Политика конфиденциальности

Для приложений Sorrel и этого сайта · Последнее обновление 23 октября 2026 года

Этот перевод предоставлен для вашего удобства. Юридическую силу имеет английская версия; при расхождениях действует она.

На что распространяется эта политика

Эта политика распространяется на приложение Sorrel для Android (com.burnsoft.sorrel), на приложение Sorrel для iPhone, на сервер Sorrel по адресу api.sorrelapp.io, который используют некоторые их функции, и на этот сайт. «Sorrel», «мы» и «нас» означают разработчика приложения Sorrel.

Что Sorrel хранит на вашем устройстве

Всё, что вы создаёте в Sorrel, записывается в приватное хранилище приложения на вашем телефоне:

• Рецепты, которые вы импортируете, сканируете, вводите или редактируете — названия, ингредиенты, шаги, время, теги, ссылки на источник и исходный текст, из которого они были прочитаны
• Фотографии рецептов, сохранённые файлами на вашем устройстве
• Ваш кулинарный дневник: сколько раз вы готовили рецепт, когда, ваша оценка и ваши заметки
• Списки покупок, подборки, меню и вносимые вами поправки по отделам
• Настройки приложения — например, единицы измерения и включены ли отчёты о сбоях
• Если вы покупаете в Kroger через Sorrel: выбранный магазин и ваш вход в Kroger — в зашифрованном виде и без попадания в резервные копии Android

Пока вы не включите синхронизацию (см. ниже), эти данные никуда не загружаются, и мы не имеем возможности их прочитать. Sorrel запрашивает только те разрешения Android, которые может объяснить: INTERNET, оплату через Google Play и — для кухонных таймеров — показ уведомлений, вибрацию и возможность продолжать отсчёт, когда вы выходите из приложения. Он никогда не просит доступ к вашему местоположению, контактам, камере, микрофону, журналу звонков или файлам вне собственного хранилища. Сканирование карточки рецепта использует экран сканера, предоставляемый сервисами Google Play (или ваш выбор фотографий), который передаёт Sorrel готовые страницы; у самого Sorrel разрешения на камеру нет.

Что покидает ваше устройство и когда

Импорт рецепта по веб-ссылке

Когда вы вставляете ссылку или делитесь ею, ваш телефон загружает эту страницу напрямую с сайта, где она размещена. Сайт видит ваш IP-адрес, запрошенную страницу и обычную строку user-agent мобильного браузера — ровно так же, как если бы вы открыли ссылку в Chrome, — и его собственная политика конфиденциальности определяет, что он с этим делает. Затем Sorrel вычитывает рецепт из страницы прямо на вашем телефоне, и в большинстве случаев на этом всё заканчивается: нам ничего не отправляется. Если импорт не удастся, ссылка может быть отправлена нам, чтобы мы это исправили, — см. «Ссылки, которые не удалось импортировать» ниже.

Некоторые страницы прячут рецепт так, что Sorrel не может прочитать его сам. Когда страница выглядит как рецепт, но Sorrel не находит одновременно и ингредиенты, и шаги, он отправляет адрес, заголовок и видимый текст статьи этой страницы (никогда не сырой HTML и не более примерно 10 000 символов) на наш сервер, который просит ИИ-модель, работающую под управлением Anthropic, выделить рецепт. Модель получает текст, заголовок и адрес страницы без строки запроса. Ничего, что идентифицировало бы вас, она не получает. Наш сервер хранит прочитанный рецепт, привязанный к адресу страницы, до 90 дней, чтобы следующий человек, импортирующий ту же страницу, получил его мгновенно.

Импорт из видео (Sorrel Pro)

Когда вы делитесь ссылкой из TikTok, Instagram или YouTube, ваш телефон отправляет на наш сервер только ссылку. Сервер сам загружает видео с площадки — площадка видит адрес нашего сервера, а не ваш — и поднимается по ступеням, пока не получит рецепт:

• Он читает подпись к видео и любую страницу рецепта, на которую она ссылается, и просит модель Anthropic превратить это в рецепт.
• Если подписи недостаточно, он извлекает звук и отдаёт его на расшифровку сервису Groq (распознавание речи на основе Whisper); там, где у YouTube есть собственные субтитры, используются они.
• Если слов всё ещё недостаточно, он берёт несколько стоп-кадров из видео и отправляет их вместе с подписью и расшифровкой модели Anthropic, чтобы та прочитала показанное.

