Call'em — кнопка «позвать» в одно касание для дома, виллы, ресторана или офиса. Она отправляет короткие сообщения выбранным вами людям. В приложении нет аккаунтов, аналитики и рекламы. Всё, что вы настроили, хранится на вашем телефоне. Сообщения проходят через наш сервер‑ретранслятор в зашифрованном виде — сервер не может их прочитать.

Коротко

1. Кто мы

Call'em разрабатывает и публикует независимый разработчик («разработчик», «мы»). Контакт: support@callemapp.com.

2. Данные на вашем устройстве

Приложение хранит перечисленное ниже только в своём закрытом хранилище на телефоне. Другим приложениям оно недоступно и исключено из облачного резервного копирования Android.

Данные	Зачем	Примечания
Места, кнопки, папки, группы, раскладка	Ваша настройка: что говорят кнопки и кого они зовут.	Обычные JSON‑файлы в хранилище приложения.
Люди	Имена, которые вы вводите, и адрес доставки каждого человека: случайный идентификатор его устройства с Call'em.	Имена — то, что вы напечатали; приложение не читает ваши контакты.
Ключи шифрования	Для доставки Call'em: пара ключей, идентифицирующая устройство, и по одному секретному ключу на каждое место — он передаётся получателям через QR‑код.	Хранятся в зашифрованном виде (Android Keystore). На наш сервер не отправляются.
Комнаты	По желанию. Wi‑Fi‑отпечаток (идентификаторы ближайших точек доступа и уровни сигнала) для каждой комнаты, чтобы приложение добавляло в сообщение «📍 Кухня».	Обрабатывается только на устройстве. Никуда не передаётся; в сообщение попадает только введённое вами название комнаты.
История вызовов	Последние 200 отправленных вызовов (кнопка, получатели, время, доставлено/принято/ошибка), чтобы вы видели, что ушло.	Можно очистить в любой момент: Настройки → Общее → Очистить историю.
Полученные вызовы	Если вы получаете вызовы: места, к которым вы подключились, и полученные вызовы (текст, место, комната, время, принято или нет).	Удаляются, когда вы покидаете место или владелец удаляет вас.
Предпочтения	Тема, акцентный цвет, язык, раскладка виджета, ваше имя как получателя.
Лицензия Pro	Активен ли Pro: отметка о покупке в Google Play или введённый вами код активации.	Хранится в зашифрованном виде. См. «Покупки».

3. Что покидает устройство

Ничто не покидает телефон, пока вы не нажмёте кнопку или не подключитесь к кому‑то. Тогда приложение отправляет по одному сообщению каждому получателю:

Наш сервер‑ретранслятор

У получателей тоже установлен Call'em. Сообщения уходят по HTTPS на наш сервер relay.callemapp.com, который передаёт их на телефон получателя через Firebase Cloud Messaging (Google) или, где это недоступно, по прямому зашифрованному соединению из приложения получателя.

Сообщения зашифрованы «из конца в конец». Текст, название места, комнаты и кнопки, а также имена участников шифруются на вашем телефоне ключом, который есть только у телефонов владельца и получателей (он передаётся через QR‑код, а не через наш сервер). Сервер хранит и пересылает шифротекст, который не может расшифровать.

Для своей работы сервер хранит:

Данные	Зачем	Как долго
Идентификатор устройства и открытый ключ	Случайный идентификатор, созданный приложением при первом запуске; не связан с вашим именем, аккаунтом Google или номером телефона. Открытый ключ позволяет серверу проверять, что запросы пришли именно с этого устройства.	Пока не удалён по вашему запросу (см. Ваш выбор). Не содержит ничего, что вас идентифицирует.
Push‑токен	Токен, выданный Firebase, чтобы сервер мог разбудить приложение получателя при вызове.	Заменяется при изменении; очищается автоматически, когда Firebase сообщает, что он недействителен (например, после удаления приложения).
Версия приложения и платформа	«android» и версия приложения — для совместимости старых и новых версий.	Как у устройства.
Связи	Какое устройство‑получатель подключено к какому устройству владельца и месту (только идентификаторы) и подтвердил ли владелец этого человека.	Пока владелец не удалит человека или место либо получатель не выйдет сам.
Телефоны владельца места	Если вы перенесли настройки на второй телефон («Настройки → Другие телефоны»), сервер хранит, что оба устройства — владельцы одного места (только идентификаторы), чтобы людей, добавленных на любом из телефонов, можно было звать с обоих.	Пока телефон не исключён из места или место не удалено.
Зашифрованные сообщения	Зашифрованный вызов, от кого кому (идентификаторы устройств), отметки времени и статус доставки («доставлено», «принято»). Настройки, перенесённые на другой телефон, и последующие изменения идут тем же путём — сквозное шифрование ключом, переданным через QR‑код.	Недоставленные вызовы истекают не позже чем через 24 часа. Доставленные удаляются через 7 дней, принятые — через 30, чтобы отправитель видел статус после перезапуска.
Логи сервера	Стандартные технические журналы (путь запроса, код ответа, время, IP‑адрес) для поддержания работы сервиса и защиты от злоупотреблений.	Ограничены по размеру и ротируются автоматически; обычно несколько дней.

