou recherchez des cimetières à proximité d’un point ;
vous touchez la petite carte d’une sépulture, ou le lieu d’inhumation sur la fiche d’une personne, pour le voir sur la carte ;
vous prenez des photos de tombes après avoir accepté l’IA (5.2).

Ouvrir une sépulture ou la fiche d’une personne ne contacte pas l’annuaire.

Ce qui est envoyé : uniquement ce dont la recherche a besoin, sans le numéro d’application :

le pays et la langue, ainsi que la région et la ville ;
les noms que vous avez saisis ;
le numéro, dans l’annuaire, d’un cimetière déjà choisi dans la sépulture ; ou
des coordonnées : un point sur la carte ou l’emplacement enregistré d’une tombe, avec un rayon de recherche. Pour les photos de tombes, également la précision GPS et l’indication s’il s’agit ou non de la tombe d’un animal de compagnie.

Notre serveur n’enregistre pas votre adresse IP : il l’utilise uniquement en mémoire, pour limiter la fréquence des requêtes.

Comment notre serveur répond. Il utilise son propre annuaire, constitué à partir de données OpenStreetMap. Il n’enregistre ni vos recherches ni vos coordonnées. Rien de votre arbre n’est ajouté à l’annuaire.

Images de carte. La carte des cimetières et la petite carte d’une sépulture chargent les images de carte directement depuis les serveurs de l’OpenStreetMap Foundation (Royaume-Uni). Ces serveurs reçoivent votre adresse IP, le nom et la version de l’application, ainsi que les tuiles de carte nécessaires. Les images sont conservées sur votre téléphone afin de ne pas devoir être chargées à nouveau.

7. Abonnement et paiements

iPhone et iPad. Le paiement est géré par Apple. Nous ne recevons jamais les données de votre carte, votre nom, votre adresse e-mail ni votre compte Apple.

Comment votre achat parvient à notre serveur :

Après que vous avez acheté ou restauré l’abonnement, et à chaque renouvellement, Apple remet à l’application un justificatif d’achat signé par Apple.
L’application envoie ce justificatif, avec les informations de renouvellement, à notre serveur. Le serveur vérifie la signature d’Apple et active les fonctions d’IA pour cette installation.
L’application envoie aussi le justificatif lorsqu’elle démarre avec un abonnement actif. Si notre serveur ne connaît pas encore votre abonnement au moment d’une requête d’IA, l’application le renvoie et répète la requête une fois.

Ce que contient le justificatif signé : entre autres, les numéros d’achat, le produit, les dates d’achat et d’expiration, le pays de la boutique, le prix et la devise, ainsi que le numéro d’application de l’installation sur laquelle l’achat a été effectué. Il peut aussi contenir une valeur technique qu’Apple utilise pour vérifier que le justificatif appartient à l’appareil. Il ne contient ni nom, ni adresse e-mail, ni compte Apple, ni données de paiement. Notre serveur ne conserve que ce qui est indiqué ci-dessous.

Ce que notre serveur conserve :

le numéro d’achat d’origine et le produit ;
l’environnement (achat réel ou de test) ;
la date jusqu’à laquelle l’abonnement est payé et la fin du délai de grâce ;
la date du remboursement, le cas échéant ;
si l’abonnement se renouvelle automatiquement ;
les dates de signature, la date de début de votre période de quota et une clé interne pour le quota d’IA partagé ;
la date de création et de dernière mise à jour de l’enregistrement ;
les numéros d’application qui utilisent cet abonnement, avec la date à laquelle chacun l’a rejoint et la date à laquelle il a été vu pour la dernière fois (mise à jour au plus une fois par jour).

Notifications d’Apple : Apple informe aussi directement notre serveur des renouvellements, des problèmes de paiement, des remboursements et des expirations. Notre serveur met à jour l’enregistrement d’abonnement à partir de ces notifications. Des notifications elles-mêmes, nous ne conservons que le numéro de la notification, son type et son sous-type, ainsi que l’heure de son arrivée.