Загруженные видео, звук и кадры удаляются сразу по завершении импорта, при любом исходе. Сервер хранит расшифровку и готовый рецепт, привязанные к идентификатору видео, до 90 дней (24 часа, если результат потребовал вашей проверки), так что популярное видео читается лишь однажды. Ваш телефон также отправляет токен покупки Google Play, подтверждающий вашу подписку Pro (см. «Google Play» ниже).

Сканирование карточки рецепта (Sorrel Pro)

Сканирование начинается — и обычно заканчивается — на вашем телефоне. Страницы приходят из экрана сканера, предоставляемого сервисами Google Play, или из выбора фотографий; распознавание текста выполняется на устройстве встроенной моделью; фотографии и распознанный текст сохраняются вместе с рецептом в приватном хранилище Sorrel. Если это чтение оказалось неполным, Sorrel спрашивает, можно ли отправить скан — фотографии или только распознанный текст — на наш сервер, который просит модель Anthropic его прочитать. Без вашего согласия ничего не отправляется, страницы удаляются сразу после прочтения, а сервер сохраняет только готовый рецепт — под отпечатком скана, а не под вами, — не дольше 90 дней. (Если синхронизация включена, распознанный текст путешествует вместе с рецептом, как любой другой текст рецепта; фотографии — нет.)

Поручить Sorrel составить меню на неделю (Sorrel Pro)

Бесплатный планировщик заполняет вашу неделю на телефоне, офлайн. Если же вы попросите Sorrel составить неделю, телефон отправит на наш сервер список кандидатов из вашей библиотеки — названия, теги, время приготовления и то, как часто вы их готовили, обозначенные идентификаторами, — а модель Anthropic выберет их и расставит. Сервер отвечает этими идентификаторами и забывает запрос: ничего из него не кэшируется и не хранится.

Синхронизация (Sorrel Pro)

Синхронизация выключена, пока вы не включите её в настройках. Когда вы это делаете, Sorrel создаёт для вас аккаунт на нашем сервере:

• По умолчанию аккаунт анонимен. Это случайный идентификатор, к которому не привязаны ни имя, ни адрес электронной почты, ни номер телефона. Чтобы добавить второй телефон, вы вводите шестизначный код, который срабатывает один раз и истекает через десять минут.
• Если вы выберете «Войти через Google» — или, на iPhone, «Войти через Apple», — чтобы потом снова найти этот аккаунт, мы сохраним идентификатор аккаунта, который передаёт нам провайдер, и, если он сообщит, что адрес подтверждён, ваш адрес электронной почты. Ваше имя, фотографию и контакты мы не получаем.
• По каждому телефону мы храним идентификатор устройства, название модели (например, «Google Pixel 8»), дату добавления и дату последней синхронизации.

Синхронизация загружает ваши рецепты (вместе с кулинарным дневником, заметками, оценками, тегами и исходным текстом, из которого они были прочитаны), подборки, позиции покупок, меню и поправки по отделам. Фотографии остаются на том телефоне, где были сняты, и не загружаются. Ваш телефон синхронизируется через несколько секунд после изменения, примерно каждые шесть часов в фоне и всё время, пока открыт список покупок общего дома.

Эти данные хранятся на сервере, который мы обслуживаем в Microsoft Azure, в базе данных, доступной только нашему серверному ПО, по зашифрованным соединениям. Они хранятся для того, чтобы их можно было доставить на ваши другие телефоны и в ваш общий дом; мы их не читаем, не анализируем, не продаём и не используем ни для чего иного. Рядом с аккаунтом мы храним токен покупки Google Play, подтверждающий вашу подписку, чтобы принадлежащий вам общий дом оставался разблокированным для его участников.

«Выйти» в настройках останавливает синхронизацию на этом телефоне и забывает его токен доступа; ваша библиотека остаётся на телефоне, а копия на сервере — тоже, для других ваших телефонов. Чтобы стереть сам аккаунт, используйте Настройки → Ваши данные → Удалить аккаунт и синхронизированные данные: аккаунт и всё, что под ним хранится, удаляются сразу, и истёкшая подписка этому никогда не мешает. См. Удаление аккаунта Sorrel.

