myDynasty Privacy Policy

Effective 5 October 2026 · Last updated 4 October 2026 · Version 2.0
Applies to the myDynasty app for iPhone, iPad and Android (com.mydynasty.app) and to the website mydynasty.app.

Short version

Your family tree lives on your device. Names, dates, photos, places, stories and documents are stored only in the app on your phone or tablet. We have no copy. There are no accounts and no registration.
Nothing from your tree leaves the device unless you use something that needs the internet: a map, the cemetery directory or an AI feature. Before an AI feature sends anything to our server, the app shows you what will be sent and to whom, and waits for your consent.
AI features come with the myDynasty Premium subscription on iPhone and iPad. What you choose to send goes to our server "Capybara" in Germany, and from there to OpenAI, which processes it for us. Our server passes it on and does not keep it. OpenAI does not use it to train its models. OpenAI may keep it for up to 30 days to detect abuse. The Android version has no AI features yet and does not contact our server.
The app uses a random number, not your identity. To know which installation may use AI and how much of its allowance is left, the app uses a random number that it creates itself. It is not your name, your e-mail or your Apple or Google account. You can see it in Settings.
Apple handles payment. We never see your card, name or e-mail. Our server receives only a purchase record signed by Apple.
The app has no advertising, no analytics or crash-reporting services of its own, and no tracking. We do not sell data.

1. Who is responsible

Controller: Roman Lobko, a private individual resident in Ukraine. He is the seller of myDynasty in the App Store and on Google Play.
Contact for everything, including privacy: mydynastyapp.team@gmail.com
Website: https://mydynasty.app · this policy: https://mydynasty.app/privacy

The iPhone and iPad version with AI features is currently not offered in the App Store in the EU/EEA; the Android version has no AI features and sends nothing to our server.

Who is responsible for what:

Your tree on your device. You process it yourself, for personal and family purposes, and we have no access to it. Data-protection law calls this the "household exemption" (GDPR Art. 2(2)(c)).
What the app sends to our server. This is the app number, consent records, subscription records, requests for the remaining AI allowance, cemetery-directory requests and the content you send to AI features. It is our responsibility. Hetzner, Cloudflare and OpenAI process it for us under their data processing terms (section 9).
Apple and Google. They are responsible for their own services under their own privacy policies: the App Store, Google Play, maps, address search and speech recognition.

2. What stays on your device

The following is stored only in the app's private storage on your device:

people, dates, relationships, biographies and notes;
photos, documents and other files in the archive;
places and coordinates of birth, residence and burial;
drafts of AI features: what you dictated, the answers that came back, and grave photos;
a voice recording that has not been sent yet. It is deleted once it has been sent. If it is older than 7 days, it is deleted the next time you open the screen where you recorded it;
a restored photo that arrived after you left the screen. It waits until you open that photo again. Once it is older than 30 days, the app deletes it the next time it checks for restored photos;
settings, your consent choices and the app number (section 4).

On iPhone and iPad the app marks its data folder so that it is left out of iCloud and computer backups. On Android the app opts out of Android's automatic cloud backup.

If the app crashes, a short technical log is written to a file on the device only, and the app uploads nothing. The app has no crash-reporting service. If you have agreed in your phone's settings to share diagnostics with app developers, Apple or Google may pass crash reports to us under their own terms.

Your tree leaves the device only when you export or share it yourself. Exported files (GEDCOM, LRV, SVG, PNG) go where you choose, for example Files, Photos or another app. From there, that service may copy them further, for example to iCloud Photos. If you uninstall the app, everything is deleted from the device, except files you exported yourself.

Permissions:

Location, only while you use the app: for maps and for the coordinates of graves.
Camera and photos: to take and attach pictures.
Microphone and speech recognition, only in versions with AI features (today: iPhone and iPad): for telling about a person by voice.
Notifications: local reminders only, with no push service.

You can turn off each of these in your phone's settings.

3. When something leaves your device

When you…	What is sent	To whom
open a map	technical map requests: IP address and which area of the map	Apple Maps (iPhone, iPad) or Google Maps (Android)
search for an address on the map	the address you typed	Apple or Google (the phone's address search)
take grave photos	the place where you took them, to show its address	Apple (the phone's address search)
use the cemetery directory	country, language, region and town, names you type or coordinates, the directory number of a cemetery; without the app number	our server (section 6)
view the cemetery map or the small map in a burial record	which map squares are needed, plus your IP address	OpenStreetMap Foundation
use an AI feature after agreeing	what the consent screen lists, plus the app number	our server, then OpenAI (section 5)
open Settings or a person's card, or restore a photo	only the app number, to show how much AI allowance is left	our server (section 4)
dictate by voice	if your phone cannot recognise speech on the device, the sound also goes to its speech service	Apple
buy or restore the subscription	the purchase itself, then a purchase record signed by Apple	Apple, then our server (section 7)
tap a link or button (e-mail, store page, "Share coordinates", "Get directions")	whatever that link opens; for directions, the place's coordinates and the person's name as a label	the app or site you chose; for directions, the maps app

The Android version, and any version without AI features, does not contact our server at all.

4. Our server "Capybara" and the app number

Where it runs. Our server runs at Hetzner Online GmbH in Nuremberg, Germany (EU). The app reaches it at api.mydynasty.app through Cloudflare, which carries the encrypted connection.

The app number.

What it is. A random number (a UUID) that the app creates the first time it needs it and keeps in its settings. That can be when you open Settings or a person's card, use an AI feature or buy the subscription. The number is not derived from your device and is not an advertising identifier.
When it is sent. The app sends it with every request to our server, except cemetery-directory lookups (section 6).
Why we treat it as personal data. The number does not tell us who you are. But it is connected to your consent and subscription records, so we treat it as personal data (a pseudonymous identifier).
Apple sees it too. When you buy the subscription on iPhone or iPad, the app gives Apple the same number with the purchase, as the "app account token". This lets the purchase be matched to this installation. Apple therefore sees the number together with your Apple Account.
Where you find it. Settings → "Capybara AI" → "App number". You can copy it there.
When it changes. Reinstalling the app creates a new number. Withdrawing consents does not change it.

Requests without your content. In the version with AI features, the app also contacts our server on its own. None of these requests carries your stories, photos or anything else from your tree:

Remaining allowance. When you open Settings or a person's card, and when you restore a photo, the app asks how much of your AI allowance is left. Only the app number is sent. Our server stores nothing new from this request. For an app number it already knows, it notes that the number is still in use, at most once a day.
Subscription. With an active subscription, the app sends the purchase record signed by Apple when it starts, after a purchase, restore or renewal, and when our server does not yet know your subscription during an AI request (section 7).
Photo restoration. After you start a restoration, the phone keeps asking our server for the result for up to 15 minutes, even if you leave the screen. Then it asks the server to delete the result. Only the job number and the app number are sent.

The app does not ask the cemetery directory by itself when you open a burial record or a person's card. It asks only when you tap (section 6).

What our server keeps is listed in section 11. In short: the app number with the dates it was first and last used, consent records, usage counters and subscription records.

Our server does not keep your texts, recordings, photos, coordinates or searches, and it does not store IP addresses. Its technical logs are set up to leave out your content and coordinates. They may contain internal record numbers and, in rare database errors, the app number. They are deleted after 30 days at the latest.

5. AI features ("Capybara AI")

AI features are available on iPhone and iPad with the myDynasty Premium subscription. The Android version has no AI features yet.

Before a feature sends anything for the first time, it shows a consent screen. The screen lists what will be sent and names our server "Capybara" and OpenAI. Nothing is sent to our server or to OpenAI until you agree (section 8). Your phone's own speech recognition works as soon as you tap the microphone; see "Speech recognition by your phone" below.

5.1 Tell about a person. You tell about a relative. The AI fills in the card, and at a grave it can ask follow-up questions aloud.

The app sends the voice recording (compressed audio) and the language you chose, to recognise the speech, and then the text of the story — recognised from the recording or, if that fails, by your phone. After recognition the recording is deleted from the phone.
Questions at a grave are read aloud by an OpenAI voice. The text of the question is sent to OpenAI to be turned into speech.
The person appears in your tree only after you check the card and tap "Save".

5.2 Grave photos.

The photo of the inscription on the headstone goes to OpenAI, so the inscription can be read.
The place where you took the photos goes only to our server, to find the cemetery in the directory, without the app number (section 6), and only if you agreed. It is not sent to OpenAI.
Your phone's own system (Apple) looks up the address of that place. This happens even if you do not agree to AI.
The wide shot stays on the phone. The portrait from the headstone goes for restoration only with the separate photo-restoration consent (5.3).

5.3 Photo restoration.

What goes to OpenAI:
- the photo: the whole picture, or the portrait taken at a grave;
- the face area of the person's avatar;
- the eye and hair colour you chose.
Our server also receives the image size and whether it is a portrait from a grave. It uses them to set the size of the result and the instructions for OpenAI.
What you get back. The result is an image generated by AI. It may differ from how the person really looked.
- On a person's screen, it replaces the old photo only if you tap "Save". The old photo stays in the archive.
- A restored portrait from a headstone becomes the new person's avatar automatically. The headstone photo stays with the burial.
On our server. The photo is not saved to disk. It is held in memory while the restoration runs. The finished image is kept until the app collects it, and no longer than 10 minutes after it is ready. An unfinished job is dropped after 15 minutes.

5.4 Biography with AI. The AI asks questions and puts what you said in order.

Sent as text:
- what you say, as the phone recognised it;
- the questions already asked and the biography already written;
- the person's full name (first name, patronymic, surname) and dates of birth and death;
- the full names (first name, patronymic, surname) of the spouse, parents, children and siblings from the tree, with the relationship.
No recording, no photos and no location are sent.

For all AI features:

Photos are re-encoded before sending. This removes hidden metadata such as the camera's location.
Nothing else is sent: no other photos, not your tree and no device data. Our server does not pass the app number or any other identifier to OpenAI.
Our server does not store the content. It forwards the content to OpenAI and returns the answer to your phone.
OpenAI processes the content on our behalf under its data processing terms. According to OpenAI:
- data sent through its API is not used to train its models;
- data may be kept for up to 30 days to detect abuse and is then deleted, unless the law requires longer.
If the connection drops, a story, recording or grave photo you have already agreed to send waits on the phone. While your consent stands, it is sent automatically when the connection returns while that screen is open, or when you open the screen again. If you have withdrawn consent, nothing waiting is sent: it stays on the phone until you tap "Try again" and agree again.
AI makes mistakes. Check the result before you save it.
Stories and photos are usually about other people. Send only what you are entitled to share. Take particular care with details about living relatives, especially children.

Speech recognition by your phone. While you speak, the text on the screen comes from your phone's own system. If it cannot recognise speech on the device, the sound also goes to Apple's speech service, under Apple's privacy policy. The app warns you about this before your first recording.

6. Cemetery directory

The cemetery directory is part of the iPhone and iPad version with AI features. It is free to use and needs no subscription.

The app contacts our server only when you do something:

you choose a country (the app then loads that country's towns) or tap the town field;
you type the name of a town or cemetery;
you open the cemetery map or look for cemeteries near a point;
you tap the small map in a burial record, or the place of burial on a person's card, to see it on the map;
you take grave photos after agreeing to AI (5.2).

Opening a burial record or a person's card does not contact the directory.

What it sends: only what the search needs, without the app number:

the country and language, and the region and town;
the names you typed;
the directory number of a cemetery already chosen in the record; or
coordinates: a point on the map or the saved location of a grave, with a search radius. For grave photos, also the GPS accuracy and whether it is a pet's grave.

Our server does not store your IP address: it uses it only in memory, to limit how often requests can come.

How our server answers. It uses its own directory, built from OpenStreetMap data. It does not store your searches or coordinates. Nothing from your tree is added to the directory.

Map images. The cemetery map and the small map in a burial record load map images directly from the servers of the OpenStreetMap Foundation (United Kingdom). Those servers receive your IP address, the app's name and version, and which map squares are needed. The images are kept on your phone so they do not have to be loaded again.

7. Subscription and payments

iPhone and iPad. Apple handles the payment. We never receive your card details, name, e-mail or Apple Account.

How your purchase reaches our server:

After you buy or restore the subscription, and each time it renews, Apple gives the app a purchase record signed by Apple.
The app sends this record, with the renewal information, to our server. The server checks Apple's signature and opens AI features for this installation.
The app also sends the record when it starts with an active subscription. If our server does not yet know your subscription during an AI request, the app sends it again and repeats the request once.

What the signed record contains: among other things, the purchase numbers, the product, the purchase and expiry dates, the store country, the price and currency, and the app number of the installation where the purchase was made. It may also contain a technical value that Apple uses to check that the record belongs to the device. It contains no name, e-mail, Apple Account or payment details. Our server keeps only what is listed below.

What our server keeps:

the original purchase number and the product;
the environment (real or test purchase);
the paid-until date and the end of the grace period;
the refund date, if there was one;
whether the subscription renews automatically;
the signature dates, the date your allowance period started, and an internal key for the shared AI allowance;
when the record was created and last updated;
which app numbers use this subscription, with the date each one joined it and the date it was last seen (updated at most once a day).

Notifications from Apple: Apple also tells our server directly about renewals, payment problems, refunds and expiry. Our server updates the subscription record from them. From the notifications themselves we keep only the notification number, its type and subtype, and the time it arrived.

Your devices:

One subscription works on all your devices. Use "Restore purchases" on a new device or after reinstalling.
The AI allowance is shared by all devices of one subscription.

Managing, refunds and cancelling:

Manage or cancel the subscription in your Apple Account settings, or with "Manage subscription" in the app.
Apple handles refunds.
The price and billing period are shown in the app and in the App Store before you buy. Apple's standard licence agreement (EULA) applies.
If you cancel, nothing is deleted. Projects above the free limits become read-only until you subscribe again, and AI features stop.

Android. At the date of this policy, the Android version has no AI features and no connection to our server. On Android the subscription is sold through Google Play: the app may ask Google Play, on your device, whether a subscription is available, and Google handles the purchase and payment under its own terms. We will update this policy before Android gets AI features.

8. Consent and how to withdraw it

There are three consents:
- "Tell about a person" together with "Grave photos";
- "Photo restoration";
- "Biography with AI".
Each consent screen lists what is sent. If the text changes, the app asks again.
When a feature first sends something after you agree, the app registers your consent with our server. The record contains:
- the app number and the feature;
- the data categories you were shown;
- the provider named ("OpenAI via Capybara");
- the app version, the version of the text and the time.
Each record is valid for 30 days. If it has expired, the app registers a new one the next time you use that feature, without asking again, until you withdraw consent. Expired records are deleted automatically within about an hour.
You can withdraw at any time: Settings → "Capybara AI" → "Withdraw consents".
- The phone immediately forgets all AI consents. No AI feature sends anything until you agree again. This includes stories, recordings and grave photos that were waiting to be sent: they stay on your phone and are not sent until you tap "Try again" and agree again.
- The record on our server is not deleted at that moment. It is no longer used and expires within 30 days.
- What is already in your tree stays.
- Withdrawing consent does not cancel the subscription. You cancel that in the store.
The subscription's other benefits (more trees, people and files) do not depend on agreeing to AI.
You can also switch off microphone, camera, photo and location access for myDynasty in your phone's settings.

