Юридические документы Callen
Кто обрабатывает ваши данные, какие именно, зачем, кому передаёт, сколько хранит и как это прекратить.
Редакция от 30 августа 2026 года
Документ в редакции от 30 августа 2026. Реквизиты будут добавлены.
Везде, где ниже стоит подсвеченная пунктиром заглушка, реквизит ещё не внесён. Такие места заполняются перед запуском продаж; всё остальное в документе описывает то, как сервис работает на сегодня.
Cullen и остальные собеседники — вымышленные ИИ-персонажи, а не люди и не преподаватели. Реплики создаются автоматически и могут содержать неточности.
Оператором персональных данных при работе сервиса Callen (сайт callen.ru и приложение app.callen.ru) является:
Отдельного ответственного за организацию обработки персональных данных на сегодня не назначено; обращения принимаются по адресу выше.
Это политика: она описывает, что происходит с вашими данными. Согласием на обработку она не является и согласие в себе не содержит. Согласия оформляются отдельно, каждое своим действием на своём экране:
Рекламных писем мы сейчас не отправляем вовсе, и согласия на них не спрашиваем: единственное письмо, которое умеет посылать сервис, — с кодом входа. Когда рассылка появится, согласие на неё будет спрашиваться отдельным действием, а отписка стоять в каждом письме.
Как мы фиксируем согласия. По каждому из трёх в журнал согласий пишется строка: кто дал, дата и время, версия текста, сам текст той версии дословно, действие («дано» или «отозвано»), IP-адрес и строка браузера. Текст в строку кладёт сервер из своего кода, а не браузер: если бы текст присылала страница, доказательство превратилось бы в поле ввода, куда можно записать что угодно от чужого имени.
Журнал нужен ровно затем, чтобы через полгода можно было ответить не «человек на что-то соглашался», а «человек видел вот этот текст вот в этот момент». Повторное нажатие той же кнопки второй одинаковой строки не плодит; а если между двумя «согласен» был отзыв, вторая строка появляется обязательно.
Чего в журнале нет. Строк по видам согласия, текста которых ещё не существует, — по рекламным письмам и по оферте. Завести такую строку у нас нельзя технически: пустой текст выглядел бы доказательством, не будучи им, и код на такую попытку отвечает отказом, а не тихой записью.
Условия оказания услуги, цена, порядок подписки и возвратов описаны в оферте — это отдельный документ, и данная политика его не заменяет.
Мы не собираем данные людей, которые сервисом не пользовались, и не покупаем их ни у кого.
Мы не запрашиваем и не храним: номер телефона, паспортные и иные документы, адрес проживания, платёжные реквизиты, данные о геолокации, историю посещений других сайтов. Счётчиков посещаемости и рекламных пикселей на сайте нет.
Платежей в сервисе сегодня нет вовсе. Продажи не запущены, оплата не подключена, деньги не списываются, карту привязать негде. Значит, у нас нет и не может быть ни номера карты, ни истории платежей: когда оплата появится, номер карты будет вводиться на стороне платёжного сервиса и к нам не попадёт. Условия — в оферте и в документе Оплата, подписка и возврат; строки этой политики про платёжные документы описывают будущее устройство, а не сегодняшнее.
Мы обрабатываем голос только для распознавания речи, ведения разговора и разбора ошибок. Мы не строим голосовой слепок, не сравниваем ваш голос с эталоном, не узнаём человека по голосу и не используем голос для идентификации или аутентификации — ни для входа, ни для чего-либо ещё. Вход устроен иначе: по коду на почту или через Яндекс ID.
Это ограничение — не обещание на будущее, а описание того, как сервис устроен сегодня: в коде нет ни построения голосового отпечатка, ни сравнения голосов. Если это когда-нибудь изменится, изменится и правовой режим голоса, и такая обработка потребует отдельного письменного согласия — а значит, изменится и этот раздел до того, как заработает новая функция.