Vos appareils :

Un seul abonnement fonctionne sur tous vos appareils. Utilisez « Restaurer les achats » sur un nouvel appareil ou après une réinstallation.
Le quota d’IA est partagé par tous les appareils d’un même abonnement.

Gestion, remboursements et résiliation :

Gérez ou résiliez l’abonnement dans les réglages de votre compte Apple, ou via « Gérer l’abonnement » dans l’application.
Les remboursements sont gérés par Apple.
Le prix et la période de facturation sont indiqués dans l’application et sur l’App Store avant l’achat. Le contrat de licence standard d’Apple (EULA) s’applique.
Si vous résiliez, rien n’est supprimé. Les projets dépassant les limites gratuites passent en lecture seule jusqu’à ce que vous vous abonniez à nouveau, et les fonctions d’IA s’arrêtent.

Android. L’achat et le paiement sont gérés par Google Play. Nous ne recevons jamais les données de votre carte, votre nom, votre adresse e-mail ni votre compte Google.

Comment votre achat parvient à notre serveur :

Lorsque vous achetez l’abonnement, l’application transmet à Google Play le numéro d’application en tant qu’identifiant de compte (section 4).
Après un achat, et lorsque l’application démarre alors que vous êtes abonné, elle envoie à notre serveur le jeton d’achat que Google Play lui a remis. Si notre serveur ne connaît pas votre abonnement au moment d’une requête d’IA, l’application envoie le jeton et répète la requête une fois.
Notre serveur demande à Google Play (Google Play Developer API) si l’abonnement est actif et, si c’est le cas, active les fonctions d’IA pour cette installation. Il utilise le jeton uniquement pour cette vérification et ne le conserve pas.

Ce que notre serveur conserve :

le numéro de commande (l’ID de commande Google Play sans le suffixe que Google ajoute à chaque renouvellement) et le produit ;
s’il s’agit d’un achat réel ou de test ;
le moment où l’abonnement a commencé (votre période de quota commence également à ce moment-là) et celui où la période payée prend fin ;
pendant un délai de grâce, tant que Google tente encore de recouvrer un paiement échoué : un horodatage fixé à un jour après la vérification, jusqu’auquel l’accès reste ouvert ;
si Google Play signale que l’abonnement a pris fin avant la fin de la période payée (par exemple après un remboursement), le moment où il a pris fin ;
si l’abonnement se renouvelle automatiquement ;
le moment où notre serveur a vérifié pour la dernière fois auprès de Google Play, une clé interne pour le quota d’IA partagé, ainsi que la date de création et de dernière mise à jour de l’enregistrement ;
les numéros d’application qui utilisent cet abonnement, avec les mêmes dates que pour l’App Store.

Pas de notifications de Google : notre serveur n’utilise pas les notifications en temps réel de Google Play. Il n’est informé des renouvellements, résiliations et remboursements que lorsque l’application envoie à nouveau le jeton.

Vos appareils, gestion et remboursements : comme sur iPhone et iPad, un seul abonnement fonctionne sur tous vos appareils associés au même compte Google, et ils partagent un même quota d’IA. Gérez ou résiliez l’abonnement dans Google Play, ou via « Gérer l’abonnement » dans l’application. Les remboursements sont gérés par Google. Le prix et la période de facturation sont indiqués dans l’application et sur Google Play avant l’achat. Si vous résiliez, rien n’est supprimé, comme décrit ci-dessus.