9. Who processes data for us

Service provider	Role	Location	What it sees
Hetzner Online GmbH (Germany)	runs our server, its database and its disk backups	Nuremberg, Germany (EU)	everything our server receives and keeps
Cloudflare, Inc. (USA)	carries the encrypted connection between the app and our server	worldwide network; company based in the USA	the IP address and request addresses, including the coordinates and search words in them; the requests themselves while passing them on, including the app number (directory lookups carry none)
OpenAI OpCo, LLC (USA)	AI processing	USA, and OpenAI's listed sub-processors	only the content you send to AI features, without the app number

Each of them processes the data only on our instructions under its data processing terms and must protect it at least as well as described here.

Copies of the server database are also kept by the controller on his own computer and backup drive. The database holds no family content, only the records listed in section 11.

Apple, Google and the OpenStreetMap Foundation provide their services to you under their own terms and privacy policies.

We use no analytics, advertising, crash-reporting or tracking services. We do not sell data, share it for advertising or build profiles. We make no automated decisions about you.

10. Legal bases

Consent. GDPR Art. 6(1)(a); Art. 9(2)(a) for sensitive details about yourself that you choose to include; Law of Ukraine "On Personal Data Protection", Art. 11. This covers sending content to AI features, including its transfer to OpenAI in the USA.
Contract. GDPR Art. 6(1)(b). This covers checking your subscription, the app number and allowance counters, and the directory searches you make.
Legitimate interests. GDPR Art. 6(1)(f). This covers protection against abuse (request limits; for directory lookups by IP address, in memory only), backups, technical logs, and the names of relatives that you include in what you send, limited to what the feature needs. You can object by writing to us.
Data on your device: the household exemption (section 1).
Information about people who have died. GDPR does not apply to it (Recital 27), though some countries protect it by national law. We handle it with the same care.

11. How long data is kept

Data	Where	How long
Content sent to AI features: text, recordings, photos, question text	our server	not stored; held in memory only while the request runs
Restored photo	our server's memory	until the app collects it, at most 10 minutes after it is ready; an unfinished job is dropped after 15 minutes
The same content	OpenAI	up to 30 days (abuse monitoring), according to OpenAI
Coordinates, directory searches, allowance requests, IP addresses	our server	not stored
App number with the dates it was first and last used (a consent, an AI request or an allowance request)	our server	12 months after its last use
Consent records	our server	30 days each, then deleted within about an hour; earlier if the app number is deleted
Usage entries: app number, feature, time and size in characters, with no content	our server	3 days
Monthly AI-spending totals: app number or subscription, month, amount	our server	31 days from the start of that monthly period (up to 3 days after it ends)
Monthly photo-restoration counters	our server	all counters of one app number or subscription are deleted together, no later than 12 months after the last restoration
Subscription records and the app numbers linked to them	our server	12 months after the subscription ends (expiry after the grace period, or refund)
Apple notifications: number, type and subtype, time	our server	12 months
Technical logs of the server, without content	our server	up to 30 days
Backups of the server database	our server, Hetzner's backup service, the controller's own computer and backup drive	up to 30 days
Your e-mails to us	mailbox	up to 24 months; longer only for an open matter or where the law requires
Everything in the app	your device	until you delete it or uninstall the app; a waiting recording is deleted once it is older than 7 days, the next time you open its screen; a restored photo that arrived without the screen is deleted once it is older than 30 days, the next time the app checks for restored photos

Backups contain copies of the server records above. A record deleted from the database can therefore stay in a backup for up to 30 more days.

Service statistics without the app number (the duration and result of AI calls, the daily total cost) are not personal data.

12. Transfers outside the EU

Our server is in the EU (Germany).
OpenAI and Cloudflare are US companies. Their data processing terms include the EU Standard Contractual Clauses for transfers outside the EU. Under Ukrainian law, the transfer of AI content to OpenAI is based on your consent.
The controller is based in Ukraine, which has no EU adequacy decision. He administers the server and keeps the backups.
Apple and Google use their own transfer mechanisms.

13. Children

The app is not directed at children. AI features and the subscription are for people aged 13 or over. In some countries the law sets a higher age for consenting to online services, up to 16 in some EU countries. Below that age, users need the permission of a parent or guardian.

We do not knowingly collect data from children below these ages. If you think a child used AI features without permission, write to us and we will delete the records of that app number.

14. Security

On the device. Data sits in the app's private storage. When a screen lock is set, the system's encryption protects it. The app adds no extra encryption of its own database. Protect your device with a passcode or biometrics.
Connections to our server are encrypted: from your device to Cloudflare, and from Cloudflare to our server through an encrypted tunnel. Our server accepts requests from the app only through that tunnel. Its database and its administration functions cannot be reached from the internet.
What our server holds. No names, trees or stories — only the records in section 11.

15. Your rights

On your device. You can view, correct, delete and export your data in the app (GEDCOM, LRV, SVG, PNG). Uninstalling the app deletes everything.
On our server. You have the rights of access, correction, deletion, restriction, portability and objection. You can withdraw consent at any time (section 8).
How to reach your records. We don't know who you are, so we can find your records only by the app number. You can see and copy it in Settings → "Capybara AI" → "App number". Send it to mydynastyapp.team@gmail.com and we will reply within one month.
Complaints:
- EU/EEA: the data protection authority of your country (list: https://edpb.europa.eu/about-edpb/about-edpb/members_en);
- United Kingdom: the ICO (https://ico.org.uk/make-a-complaint/);
- Ukraine: the Ukrainian Parliament Commissioner for Human Rights (https://ombudsman.gov.ua/).
California. We do not sell or share personal information and do not use it for advertising. The categories are:
- identifiers: the app number;
- commercial information: subscription records;
- audio, visual and other content: processed as described in section 5 and not kept by us.
To ask to know, delete or correct, write to us.

16. The website mydynasty.app

The website is separate from the app.

Hosting. The site is hosted on GitHub Pages (GitHub, Inc., USA). GitHub receives your IP address and technical request data when you open a page.
Fonts. Pages load their font from Google Fonts. Your browser therefore sends your IP address to Google when a page opens.
Analytics. Google Analytics 4 runs only if you allow analytics cookies in the banner. A Global Privacy Control signal from your browser counts as a refusal. Your choice is remembered in your browser.

The app contains no Google Analytics.

17. Changes to this policy

When this policy changes, we update the date at the top. If a change means that more or different data would leave your device, the AI feature concerned shows its consent screen again before it sends anything.

18. Contact

mydynastyapp.team@gmail.com · https://mydynasty.app · https://mydynasty.app/privacy

Previous version: Privacy Policy of 24 June 2026

Datenschutzerklärung von myDynasty

Gültig ab 5. Oktober 2026 · Zuletzt aktualisiert 4. Oktober 2026 · Version 2.0
Gilt für die App myDynasty für iPhone, iPad und Android (com.mydynasty.app) und für die Website mydynasty.app.

Kurzfassung

Ihr Stammbaum bleibt auf Ihrem Gerät. Namen, Daten, Fotos, Orte, Erzählungen und Dokumente werden nur in der App auf Ihrem Telefon oder Tablet gespeichert. Wir haben keine Kopie. Es gibt weder Konten noch eine Registrierung.
Aus Ihrem Stammbaum verlässt nichts das Gerät, solange Sie nichts nutzen, das das Internet braucht: eine Karte, das Friedhofsverzeichnis oder eine KI-Funktion. Bevor eine KI-Funktion etwas an unseren Server sendet, zeigt Ihnen die App, was gesendet wird und an wen, und wartet auf Ihre Einwilligung.
KI-Funktionen gehören auf iPhone und iPad zum Abonnement myDynasty Premium. Was Sie senden möchten, geht an unseren Server „Capybara“ in Deutschland und von dort an OpenAI, das es in unserem Auftrag verarbeitet. Unser Server leitet es weiter und speichert es nicht. OpenAI nutzt es nicht zum Training seiner Modelle. OpenAI kann es bis zu 30 Tage aufbewahren, um Missbrauch zu erkennen. Die Android-Version hat noch keine KI-Funktionen und verbindet sich nicht mit unserem Server.
Die App nutzt eine Zufallsnummer, nicht Ihre Identität. Um zu wissen, welche Installation KI nutzen darf und wie viel von ihrem Kontingent noch übrig ist, verwendet die App eine Zufallsnummer, die sie selbst erzeugt. Sie ist weder Ihr Name noch Ihre E-Mail-Adresse noch Ihr Apple- oder Google-Konto. Sie sehen sie in den Einstellungen.
Die Zahlung wickelt Apple ab. Wir sehen nie Ihre Karte, Ihren Namen oder Ihre E-Mail-Adresse. Unser Server erhält nur einen von Apple signierten Kaufnachweis.
Die App enthält keine Werbung, keine eigenen Analyse- oder Absturzberichtsdienste und kein Tracking. Wir verkaufen keine Daten.

1. Wer verantwortlich ist

Verantwortlicher: Roman Lobko, Privatperson mit Wohnsitz in der Ukraine. Er ist der Verkäufer von myDynasty im App Store und bei Google Play.
Kontakt für alle Anliegen, auch zum Datenschutz: mydynastyapp.team@gmail.com
Website: https://mydynasty.app · diese Erklärung: https://mydynasty.app/privacy

Die Version für iPhone und iPad mit KI-Funktionen wird derzeit im App Store in der EU und im EWR nicht angeboten; die Android-Version hat keine KI-Funktionen und sendet nichts an unseren Server.

Wer wofür verantwortlich ist:

Ihr Stammbaum auf Ihrem Gerät. Sie verarbeiten ihn selbst, für persönliche und familiäre Zwecke, und wir haben keinen Zugriff darauf. Das Datenschutzrecht nennt das die Haushaltsausnahme (Art. 2 Abs. 2 lit. c DSGVO).
Was die App an unseren Server sendet. Das sind die App-Nummer, Einwilligungsnachweise, Abonnementdaten, Abfragen des verbleibenden KI-Kontingents, Anfragen an das Friedhofsverzeichnis und die Inhalte, die Sie an KI-Funktionen senden. Dafür sind wir verantwortlich. Hetzner, Cloudflare und OpenAI verarbeiten diese Daten als Auftragsverarbeiter für uns, nach ihren Bedingungen zur Auftragsverarbeitung (Abschnitt 9).
Apple und Google. Sie sind nach ihren eigenen Datenschutzerklärungen für ihre eigenen Dienste verantwortlich: App Store, Google Play, Karten, Adresssuche und Spracherkennung.

2. Was auf Ihrem Gerät bleibt

Nur im privaten Speicherbereich der App auf Ihrem Gerät liegen:

Personen, Daten, Verwandtschaftsbeziehungen, Biografien und Notizen;
Fotos, Dokumente und andere Dateien im Archiv;
Orte und Koordinaten von Geburt, Wohnort und Bestattung;
Entwürfe der KI-Funktionen: was Sie diktiert haben, die zurückgekommenen Antworten und Grabfotos;
eine Sprachaufnahme, die noch nicht gesendet wurde. Sie wird gelöscht, sobald sie gesendet ist. Ist sie älter als 7 Tage, wird sie gelöscht, wenn Sie den Bildschirm, auf dem Sie sie aufgenommen haben, das nächste Mal öffnen;
ein restauriertes Foto, das angekommen ist, nachdem Sie den Bildschirm verlassen haben. Es wartet, bis Sie dieses Foto wieder öffnen. Ist es älter als 30 Tage, löscht die App es bei der nächsten Prüfung auf restaurierte Fotos;
Einstellungen, Ihre Einwilligungsentscheidungen und die App-Nummer (Abschnitt 4).

Auf iPhone und iPad markiert die App ihren Datenordner so, dass er von iCloud- und Computer-Backups ausgenommen ist. Unter Android nimmt die App nicht an der automatischen Cloud-Sicherung von Android teil.

Stürzt die App ab, wird ein kurzes technisches Protokoll nur in eine Datei auf dem Gerät geschrieben, und die App lädt nichts hoch. Die App hat keinen Absturzberichtsdienst. Wenn Sie in den Einstellungen Ihres Telefons zugestimmt haben, Diagnosedaten mit App-Entwicklern zu teilen, können Apple oder Google uns Absturzberichte nach ihren eigenen Bedingungen weitergeben.

Ihr Stammbaum verlässt das Gerät nur, wenn Sie ihn selbst exportieren oder teilen. Exportierte Dateien (GEDCOM, LRV, SVG, PNG) gehen dorthin, wo Sie es wählen, zum Beispiel in „Dateien“, „Fotos“ oder eine andere App. Von dort kann dieser Dienst sie weiterkopieren, zum Beispiel in iCloud-Fotos. Wenn Sie die App deinstallieren, wird alles vom Gerät gelöscht, außer Dateien, die Sie selbst exportiert haben.

Berechtigungen:

Standort, nur während Sie die App nutzen: für Karten und für die Koordinaten von Gräbern.
Kamera und Fotos: um Bilder aufzunehmen und anzuhängen.
Mikrofon und Spracherkennung, nur in Versionen mit KI-Funktionen (derzeit iPhone und iPad): um per Stimme von einer Person zu erzählen.
Mitteilungen: nur lokale Erinnerungen, ohne Push-Dienst.

Jede davon können Sie in den Einstellungen Ihres Telefons abschalten.

3. Wann etwas Ihr Gerät verlässt

Wenn Sie …	Was gesendet wird	An wen
eine Karte öffnen	technische Kartenanfragen: IP-Adresse und welcher Kartenausschnitt nötig ist	Apple Karten (iPhone, iPad) oder Google Maps (Android)
auf der Karte eine Adresse suchen	die eingegebene Adresse	Apple oder Google (Adresssuche des Telefons)
Grabfotos aufnehmen	den Ort, an dem Sie sie aufgenommen haben, um seine Adresse anzuzeigen	Apple (Adresssuche des Telefons)
das Friedhofsverzeichnis nutzen	Land, Sprache, Region und Ort, eingegebene Namen oder Koordinaten, die Verzeichnisnummer eines Friedhofs; ohne die App-Nummer	unser Server (Abschnitt 6)
die Friedhofskarte oder die kleine Karte in einem Grabeintrag ansehen	welche Kartenkacheln nötig sind sowie Ihre IP-Adresse	OpenStreetMap Foundation
nach Ihrer Einwilligung eine KI-Funktion nutzen	was der Einwilligungsbildschirm nennt, sowie die App-Nummer	unser Server, dann OpenAI (Abschnitt 5)
die Einstellungen oder eine Personenkarte öffnen oder ein Foto restaurieren	nur die App-Nummer, um anzuzeigen, wie viel KI-Kontingent noch übrig ist	unser Server (Abschnitt 4)
per Stimme diktieren	kann Ihr Telefon Sprache nicht auf dem Gerät erkennen, geht der Ton auch an seinen Spracherkennungsdienst	Apple
das Abonnement kaufen oder wiederherstellen	den Kauf selbst, danach einen von Apple signierten Kaufnachweis	Apple, danach unser Server (Abschnitt 7)
einen Link oder eine Schaltfläche antippen (E-Mail, Store-Seite, „Koordinaten teilen“, „Route planen“)	was dieser Link öffnet; bei einer Route die Koordinaten des Ortes und der Name der Person als Beschriftung	die App oder Website Ihrer Wahl; bei einer Route die Karten-App

Die Android-Version und jede Version ohne KI-Funktionen verbinden sich überhaupt nicht mit unserem Server.