Общий дом (Sorrel Pro)

Общий дом — это группа синхронизированных аккаунтов, у которых одна книга рецептов и один список покупок. Чтобы создать общий дом, нужен Pro; чтобы присоединиться — нет: подписка владельца покрывает всех. Внутри общего дома:

• Участники видят рецепты, подборки и позиции покупок друг друга вживую. Меню и поправки по отделам остаются личными и никогда не передаются.
• Участники видят, кто ещё состоит в общем доме. Каждый показан по адресу электронной почты Google, если он вошёл через Google, иначе — по названию модели телефона. Ничего другого об участнике не раскрывается.
• Приглашение — это ссылка (https://www.sorrelapp.io/join/…) или QR-код со случайным токеном. Оно срабатывает один раз и перестаёт действовать через сутки. В нём нет сведений ни о вас, ни об общем доме.
• Если вы покидаете общий дом или вас из него удаляют, всё, что уже есть на вашем телефоне, сохраняется и снова числится вашим. Удаление общего дома прекращает любое совместное использование; каждый участник сохраняет то, что есть на его телефоне.

Отправка списка в магазин Kroger

В приложении для Android Sorrel может наполнить вашу корзину в Kroger и магазинах его сети (Dillons, Ralphs, King Soopers, Fred Meyer и других). Ничего не уходит в Kroger, пока вы не нажмёте Купить по списку и не выберете Kroger. Дальше:

• Поиск магазина. Введённый вами почтовый индекс (ZIP) проходит через наш сервер в Kroger, и Kroger возвращает ближайшие магазины. Выбранный магазин запоминается на телефоне.
• Поиск товаров. Названия ещё не отмеченных пунктов списка, до 60 за раз, проходят через наш сервер в поиск товаров Kroger в этом магазине, чтобы вы проверили найденное, прежде чем что-то попадёт в корзину. Для этого шага вход в Kroger не нужен.
• Вход в Kroger. Вы входите на странице самого Kroger в браузере; пароль от Kroger Sorrel не видит никогда. Вы разрешаете Sorrel только две вещи: добавлять товары в корзину и искать товары. Sorrel никогда не запрашивает ваше имя, адрес почты, домашний адрес, историю заказов или платёжные данные. Kroger передаёт вход нашему серверу, потому что превратить его в доступ можно только ключом Sorrel для Kroger, а такой ключ нельзя безопасно хранить внутри приложения. Сервер держит ваши токены доступа не дольше десяти минут, пока их не заберёт телефон, и удаляет их сразу после этого. Дальше они хранятся только на телефоне, в зашифрованном виде, и не попадают в резервные копии Android. Когда их нужно обновить, телефон отправляет токен обновления в Kroger через наш сервер, который ничего не сохраняет.
• Добавление в корзину. Подтверждённые вами товары (коды товаров Kroger и количества) проходят через наш сервер в Kroger вместе с вашим токеном доступа. Kroger разрешает Sorrel только добавлять в корзину: видеть её содержимое, что-то удалять или оформлять заказ Sorrel не может. Оплачиваете вы на сайте или в приложении своего магазина.

Наш сервер не хранит ваш список, индекс, магазин или токены Kroger. Каждый шаг, как и любой другой запрос, учитывается в ограничениях справедливого использования, описанных ниже. Для нашей собственной статистики сервер также записывает, когда был сделан каждый шаг и сколько товаров в нём было — но не какие, — вместе с односторонним хешем токена установки; через 90 дней хеш из этих записей удаляется и остаются только числа, ни к кому не привязанные. Что Kroger делает с полученными данными, определяет политика конфиденциальности Kroger. Удаление Sorrel или очистка его хранилища стирает вход в Kroger с телефона.

Подключение ассистента (Sorrel Pro)

К аккаунту Sorrel можно подключить ИИ-ассистента, например ChatGPT или Claude. Ничего не подключается, пока вы не сделаете это сами: вы вводите одноразовый код из приложения и подтверждаете список разрешений. Для каждого подключения наш сервер хранит название ассистента, выданные разрешения, время подключения и последнего использования, а также токены доступа в хешированном виде.

Когда ассистент запрашивает данные, наш сервер читает то, что позволяют эти разрешения, из копии вашей библиотеки, которую уже хранит синхронизация, — ваши рецепты и продукты на вашей кухне — и отправляет это ассистенту. То, что ассистент сохраняет (рецепт, блюдо в плане, покупки), хранится в вашем аккаунте и синхронизируется с вашими телефонами, как и всё остальное. Мы не получаем вашу переписку с ассистентом — только запросы, которые он отправляет в Sorrel. Полученное ассистентом далее обрабатывает компания, которой он принадлежит, по собственной политике конфиденциальности — например, OpenAI или Anthropic.