8. Consentement et comment le retirer

Il existe trois consentements :
- « Parler d’une personne » avec « Photos de la tombe » ;
- « Restauration de photos » ;
- « Biographie avec l’IA ».
Chaque écran de consentement énumère ce qui est envoyé. Si le texte change, l’application vous redemande votre accord.
Lorsqu’une fonction envoie quelque chose pour la première fois après votre accord, l’application enregistre votre consentement auprès de notre serveur. L’enregistrement contient :
- le numéro d’application et la fonction ;
- les catégories de données qui vous ont été présentées ;
- le prestataire indiqué (« OpenAI via Capybara ») ;
- la version de l’application, la version du texte et l’heure.
Chaque enregistrement est valable 30 jours. S’il a expiré, l’application en enregistre un nouveau la prochaine fois que vous utilisez cette fonction, sans vous redemander votre accord, jusqu’à ce que vous retiriez votre consentement. Les enregistrements expirés sont supprimés automatiquement dans un délai d’environ une heure.
Vous pouvez retirer votre consentement à tout moment : Réglages → « Capybara AI » → « Retirer les consentements ».
- Le téléphone oublie immédiatement tous les consentements relatifs à l’IA. Aucune fonction d’IA n’envoie quoi que ce soit tant que vous n’avez pas de nouveau donné votre accord. Cela inclut les récits, enregistrements vocaux et photos de tombes qui attendaient d’être envoyés : ils restent sur votre téléphone et ne sont pas envoyés tant que vous n’avez pas touché « Réessayer » et donné à nouveau votre accord.
- L’enregistrement sur notre serveur n’est pas supprimé à ce moment-là. Il n’est plus utilisé et expire dans un délai de 30 jours.
- Ce qui figure déjà dans votre arbre y reste.
- Retirer votre consentement ne résilie pas l’abonnement. Celui-ci se résilie dans la boutique.
Les autres avantages de l’abonnement (plus d’arbres, de personnes et de fichiers) ne dépendent pas de votre accord pour l’IA.
Vous pouvez aussi désactiver l’accès de myDynasty au micro, à l’appareil photo, aux photos et à la localisation dans les réglages de votre téléphone.

9. Qui traite des données pour notre compte

Prestataire	Rôle	Emplacement	Ce qu’il voit
Hetzner Online GmbH (Allemagne)	exploite notre serveur, sa base de données et ses sauvegardes sur disque	Nuremberg, Allemagne (UE)	tout ce que notre serveur reçoit et conserve
Cloudflare, Inc. (États-Unis)	achemine la connexion chiffrée entre l’application et notre serveur	réseau mondial ; société établie aux États-Unis	l’adresse IP et les adresses des requêtes, y compris les coordonnées et les termes de recherche qu’elles contiennent ; les requêtes elles-mêmes pendant leur transmission, y compris le numéro d’application (les recherches dans l’annuaire n’en contiennent pas)
OpenAI OpCo, LLC (États-Unis)	traitement par IA	États-Unis, et les sous-traitants ultérieurs répertoriés par OpenAI	uniquement le contenu que vous envoyez aux fonctions d’IA, sans le numéro d’application

Chacun d’eux traite les données uniquement sur nos instructions, conformément à ses conditions de traitement des données, et doit les protéger au moins aussi bien que décrit ici.

Des copies de la base de données du serveur sont également conservées par le responsable du traitement sur son propre ordinateur et son disque de sauvegarde. La base de données ne contient que les enregistrements énumérés à la section 11 : ni arbres, ni récits, ni photos.

Apple, Google et l’OpenStreetMap Foundation vous fournissent leurs services selon leurs propres conditions et politiques de confidentialité. Pour Google, cela inclut Google Play et la Google Play Developer API, par laquelle notre serveur vérifie un abonnement Android (section 7), ainsi que le composant Google Maps de l’application Android (section 3).

Nous n’utilisons aucun service d’analyse, de publicité, de rapport de plantage ou de pistage qui nous soit propre (pour le composant Google Maps sur Android, voir la section 3). Nous ne vendons pas de données, ne les partageons pas à des fins publicitaires et ne créons pas de profils. Nous ne prenons aucune décision automatisée vous concernant.