4. Unser Server „Capybara“ und die App-Nummer

Wo er läuft. Unser Server läuft bei der Hetzner Online GmbH in Nürnberg (Deutschland, EU). Die App erreicht ihn unter api.mydynasty.app über Cloudflare, das die verschlüsselte Verbindung überträgt.

Die App-Nummer.

Was sie ist. Eine Zufallsnummer (UUID), die die App erzeugt, wenn sie sie zum ersten Mal braucht, und in ihren Einstellungen speichert. Das kann sein, wenn Sie die Einstellungen oder eine Personenkarte öffnen, eine KI-Funktion nutzen oder das Abonnement kaufen. Die Nummer ist nicht von Ihrem Gerät abgeleitet und keine Werbe-ID.
Wann sie gesendet wird. Die App sendet sie mit jeder Anfrage an unseren Server, außer bei Abfragen des Friedhofsverzeichnisses (Abschnitt 6).
Warum wir sie als personenbezogenes Datum behandeln. Die Nummer verrät uns nicht, wer Sie sind. Da sie aber mit Ihren Einwilligungsnachweisen und Abonnementdaten verbunden ist, behandeln wir sie als personenbezogenes Datum (pseudonyme Kennung).
Auch Apple sieht sie. Wenn Sie das Abonnement auf iPhone oder iPad kaufen, übergibt die App Apple dieselbe Nummer mit dem Kauf, als „App Account Token“. So lässt sich der Kauf dieser Installation zuordnen. Apple sieht die Nummer daher zusammen mit Ihrem Apple Account.
Wo Sie sie finden. Einstellungen → „Capybara AI“ → „App-Nummer“. Dort können Sie sie kopieren.
Wann sie sich ändert. Eine Neuinstallation der App erzeugt eine neue Nummer. Der Widerruf von Einwilligungen ändert sie nicht.

Anfragen ohne Ihre Inhalte. In der Version mit KI-Funktionen verbindet sich die App auch von selbst mit unserem Server. Keine dieser Anfragen enthält Ihre Erzählungen, Fotos oder sonst etwas aus Ihrem Stammbaum:

Verbleibendes Kontingent. Wenn Sie die Einstellungen oder eine Personenkarte öffnen oder ein Foto restaurieren, fragt die App, wie viel von Ihrem KI-Kontingent noch übrig ist. Nur die App-Nummer wird gesendet. Unser Server speichert aus dieser Anfrage nichts Neues. Bei einer App-Nummer, die er schon kennt, vermerkt er höchstens einmal am Tag, dass die Nummer noch genutzt wird.
Abonnement. Bei aktivem Abonnement sendet die App den von Apple signierten Kaufnachweis beim Start, nach Kauf, Wiederherstellung oder Verlängerung und dann, wenn unser Server Ihr Abonnement bei einer KI-Anfrage noch nicht kennt (Abschnitt 7).
Fotorestaurierung. Nachdem Sie eine Restaurierung gestartet haben, fragt das Telefon bis zu 15 Minuten lang bei unserem Server nach dem Ergebnis, auch wenn Sie den Bildschirm verlassen. Danach bittet es den Server, das Ergebnis zu löschen. Gesendet werden nur die Auftragsnummer und die App-Nummer.

Die App fragt das Friedhofsverzeichnis nicht von selbst, wenn Sie einen Grabeintrag oder eine Personenkarte öffnen. Sie fragt nur, wenn Sie tippen (Abschnitt 6).

Was unser Server speichert, steht in Abschnitt 11. Kurz: die App-Nummer mit dem Datum ihrer ersten und letzten Nutzung, Einwilligungsnachweise, Nutzungszähler und Abonnementdaten.

Unser Server speichert nicht Ihre Texte, Aufnahmen, Fotos, Koordinaten oder Suchanfragen, und er speichert keine IP-Adressen. Seine technischen Protokolle sind so eingerichtet, dass Ihre Inhalte und Koordinaten nicht darin landen. Sie können interne Datensatznummern und bei seltenen Datenbankfehlern die App-Nummer enthalten. Sie werden spätestens nach 30 Tagen gelöscht.

5. KI-Funktionen („Capybara AI“)

KI-Funktionen gibt es auf iPhone und iPad mit dem Abonnement myDynasty Premium. Die Android-Version hat noch keine KI-Funktionen.

Bevor eine Funktion zum ersten Mal etwas sendet, zeigt sie einen Einwilligungsbildschirm. Er nennt, was gesendet wird, sowie unseren Server „Capybara“ und OpenAI. Bis Sie zustimmen, wird weder an unseren Server noch an OpenAI etwas gesendet (Abschnitt 8). Die Spracherkennung Ihres Telefons arbeitet, sobald Sie auf das Mikrofon tippen; siehe unten „Spracherkennung durch Ihr Telefon“.

5.1 „Von einer Person erzählen“. Sie erzählen von einem Angehörigen. Die KI füllt die Karte aus und kann am Grab laut Rückfragen stellen.

Die App sendet die Sprachaufnahme (komprimierter Ton) und die gewählte Sprache, damit die Sprache erkannt wird, und danach den Text der Erzählung — aus der Aufnahme erkannt oder, wenn das nicht gelingt, vom Telefon. Nach der Erkennung wird die Aufnahme vom Telefon gelöscht.
Fragen am Grab liest eine Stimme von OpenAI vor. Der Text der Frage wird an OpenAI gesendet, damit er in Sprache umgewandelt wird.
Die Person erscheint erst im Stammbaum, nachdem Sie die Karte geprüft und auf „Speichern“ getippt haben.

5.2 „Grabfotos“.

Das Foto der Inschrift auf dem Grabstein geht an OpenAI, damit die Inschrift gelesen werden kann.
Der Ort, an dem Sie die Fotos aufgenommen haben, geht nur an unseren Server, um den Friedhof im Verzeichnis zu finden, ohne die App-Nummer (Abschnitt 6), und nur, wenn Sie zugestimmt haben. An OpenAI geht er nicht.
Die Adresse dieses Ortes ermittelt das System Ihres Telefons selbst (Apple). Das geschieht auch, wenn Sie der KI nicht zugestimmt haben.
Die Gesamtaufnahme bleibt auf dem Telefon. Das Porträt vom Grabstein geht nur mit der gesonderten Einwilligung zur Fotorestaurierung zur Restaurierung (5.3).

5.3 „Fotorestaurierung“.

Was an OpenAI geht:
- das Foto: das ganze Bild oder das am Grab aufgenommene Porträt;
- der Gesichtsbereich des Avatars der Person;
- die gewählte Augen- und Haarfarbe.
Unser Server erhält außerdem die Bildgröße und die Angabe, ob es ein Porträt von einem Grab ist. Damit legt er die Größe des Ergebnisses und die Anweisungen für OpenAI fest.
Was Sie zurückbekommen. Das Ergebnis ist ein von KI erzeugtes Bild. Es kann davon abweichen, wie die Person wirklich aussah.
- Auf der Seite einer Person ersetzt es das alte Foto nur, wenn Sie auf „Speichern“ tippen. Das alte Foto bleibt im Archiv.
- Ein restauriertes Porträt vom Grabstein wird automatisch zum Avatar der neuen Person. Das Grabsteinfoto bleibt beim Grabeintrag.
Auf unserem Server. Das Foto wird nicht auf die Festplatte geschrieben. Es liegt im Arbeitsspeicher, solange die Restaurierung läuft. Das fertige Bild wird aufbewahrt, bis die App es abholt, höchstens 10 Minuten, nachdem es fertig ist. Ein nicht abgeschlossener Auftrag wird nach 15 Minuten verworfen.

5.4 „Biografie mit KI“. Die KI stellt Fragen und bringt das Gesagte in eine Ordnung.

Als Text gesendet:
- was Sie sagen, so wie das Telefon es erkannt hat;
- die bereits gestellten Fragen und die bereits geschriebene Biografie;
- der vollständige Name der Person (Vorname, Vatersname, Nachname) sowie Geburts- und Sterbedatum;
- die vollständigen Namen (Vorname, Vatersname, Nachname) von Ehepartner, Eltern, Kindern und Geschwistern aus dem Stammbaum, mit dem Verwandtschaftsverhältnis.
Es werden keine Aufnahme, keine Fotos und kein Standort gesendet.

Für alle KI-Funktionen:

Fotos werden vor dem Senden neu kodiert. Dadurch werden versteckte Metadaten wie der Aufnahmeort der Kamera entfernt.
Sonst wird nichts gesendet: keine anderen Fotos, nicht Ihr Stammbaum und keine Gerätedaten. Unser Server gibt weder die App-Nummer noch eine andere Kennung an OpenAI weiter.
Unser Server speichert die Inhalte nicht. Er leitet sie an OpenAI weiter und gibt die Antwort an Ihr Telefon zurück.
OpenAI verarbeitet die Inhalte in unserem Auftrag, nach seinen Bedingungen zur Auftragsverarbeitung. Nach Angaben von OpenAI:
- werden über seine API gesendete Daten nicht zum Training seiner Modelle genutzt;
- können die Daten bis zu 30 Tage zur Missbrauchserkennung aufbewahrt werden und werden danach gelöscht, sofern das Gesetz keine längere Aufbewahrung verlangt.
Bricht die Verbindung ab, warten Erzählungen, Aufnahmen oder Grabfotos, deren Versand Sie bereits zugestimmt haben, auf dem Telefon. Solange Ihre Einwilligung besteht, werden sie automatisch gesendet, sobald die Verbindung zurück ist, während dieser Bildschirm offen ist, oder wenn Sie den Bildschirm wieder öffnen. Haben Sie die Einwilligung widerrufen, wird nichts Wartendes gesendet: Es bleibt auf dem Telefon, bis Sie auf „Erneut versuchen“ tippen und erneut zustimmen.
KI macht Fehler. Prüfen Sie das Ergebnis, bevor Sie es speichern.
Erzählungen und Fotos betreffen meist andere Menschen. Senden Sie nur, was Sie teilen dürfen. Seien Sie besonders vorsichtig mit Angaben über lebende Angehörige, vor allem über Kinder.

Spracherkennung durch Ihr Telefon. Während Sie sprechen, stammt der Text auf dem Bildschirm vom System Ihres Telefons. Kann es Sprache nicht auf dem Gerät erkennen, geht der Ton auch an den Spracherkennungsdienst von Apple, nach der Datenschutzrichtlinie von Apple. Die App weist Sie vor Ihrer ersten Aufnahme darauf hin.

6. Friedhofsverzeichnis

Das Friedhofsverzeichnis gehört zur Version für iPhone und iPad mit KI-Funktionen. Es ist kostenlos und braucht kein Abonnement.

Die App kontaktiert unseren Server nur, wenn Sie etwas tun:

Sie wählen ein Land (die App lädt dann die Orte dieses Landes) oder tippen auf das Ortsfeld;
Sie geben den Namen eines Ortes oder Friedhofs ein;
Sie öffnen die Friedhofskarte oder suchen Friedhöfe in der Nähe eines Punktes;
Sie tippen auf die kleine Karte in einem Grabeintrag oder auf den Bestattungsort in einer Personenkarte, um ihn auf der Karte zu sehen;
Sie nehmen nach Ihrer Einwilligung in die KI Grabfotos auf (5.2).

Das Öffnen eines Grabeintrags oder einer Personenkarte kontaktiert das Verzeichnis nicht.

Was gesendet wird: nur das, was die Suche braucht, ohne die App-Nummer:

Land und Sprache sowie Region und Ort;
die eingegebenen Namen;
die Verzeichnisnummer eines Friedhofs, der im Eintrag schon gewählt ist; oder
Koordinaten: ein Punkt auf der Karte oder der gespeicherte Ort eines Grabes, mit einem Suchradius. Bei Grabfotos außerdem die GPS-Genauigkeit und ob es das Grab eines Haustiers ist.

Ihre IP-Adresse speichert unser Server nicht: Er nutzt sie nur im Arbeitsspeicher, um zu begrenzen, wie oft Anfragen kommen können.

Wie unser Server antwortet. Er nutzt sein eigenes Verzeichnis, das aus OpenStreetMap-Daten erstellt ist. Ihre Suchanfragen und Koordinaten speichert er nicht. Nichts aus Ihrem Stammbaum gelangt in das Verzeichnis.

Kartenbilder. Die Friedhofskarte und die kleine Karte im Grabeintrag laden Kartenbilder direkt von Servern der OpenStreetMap Foundation (Vereinigtes Königreich). Diese Server erhalten Ihre IP-Adresse, Name und Version der App und welche Kartenkacheln nötig sind. Die Bilder werden auf Ihrem Telefon gespeichert, damit sie nicht erneut geladen werden müssen.

7. Abonnement und Zahlung

iPhone und iPad. Die Zahlung wickelt Apple ab. Wir erhalten nie Ihre Kartendaten, Ihren Namen, Ihre E-Mail-Adresse oder Ihren Apple Account.

Wie Ihr Kauf zu unserem Server gelangt:

Nachdem Sie das Abonnement gekauft oder wiederhergestellt haben, und bei jeder Verlängerung übergibt Apple der App einen von Apple signierten Kaufnachweis.
Die App sendet diesen Nachweis zusammen mit den Verlängerungsangaben an unseren Server. Der Server prüft Apples Signatur und schaltet die KI-Funktionen für diese Installation frei.
Die App sendet den Nachweis auch beim Start, wenn ein Abonnement aktiv ist. Kennt unser Server Ihr Abonnement bei einer KI-Anfrage noch nicht, sendet die App den Nachweis erneut und wiederholt die Anfrage einmal.

Was der signierte Nachweis enthält: unter anderem die Kaufnummern, das Produkt, Kauf- und Ablaufdatum, das Store-Land, Preis und Währung sowie die App-Nummer der Installation, auf der gekauft wurde. Er kann auch einen technischen Wert enthalten, mit dem Apple prüft, dass der Nachweis zum Gerät gehört. Er enthält keinen Namen, keine E-Mail-Adresse, keinen Apple Account und keine Zahlungsdaten. Unser Server speichert nur, was unten aufgeführt ist.

Was unser Server speichert:

die ursprüngliche Kaufnummer und das Produkt;
die Umgebung (echter Kauf oder Testkauf);
das Bezahlt-bis-Datum und das Ende der Nachfrist;
das Erstattungsdatum, falls es eine Erstattung gab;
ob sich das Abonnement automatisch verlängert;
die Zeitpunkte der Signaturen, das Datum, an dem Ihr Kontingentzeitraum begonnen hat, und einen internen Schlüssel für das gemeinsame KI-Kontingent;
wann der Datensatz angelegt und zuletzt aktualisiert wurde;
welche App-Nummern dieses Abonnement nutzen; zu jeder das Datum, an dem sie hinzukam, und das Datum, an dem sie zuletzt gesehen wurde (höchstens einmal am Tag aktualisiert).