Сервер размещён у Hetzner в Германии (ЕС). Мы не продаём, не передаём и не анализируем эти данные и не используем их ни для чего, кроме доставки ваших вызовов. Firebase Cloud Messaging принадлежит Google; push‑сообщение содержит только зашифрованные данные и идентификаторы. См. информацию о конфиденциальности Firebase.

4. Разрешения

Разрешение	Зачем
Интернет	Отправка и получение сообщений.
Уведомления	Показывать входящие вызовы тем, кто их получает, и статус «Отправляется…».
Полноэкранные уведомления	Показывать входящий вызов поверх экрана блокировки, чтобы персонал его не пропустил. Используется только при получении вызовов.
Камера	Сканирование QR‑кода для подключения к месту. Изображение обрабатывается на устройстве, не сохраняется и не отправляется.
Вибрация	Тактильный отклик при нажатии кнопки и при входящем вызове.
Фоновая служба, запуск при включении	Держать соединение с сервером на телефонах без сервисов Google, чтобы вызовы приходили мгновенно. Используется только при получении вызовов.
Состояние Wi‑Fi / Устройства Wi‑Fi поблизости / Местоположение	Только для необязательной функции Комнаты. Android требует разрешение на местоположение для чтения ближайших сетей Wi‑Fi. Приложение не использует GPS, не вычисляет географическое положение и никуда не отправляет данные о местоположении или Wi‑Fi.

Если вы не настраивали комнаты, приложение никогда не попросит доступ к местоположению. Если вы только отправляете вызовы, оно не попросит камеру.

5. Аналитика, реклама, отслеживание

Отсутствуют. В приложении нет SDK аналитики, отчётов о сбоях или рекламы, оно не создаёт и не использует рекламные идентификаторы. Случайный идентификатор устройства для сервера существует только для маршрутизации вызовов и удаляется вместе с записью об устройстве.

6. Покупки

Pro — необязательная разовая покупка. При покупке через Google Play оплату полностью обрабатывает Google Play Billing; мы не получаем платёжных данных. Обработка Google описана в Политике конфиденциальности Google.

Там, где покупки Google Play недоступны, Pro можно приобрести по электронной почте. В этом случае мы получаем то, что вы нам присылаете: ваш адрес электронной почты, код телефона с экрана Pro (восемь символов, производных от случайного идентификатора устройства; он не идентифицирует вас) и подтверждение оплаты. Мы храним эту переписку и запись о продаже (дата, код телефона, сумма) столько, сколько требует налоговое законодательство, используем их только для выдачи кода активации и помощи при смене телефона и никому не передаём. Код активации проверяется и хранится только на вашем телефоне; на наш сервер сведения о покупке не отправляются. Он переносится вместе с настройками на другой ваш телефон.

7. Дети

Приложение не предназначено для детей младше 13 лет и сознательно не собирает персональные данные ни у кого.

8. Ваш выбор

• Очистить историю — Настройки → Общее → Очистить историю вызовов.
• Удалить человека или место — удалите в настройках. Данные сразу удаляются с устройства; связь на сервере удаляется, и приложение человека забывает это место.
• Покинуть место (как получатель) — в разделе Входящие вызовы. Связь удаляется с сервера, и вызовы этого места вам больше не доставляются.
• Всё — удалите приложение или очистите его данные в настройках Android. На сервере не остаётся ничего, что могло бы вас идентифицировать; оставшиеся зашифрованные сообщения истекают в указанные выше сроки, а push‑токен очищается, когда становится недействительным. Если вы хотите, чтобы анонимная запись об устройстве тоже была удалена, напишите нам — мы это сделаем.
• Уже доставленные сообщения остаются в приложении Call'em получателя, пока он их не удалит.

9. Изменения

Если политика изменится, новая версия будет опубликована по этому адресу с обновлённой датой вступления в силу.

10. Контакты

Вопросы о конфиденциальности: support@callemapp.com.