10. Bases juridiques

Consentement. RGPD art. 6(1)(a) ; art. 9(2)(a) pour les informations sensibles vous concernant que vous choisissez d’inclure ; loi de l’Ukraine « Sur la protection des données personnelles », art. 11. Cela couvre l’envoi de contenu aux fonctions d’IA, y compris son transfert à OpenAI aux États-Unis.
Contrat. RGPD art. 6(1)(b). Cela couvre la vérification de votre abonnement, le numéro d’application et les compteurs de quota, ainsi que les recherches que vous effectuez dans l’annuaire.
Intérêts légitimes. RGPD art. 6(1)(f). Cela couvre la protection contre les abus (limites de requêtes ; pour les recherches dans l’annuaire, par adresse IP, en mémoire uniquement), l’examen des signalements concernant des résultats d’IA, les sauvegardes, les journaux techniques, ainsi que les noms de proches que vous incluez dans ce que vous envoyez, dans la limite de ce dont la fonction a besoin. Vous pouvez vous y opposer en nous écrivant.
Données sur votre appareil : l’exemption domestique (section 1).
Informations sur les personnes décédées. Le RGPD ne s’y applique pas (considérant 27), bien que certains pays les protègent par leur droit national. Nous les traitons avec le même soin.

11. Durée de conservation des données

Données	Où	Durée
Contenu envoyé aux fonctions d’IA : texte, enregistrements vocaux, photos, texte des questions	notre serveur	non stocké ; conservé en mémoire uniquement pendant le traitement de la requête
Photo restaurée	mémoire de notre serveur	jusqu’à ce que l’application la récupère, au plus 10 minutes après qu’elle est prête ; une tâche non terminée est abandonnée au bout de 15 minutes
Ce même contenu	OpenAI	jusqu’à 30 jours (surveillance des abus), selon OpenAI
Coordonnées, recherches dans l’annuaire, demandes de quota, adresses IP, jetons d’achat Google Play	notre serveur	non stockés
Numéro d’application avec les dates de sa première et de sa dernière utilisation (un consentement, une requête d’IA ou une demande de quota)	notre serveur	12 mois après sa dernière utilisation
Enregistrements de consentement	notre serveur	30 jours chacun, puis suppression dans un délai d’environ une heure ; plus tôt si le numéro d’application est supprimé
Entrées d’utilisation : numéro d’application, fonction, heure et taille en caractères, sans contenu	notre serveur	3 jours
Totaux mensuels des dépenses d’IA : numéro d’application ou abonnement, mois, montant	notre serveur	31 jours à compter du début de la période mensuelle concernée (jusqu’à 3 jours après sa fin)
Compteurs mensuels de restauration de photos	notre serveur	tous les compteurs d’un même numéro d’application ou abonnement sont supprimés ensemble, au plus tard 12 mois après la dernière restauration
Enregistrements d’abonnement (App Store et Google Play) et numéros d’application qui y sont liés	notre serveur	12 mois après la fin de l’abonnement (expiration après le délai de grâce, ou fin anticipée, par exemple un remboursement)
Notifications d’Apple : numéro, type et sous-type, heure	notre serveur	12 mois
Signalements concernant des résultats d’IA : fonction, motif, votre commentaire, numéro d’application	notre serveur	90 jours, puis suppression
Journaux techniques du serveur, sans contenu	notre serveur	jusqu’à 30 jours
Sauvegardes de la base de données du serveur	notre serveur, le service de sauvegarde de Hetzner, l’ordinateur et le disque de sauvegarde propres au responsable du traitement	jusqu’à 30 jours
Les e-mails que vous nous envoyez	boîte aux lettres électronique	jusqu’à 24 mois ; plus longtemps uniquement pour une affaire en cours ou lorsque la loi l’exige
Tout ce qui se trouve dans l’application	votre appareil	jusqu’à ce que vous le supprimiez ou désinstalliez l’application ; un enregistrement vocal en attente (iPhone et iPad) est supprimé une fois qu’il date de plus de 7 jours, la prochaine fois que vous ouvrez son écran ; une photo restaurée arrivée alors que l’écran n’était pas ouvert est supprimée une fois qu’elle date de plus de 30 jours, la prochaine fois que l’application vérifie les photos restaurées

Les sauvegardes contiennent des copies des enregistrements du serveur mentionnés ci-dessus. Un enregistrement supprimé de la base de données peut donc subsister dans une sauvegarde pendant 30 jours supplémentaires au maximum.