Benachrichtigungen von Apple: Apple informiert unseren Server außerdem direkt über Verlängerungen, Zahlungsprobleme, Erstattungen und Ablauf. Unser Server aktualisiert den Abonnementdatensatz anhand dieser Benachrichtigungen. Von den Benachrichtigungen selbst speichern wir nur die Nummer der Benachrichtigung, ihren Typ und Untertyp und den Eingangszeitpunkt.

Ihre Geräte:

Ein Abonnement gilt auf allen Ihren Geräten. Nutzen Sie auf einem neuen Gerät oder nach einer Neuinstallation „Käufe wiederherstellen“.
Das KI-Kontingent teilen sich alle Geräte eines Abonnements.

Verwalten, Erstattungen und Kündigung:

Verwalten oder kündigen können Sie das Abonnement in den Einstellungen Ihres Apple Accounts oder über „Abonnement verwalten“ in der App.
Erstattungen wickelt Apple ab.
Preis und Abrechnungszeitraum werden vor dem Kauf in der App und im App Store angezeigt. Es gilt Apples Standard-Lizenzvertrag für Endnutzer (EULA).
Kündigen Sie, wird nichts gelöscht. Projekte über den kostenlosen Grenzen sind bis zu einem erneuten Abonnement nur lesbar, und die KI-Funktionen enden.

Android. Zum Datum dieser Erklärung hat die Android-Version keine KI-Funktionen und keine Verbindung zu unserem Server. Unter Android wird das Abonnement über Google Play verkauft: Die App kann Google Play auf Ihrem Gerät fragen, ob ein Abonnement verfügbar ist, und Kauf und Zahlung wickelt Google nach seinen eigenen Bedingungen ab. Bevor Android KI-Funktionen bekommt, aktualisieren wir diese Erklärung.

8. Einwilligung und Widerruf

Es gibt drei Einwilligungen:
- „Von einer Person erzählen“ zusammen mit „Grabfotos“;
- „Fotorestaurierung“;
- „Biografie mit KI“.
Jeder Einwilligungsbildschirm nennt, was gesendet wird. Ändert sich der Text, fragt die App erneut.
Wenn eine Funktion nach Ihrer Zustimmung zum ersten Mal etwas sendet, registriert die App Ihre Einwilligung bei unserem Server. Der Nachweis enthält:
- die App-Nummer und die Funktion;
- die Ihnen gezeigten Datenkategorien;
- den genannten Anbieter („OpenAI via Capybara“);
- die App-Version, die Version des Textes und die Uhrzeit.
Jeder Nachweis gilt 30 Tage. Ist er abgelaufen, registriert die App bei der nächsten Nutzung dieser Funktion einen neuen, ohne erneut zu fragen, bis Sie die Einwilligung widerrufen. Abgelaufene Nachweise werden automatisch innerhalb von etwa einer Stunde gelöscht.
Widerruf jederzeit: Einstellungen → „Capybara AI“ → „Einwilligungen widerrufen“.
- Das Telefon vergisst sofort alle KI-Einwilligungen. Keine KI-Funktion sendet etwas, bis Sie erneut zustimmen. Das gilt auch für Erzählungen, Aufnahmen und Grabfotos, die auf den Versand warteten: Sie bleiben auf Ihrem Telefon und werden nicht gesendet, bis Sie auf „Erneut versuchen“ tippen und erneut zustimmen.
- Der Nachweis auf unserem Server wird in diesem Moment nicht gelöscht. Er wird nicht mehr genutzt und läuft innerhalb von 30 Tagen ab.
- Was bereits in Ihrem Stammbaum ist, bleibt.
- Der Widerruf kündigt nicht das Abonnement. Das kündigen Sie im Store.
Die übrigen Vorteile des Abonnements (mehr Stammbäume, Personen und Dateien) hängen nicht von einer Einwilligung in die KI ab.
Den Zugriff von myDynasty auf Mikrofon, Kamera, Fotos und Standort können Sie außerdem in den Einstellungen Ihres Telefons abschalten.

9. Wer Daten in unserem Auftrag verarbeitet

Auftragsverarbeiter	Aufgabe	Ort	Was er sieht
Hetzner Online GmbH (Deutschland)	betreibt unseren Server, seine Datenbank und die Backups seiner Festplatte	Nürnberg, Deutschland (EU)	alles, was unser Server erhält und speichert
Cloudflare, Inc. (USA)	überträgt die verschlüsselte Verbindung zwischen der App und unserem Server	weltweites Netz; Unternehmen mit Sitz in den USA	die IP-Adresse und die Anfrageadressen, einschließlich der Koordinaten und Suchbegriffe darin; während der Weiterleitung die Anfragen selbst, einschließlich der App-Nummer (Verzeichnisabfragen enthalten keine)
OpenAI OpCo, LLC (USA)	KI-Verarbeitung	USA sowie die von OpenAI aufgeführten Unterauftragsverarbeiter	nur die Inhalte, die Sie an KI-Funktionen senden, ohne die App-Nummer

Jeder von ihnen verarbeitet die Daten nur nach unseren Weisungen gemäß seinen Bedingungen zur Auftragsverarbeitung und muss sie mindestens so gut schützen wie hier beschrieben.

Der Verantwortliche bewahrt außerdem Kopien unserer Serverdatenbank auf seinem eigenen Computer und seinem Backup-Laufwerk auf. Die Datenbank enthält keine Familieninhalte, nur die in Abschnitt 11 aufgeführten Einträge.

Apple, Google und die OpenStreetMap Foundation erbringen ihre Dienste Ihnen gegenüber nach ihren eigenen Bedingungen und Datenschutzerklärungen.

Wir nutzen keine Analyse-, Werbe-, Absturzberichts- oder Tracking-Dienste. Wir verkaufen keine Daten, geben sie nicht für Werbung weiter und erstellen keine Profile. Wir treffen keine automatisierten Entscheidungen über Sie.

10. Rechtsgrundlagen

Einwilligung. Art. 6 Abs. 1 lit. a DSGVO; Art. 9 Abs. 2 lit. a DSGVO für sensible Angaben über Sie selbst, die Sie aufnehmen möchten; Art. 11 des ukrainischen Gesetzes „Über den Schutz personenbezogener Daten“. Darauf beruht das Senden von Inhalten an KI-Funktionen, einschließlich ihrer Übermittlung an OpenAI in den USA.
Vertrag. Art. 6 Abs. 1 lit. b DSGVO. Darauf beruhen die Prüfung Ihres Abonnements, die App-Nummer und die Kontingentzähler sowie die Verzeichnissuchen, die Sie durchführen.
Berechtigte Interessen. Art. 6 Abs. 1 lit. f DSGVO. Darauf beruhen der Schutz vor Missbrauch (Anfragelimits; bei Verzeichnisabfragen anhand der IP-Adresse, nur im Arbeitsspeicher), Backups, technische Protokolle und die Namen von Angehörigen, die Sie in Gesendetes aufnehmen, beschränkt auf das, was die Funktion braucht. Sie können widersprechen, indem Sie uns schreiben.
Daten auf Ihrem Gerät: die Haushaltsausnahme (Abschnitt 1).
Angaben über Verstorbene. Die DSGVO gilt für sie nicht (Erwägungsgrund 27), manche Länder schützen sie aber durch nationales Recht. Wir gehen damit genauso sorgfältig um.

11. Speicherdauer

Daten	Wo	Wie lange
Inhalte für KI-Funktionen: Texte, Aufnahmen, Fotos, Fragetexte	unser Server	nicht gespeichert; nur während der Anfrage im Arbeitsspeicher
Restauriertes Foto	Arbeitsspeicher unseres Servers	bis die App es abholt, höchstens 10 Minuten nach Fertigstellung; ein nicht abgeschlossener Auftrag wird nach 15 Minuten verworfen
Dieselben Inhalte	OpenAI	bis zu 30 Tage (Missbrauchserkennung), nach Angaben von OpenAI
Koordinaten, Verzeichnissuchen, Kontingentabfragen, IP-Adressen	unser Server	nicht gespeichert
App-Nummer mit dem Datum der ersten und letzten Nutzung (eine Einwilligung, eine KI-Anfrage oder eine Kontingentabfrage)	unser Server	12 Monate nach der letzten Nutzung
Einwilligungsnachweise	unser Server	je 30 Tage, danach innerhalb von etwa einer Stunde gelöscht; früher, wenn die App-Nummer gelöscht wird
Nutzungseinträge: App-Nummer, Funktion, Zeit und Umfang in Zeichen, ohne Inhalt	unser Server	3 Tage
Monatliche KI-Kostensummen: App-Nummer oder Abonnement, Monat, Betrag	unser Server	31 Tage ab Beginn des jeweiligen Monatszeitraums (bis zu 3 Tage nach seinem Ende)
Monatliche Zähler der Fotorestaurierung	unser Server	alle Zähler einer App-Nummer oder eines Abonnements werden zusammen gelöscht, spätestens 12 Monate nach der letzten Restaurierung
Abonnementdaten und die damit verknüpften App-Nummern	unser Server	12 Monate nach Ende des Abonnements (Ablauf nach der Nachfrist oder Erstattung)
Apple-Benachrichtigungen: Nummer, Typ und Untertyp, Zeitpunkt	unser Server	12 Monate
Technische Protokolle des Servers, ohne Inhalte	unser Server	bis zu 30 Tage
Backups der Serverdatenbank	unser Server, der Backup-Dienst von Hetzner, eigener Computer und eigenes Backup-Laufwerk des Verantwortlichen	bis zu 30 Tage
Ihre E-Mails an uns	Postfach	bis zu 24 Monate; länger nur für einen offenen Vorgang oder wenn das Gesetz es verlangt
Alles in der App	Ihr Gerät	bis Sie es löschen oder die App deinstallieren; eine wartende Aufnahme wird gelöscht, sobald sie älter als 7 Tage ist, beim nächsten Öffnen ihres Bildschirms; ein restauriertes Foto, das ohne geöffneten Bildschirm angekommen ist, wird gelöscht, sobald es älter als 30 Tage ist, bei der nächsten Prüfung auf restaurierte Fotos

Backups enthalten Kopien der oben genannten Servereinträge. Ein aus der Datenbank gelöschter Eintrag kann daher noch bis zu 30 Tage in einem Backup verbleiben.

Betriebsstatistiken ohne App-Nummer (Dauer und Ergebnis von KI-Aufrufen, Tagesgesamtkosten) sind keine personenbezogenen Daten.

12. Übermittlungen außerhalb der EU

Unser Server steht in der EU (Deutschland).
OpenAI und Cloudflare sind US-Unternehmen. Ihre Bedingungen zur Auftragsverarbeitung enthalten die EU-Standardvertragsklauseln für Übermittlungen außerhalb der EU. Nach ukrainischem Recht beruht die Übermittlung von KI-Inhalten an OpenAI auf Ihrer Einwilligung.
Der Verantwortliche hat seinen Wohnsitz in der Ukraine, für die kein Angemessenheitsbeschluss der EU besteht. Er verwaltet den Server und bewahrt die Backups auf.
Apple und Google nutzen eigene Übermittlungsmechanismen.

13. Kinder

Die App richtet sich nicht an Kinder. KI-Funktionen und das Abonnement sind für Personen ab 13 Jahren. In manchen Ländern legt das Recht ein höheres Alter für die Einwilligung in Online-Dienste fest, in einigen EU-Ländern bis 16. Wer jünger ist, braucht die Erlaubnis eines Elternteils oder Vormunds.

Wir erheben wissentlich keine Daten von Kindern unterhalb dieser Altersgrenzen. Wenn Sie glauben, dass ein Kind KI-Funktionen ohne Erlaubnis genutzt hat, schreiben Sie uns. Wir löschen dann die Einträge dieser App-Nummer.

14. Sicherheit

Auf dem Gerät. Die Daten liegen im privaten Speicherbereich der App. Wenn eine Bildschirmsperre eingerichtet ist, schützt sie die Verschlüsselung des Systems. Eine zusätzliche eigene Verschlüsselung ihrer Datenbank fügt die App nicht hinzu. Schützen Sie Ihr Gerät mit einem Code oder biometrisch.
Verbindungen zu unserem Server sind verschlüsselt: vom Gerät zu Cloudflare und von Cloudflare zu unserem Server über einen verschlüsselten Tunnel. Anfragen der App nimmt unser Server nur über diesen Tunnel an. Seine Datenbank und seine Verwaltungsfunktionen sind aus dem Internet nicht erreichbar.
Was unser Server enthält. Keine Namen, Stammbäume oder Erzählungen, nur die Einträge aus Abschnitt 11.

15. Ihre Rechte

Auf Ihrem Gerät. Sie können Ihre Daten in der App ansehen, berichtigen, löschen und exportieren (GEDCOM, LRV, SVG, PNG). Das Deinstallieren der App löscht alles.
Auf unserem Server. Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Einwilligungen können Sie jederzeit widerrufen (Abschnitt 8).
Wie wir Ihre Einträge finden. Wir wissen nicht, wer Sie sind, und finden Ihre Einträge daher nur über die App-Nummer. Sie können sie unter Einstellungen → „Capybara AI“ → „App-Nummer“ ansehen und kopieren. Senden Sie sie an mydynastyapp.team@gmail.com. Wir antworten innerhalb eines Monats.
Beschwerden:
- EU/EWR: die Datenschutzaufsichtsbehörde Ihres Landes (Liste: https://edpb.europa.eu/about-edpb/about-edpb/members_en);
- Vereinigtes Königreich: das ICO (https://ico.org.uk/make-a-complaint/);
- Ukraine: der Menschenrechtsbeauftragte des ukrainischen Parlaments (https://ombudsman.gov.ua/).
Kalifornien. Wir verkaufen oder teilen keine personenbezogenen Informationen und nutzen sie nicht für Werbung. Die Kategorien sind:
- Kennungen: die App-Nummer;
- kommerzielle Informationen: Abonnementdaten;
- Audio-, Bild- und sonstige Inhalte: verarbeitet wie in Abschnitt 5 beschrieben und bei uns nicht gespeichert.
Für Auskunft, Löschung oder Berichtigung schreiben Sie uns.

16. Die Website mydynasty.app

Die Website ist von der App getrennt.

Hosting. Die Website wird auf GitHub Pages (GitHub, Inc., USA) gehostet. GitHub erhält Ihre IP-Adresse und technische Anfragedaten, wenn Sie eine Seite öffnen.
Schriften. Die Seiten laden ihre Schrift von Google Fonts. Ihr Browser sendet deshalb beim Öffnen einer Seite Ihre IP-Adresse an Google.
Analyse. Google Analytics 4 läuft nur, wenn Sie Analyse-Cookies im Banner erlauben. Ein Global-Privacy-Control-Signal Ihres Browsers gilt als Ablehnung. Ihre Wahl wird in Ihrem Browser gespeichert.

Die App enthält kein Google Analytics.