Чего мы не делаем. Мы не продаём данные, не передаём их рекламным сетям, не используем ваши разговоры для обучения моделей и не строим по ним профили для рекламы.
| Что | Основание |
|---|---|
| Аккаунт, звонки, разбор, карточки, подписка | исполнение договора, стороной которого вы являетесь |
| Передача голоса и контекста разговора Google | ваше отдельное согласие, данное перед первым звонком |
| Запись голоса и её хранение | ваше отдельное согласие — тумблер в профиле |
| Напоминания о звонке | ваше согласие — переключатель в профиле |
| Ограничение демо, защита от перебора, отпечаток почты для пробного периода | наш законный интерес — не дать пользоваться сервисом в обход правил |
| Демо-звонок с сайта без регистрации: голос, транскрипт, IP-адрес | отдельного согласия сейчас не спрашивается — см. оговорку сразу под таблицей |
| Платёжные и бухгалтерские документы | исполнение обязанностей, возложенных законом (платежей на сегодня нет — строка появится вместе с ними) |
Демо-звонок на сайте идёт без отдельного согласия. Перед первым звонком из приложения согласие на передачу голоса Google спрашивается, и без него звонок не начинается. У демо-звонка с главной страницы такой проверки нет: аккаунта у гостя нет, записывать согласие не на кого. При этом голос гостя уходит тем же путём — через реле к Google, — а строка звонка с транскриптом и IP-адресом сохраняется. Сегодня гость узнаёт об этом, только если сам откроет эту страницу или ответ «Куда уходит мой голос?» на главной. Правильное решение — спрашивать подтверждение и перед демо; до тех пор мы называем положение дел здесь, а не делаем вид, что основание есть.
Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ, трансграничная передача), обезличивание, блокирование, удаление, уничтожение.
Обработка ведётся смешанным способом: автоматизированная — в приложении и на наших серверах, неавтоматизированная — при разборе вашего обращения человеком.
Решений, порождающих для вас юридические последствия, исключительно автоматизированной обработкой мы не принимаем.
Список полный. Кроме перечисленного, данные не передаются никому.
| Получатель | Что уходит | Зачем |
|---|---|---|
| Google — модель Gemini | звук вашей речи во время звонка; имя, уровень, объём русского, интересы, тема разговора, целевые слова, краткие пересказы прошлых разговоров и то, что вы рассказали о себе (занятие, цель, интересы); короткая фраза при повторении карточки вслух; звук ваших устных ответов в домашней работе; звук вашего устного рассказа о своей ситуации; текст карточки при озвучивании | чтобы звонок состоялся: без этого собеседник не поймёт вас, не ответит голосом и не вспомнит вас |
| Timeweb Cloud AI — текстовая модель | транскрипт звонка и то, что вы рассказали вслух, описывая свою ситуацию | чтобы собрать разбор ошибок, карточки, упражнения и сцену |
| Timeweb Cloud | размещение основного сервера и базы данных | хостинг; резервный канал отправки писем |
| Unisender Go | адрес почты и текст письма | доставка письма с кодом входа и сервисных писем |
| Яндекс ID | обмен при входе через Яндекс | вход в приложение выбранным вами способом |
| Службы доставки уведомлений браузера — Google, Mozilla, Apple, Microsoft | адрес подписки вашего браузера и зашифрованное сообщение | доставить напоминание о звонке, если вы его включили |
Содержимое напоминания службе доставки недоступно: оно зашифровано ключами вашего браузера и расшифровывается только у вас.
На сегодня — важная оговорка про разбор. Текстовая модель внутри России уже выбрана, но доступ к ней ещё не подключён, поэтому фактически разбор звонка, карточки и упражнения считаются той же моделью Google, что и сам разговор, — то есть транскрипт уходит за границу тем же путём. Когда доступ к российской модели заработает, этот абзац будет заменён, а не удалён молча.
Ваши данные передаются за границу. Это не побочный эффект, а устройство продукта, и мы говорим об этом прямо.
Как устроен путь. Ваш браузер соединяется только с нашим сервером в России (Санкт-Петербург). Дальше наш сервер обращается к промежуточному серверу — реле — в Финляндии, а реле обращается к Google. Прямого соединения из вашего браузера в Google нет. Реле существует потому, что Google отклоняет запросы к модели с российских адресов, а сервер приложения обязан находиться в России.