Отключить ассистента можно в любой момент в настройках Sorrel — доступ пропадает сразу. При удалении аккаунта синхронизации удаляются и все его подключения.

Загрузка фотографий рецептов

Фотографии импортированных рецептов загружаются с того сайта или площадки, откуда пришёл рецепт, а затем кэшируются на вашем устройстве.

Отчёты о сбоях — только если вы их включите

Sorrel спрашивает вас один раз, при первом запуске, можно ли отправлять отчёт при сбое. По умолчанию ответ «нет»; закрыть вопрос — значит отказаться. Настройка находится в ⋮ → Настройки → Отправлять отчёты о сбоях, и её выключение немедленно останавливает отправку.

Если вы её включите, то при сбое приложение отправит ошибку со стеком вызовов, модель вашего устройства и номера версий Android и Sorrel — и только в момент сбоя, никогда при запуске и никогда во время работы. Ваши рецепты, фотографии и списки не включаются никогда; Sorrel явно отключает те части сборщика отчётов, которые прикрепили бы снимок экрана, иерархию представлений, ваш IP-адрес или любой идентификатор вас или вашего устройства. Отчёты обрабатывает по нашему поручению Sentry, и используются они ровно для одного: находить и исправлять ошибки.

Что наш сервер хранит о запросах

Запросы вашего телефона к нашему серверу несут случайный установочный токен, созданный один раз при установке Sorrel и не выведенный из вашего устройства или аккаунта. Два — нет: выход из аккаунта и его удаление отправляют только токен доступа аккаунта, потому что оба нужны, чтобы что-то завершить, а не чтобы пользоваться сервисом. Сервер никогда не сохраняет установочный токен; он хранит лишь короткий односторонний хеш от него, по которому применяет ограничения справедливого использования и считает, сколько импортов удалось или не удалось. По каждому импорту он записывает, как тот прошёл — площадка, результат, длительность, во сколько он нам обошёлся — на 90 дней, и никогда адрес, заголовок, подпись или рецепт. Исключение — ссылка, которую не удалось импортировать; о ней ниже. Счётчики использования, на которых держатся ограничения справедливого использования, в том числе для Kroger, хранятся семь дней. Единственное исключение — описанная выше статистика Kroger: она хранит хеш 90 дней, а потом только числа. Наш хостинг-провайдер и веб-сервер могут вести обычные журналы соединений, включая IP-адреса, ради безопасности и надёжности.

Ссылки, которые не удалось импортировать. Если импорт не удался, наш сервер хранит ссылку — для веб-страницы её адрес без строки запроса, кроме немногих параметров, которые лишь указывают на страницу, вроде ?p=123 или ?id=; для видео — только его идентификатор — 30 дней с последней неудачи, вместе с тем, что пошло не так, каким приложением и какой версией был сделан запрос и сколько раз. По ним мы находим и исправляем те способы чтения, которые пропускают рецепты. Ничего, что указывает на вас, вместе с ссылкой не хранится: ни токена установки, ни аккаунта, ни IP-адреса. Ссылка, которая импортировалась успешно, так никогда не записывается. Ссылка, которую читал сам сервер, записывается, когда неудача случилась на нём; веб-ссылка, которая не открылась на вашем телефоне, до нас вообще не доходила, поэтому телефон отправляет её, только если в настройках включено «Делиться анонимной статистикой использования» или если вы нажмёте у неудавшегося импорта кнопку, которая отправляет нам ссылку.