17. Änderungen dieser Erklärung

Ändert sich diese Erklärung, aktualisieren wir das Datum oben. Würden durch eine Änderung mehr oder andere Daten Ihr Gerät verlassen, zeigt die betroffene KI-Funktion ihren Einwilligungsbildschirm erneut, bevor sie etwas sendet.

18. Kontakt

mydynastyapp.team@gmail.com · https://mydynasty.app · https://mydynasty.app/privacy

Frühere Fassung: Datenschutzerklärung vom 24. Juni 2026

Политика конфиденциальности myDynasty

Действует с 5 октября 2026 · Обновлена 4 октября 2026 · Версия 2.0
Касается приложения myDynasty для iPhone, iPad и Android (com.mydynasty.app) и сайта mydynasty.app.

Коротко

Ваше семейное дерево живёт на вашем устройстве. Имена, даты, фотографии, места, рассказы и документы хранятся только в приложении на вашем телефоне или планшете. Копии у нас нет. Нет ни аккаунтов, ни регистрации.
Из дерева ничего не уходит, пока вы не пользуетесь тем, что работает через интернет: картой, справочником кладбищ или функцией ИИ. Прежде чем функция ИИ что-то отправит на наш сервер, приложение показывает, что именно и куда уйдёт, и ждёт вашего согласия.
Функции ИИ входят в подписку myDynasty Premium на iPhone и iPad. То, что вы решили отправить, уходит на наш сервер «Капибара» в Германии, а оттуда — в OpenAI, который обрабатывает это по нашему поручению. Наш сервер передаёт данные дальше и не хранит их. OpenAI не обучает на них свои модели. OpenAI может хранить их до 30 дней, чтобы выявлять злоупотребления. В версии для Android функций ИИ пока нет, и к нашему серверу она не обращается.
Приложение использует случайный номер, а не вашу личность. Чтобы понимать, какой установке доступен ИИ и сколько ей ещё осталось, приложение использует случайный номер, который создаёт само. Это не ваше имя, не e-mail и не аккаунт Apple или Google. Номер виден в Настройках.
Оплату принимает Apple. Мы никогда не видим вашу карту, имя или e-mail. Наш сервер получает только запись о покупке, подписанную Apple.
В приложении нет рекламы, собственных сервисов аналитики и отчётов о сбоях и нет слежки. Данные мы не продаём.

1. Кто отвечает за данные

Ответственный за обработку (контролёр): Роман Лобко (Roman Lobko), частное лицо, резидент Украины. Он продаёт myDynasty в App Store и Google Play.
Контакт по любым вопросам, в том числе о данных: mydynastyapp.team@gmail.com
Сайт: https://mydynasty.app · эта политика: https://mydynasty.app/privacy

Сейчас версия для iPhone и iPad с функциями ИИ не предлагается в App Store в ЕС/ЕЭЗ; в версии для Android функций ИИ нет, и она ничего не отправляет на наш сервер.

Кто за что отвечает:

Дерево на вашем устройстве. Его обрабатываете вы сами, для личных и семейных нужд, и доступа к нему у нас нет. Закон о защите данных называет это исключением для личных и домашних целей (ст. 2(2)(c) GDPR).
То, что приложение отправляет на наш сервер. Это номер приложения, записи о согласиях, записи о подписке, запросы остатка ИИ, запросы к справочнику кладбищ и содержимое, которое вы отправляете функциям ИИ. За это отвечаем мы. Hetzner, Cloudflare и OpenAI обрабатывают это по нашему поручению в соответствии со своими условиями обработки данных (раздел 9).
Apple и Google. Они отвечают за свои сервисы по своим политикам конфиденциальности: App Store, Google Play, карты, поиск адресов и распознавание речи.

2. Что остаётся на устройстве

Только в закрытом хранилище приложения на вашем устройстве хранятся:

люди, даты, родственные связи, биографии и заметки;
фотографии, документы и другие файлы архива;
места и координаты рождения, жизни и захоронения;
черновики функций ИИ: то, что вы надиктовали, полученные ответы и снимки могил;
запись голоса, которую ещё не удалось отправить. Она удаляется, как только уйдёт. Если ей больше 7 дней, она удалится при следующем открытии экрана, где вы её записали;
отреставрированное фото, которое пришло, когда вы уже ушли с экрана. Оно ждёт, пока вы снова откроете это фото. Если ему больше 30 дней, приложение удалит его при следующей проверке пришедших реставраций;
настройки, ваши решения о согласиях и номер приложения (раздел 4).

На iPhone и iPad приложение помечает свою папку данных, чтобы она не попадала в резервные копии iCloud и компьютера. На Android приложение отказывается от автоматического облачного резервного копирования Android.

Если приложение упадёт, короткий технический журнал запишется в файл только на устройстве, и приложение никуда его не отправляет. Своего сервиса отчётов о сбоях в приложении нет. Если вы в настройках телефона разрешили делиться диагностикой с разработчиками приложений, Apple или Google могут передать нам отчёты о сбоях по своим условиям.

Дерево покидает устройство, только если вы сами его экспортируете или кому-то отправите. Экспортированные файлы (GEDCOM, LRV, SVG, PNG) попадают туда, куда вы их сохранили: например, в «Файлы», «Фото» или другое приложение. Оттуда этот сервис может копировать их дальше, например в «Фото iCloud». При удалении приложения с устройства удаляется всё, кроме файлов, которые вы сами экспортировали.

Разрешения:

Местоположение — только пока вы пользуетесь приложением: для карт и координат могил.
Камера и фотографии — чтобы снимать и прикреплять снимки.
Микрофон и распознавание речи — только в версиях с функциями ИИ (сейчас это iPhone и iPad): чтобы рассказывать о человеке голосом.
Уведомления — только локальные напоминания, без push-сервиса.

Любое из них можно выключить в настройках телефона.

3. Когда что-то уходит с устройства

Когда вы…	Что уходит	Куда
открываете карту	технические запросы карты: IP-адрес и какой участок карты нужен	Apple Maps (iPhone, iPad) или Google Maps (Android)
ищете адрес на карте	введённый адрес	Apple или Google (поиск адресов системы телефона)
снимаете могилу	место съёмки — чтобы показать его адрес	Apple (поиск адресов системы телефона)
пользуетесь справочником кладбищ	страна, язык, область и город, введённые названия или координаты, номер кладбища из справочника; без номера приложения	наш сервер (раздел 6)
смотрите карту кладбища или маленькую карту в захоронении	какие квадраты карты нужны и ваш IP-адрес	OpenStreetMap Foundation
пользуетесь функцией ИИ после согласия	то, что перечислено на экране согласия, а также номер приложения	наш сервер, затем OpenAI (раздел 5)
открываете Настройки или карточку человека, реставрируете фото	только номер приложения — чтобы показать, сколько осталось запаса ИИ	наш сервер (раздел 4)
диктуете голосом	если телефон не умеет распознавать речь сам, звук уходит и в его службу распознавания	Apple
оформляете или восстанавливаете подписку	сама покупка, затем запись о покупке, подписанная Apple	Apple, затем наш сервер (раздел 7)
нажимаете ссылку или кнопку (почта, страница магазина, «Поделиться координатами», «Проложить маршрут»)	то, что открывает эта ссылка; для маршрута — координаты места и имя человека как подпись	выбранное вами приложение или сайт; для маршрута — приложение карт

Версия для Android и любая версия без функций ИИ к нашему серверу не обращаются вообще.

4. Наш сервер «Капибара» и номер приложения

Где он работает. Наш сервер работает у Hetzner Online GmbH в Нюрнберге (Германия, ЕС). Приложение обращается к нему по адресу api.mydynasty.app через Cloudflare, который передаёт зашифрованное соединение.

Номер приложения.

Что это. Случайный номер (UUID), который приложение создаёт, когда он впервые понадобится, и хранит в своих настройках. Это может быть, когда вы открываете Настройки или карточку человека, пользуетесь функцией ИИ или оформляете подписку. Номер не получен из данных устройства и не является рекламным идентификатором.
Когда он уходит. Приложение отправляет его с каждым запросом к нашему серверу, кроме запросов к справочнику кладбищ (раздел 6).
Почему мы считаем его персональными данными. Кто вы, номер нам не говорит. Но с ним связаны записи о согласиях и подписке, поэтому мы считаем его персональными данными (псевдонимным идентификатором).
Apple тоже его видит. Когда вы оформляете подписку на iPhone или iPad, приложение передаёт Apple этот же номер вместе с покупкой — как «app account token». Так покупку можно связать с этой установкой. Поэтому Apple видит номер вместе с вашим аккаунтом Apple.
Где его найти. Настройки → «Капибара AI» → «Номер приложения». Там же его можно скопировать.
Когда он меняется. После переустановки приложения создаётся новый номер. Отзыв согласий номер не меняет.

Запросы без вашего содержимого. В версии с функциями ИИ приложение обращается к нашему серверу и само. Ни один из этих запросов не несёт ваших рассказов, фотографий или чего-то ещё из дерева:

Остаток запаса. Когда вы открываете Настройки или карточку человека, а также при реставрации фото, приложение спрашивает, сколько осталось запаса ИИ. Уходит только номер приложения. Ничего нового из этого запроса наш сервер не сохраняет. Для уже известного ему номера он отмечает, что номером продолжают пользоваться, — не чаще раза в сутки.
Подписка. При действующей подписке приложение отправляет запись о покупке, подписанную Apple: при запуске, после покупки, восстановления или продления, а также если во время запроса ИИ наш сервер ещё не знает вашу подписку (раздел 7).
Реставрация фото. После того как вы запустили реставрацию, телефон до 15 минут спрашивает наш сервер о результате, даже если вы ушли с экрана. Потом он просит сервер удалить результат. Уходят только номер задания и номер приложения.

Сам, без вашего нажатия, приложение не спрашивает справочник кладбищ, когда вы открываете захоронение или карточку человека. Только по нажатию (раздел 6).

Что хранит наш сервер — в разделе 11. Если коротко: номер приложения с датами первого и последнего использования, записи о согласиях, счётчики использования и записи о подписке.

Наш сервер не хранит ваши тексты, записи голоса, фотографии, координаты и поисковые запросы и не сохраняет IP-адреса. Его технические журналы настроены так, чтобы в них не попадали ваше содержимое и координаты. В них могут быть внутренние номера записей, а при редких ошибках базы данных — номер приложения. Журналы удаляются не позже чем через 30 дней.

5. Функции ИИ («Капибара AI»)

Функции ИИ есть на iPhone и iPad и входят в подписку myDynasty Premium. В версии для Android функций ИИ пока нет.

Прежде чем функция впервые что-то отправит, она показывает экран согласия. На нём перечислено, что уйдёт, и названы наш сервер «Капибара» и OpenAI. Пока вы не согласились, ни на наш сервер, ни в OpenAI ничего не уходит (раздел 8). Распознавание речи самим телефоном работает сразу, как только вы нажали микрофон, — см. ниже «Распознавание речи телефоном».

5.1 «Рассказать о человеке». Вы рассказываете о родственнике. ИИ заполняет карточку, а у могилы может задать уточняющие вопросы вслух.

Приложение отправляет запись голоса (сжатый звук) и выбранный язык, чтобы распознать речь, а затем текст рассказа — распознанный из записи или, если не вышло, телефоном. После распознавания запись удаляется с телефона.
Вопросы у могилы произносит голос OpenAI. Текст вопроса уходит в OpenAI, чтобы прозвучать.
Человек появится в дереве только после того, как вы проверите карточку и нажмёте «Сохранить».

5.2 «Съёмка могилы».

Снимок надписи на памятнике уходит в OpenAI, чтобы надпись прочитали.
Место съёмки уходит только на наш сервер — чтобы найти кладбище в справочнике, без номера приложения (раздел 6), и только если вы согласились. В OpenAI оно не уходит.
Адрес этого места подбирает сама система телефона (Apple). Это происходит, даже если вы не согласились на ИИ.
Общий вид остаётся на телефоне. Портрет с памятника уходит на реставрацию только с отдельного согласия на реставрацию фото (5.3).

5.3 «Реставрация фото».

Что уходит в OpenAI:
- фото: снимок целиком или портрет, снятый на могиле;
- кадр лица с аватарки;
- выбранный цвет глаз и волос.
Наш сервер получает ещё размер изображения и отметку, портрет ли это с могилы. По ним он задаёт размер результата и указания для OpenAI.
Что вы получаете. Результат — изображение, созданное ИИ. Оно может отличаться от того, как человек выглядел на самом деле.
- На экране человека новое фото заменит старое, только если вы нажмёте «Сохранить». Старое останется в архиве.
- Отреставрированный портрет с памятника сам становится аватаркой нового человека. Снимок памятника остаётся в захоронении.
На нашем сервере. Фото не записывается на диск. Сервер держит его в памяти, пока идёт реставрация. Готовое изображение хранится, пока приложение его не заберёт, и не дольше 10 минут после готовности. Незавершённое задание забывается через 15 минут.

5.4 «Биография с ИИ». ИИ задаёт вопросы и приводит сказанное в порядок.

Уходит текстом:
- то, что вы говорите, в виде текста, распознанного телефоном;
- уже заданные вопросы и уже написанная биография;
- полное имя человека (имя, отчество, фамилия), даты рождения и смерти;
- полные имена (имя, отчество, фамилия) супруга, родителей, детей, братьев и сестёр из дерева с указанием родства.
Ни записи голоса, ни фотографий, ни координат не уходит.

Для всех функций ИИ:

Фотографии перекодируются перед отправкой. Поэтому скрытые метаданные, например координаты камеры, не уходят.
Больше ничего не уходит: ни другие фото, ни дерево, ни данные устройства. Номер приложения и другие идентификаторы наш сервер в OpenAI не передаёт.
Наш сервер не хранит содержимое. Он передаёт его в OpenAI и возвращает ответ на телефон.
OpenAI обрабатывает содержимое по нашему поручению в соответствии со своими условиями обработки данных. По сведениям OpenAI:
- данные, отправленные через его API, не используются для обучения моделей;
- они могут храниться до 30 дней, чтобы выявлять злоупотребления, и затем удаляются, если закон не требует хранить дольше.
Если связь пропала, рассказ, запись или снимки могилы, которые вы уже согласились отправить, ждут на телефоне. Пока согласие действует, они уходят сами — когда связь вернётся, пока этот экран открыт, или когда вы откроете его снова. Если вы отозвали согласие, ничего из ждущего не уходит: оно остаётся на телефоне, пока вы не нажмёте «Повторить» и не согласитесь снова.
ИИ ошибается. Проверяйте результат, прежде чем сохранять.
Рассказы и фотографии обычно касаются других людей. Отправляйте только то, чем вправе делиться. Будьте особенно осторожны с подробностями о живых родственниках, прежде всего о детях.

Распознавание речи телефоном. Пока вы говорите, текст на экране пишет сама система телефона. Если она не умеет распознавать речь на устройстве, звук уходит и в службу распознавания Apple — по политике конфиденциальности Apple. Приложение предупреждает об этом до первой записи.

6. Справочник кладбищ

Справочник кладбищ есть в версии для iPhone и iPad с функциями ИИ. Он бесплатный, подписка для него не нужна.