Что уходит во время звонка. Звук вашей речи и контекст разговора: имя, уровень, объём подсказок по-русски, интересы, тема, целевые слова, краткие пересказы прошлых разговоров, занятие и цель, если вы их назвали. Отдельно — короткая фраза, когда вы повторяете карточку вслух, и текст карточки при озвучивании.
Что уходит вместе со своей сценой. Если вы придумали свою ситуацию для разговора, за границу уходит она целиком: название, роль собеседника, ваша цель, ключевые фразы и условие, при котором разговор считается удавшимся. Все пять полей собраны по тому, что вы наговорили вслух о своей настоящей ситуации — работе, начальнике, деньгах, — и все пять вставляются в задание модели. В документе раньше была названа только «тема»; это было неполно.
Что уходит после звонка — пока разбор считает модель Google. Содержание разговора (транскрипт), ваши ответы в упражнениях после звонка и расшифровка того, что вы рассказали вслух, описывая свою ситуацию. Так будет до дня, когда заработает доступ к текстовой модели внутри России, — оговорка об этом стоит в конце раздела 10.
Что не уходит никогда. Адрес почты и платёжные данные (платежей в сервисе сегодня нет вовсе — см. раздел 10 и оферту). Город и список стран в модель не передаются намеренно: разговору они не нужны, а человека опознают.
Сколько это живёт у Google. На обычном платном доступе Google вправе хранить переданный запрос, контекст и ответ у себя до 55 суток. Режим нулевого хранения у нас не подключён. Наши собственные копии лежат в России и живут по срокам из раздела ниже, но на переданное Google эти сроки не распространяются.
Сохранённая запись за границу не уходит. Звуковой файл, если вы включили запись, хранится только на сервере в России. Возможность отправить его на уточнённую расшифровку через реле в коде есть, но она выключена и включена не будет, пока это не описано отдельно и не согласовано с вами.
Точное юридическое лицо Google, с которым заключён договор, полный перечень стран, где оно обрабатывает переданное, и условия этого договора — на момент этой редакции не зафиксированы. До того как они зафиксированы, мы не можем назвать здесь конкретные страны, кроме Финляндии, где стоит наше реле, и не станем называть их наугад.
Сроки ниже исполняет автоматическая чистка, которая проходит каждую ночь. Там, где в столбце «Срок» стоит «до удаления аккаунта», чистка ни при чём: эти данные снимает само удаление аккаунта, одной транзакцией, в тот момент, когда вы его удаляете.
| Что | Срок | Что происходит потом |
|---|---|---|
| Запись голоса | 14 дней | файл удаляется. Если вы выключите тумблер записи, всё записанное удаляется сразу, не дожидаясь срока |
| Транскрипт звонка | 90 дней | текст разговора удаляется |
| Уточнённая расшифровка записи | 14 дней | удаляется вместе с самой записью: это тот же ваш голос, только буквами, и оставить её значило бы оставить то, что обещано удалить. Выключите тумблер записи — исчезает сразу |
| Краткое резюме разговора | до удаления аккаунта | своего срока у него нет: это пересказ в несколько строк, написанный моделью, а не ваша речь. На нём держится то, ради чего к собеседнику возвращаются, — он помнит, о чём вы говорили в прошлый раз. Ваши дословные фразы из того разговора к этому времени уже удалены, а резюме удаляется вместе с аккаунтом, в тот же момент |
| Ваши фразы в разборе звонка | 90 дней | цитаты удаляются, разбор остаётся без них |
| Ваши фразы в карточках | 90 дней | фраза со звонка и то, как вы сказали, удаляются; слово и перевод остаются — это учебный материал, а не ваша речь |
| Распознанное при повторении карточки вслух | 90 дней | удаляется |
| Рассказ вслух при описании своей ситуации | 90 дней | расшифровка удаляется, сама ситуация остаётся |
| Упражнения после звонка и ответы в них | 30 дней | удаляются целиком |
| Коды входа | 24 часа | удаляются |
| Сессии входа | 60 дней | после этого срока сессия перестаёт пускать, а её строка удаляется ночной чисткой. Выход из аккаунта удаляет её сразу |