Les statistiques de service sans numéro d’application (durée et résultat des appels à l’IA, coût total journalier) ne sont pas des données personnelles.

12. Transferts hors de l’UE

Notre serveur se trouve dans l’UE (Allemagne).
OpenAI et Cloudflare sont des sociétés américaines. Leurs conditions de traitement des données incluent les clauses contractuelles types de l’UE pour les transferts hors de l’UE. En droit ukrainien, le transfert du contenu d’IA à OpenAI repose sur votre consentement.
Le responsable du traitement est établi en Ukraine, qui ne bénéficie d’aucune décision d’adéquation de l’UE. Il administre le serveur et conserve les sauvegardes.
Apple et Google utilisent leurs propres mécanismes de transfert.

13. Enfants

L’application ne s’adresse pas aux enfants. Les fonctions d’IA et l’abonnement sont destinés aux personnes âgées de 13 ans ou plus. Dans certains pays, la loi fixe un âge plus élevé pour consentir aux services en ligne, jusqu’à 16 ans dans certains pays de l’UE. En dessous de cet âge, les utilisateurs ont besoin de l’autorisation d’un parent ou d’un tuteur.

Nous ne collectons pas sciemment de données auprès d’enfants n’ayant pas atteint ces âges. Si vous pensez qu’un enfant a utilisé les fonctions d’IA sans autorisation, écrivez-nous et nous supprimerons les enregistrements de ce numéro d’application.

14. Sécurité

Sur l’appareil. Les données se trouvent dans l’espace de stockage privé de l’application. Lorsqu’un verrouillage d’écran est configuré, le chiffrement du système les protège. L’application n’ajoute aucun chiffrement supplémentaire propre à sa base de données. Protégez votre appareil par un code ou par la biométrie.
Les connexions à notre serveur sont chiffrées : de votre appareil jusqu’à Cloudflare, puis de Cloudflare jusqu’à notre serveur par un tunnel chiffré. Notre serveur n’accepte les requêtes de l’application que par ce tunnel. Sa base de données et ses fonctions d’administration ne sont pas accessibles depuis Internet.
Ce que contient notre serveur. Uniquement les enregistrements de la section 11 : ni arbres ni récits, et aucun nom, sauf si vous en écrivez dans le commentaire d’un signalement.

15. Vos droits

Sur votre appareil. Vous pouvez consulter, corriger, supprimer et exporter vos données dans l’application (GEDCOM, LRV, SVG, PNG). La désinstallation de l’application supprime tout.
Sur notre serveur. Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition. Vous pouvez retirer votre consentement à tout moment (section 8).
Comment accéder à vos enregistrements. Nous ne savons pas qui vous êtes ; nous ne pouvons donc retrouver vos enregistrements que par le numéro d’application — sur Android, également par le numéro de commande Google Play (section 7). Vous pouvez voir et copier le numéro d’application dans Réglages → « Capybara AI » → « Numéro d’application ». Envoyez-le à mydynastyapp.team@gmail.com et nous vous répondrons dans un délai d’un mois.
Réclamations :
- UE/EEE : l’autorité de protection des données de votre pays (liste : https://edpb.europa.eu/about-edpb/about-edpb/members_en) ;
- Royaume-Uni : l’ICO (https://ico.org.uk/make-a-complaint/) ;
- Ukraine : le Commissaire aux droits de l’homme du Parlement ukrainien (https://ombudsman.gov.ua/).
Californie. Nous ne vendons ni ne partageons d’informations personnelles et ne les utilisons pas à des fins publicitaires. Les catégories sont les suivantes :
- identifiants : le numéro d’application ;
- informations commerciales : les enregistrements d’abonnement ;
- contenus audio, visuels et autres : traités comme décrit à la section 5 et non conservés par nous, à l’exception du commentaire d’un signalement concernant un résultat d’IA (90 jours).
Pour demander l’accès à vos informations, leur suppression ou leur rectification, écrivez-nous.