Приложение обращается к нашему серверу, только когда вы что-то делаете:

выбираете страну (тогда приложение загружает её города) или нажимаете на поле города;
вводите название города или кладбища;
открываете карту кладбищ или ищете кладбища рядом с точкой;
нажимаете на маленькую карту в захоронении или на место захоронения в карточке человека, чтобы увидеть его на карте;
снимаете могилу после согласия на ИИ (5.2).

Открытие захоронения или карточки человека к справочнику не обращается.

Что уходит: только то, что нужно для поиска, без номера приложения:

страна и язык, область и город;
введённые названия;
номер кладбища из справочника, если оно уже выбрано в записи; или
координаты: точка на карте или сохранённое место могилы, с радиусом поиска. При съёмке могилы — ещё точность GPS и отметка, не могила ли это питомца.

Ваш IP-адрес наш сервер не сохраняет: он использует его только в памяти, чтобы ограничивать частоту запросов.

Как отвечает наш сервер. Он берёт ответ из собственного справочника, построенного на данных OpenStreetMap. Ваши запросы и координаты он не хранит. Ничего из вашего дерева в справочник не попадает.

Изображения карты. Карта кладбища и маленькая карта в захоронении загружают изображения карты прямо с серверов OpenStreetMap Foundation (Великобритания). Эти серверы получают ваш IP-адрес, название и версию приложения и то, какие квадраты карты нужны. Изображения сохраняются на телефоне, чтобы не загружать их снова.

7. Подписка и оплата

iPhone и iPad. Оплату принимает Apple. Мы никогда не получаем данные вашей карты, имя, e-mail или аккаунт Apple.

Как покупка попадает на наш сервер:

После покупки или восстановления подписки и при каждом продлении Apple передаёт приложению запись о покупке, подписанную Apple.
Приложение отправляет эту запись вместе со сведениями о продлении на наш сервер. Сервер проверяет подпись Apple и открывает функции ИИ для этой установки.
Приложение отправляет запись и при запуске, если подписка действует. Если во время запроса ИИ наш сервер ещё не знает вашу подписку, приложение отправляет запись заново и один раз повторяет запрос.

Что есть в подписанной записи: среди прочего номера покупки, товар, даты покупки и окончания, страна магазина, цена и валюта, номер приложения той установки, где была сделана покупка. Там может быть и техническое значение, по которому Apple проверяет, что запись относится к этому устройству. Имени, e-mail, аккаунта Apple и платёжных данных в ней нет. Наш сервер хранит только то, что перечислено ниже.

Что хранит наш сервер:

номер первой покупки и товар;
среду: настоящая это покупка или тестовая;
дату, до которой оплачено, и конец льготного срока;
дату возврата денег, если он был;
продлевается ли подписка автоматически;
даты подписей, дату начала периода запаса ИИ и внутренний ключ общего запаса ИИ;
когда запись создана и когда последний раз изменена;
какие номера приложения пользуются этой подпиской — с датой, когда каждый к ней присоединился, и датой, когда его видели последний раз (обновляется не чаще раза в сутки).

Уведомления Apple: Apple также сам сообщает нашему серверу о продлениях, проблемах с оплатой, возвратах и окончании подписки. По ним наш сервер обновляет запись о подписке. Из самих уведомлений мы храним только номер уведомления, его тип и подтип и время получения.

Ваши устройства:

Одна подписка действует на всех ваших устройствах. На новом устройстве или после переустановки нажмите «Восстановить покупку».
Запас ИИ общий для всех устройств одной подписки.

Управление, возвраты и отмена:

Управлять подпиской и отменить её можно в настройках аккаунта Apple или кнопкой «Управление подпиской» в приложении.
Возвраты денег проводит Apple.
Цена и период оплаты показываются в приложении и в App Store до покупки. Действует стандартное лицензионное соглашение Apple (EULA).
Если вы отмените подписку, ничего не удалится. Проекты сверх бесплатных лимитов станут доступны только для просмотра до новой подписки, а функции ИИ перестанут работать.

Android. На дату этой политики в версии для Android нет функций ИИ, и к нашему серверу приложение не обращается. На Android подписка продаётся через Google Play: приложение может спросить у Google Play на устройстве, доступна ли подписка, а покупку и оплату Google обрабатывает по своим условиям. Прежде чем на Android появятся функции ИИ, мы обновим эту политику.

8. Согласие и как его отозвать

Согласий три:
- «Рассказать о человеке» вместе со «Съёмкой могилы»;
- «Реставрация фото»;
- «Биография с ИИ».
На каждом экране согласия перечислено, что уходит. Если текст меняется, приложение спрашивает снова.
Когда функция после вашего согласия впервые что-то отправляет, приложение регистрирует согласие на нашем сервере. В записи:
- номер приложения и функция;
- показанные вам категории данных;
- названный обработчик («OpenAI via Capybara»);
- версия приложения, версия текста и время.
Каждая запись действует 30 дней. Если она истекла, приложение регистрирует новую при следующем использовании этой функции, не спрашивая заново, — пока вы не отзовёте согласие. Просроченные записи удаляются автоматически примерно в течение часа.
Отозвать можно в любой момент: Настройки → «Капибара AI» → «Отозвать согласия».
- Телефон сразу забывает все согласия на ИИ. Ни одна функция ИИ ничего не отправит, пока вы снова не согласитесь. Это касается и рассказов, записей и снимков могил, которые ждали отправки: они остаются на телефоне и не уходят, пока вы не нажмёте «Повторить» и не согласитесь снова.
- Запись на нашем сервере в этот момент не удаляется. Она больше не используется и истекает в течение 30 дней.
- То, что уже есть в дереве, остаётся.
- Отзыв согласия не отменяет подписку. Её отменяют в магазине.
Остальные преимущества подписки (больше деревьев, людей и файлов) от согласия на ИИ не зависят.
Доступ myDynasty к микрофону, камере, фотографиям и местоположению можно выключить в настройках телефона.

9. Кто обрабатывает данные по нашему поручению

Обработчик	Что делает	Где	Что видит
Hetzner Online GmbH (Германия)	держит наш сервер, его базу данных и снимки диска	Нюрнберг, Германия (ЕС)	всё, что наш сервер получает и хранит
Cloudflare, Inc. (США)	передаёт зашифрованное соединение между приложением и нашим сервером	сеть по всему миру; компания в США	IP-адрес и адреса запросов, в том числе координаты и слова поиска в них; сами запросы, пока передаёт их, включая номер приложения (в запросах к справочнику его нет)
OpenAI OpCo, LLC (США)	обработка ИИ	США и перечисленные OpenAI субподрядчики	только содержимое, которое вы отправляете функциям ИИ, без номера приложения

Каждый из них обрабатывает данные только по нашим указаниям в соответствии со своими условиями обработки данных и обязан защищать их не хуже, чем описано здесь.

Копии базы данных нашего сервера хранит также сам ответственный за обработку — на своём компьютере и резервном диске. Семейного содержимого в этой базе нет — только записи из раздела 11.

Apple, Google и OpenStreetMap Foundation оказывают вам свои услуги по своим условиям и политикам конфиденциальности.

Мы не используем сервисы аналитики, рекламы, отчётов о сбоях и отслеживания. Мы не продаём данные, не передаём их для рекламы и не составляем профили. Автоматических решений о вас мы не принимаем.

10. Правовые основания

Согласие. Ст. 6(1)(a) GDPR; ст. 9(2)(a) — для чувствительных сведений о себе, которые вы решили указать; ст. 11 Закона Украины «О защите персональных данных». На нём основана отправка содержимого функциям ИИ, в том числе его передача в OpenAI в США.
Договор. Ст. 6(1)(b) GDPR. На нём основаны проверка подписки, номер приложения, счётчики запаса и поиск в справочнике по вашему запросу.
Законный интерес. Ст. 6(1)(f) GDPR. На нём основаны защита от злоупотреблений (ограничения запросов; для справочника — по IP-адресу, только в памяти), резервные копии, технические журналы и имена родственников, которые вы включаете в отправляемое, — ровно столько, сколько нужно функции. Вы можете возразить, написав нам.
Данные на устройстве: исключение для личных и домашних целей (раздел 1).
Сведения об умерших. GDPR к ним не применяется (п. 27 преамбулы), но в некоторых странах их защищает национальный закон. Мы обращаемся с ними так же бережно.

11. Сколько хранятся данные

Данные	Где	Сколько
Содержимое для функций ИИ: тексты, записи голоса, фото, текст вопросов	наш сервер	не хранится; держится в памяти только на время запроса
Отреставрированное фото	память нашего сервера	пока приложение его не заберёт, не дольше 10 минут после готовности; незавершённое задание забывается через 15 минут
То же содержимое	OpenAI	до 30 дней (выявление злоупотреблений), по сведениям OpenAI
Координаты, поиск в справочнике, запросы о запасе ИИ, IP-адреса	наш сервер	не хранятся
Номер приложения с датами первого и последнего использования (согласие, запрос ИИ или запрос остатка)	наш сервер	12 месяцев после последнего использования
Записи о согласиях	наш сервер	30 дней каждая, затем удаляются примерно в течение часа; раньше — если удалён номер приложения
Записи использования: номер приложения, функция, время и объём в символах, без содержимого	наш сервер	3 дня
Месячные суммы расхода ИИ: номер приложения или подписки, месяц, сумма	наш сервер	31 день от начала этого месячного периода (до 3 дней после его конца)
Месячные счётчики реставраций	наш сервер	все счётчики одного номера приложения или подписки удаляются вместе, не позже чем через 12 месяцев после последней реставрации
Записи о подписке и связанные с ней номера приложения	наш сервер	12 месяцев после окончания подписки (срок вместе с льготным или возврат денег)
Уведомления Apple: номер, тип и подтип, время	наш сервер	12 месяцев
Технические журналы сервера, без содержимого	наш сервер	до 30 дней
Резервные копии базы сервера	наш сервер, служба резервного копирования Hetzner, собственные компьютер и резервный диск ответственного	до 30 дней
Ваши письма нам	почтовый ящик	до 24 месяцев; дольше — только для незакрытого вопроса или если этого требует закон
Всё в приложении	ваше устройство	пока вы не удалите это или приложение; ждущая запись голоса удаляется, когда ей больше 7 дней, при следующем открытии её экрана; отреставрированное фото, пришедшее без экрана, удаляется, когда ему больше 30 дней, при следующей проверке пришедших реставраций

В резервных копиях лежат копии записей сервера из этой таблицы. Поэтому запись, удалённая из базы, может оставаться в резервной копии ещё до 30 дней.

Служебная статистика без номера приложения (длительность и итог обращений к ИИ, общая стоимость за день) персональными данными не является.

12. Передача за пределы ЕС

Наш сервер находится в ЕС (Германия).
OpenAI и Cloudflare — американские компании. Их условия обработки данных включают Стандартные договорные условия ЕС для передачи данных за пределы ЕС. По закону Украины передача содержимого для ИИ в OpenAI основана на вашем согласии.
Ответственный за обработку находится в Украине, для которой нет решения ЕС об адекватности защиты. Он администрирует сервер и хранит резервные копии.
Apple и Google используют собственные механизмы передачи.

13. Дети

Приложение не предназначено для детей. Функции ИИ и подписка — для людей от 13 лет. В некоторых странах закон устанавливает более высокий возраст согласия на онлайн-сервисы — до 16 лет в ряде стран ЕС. Младше этого возраста нужно разрешение родителя или опекуна.

Мы сознательно не собираем данные детей младше этого возраста. Если вы считаете, что ребёнок пользовался функциями ИИ без разрешения, напишите нам — мы удалим записи этого номера приложения.

14. Безопасность

На устройстве. Данные лежат в закрытом хранилище приложения. Когда включена блокировка экрана, их защищает шифрование системы. Собственного дополнительного шифрования базы приложение не добавляет. Защитите устройство кодом или биометрией.
Соединения с нашим сервером зашифрованы: от устройства до Cloudflare и от Cloudflare до нашего сервера через зашифрованный туннель. Запросы приложения наш сервер принимает только через этот туннель. Его база данных и функции администрирования из интернета недоступны.
Что хранит наш сервер. Ни имён, ни деревьев, ни рассказов — только записи из раздела 11.

15. Ваши права

На устройстве. Вы можете смотреть, исправлять, удалять и экспортировать данные в приложении (GEDCOM, LRV, SVG, PNG). Удаление приложения удаляет всё.
На нашем сервере. У вас есть права на доступ, исправление, удаление, ограничение обработки, переносимость и возражение. Согласие можно отозвать в любой момент (раздел 8).
Как найти ваши записи. Мы не знаем, кто вы, поэтому найти ваши записи можем только по номеру приложения. Его можно посмотреть и скопировать в Настройках → «Капибара AI» → «Номер приложения». Пришлите его на mydynastyapp.team@gmail.com — мы ответим в течение месяца.
Жалобы:
- ЕС/ЕЭЗ — орган по защите данных вашей страны (список: https://edpb.europa.eu/about-edpb/about-edpb/members_en);
- Великобритания — ICO (https://ico.org.uk/make-a-complaint/);
- Украина — Уполномоченный Верховной Рады Украины по правам человека (https://ombudsman.gov.ua/).
Жители Калифорнии. Мы не продаём и не передаём персональную информацию и не используем её для рекламы. Категории:
- идентификаторы: номер приложения;
- коммерческие сведения: записи о подписке;
- аудио-, визуальное и иное содержимое: обрабатывается, как описано в разделе 5, и у нас не хранится.
Чтобы узнать, удалить или исправить данные, напишите нам.

16. Сайт mydynasty.app

Сайт существует отдельно от приложения.

Хостинг. Сайт размещён на GitHub Pages (GitHub, Inc., США). Когда вы открываете страницу, GitHub получает ваш IP-адрес и технические данные запроса.
Шрифты. Страницы загружают шрифт из Google Fonts. Поэтому при открытии страницы ваш браузер отправляет ваш IP-адрес Google.
Аналитика. Google Analytics 4 включается, только если вы разрешили аналитические cookie в баннере. Сигнал Global Privacy Control из браузера считается отказом. Ваш выбор запоминается в вашем браузере.

В приложении Google Analytics нет.

17. Изменения политики

Когда политика меняется, мы обновляем дату вверху. Если из-за изменения с устройства уходило бы больше данных или другие данные, соответствующая функция ИИ снова покажет экран согласия, прежде чем что-то отправить.

18. Контакты

mydynastyapp.team@gmail.com · https://mydynasty.app · https://mydynasty.app/privacy

Предыдущая редакция: политика от 24 июня 2026

Політика конфіденційності myDynasty

Діє з 5 жовтня 2026 · Оновлено 4 жовтня 2026 · Версія 2.0
Стосується застосунку myDynasty для iPhone, iPad і Android (com.mydynasty.app) та сайту mydynasty.app.