| IP-адрес звонка | пока жив аккаунт | обнуляется в момент удаления аккаунта. Отдельного срока у него сегодня нет: ночная чистка его не трогает — см. оговорку под таблицей |
| Журнал обращений к платным моделям | 7 дней | удаляется |
| Профиль, карточки и настройки | пока жив аккаунт | удаляются вместе с аккаунтом |
| Журнал согласий | бессрочно | не удаляется по сроку: иначе основание для уже состоявшихся звонков исчезло бы раньше самих звонков |
| Отпечаток адреса почты | бессрочно | переживает удаление аккаунта — см. следующий раздел |
| Обезличенные строки о звонках | бессрочно | остаются после удаления аккаунта: к этому моменту из строки убраны и идентификатор, и IP-адрес, и по ней уже нельзя понять, кто звонил. Пока аккаунт жив, строка звонка обезличенной не является |
| Платёжные и бухгалтерские документы | срок по закону | платежей в сервисе сегодня нет, и таких документов у нас пока не существует ни одного. Когда оплата появится, они будут храниться столько, сколько предписано законом, и по просьбе не удаляться |
Срок хранения IP-адреса звонка не установлен. В коде он стирается ровно в одном месте — при удалении аккаунта. У того, кто аккаунт не удалял, IP каждого звонка лежит столько же, сколько сам аккаунт. У гостя, попробовавшего демо на сайте, аккаунта нет вовсе — значит, нет и события, которым его IP обнулился бы: сегодня такой адрес остаётся навсегда. Правильно завести для IP отдельный срок в ночной чистке и написать его в таблице выше; до тех пор мы называем это здесь.
Срок хранения служебных журналов сервера и резервных копий базы данных на момент этой редакции не установлен. Это значит, что адрес почты и другие данные могут прожить в них дольше, чем сказано в таблице выше. Срок будет установлен и записан здесь до запуска продаж.
Удалить всё. Кнопкой «Удалить аккаунт и данные» в профиле приложения: оно сначала покажет список того, что исчезнет, и попросит подтвердить. Второй способ — письмом на hi@callen.ru с того адреса, на который заведён аккаунт: мы удалим и ответим, что удалили.
Отозвать согласие на передачу голоса и контекста Google. Отдельной кнопки отзыва в приложении сегодня нет — говорим прямо, а не отправляем искать. Отзыв делается письмом на адрес выше; он означает, что звонки из приложения прекращаются: без этой передачи разговор технически не состоится. Всё остальное — карточки, упражнения, повторения — продолжает работать. Удаление аккаунта кнопкой из первого пункта прекращает передачу вместе со всем остальным.
Отозвать согласие на запись голоса. Выключите тумблер в профиле. Всё уже записанное удаляется в тот же момент, а не через две недели.
Выключить напоминания. Переключателем в профиле; подписка вашего браузера при этом удаляется.
Отзыв согласия не отменяет того, что было обработано на его основании раньше, — но обработка на будущее прекращается.
Сказать «не осталось ничего» было бы неправдой. Остаётся пять вещей, и мы называем все пять.
Должен ли журнал согласий переживать удаление аккаунта — не решено. С одной стороны, без него исчезает доказательство согласия на уже состоявшиеся звонки. С другой — в нём остаётся идентификатор, который при входе по почте образован от вашего адреса. Сегодня журнал остаётся; окончательное решение принимает юрист, и оно будет записано здесь.
Вы вправе:
Все эти права реализуются письмом на hi@callen.ru с адреса, на который заведён аккаунт. Если письмо приходит с другого адреса, мы попросим подтвердить, что аккаунт ваш: выдать чужие разговоры тому, кто просто знает чужую почту, мы не имеем права.
Мы не утверждаем, что защита абсолютна, — так не бывает. Мы перечисляем то, что действительно сделано.
Ничего не уходит никуда. На сайте нет счётчиков посещаемости, рекламных пикселей и кнопок соцсетей, и страница не загружает ни одного файла с чужого сервера: шрифты, стили и картинки лежат на нашем домене.