Google Play и App Store

• Подписки Sorrel Pro продаёт и выставляет по ним счета Google Play. Мы никогда не видим ваши платёжные данные. Чтобы подтвердить, что подписка активна, Sorrel отправляет токен покупки Google Play на наш сервер, который проверяет его у Google. Для запросов импорта токен удерживается в памяти только на время проверки; для синхронизированных аккаунтов он хранится вместе с аккаунтом, как описано выше.
• На iPhone подписку Sorrel Pro продаёт и списывает App Store компании Apple, и там мы тоже никогда не видим ваших платёжных данных. Sorrel отправляет идентификатор транзакции App Store на наш сервер, который подтверждает подписку у Apple.
• Просьба оценить. Sorrel может изредка попросить вас поставить оценку через встроенный в Google Play механизм отзывов, которым управляет Google.
• Резервное копирование Android. Sorrel разрешает штатное автоматическое резервное копирование Android, чтобы рецепты, план, список покупок и настройки можно было восстановить на новом телефоне. Эта копия ваша и уходит в ваш аккаунт Google, а не к нам; её можно отключить в системных настройках резервного копирования. Пять вещей Sorrel намеренно не отдаёт — данные для входа в синхронизацию, её прогресс, право Play, токен честного использования установки и вход в Kroger, — чтобы копия никогда не перенесла на другой телефон вход, право на подписку или личность одной установки.

Эти взаимодействия покрываются Политикой конфиденциальности Google и Политикой конфиденциальности Apple.

Что мы не собираем

• Никаких SDK аналитики или телеметрии — ничто не измеряет, как вы пользуетесь приложением
• Никакой рекламы, рекламных сетей и рекламных идентификаторов
• Ни имени, ни адреса электронной почты, ни номера телефона, если только вы сами не войдёте через Google ради синхронизации
• Никакого доступа к вашему местоположению, контактам, камере, микрофону, журналу звонков или файлам вне собственного хранилища Sorrel

Файлы, которые вы выгружаете

Sorrel может экспортировать рецепты и создавать файлы резервных копий. Они записываются только по вашему запросу, только туда, куда вы укажете, и приложение никогда никуда их не передаёт. После экспорта файл — ваша забота.

Хранение и удаление ваших данных

• Удаляйте любой рецепт, список, план или заметку внутри приложения в любой момент. Если синхронизация включена, удаление тоже синхронизируется.
• Сотрите всё на телефоне, включая вход в Kroger, через опцию Android «Очистить хранилище» для Sorrel или удалив приложение.
• Всё, что наш сервер закэшировал, читая за вас страницу, видео или скан, истекает в течение 90 дней и не привязано к вам. Записи Kroger на сервере содержат только время и числа, а через 90 дней теряют хеш вашей установки.
• Удалите аккаунт синхронизации и всё, что под ним хранится, в Настройки → Ваши данные → Удалить аккаунт и синхронизированные данные. Это срабатывает сразу и не требует действующей подписки. См. Удаление аккаунта Sorrel.
• Чтобы удалить уже отправленные отчёты о сбоях, напишите нам по адресу ниже. Сделаем это быстро и подтвердим.

Дети

Sorrel не адресован детям младше 13 лет и не собирает сознательно персональные данные ни у кого, включая детей.

Этот сайт

Этот сайт — набор статических страниц, размещённых на Vercel. Он не ставит рекламных cookie и не имеет входа в аккаунт. Стоит назвать две вещи:

• Vercel Web Analytics фиксирует в обобщённом виде, как используется страница, чтобы мы понимали, работает ли она. А именно: просмотры страниц; клики по кнопкам загрузки и призыва к действию; клики по ссылкам, уводящим с сайта, и по адресу электронной почты поддержки; до каких разделов страницы вы добрались; и насколько далеко вы прокрутили страницу, с точностью до четверти. Ни вводимый вами текст, ни точное местоположение, ни что-либо, идентифицирующее вас лично, не собирается, и ничто из этого не сводится в профиль. Это работает без cookie и не следует за вами по другим сайтам; Vercel обрабатывает эти данные так, как описано в политике конфиденциальности Vercel.
• Google Fonts загружаются с серверов Google, а значит, Google получает ваш IP-адрес при загрузке страницы.

Ссылки-приглашения в общий дом открывают страницу этого сайта, которая передаёт приглашение приложению Sorrel; сама страница ничего не хранит.

Изменения этой политики

Когда в Sorrel появляется функция, меняющая обращение с данными, политика обновляется до её выхода, и дата выше меняется. О существенных изменениях говорится и в примечаниях к выпуску. В этой редакции добавлено хранение ссылок неудавшихся импортов в течение 30 дней, чтобы мы могли их исправить. В предыдущей были добавлены отправка списка покупок в магазин Kroger и подключение ИИ-ассистента к вашему аккаунту Sorrel.

Контакты

Вопросы об этой политике и обо всём, что касается приватности в Sorrel, — на sorrelapp@burnsforce.com.