Коротко

Ваше родинне дерево живе на вашому пристрої. Імена, дати, фотографії, місця, розповіді й документи зберігаються лише в застосунку на вашому телефоні чи планшеті. Копії в нас немає. Немає ні акаунтів, ні реєстрації.
З дерева нічого не надсилається, поки ви не користуєтеся тим, що працює через інтернет: картою, довідником кладовищ або функцією ШІ. Перш ніж функція ШІ щось надішле на наш сервер, застосунок показує, що саме й куди буде надіслано, і чекає вашої згоди.
Функції ШІ входять до підписки myDynasty Premium на iPhone та iPad. Те, що ви вирішили надіслати, потрапляє на наш сервер «Капібара» в Німеччині, а звідти — до OpenAI, який обробляє це на наше доручення. Наш сервер передає дані далі й не зберігає їх. OpenAI не навчає на них свої моделі. OpenAI може зберігати їх до 30 днів, щоб виявляти зловживання. У версії для Android функцій ШІ поки немає, і до нашого сервера вона не звертається.
Застосунок використовує випадковий номер, а не вашу особу. Щоб знати, на якому встановленні доступний ШІ і скільки ще лишилося його запасу, застосунок використовує випадковий номер, який створює сам. Це не ваше ім'я, не e-mail і не акаунт Apple чи Google. Номер видно в Налаштуваннях.
Оплату приймає Apple. Ми ніколи не бачимо вашої картки, імені чи e-mail. Наш сервер отримує лише запис про покупку, підписаний Apple.
У застосунку немає реклами, власних сервісів аналітики та звітів про збої і немає відстеження. Дані ми не продаємо.

1. Хто відповідає за дані

Володілець персональних даних (контролер): Роман Лобко (Roman Lobko), приватна особа, резидент України. Він продає myDynasty в App Store і Google Play.
Контакт з будь-яких питань, зокрема щодо даних: mydynastyapp.team@gmail.com
Сайт: https://mydynasty.app · ця політика: https://mydynasty.app/privacy

Зараз версія для iPhone і iPad із функціями ШІ не пропонується в App Store у ЄС/ЄЕЗ; у версії для Android функцій ШІ немає, і вона нічого не надсилає на наш сервер.

Хто за що відповідає:

Дерево на вашому пристрої. Його обробляєте ви самі, для особистих і сімейних потреб, і доступу до нього в нас немає. Закон про захист даних називає це винятком для особистих і домашніх цілей (ст. 2(2)(c) GDPR).
Те, що застосунок надсилає на наш сервер. Це номер застосунку, записи про згоди, записи про підписку, запити про залишок запасу ШІ, запити до довідника кладовищ і вміст, який ви надсилаєте функціям ШІ. За це відповідаємо ми. Hetzner, Cloudflare та OpenAI обробляють це на наше доручення відповідно до своїх умов обробки даних (розділ 9).
Apple і Google. Вони відповідають за свої сервіси за власними політиками конфіденційності: App Store, Google Play, карти, пошук адрес і розпізнавання мовлення.

2. Що залишається на пристрої

Лише в закритому сховищі застосунку на вашому пристрої зберігаються:

люди, дати, родинні зв'язки, біографії та нотатки;
фотографії, документи та інші файли архіву;
місця й координати народження, проживання та поховання;
чернетки функцій ШІ: те, що ви надиктували, отримані відповіді та знімки могил;
запис голосу, який ще не вдалося надіслати. Він видаляється, щойно його надіслано. Якщо він старший за 7 днів, то видалиться, коли ви наступного разу відкриєте екран, де його записали;
відреставроване фото, яке надійшло, коли ви вже пішли з екрана. Воно чекає, поки ви знову відкриєте це фото. Якщо йому більше 30 днів, застосунок видалить його під час наступної перевірки реставрацій, що надійшли;
налаштування, ваші рішення щодо згод і номер застосунку (розділ 4).

На iPhone і iPad застосунок позначає свою теку даних, щоб вона не потрапляла до резервних копій iCloud і комп'ютера. На Android застосунок відмовляється від автоматичного хмарного резервного копіювання Android.

Якщо застосунок аварійно закриється, короткий технічний журнал запишеться у файл лише на пристрої, і застосунок нікуди його не надсилає. Власного сервісу звітів про збої в застосунку немає. Якщо ви в налаштуваннях телефона дозволили ділитися діагностикою з розробниками застосунків, Apple або Google можуть передати нам звіти про збої за своїми умовами.

Дерево залишає пристрій, лише якщо ви самі його експортуєте або комусь надішлете. Експортовані файли (GEDCOM, LRV, SVG, PNG) потрапляють туди, куди ви їх зберегли: наприклад, у «Файли», «Фото» чи інший застосунок. Звідти цей сервіс може копіювати їх далі, наприклад у «Фото iCloud». Коли ви видаляєте застосунок із пристрою, видаляється все, крім файлів, які ви самі експортували.

Дозволи:

Місцезнаходження — лише поки ви користуєтеся застосунком: для карт і координат могил.
Камера й фотографії — щоб знімати та прикріплювати знімки.
Мікрофон і розпізнавання мовлення — лише у версіях із функціями ШІ (зараз це iPhone і iPad): щоб розповідати про людину голосом.
Сповіщення — лише локальні нагадування, без push-сервісу.

Будь-який із них можна вимкнути в налаштуваннях телефона.

3. Коли щось залишає пристрій

Коли ви…	Що надсилається	Куди
відкриваєте карту	технічні запити карти: IP-адреса і яка ділянка карти потрібна	Apple Maps (iPhone, iPad) або Google Maps (Android)
шукаєте адресу на карті	введена адреса	Apple або Google (пошук адрес системи телефона)
знімаєте могилу	місце зйомки — щоб показати його адресу	Apple (пошук адрес системи телефона)
користуєтеся довідником кладовищ	країна, мова, область і місто, введені назви або координати, номер кладовища з довідника; без номера застосунку	наш сервер (розділ 6)
переглядаєте карту кладовища або маленьку карту в записі про поховання	які фрагменти карти потрібні та ваша IP-адреса	OpenStreetMap Foundation
користуєтеся функцією ШІ після згоди	те, що перелічено на екрані згоди, а також номер застосунку	наш сервер, потім OpenAI (розділ 5)
відкриваєте Налаштування чи картку людини, реставруєте фото	лише номер застосунку — щоб показати, скільки лишилося запасу ШІ	наш сервер (розділ 4)
диктуєте голосом	якщо телефон не вміє розпізнавати мовлення сам, звук надсилається й до його служби розпізнавання	Apple
оформлюєте або відновлюєте підписку	сама покупка, потім запис про покупку, підписаний Apple	Apple, потім наш сервер (розділ 7)
натискаєте посилання або кнопку (пошта, сторінка магазину, «Поділитися координатами», «Прокласти маршрут»)	те, що відкриває це посилання; для маршруту — координати місця й ім'я людини як підпис	обраний вами застосунок чи сайт; для маршруту — застосунок карт

Версія для Android і будь-яка версія без функцій ШІ до нашого сервера не звертаються взагалі.

4. Наш сервер «Капібара» і номер застосунку

Де він працює. Наш сервер розміщено в Hetzner Online GmbH у Нюрнберзі (Німеччина, ЄС). Застосунок звертається до нього за адресою api.mydynasty.app через Cloudflare, який передає зашифроване з'єднання.

Номер застосунку.

Що це. Випадковий номер (UUID), який застосунок створює, коли він уперше знадобиться, і зберігає у своїх налаштуваннях. Це може статися, коли ви відкриваєте Налаштування чи картку людини, користуєтеся функцією ШІ чи оформлюєте підписку. Номер не отримано з даних пристрою, і він не є рекламним ідентифікатором.
Коли він надсилається. Застосунок надсилає його з кожним запитом до нашого сервера, крім запитів до довідника кладовищ (розділ 6).
Чому ми вважаємо його персональними даними. Хто ви, номер нам не каже. Але з ним пов'язані записи про згоди й підписку, тому ми вважаємо його персональними даними (псевдонімним ідентифікатором).
Apple теж його бачить. Коли ви оформлюєте підписку на iPhone чи iPad, застосунок передає Apple цей самий номер разом із покупкою — як «app account token». Так покупку можна пов'язати з цим встановленням. Тому Apple бачить номер разом із вашим акаунтом Apple.
Де його знайти. Налаштування → «Капібара AI» → «Номер застосунку». Там само його можна скопіювати.
Коли він змінюється. Після перевстановлення застосунку створюється новий номер. Відкликання згод номер не змінює.

Запити без вашого вмісту. У версії з функціями ШІ застосунок звертається до нашого сервера й сам. Жоден із цих запитів не містить ваших розповідей, фотографій чи чогось іншого з дерева:

Залишок запасу. Коли ви відкриваєте Налаштування чи картку людини, а також під час реставрації фото, застосунок питає, скільки лишилося запасу ШІ. Надсилається лише номер застосунку. Нічого нового з цього запиту наш сервер не зберігає. Для вже відомого йому номера він позначає, що номером і далі користуються, — не частіше ніж раз на добу.
Підписка. За чинної підписки застосунок надсилає запис про покупку, підписаний Apple: під час запуску, після покупки, відновлення чи продовження, а також якщо під час запиту ШІ наш сервер ще не знає вашої підписки (розділ 7).
Реставрація фото. Після того як ви запустили реставрацію, телефон до 15 хвилин питає наш сервер про результат, навіть якщо ви пішли з екрана. Потім він просить сервер видалити результат. Надсилаються лише номер завдання й номер застосунку.

Без вашого натискання застосунок не звертається до довідника кладовищ, коли ви відкриваєте запис про поховання чи картку людини. Лише коли ви натиснете (розділ 6).

Що зберігає наш сервер — у розділі 11. Якщо коротко: номер застосунку з датами першого й останнього використання, записи про згоди, лічильники використання та записи про підписку.

Наш сервер не зберігає ваші тексти, записи голосу, фотографії, координати й пошукові запити і не зберігає IP-адреси. Його технічні журнали налаштовано так, щоб до них не потрапляли ваш вміст і координати. У них можуть бути внутрішні номери записів, а за рідкісних помилок бази даних — номер застосунку. Журнали видаляються не пізніше ніж через 30 днів.

5. Функції ШІ («Капібара AI»)

Функції ШІ є на iPhone і iPad і входять до підписки myDynasty Premium. У версії для Android функцій ШІ поки немає.

Перш ніж функція вперше щось надішле, вона показує екран згоди. На ньому перелічено, що буде надіслано, і названо наш сервер «Капібара» та OpenAI. Поки ви не погодилися, нічого не надсилається ні на наш сервер, ні до OpenAI (розділ 8). Розпізнавання мовлення самим телефоном працює одразу, щойно ви натиснули мікрофон, — див. нижче «Розпізнавання мовлення телефоном».

5.1 «Розповісти про людину». Ви розповідаєте про родича. ШІ заповнює картку, а біля могили може поставити уточнювальні запитання вголос.

Застосунок надсилає запис голосу (стиснутий звук) і обрану мову, щоб розпізнати мовлення, а потім текст розповіді — розпізнаний із запису або, якщо не вийшло, телефоном. Після розпізнавання запис видаляється з телефона.
Запитання біля могили промовляє голос OpenAI. Текст запитання надсилається до OpenAI, щоб його озвучити.
Людина з'явиться в дереві лише після того, як ви перевірите картку й натиснете «Зберегти».

5.2 «Зйомка могили».

Знімок напису на пам'ятнику надсилається до OpenAI, щоб напис прочитали.
Місце зйомки надсилається лише на наш сервер — щоб знайти кладовище в довіднику, без номера застосунку (розділ 6), і лише якщо ви погодилися. До OpenAI воно не надсилається.
Адресу цього місця визначає сама система телефона (Apple). Це відбувається, навіть якщо ви не погодилися на ШІ.
Загальний план залишається на телефоні. Портрет із пам'ятника надсилається на реставрацію лише з окремої згоди на реставрацію фото (5.3).

5.3 «Реставрація фото».

Що надсилається до OpenAI:
- фото: знімок повністю або портрет, знятий на могилі;
- ділянка обличчя з аватарки;
- обраний колір очей і волосся.
Наш сервер отримує ще розмір зображення й позначку, чи це портрет із могили. За ними він задає розмір результату та вказівки для OpenAI.
Що ви отримуєте. Результат — зображення, створене ШІ. Воно може відрізнятися від того, як людина виглядала насправді.
- На екрані людини нове фото замінить старе, лише якщо ви натиснете «Зберегти». Старе залишиться в архіві.
- Відреставрований портрет із пам'ятника сам стає аватаркою нової людини. Знімок пам'ятника залишається в записі про поховання.
На нашому сервері. Фото не записується на диск. Сервер тримає його в пам'яті, поки триває реставрація. Готове зображення зберігається, поки застосунок його не забере, і не довше 10 хвилин після готовності. Незавершене завдання сервер забуває через 15 хвилин.

5.4 «Біографія з ШІ». ШІ ставить запитання й упорядковує сказане.

Надсилається текстом:
- те, що ви кажете, у вигляді тексту, розпізнаного телефоном;
- уже поставлені запитання й уже написана біографія;
- повне ім'я людини (ім'я, по батькові, прізвище), дати народження й смерті;
- повні імена (ім'я, по батькові, прізвище) чоловіка чи дружини, батьків, дітей, братів і сестер із дерева, із зазначенням родинного зв'язку.
Ні запису голосу, ні фотографій, ні координат не надсилається.

Для всіх функцій ШІ:

Фотографії перекодовуються перед надсиланням. Тому приховані метадані, наприклад координати камери, не надсилаються.
Більше нічого не надсилається: ні інші фото, ні дерево, ні дані пристрою. Номер застосунку та інші ідентифікатори наш сервер до OpenAI не передає.
Наш сервер не зберігає вміст. Він передає його до OpenAI і повертає відповідь на телефон.
OpenAI обробляє вміст на наше доручення відповідно до своїх умов обробки даних. За даними OpenAI:
- дані, надіслані через його API, не використовуються для навчання моделей;
- вони можуть зберігатися до 30 днів, щоб виявляти зловживання, і потім видаляються, якщо закон не вимагає зберігати довше.
Якщо зв'язок зник, розповідь, запис або знімки могили, які ви вже погодилися надіслати, чекають на телефоні. Поки згода чинна, вони надсилаються самі — коли зв'язок повернеться, поки цей екран відкритий, або коли ви відкриєте його знову. Якщо ви відкликали згоду, нічого з того, що чекає, не надсилається: воно залишається на телефоні, поки ви не натиснете «Повторити» і знову не погодитеся.
ШІ помиляється. Перевіряйте результат, перш ніж зберігати.
Розповіді й фотографії зазвичай стосуються інших людей. Надсилайте лише те, чим маєте право ділитися. Будьте особливо обережні з подробицями про живих родичів, передусім про дітей.

Розпізнавання мовлення телефоном. Поки ви говорите, текст на екрані пише сама система телефона. Якщо вона не вміє розпізнавати мовлення на пристрої, звук надсилається й до служби розпізнавання Apple — за політикою конфіденційності Apple. Застосунок попереджає про це до першого запису.

6. Довідник кладовищ

Довідник кладовищ є у версії для iPhone і iPad із функціями ШІ. Він безкоштовний, підписка для нього не потрібна.