Так было не всегда, и об этом честнее сказать. До 29 августа 2026 года шрифты подключались с серверов Google — то есть браузер каждого, кто открывал страницу, сам обращался к Google и сообщал ему свой IP-адрес, версию браузера и адрес открытой страницы, ещё до единого нажатия. Шрифты перенесены к нам, и этого обращения больше нет.
Что мы храним в вашем браузере — полный перечень. Рекламных и аналитических файлов среди этого нет ни одного: счётчиков на сайте нет вовсе.
Последние три записи на сервер не уходят вовсе: они лежат только в вашем браузере, мы их не читаем и в чужие руки они не попадают. Стереть их можно очисткой данных сайта в браузере; ответ на вопрос о cookies можно изменить кнопкой «Настройки cookie» в подвале любой страницы. Подробнее — в документе Файлы cookie.
Разговор свободный, и в нём легко сказать лишнее. Всё сказанное попадает в транскрипт и уходит в модель за границу вместе с остальным разговором — поэтому про специальные категории данных мы говорим отдельно и прямо.
Про здоровье мы обязаны сказать честно: одна из сцен сама предлагает о нём говорить. Среди готовых сцен есть «У врача»: персонаж играет врача на приёме, а ваша задача — объяснить, что болит, и понять назначение. Это ровно то, ради чего люди и учат язык, и убирать сцену мы не стали. Но это ролевая игра, а не приём: симптомы в ней придуманные, персонаж не врач и лечить не может, а называть свои настоящие диагнозы, препараты и аллергии не нужно — тренируются формулировки, а не ваша история болезни. Выдуманная боль в горле работает для практики ровно так же, как настоящая, и в транскрипт при этом попадает выдуманная. По той же причине в сцене «Ресторан», где надо заказать еду с учётом ограничения, достаточно сказать «I don't eat meat» — объяснять настоящую причину ограничения незачем.
Обо всём остальном мы не спрашиваем. Ни персонаж, ни анкета не задают вопросов о политических взглядах, религии, интимной жизни и судимостях. Но если вы расскажете это сами, сказанное попадёт в транскрипт наравне с остальным.
То же касается других людей: имена, диагнозы, зарплаты и обстоятельства ваших знакомых и коллег — это их данные, а согласия они не давали.
Поэтому просьба простая: не называйте вслух то, что не должно оказаться в чужой системе. Для разговорной практики это ничего не портит — собеседнику всё равно, настоящее имя вашего начальника или выдуманное.
Как именно поступать со специальными категориями данных и сведениями о третьих лицах, если они всё-таки прозвучали, — не решено. Сегодня они попадают в транскрипт и удаляются вместе с ним по общему сроку. Отдельная процедура будет описана здесь.
Сервис предназначен для взрослых: пользоваться им можно с 18 лет. Данные детей мы осознанно не обрабатываем; если выяснится, что аккаунт завёл несовершеннолетний, аккаунт и связанные с ним данные будут удалены.
Официальная возрастная категория информационной продукции по закону о защите детей от вредной информации для сервиса не определена. Она будет указана до запуска продаж.
Собрано в одном месте всё, что в этом документе пока не решено:
Мы предпочитаем назвать это списком, а не заполнить придуманными ответами.
Пишите на hi@callen.ru. В обращении укажите адрес, на который заведён аккаунт, и что именно вы просите: сведения об обработке, копию данных, исправление, удаление или отзыв согласия.
Отвечаем в срок, установленный законом, — не позднее десяти рабочих дней со дня обращения. Срок может быть продлён не более чем на пять рабочих дней, и в этом случае мы сообщим вам о продлении и о причине.
Если ответ вас не устроил, вы вправе обратиться в Роскомнадзор или в суд.
Действующая редакция всегда лежит по этому адресу, и дата редакции стоит вверху страницы. Если изменится что-то существенное — состав данных, получатели, страны передачи или сроки хранения, — мы сообщим об этом в приложении или письмом, а не молча заменим текст.
Отдельно: замена текста согласия — это всегда смена его версии. Так в журнале видно, кто соглашался на какую редакцию, и прежние записи не становятся ложными.
Callen — разговорная практика по-английски с ИИ-персонажами.
Вопросы по этому документу: hi@callen.ru