Comment supprimer vos données

Sur votre téléphone. Supprimez une personne, une photo ou un arbre entier dans l’application, ou désinstallez myDynasty : tout ce qui est stocké sur le téléphone disparaît avec. Nous n’en avons aucune copie.
Arrêter les envois. Réglages → « Capybara AI » → « Retirer les consentements » (section 8).
Enregistrements sur notre serveur. Dans Réglages → « Capybara AI », copiez le numéro d’application. Si vous avez Premium : tant que l’abonnement est actif et que l’application est installée, l’application le relie à nouveau à notre serveur lors de sa prochaine vérification — désinstallez donc l’application après avoir copié le numéro, ou écrivez-nous après la fin de l’abonnement. Envoyez le numéro à mydynastyapp.team@gmail.com avec la mention « Supprimer mes données ». Nous supprimons tout ce qui est lié à ce numéro — le numéro d’application, les enregistrements de consentement, les compteurs, les enregistrements d’abonnement et les signalements — et le confirmons dans un délai d’un mois. Vous avez perdu le numéro après une réinstallation ? Sur Android, envoyez à la place le numéro de commande Google Play (il commence par GPA.) figurant dans l’e-mail d’achat de Google.
Sans demande. Le serveur supprime le numéro d’application et tout ce qui y est lié 12 mois après sa dernière utilisation ; un numéro d’application lié à un abonnement, 12 mois après la fin de l’abonnement ; les signalements après 90 jours ; les consentements à leur expiration (section 11).
Abonnement. Résiliez-le dans les réglages de votre compte Apple ou dans Google Play. Apple et Google conservent leurs propres enregistrements de paiement selon leurs propres règles.

Ce qui subsiste pendant un certain temps après la suppression : les copies dans les sauvegardes et les journaux techniques du serveur, jusqu’à 30 jours ; le contenu déjà envoyé à OpenAI, jusqu’à 30 jours, selon OpenAI ; les e-mails que vous nous avez envoyés, jusqu’à 24 mois ; les enregistrements de paiement chez Apple et Google, selon leurs propres règles.

16. Le site web mydynasty.app

Le site web est distinct de l’application.

Hébergement. Le site est hébergé sur GitHub Pages (GitHub, Inc., États-Unis). GitHub reçoit votre adresse IP et les données techniques de la requête lorsque vous ouvrez une page.
Polices. Les pages chargent leur police depuis Google Fonts. Votre navigateur envoie donc votre adresse IP à Google lorsqu’une page s’ouvre.
Mesure d’audience. Google Analytics 4 ne fonctionne que si vous autorisez les cookies d’analyse dans le bandeau. Un signal Global Privacy Control envoyé par votre navigateur vaut refus. Votre choix est mémorisé dans votre navigateur.

L’application ne contient pas Google Analytics.

17. Modifications de la présente politique

Lorsque la présente politique change, nous mettons à jour la date en haut de page. Si une modification signifie que des données plus nombreuses ou différentes quitteraient votre appareil, la fonction d’IA concernée affiche à nouveau son écran de consentement avant d’envoyer quoi que ce soit.

18. Contact

mydynastyapp.team@gmail.com · https://mydynasty.app · https://mydynasty.app/privacy

Version précédente : Politique de confidentialité du 5 octobre 2026