Застосунок звертається до нашого сервера, лише коли ви щось робите:

обираєте країну (тоді застосунок завантажує її міста) або натискаєте на поле міста;
вводите назву міста чи кладовища;
відкриваєте карту кладовищ або шукаєте кладовища поблизу точки;
натискаєте на маленьку карту в записі про поховання або на місце поховання в картці людини, щоб побачити його на карті;
знімаєте могилу після згоди на ШІ (5.2).

Коли ви просто відкриваєте запис про поховання чи картку людини, застосунок до довідника не звертається.

Що надсилається: лише те, що потрібно для пошуку, без номера застосунку:

країна й мова, область і місто;
введені назви;
номер кладовища з довідника, якщо його вже обрано в записі; або
координати: точка на карті чи збережене місце могили, з радіусом пошуку. Під час зйомки могили — ще точність GPS і позначка, чи це не могила домашньої тварини.

Вашу IP-адресу наш сервер не зберігає: він використовує її лише в пам'яті, щоб обмежувати частоту запитів.

Як відповідає наш сервер. Він бере відповідь із власного довідника, побудованого на даних OpenStreetMap. Ваші запити й координати він не зберігає. Нічого з вашого дерева до довідника не потрапляє.

Зображення карти. Карта кладовища й маленька карта в записі про поховання завантажують зображення карти безпосередньо із серверів OpenStreetMap Foundation (Велика Британія). Ці сервери отримують вашу IP-адресу, назву й версію застосунку та те, які фрагменти карти потрібні. Зображення зберігаються на телефоні, щоб не завантажувати їх знову.

7. Підписка й оплата

iPhone і iPad. Оплату приймає Apple. Ми ніколи не отримуємо даних вашої картки, імені, e-mail чи акаунта Apple.

Як покупка потрапляє на наш сервер:

Після покупки чи відновлення підписки та під час кожного продовження Apple передає застосунку запис про покупку, підписаний Apple.
Застосунок надсилає цей запис разом із відомостями про продовження на наш сервер. Сервер перевіряє підпис Apple і відкриває функції ШІ для цього встановлення.
Застосунок надсилає запис і під час запуску, якщо підписка чинна. Якщо під час запиту ШІ наш сервер ще не знає вашої підписки, застосунок надсилає запис повторно й один раз повторює запит.

Що є в підписаному записі: серед іншого номери покупки, товар, дати покупки й закінчення, країна магазину, ціна й валюта, номер застосунку того встановлення, де зроблено покупку. Там може бути й технічне значення, за яким Apple перевіряє, що запис стосується цього пристрою. Імені, e-mail, акаунта Apple і платіжних даних у ньому немає. Наш сервер зберігає лише те, що перелічено нижче.

Що зберігає наш сервер:

номер першої покупки й товар;
середовище: справжня це покупка чи тестова;
дату, до якої сплачено, і кінець пільгового періоду;
дату повернення коштів, якщо воно було;
чи продовжується підписка автоматично;
дати підписів, дату початку періоду запасу ШІ і внутрішній ключ спільного запасу ШІ;
коли запис створено і коли його востаннє змінено;
які номери застосунку користуються цією підпискою — з датою, коли кожен до неї приєднався, і датою, коли його бачили востаннє (оновлюється не частіше ніж раз на добу).

Сповіщення Apple: Apple також сама повідомляє наш сервер про продовження, проблеми з оплатою, повернення коштів і закінчення підписки. За ними наш сервер оновлює запис про підписку. Із самих сповіщень ми зберігаємо лише номер сповіщення, його тип і підтип та час отримання.

Ваші пристрої:

Одна підписка діє на всіх ваших пристроях. На новому пристрої або після перевстановлення натисніть «Відновити покупку».
Запас ШІ спільний для всіх пристроїв однієї підписки.

Керування, повернення коштів і скасування:

Керувати підпискою й скасувати її можна в налаштуваннях акаунта Apple або кнопкою «Керування підпискою» в застосунку.
Повернення коштів проводить Apple.
Ціна й період оплати показуються в застосунку та в App Store до покупки. Діє стандартна ліцензійна угода Apple (EULA).
Якщо ви скасуєте підписку, нічого не видалиться. Проєкти понад безкоштовні ліміти стануть доступні лише для перегляду до нової підписки, а функції ШІ перестануть працювати.

Android. На дату цієї політики у версії для Android немає функцій ШІ, і до нашого сервера застосунок не звертається. На Android підписка продається через Google Play: застосунок може запитати в Google Play на пристрої, чи доступна підписка, а покупку й оплату Google обробляє за своїми умовами. Перш ніж на Android з'являться функції ШІ, ми оновимо цю політику.

8. Згода і як її відкликати

Згод три:
- «Розповісти про людину» разом із «Зйомкою могили»;
- «Реставрація фото»;
- «Біографія з ШІ».
На кожному екрані згоди перелічено, що надсилається. Якщо текст змінюється, застосунок питає знову.
Коли функція після вашої згоди вперше щось надсилає, застосунок реєструє згоду на нашому сервері. У записі:
- номер застосунку й функція;
- показані вам категорії даних;
- названий розпорядник («OpenAI via Capybara»);
- версія застосунку, версія тексту й час.
Кожен запис діє 30 днів. Якщо строк минув, застосунок реєструє новий запис під час наступного використання цієї функції, не питаючи знову, — поки ви не відкличете згоду. Прострочені записи видаляються автоматично приблизно протягом години.
Відкликати можна будь-коли: Налаштування → «Капібара AI» → «Відкликати згоди».
- Телефон одразу забуває всі згоди на ШІ. Жодна функція ШІ нічого не надішле, поки ви знову не погодитеся. Це стосується й розповідей, записів і знімків могил, що чекали надсилання: вони залишаються на телефоні й не надсилаються, поки ви не натиснете «Повторити» і знову не погодитеся.
- Запис на нашому сервері в цю мить не видаляється. Він більше не використовується, і його строк спливає протягом 30 днів.
- Те, що вже є в дереві, залишається.
- Відкликання згоди не скасовує підписку. Її скасовують у магазині.
Інші переваги підписки (більше дерев, людей і файлів) від згоди на ШІ не залежать.
Доступ myDynasty до мікрофона, камери, фотографій і місцезнаходження можна вимкнути в налаштуваннях телефона.

9. Хто обробляє дані на наше доручення

Розпорядник	Що робить	Де	Що бачить
Hetzner Online GmbH (Німеччина)	розміщує наш сервер, його базу даних і знімки диска	Нюрнберг, Німеччина (ЄС)	усе, що наш сервер отримує й зберігає
Cloudflare, Inc. (США)	передає зашифроване з'єднання між застосунком і нашим сервером	глобальна мережа; компанія в США	IP-адресу й адреси запитів, зокрема координати й слова пошуку в них; самі запити, поки передає їх, включно з номером застосунку (у запитах до довідника його немає)
OpenAI OpCo, LLC (США)	обробка ШІ	США та перелічені OpenAI субпідрядники	лише вміст, який ви надсилаєте функціям ШІ, без номера застосунку

Кожен із них обробляє дані лише за нашими вказівками відповідно до своїх умов обробки даних і мусить захищати їх не гірше, ніж описано тут.

Копії бази даних нашого сервера зберігає також сам володілець — на своєму комп'ютері й резервному диску. Родинного вмісту в цій базі немає — лише записи з розділу 11.

Apple, Google та OpenStreetMap Foundation надають вам свої послуги за власними умовами й політиками конфіденційності.

Ми не використовуємо сервісів аналітики, реклами, звітів про збої та відстеження. Ми не продаємо дані, не передаємо їх для реклами й не складаємо профілів. Автоматизованих рішень щодо вас ми не ухвалюємо.

10. Правові підстави

Згода. Ст. 6(1)(a) GDPR; ст. 9(2)(a) — для чутливих відомостей про себе, які ви вирішили вказати; ст. 11 Закону України «Про захист персональних даних». На ній ґрунтується надсилання вмісту функціям ШІ, зокрема його передача до OpenAI у США.
Договір. Ст. 6(1)(b) GDPR. На ньому ґрунтуються перевірка підписки, номер застосунку, лічильники запасу й пошук у довіднику на ваш запит.
Законний інтерес. Ст. 6(1)(f) GDPR. На ньому ґрунтуються захист від зловживань (обмеження запитів; для довідника — за IP-адресою, лише в пам'яті), резервні копії, технічні журнали та імена родичів, які ви додаєте до того, що надсилаєте, — рівно стільки, скільки потрібно функції. Ви можете заперечити, написавши нам.
Дані на пристрої: виняток для особистих і домашніх цілей (розділ 1).
Відомості про померлих. GDPR до них не застосовується (п. 27 преамбули), але в деяких країнах їх захищає національний закон. Ми поводимося з ними так само дбайливо.

11. Скільки зберігаються дані

Дані	Де	Скільки
Вміст для функцій ШІ: тексти, записи голосу, фото, текст запитань	наш сервер	не зберігається; тримається в пам'яті лише на час запиту
Відреставроване фото	пам'ять нашого сервера	поки застосунок його не забере, не довше 10 хвилин після готовності; незавершене завдання сервер забуває через 15 хвилин
Той самий вміст	OpenAI	до 30 днів (виявлення зловживань), за даними OpenAI
Координати, пошук у довіднику, запити про запас ШІ, IP-адреси	наш сервер	не зберігаються
Номер застосунку з датами першого й останнього використання (згода, запит ШІ або запит залишку)	наш сервер	12 місяців після останнього використання
Записи про згоди	наш сервер	30 днів кожен, потім видаляються приблизно протягом години; раніше — якщо видалено номер застосунку
Записи використання: номер застосунку, функція, час і обсяг у символах, без вмісту	наш сервер	3 дні
Місячні суми витрат ШІ: номер застосунку чи підписки, місяць, сума	наш сервер	31 день від початку цього місячного періоду (до 3 днів після його кінця)
Місячні лічильники реставрацій	наш сервер	усі лічильники одного номера застосунку чи підписки видаляються разом, не пізніше ніж через 12 місяців після останньої реставрації
Записи про підписку й пов'язані з нею номери застосунку	наш сервер	12 місяців після закінчення підписки (кінець строку разом із пільговим періодом або повернення коштів)
Сповіщення Apple: номер, тип і підтип, час	наш сервер	12 місяців
Технічні журнали сервера, без вмісту	наш сервер	до 30 днів
Резервні копії бази сервера	наш сервер, служба резервного копіювання Hetzner, власні комп'ютер і резервний диск володільця	до 30 днів
Ваші листи до нас	поштова скринька	до 24 місяців; довше — лише для незакритого питання або якщо цього вимагає закон
Усе в застосунку	ваш пристрій	поки ви не видалите це чи застосунок; запис голосу, що чекає, видаляється, коли йому більше 7 днів, під час наступного відкриття його екрана; відреставроване фото, що надійшло без відкритого екрана, видаляється, коли йому більше 30 днів, під час наступної перевірки реставрацій, що надійшли

У резервних копіях лежать копії записів сервера з цієї таблиці. Тому запис, видалений із бази, може залишатися в резервній копії ще до 30 днів.

Службова статистика без номера застосунку (тривалість і результат звернень до ШІ, загальна вартість за день) персональними даними не є.

12. Передача за межі ЄС

Наш сервер розташований у ЄС (Німеччина).
OpenAI і Cloudflare — американські компанії. Їхні умови обробки даних містять Стандартні договірні умови ЄС для передачі даних за межі ЄС. За Законом України «Про захист персональних даних» передача вмісту для ШІ до OpenAI ґрунтується на вашій згоді.
Володілець перебуває в Україні, щодо якої немає рішення ЄС про адекватність захисту. Він адмініструє сервер і зберігає резервні копії.
Apple і Google використовують власні механізми передачі.

13. Діти

Застосунок не призначений для дітей. Функції ШІ й підписка — для людей від 13 років. У деяких країнах закон установлює вищий вік згоди на онлайн-сервіси — до 16 років у низці країн ЄС. Молодшим за цей вік потрібен дозвіл батьків або опікуна.

Ми свідомо не збираємо даних дітей, молодших за цей вік. Якщо ви вважаєте, що дитина користувалася функціями ШІ без дозволу, напишіть нам — ми видалимо записи цього номера застосунку.

14. Безпека

На пристрої. Дані лежать у закритому сховищі застосунку. Коли ввімкнено блокування екрана, їх захищає шифрування системи. Власного додаткового шифрування бази застосунок не додає. Захистіть пристрій кодом або біометрією.
З'єднання з нашим сервером зашифровані: від пристрою до Cloudflare і від Cloudflare до нашого сервера через зашифрований тунель. Запити застосунку наш сервер приймає лише через цей тунель. Його база даних і функції адміністрування з інтернету недоступні.
Що зберігає наш сервер. Ні імен, ні дерев, ні розповідей — лише записи з розділу 11.

15. Ваші права

На пристрої. Ви можете переглядати, виправляти, видаляти й експортувати дані в застосунку (GEDCOM, LRV, SVG, PNG). Видалення застосунку видаляє все.
На нашому сервері. У вас є права на доступ, виправлення, видалення, обмеження обробки, перенесення даних і заперечення. Згоду можна відкликати будь-коли (розділ 8).
Як знайти ваші записи. Ми не знаємо, хто ви, тому знайти ваші записи можемо лише за номером застосунку. Його можна переглянути й скопіювати в Налаштуваннях → «Капібара AI» → «Номер застосунку». Надішліть його на mydynastyapp.team@gmail.com — ми відповімо протягом місяця.
Скарги:
- ЄС/ЄЕЗ — орган із захисту даних вашої країни (перелік: https://edpb.europa.eu/about-edpb/about-edpb/members_en);
- Велика Британія — ICO (https://ico.org.uk/make-a-complaint/);
- Україна — Уповноважений Верховної Ради України з прав людини (https://ombudsman.gov.ua/).
Мешканці Каліфорнії. Ми не продаємо й не передаємо персональну інформацію та не використовуємо її для реклами. Категорії:
- ідентифікатори: номер застосунку;
- комерційні відомості: записи про підписку;
- аудіо-, візуальний та інший вміст: обробляється, як описано в розділі 5, і в нас не зберігається.
Щоб дізнатися, видалити чи виправити дані, напишіть нам.

16. Сайт mydynasty.app

Сайт існує окремо від застосунку.

Хостинг. Сайт розміщено на GitHub Pages (GitHub, Inc., США). Коли ви відкриваєте сторінку, GitHub отримує вашу IP-адресу й технічні дані запиту.
Шрифти. Сторінки завантажують шрифт із Google Fonts. Тому, коли сторінка відкривається, ваш браузер надсилає вашу IP-адресу Google.
Аналітика. Google Analytics 4 вмикається, лише якщо ви дозволили аналітичні cookie в банері. Сигнал Global Privacy Control з браузера вважається відмовою. Ваш вибір запам'ятовується у вашому браузері.

У застосунку Google Analytics немає.

17. Зміни політики

Коли політика змінюється, ми оновлюємо дату вгорі. Якщо через зміну з пристрою надсилалося б більше даних або інші дані, відповідна функція ШІ знову покаже екран згоди, перш ніж щось надіслати.

18. Контакти

mydynastyapp.team@gmail.com · https://mydynasty.app · https://mydynasty.app/privacy

Попередня редакція: політика від 24 червня 2026