Конфиденциальность

Последнее обновление 18 августа 2026 года.

Memono сделан так, чтобы эта страница могла быть короткой.

Ничего не собирается

Ни аккаунта, ни аналитики, ни слежки, ни сторонних SDK. Ни о вас, ни о ваших вещах ничего не собирается, и ничто никуда не уходит само. В сеть выходят ровно пять вещей, и каждая потому, что вы попросили: передать или одолжить что-то другому человеку, открыть кому-то общий дом, синхронизация с iCloud, которая выключена, пока вы её не включите, и идёт в ваш iCloud, а не к нам, форма отзыва, которая несёт набранный вами текст и ничего больше, и вопрос о том, сколько вещь стоит — единственное из пяти, что отправляет фотографию.

Всё остаётся на вашем телефоне

Ваши снимки, сделанные из них вырезки, а также названия, коробки и категории, которые вы им дали, хранятся в собственной базе приложения на вашем устройстве. Вырезание, догадка о том, что это за вещь, чтение напечатанных на ней слов и узнавание того, что вы уже когда-то снимали, — всё работает на железе самого телефона.

Камера и медиатека

Memono просит камеру или медиатеку, когда вы добавляете вещь, и пользуется ими, чтобы снять или выбрать нужный вам снимок. Сканирование комнаты пользуется камерой так же, и остаётся от него форма комнаты, а не её снимок: стены, двери и мебель, которая в ней стоит. Всё это обрабатывается на устройстве, и ничего не уходит наружу.

Поднести камеру к вещи и спросить, есть ли такая у вас уже и куда её класть, — единственное место, где камера работает без снимка. Пока этот экран открыт, приложение читает картинку с объектива несколько раз в секунду, чтобы сравнить увиденное с тем, что вы уже разложили. Каждый кадр читается на телефоне и тут же выбрасывается: ни один не сохраняется, не добавляется к вашим вещам, не попадает в медиатеку и никуда не отправляется. Наведением ничего не заводится. Закройте экран — и чтение прекратится.

Синхронизация с iCloud

Выключена, пока вы не включите её в Настройках. Включённая, она держит ваши вещи в вашей собственной приватной базе iCloud, которая принадлежит Apple и вам: у нас нет к ней доступа и нет способа его попросить. Она существует потому, что ничто написанное на телефоне не переживает удаления приложения, а копия в вашем собственном iCloud — единственная копия, которую стоит иметь.

Выключите её — и телефон снова держит всё у себя. Ничто, связанное с синхронизацией, никогда не включается за вас.

Блокировка приложения

Перед приложением можно поставить Face ID, Touch ID или код-пароль, а отдельные вещи пометить как личные, чтобы они не показывались на экранах, пока не снята блокировка. Этим занимается система: Memono сообщают «да» или «нет», и он никогда не видит ни вашего лица, ни отпечатка, ни кода.

Отдать или одолжить кому-то вещь

Передать вещь другому человеку можно двумя способами, и устроены они по-разному. Это одно из трёх мест, где Memono вообще что-то кладёт на нашу машину. Два других — представление, которое вы отправляете, присоединяясь к чужому дому, и фотография, которую вы отправляете, спрашивая, сколько вещь стоит. Обо всех трёх стоит сказать точно.

Файлом — по AirDrop или вложением — вещь идёт прямо с вашего телефона на чужой. Ничего не загружается и нигде по дороге не хранится.

Ссылкой — вещь кладётся туда, откуда её сможет забрать другой телефон, потому что только так ссылка выходит достаточно короткой, чтобы её отправить. Прежде чем покинуть ваш телефон, она шифруется, а ключ к ней кладётся в ту часть веб-адреса, что стоит после #: единственную часть URL, которую ни один браузер и ни одно приложение никогда не отправляет на сервер. Ключ доезжает до того, кому вы отправили ссылку, и не достаётся больше никому, включая нас. Хранится файл из случайных на вид байтов под случайным именем — мы не можем его прочесть и не смогли бы никому передать в пригодном виде.

Она удаляется, как только другой человек её забрал, и в любом случае через тридцать дней. Пока её не забрали, вещь всё ещё ваша: она стоит в своей коробке, и вы можете забрать её назад в любой момент — тогда ссылка перестаёт работать.

После того как вещь забрали, что с ней делать — дело того человека, как и со всем прочим, что вы кладёте в сообщение.

Одалживание устроено так же, только кончается иначе: ссылка кладёт вещь на чужой телефон как взятую у вас, а оригинал никогда не покидает ваш. Свёрток запечатан ровно так же, как при передаче насовсем. Внутри едет одна лишняя вещь: имя, которое вы выбрали в Memono, потому что «взято у Aki» — это то, ради чего чужой экран и существует. Оно уходит к нему и больше ни к кому, включая нас.

Напоминание об одолженной вещи — ещё один запечатанный файл на той же полке, под случайным на вид именем, которое умеют вычислить только два телефона, и внутри намеренно ничего нет: зашифрованная отметка времени и никакого сообщения. Слова, которые читает взявший вещь, складывает его собственный телефон из того, что у него уже есть. Пока одолженное у вас, Memono время от времени, в том числе в фоне, проверяет это одно место, чтобы стук владельца дошёл до вас уведомлением; каждая проверка несёт случайное имя и ничего больше и не сообщает нам ничего ни об одном из телефонов. Напоминание уходит с полки в тот миг, когда его увидели, и в любом случае через тридцать дней.

Весть о том, что одолженное вернулось домой, проходит той же дорогой в обратную сторону, один раз. Когда взявший нажимает «Я вернул», его телефон оставляет на полке ещё одну запечатанную отметку времени, под вторым именем, которое умеют вывести только эти два телефона. Пока ваша вещь в чужих руках, ваш Memono проверяет то место точно так же, и когда весть там, он закрывает одалживание на вашей стороне и говорит, что вещь вернулась; слова на вашем экране складывает ваш собственный телефон — из имени, которое вы сами написали, когда одалживали. Правила те же на всём пути: внутри нечего прочесть, каждая проверка несёт только случайное имя, а файл исчезает в тот миг, когда его забрали, или в любом случае через тридцать дней.

Двое могут держать один дом на двоих, а другу можно одолжить одну коробку. И то и другое работает через iCloud, так что обоим нужна включённая синхронизация, и общее остаётся в iCloud того, кому оно принадлежит: его снимки, из его места, на машинах Apple, а не на наших.

Другому достаётся то, чем поделились, и ничего сверх. Домашние делят весь дом. Друг, которому одолжили коробку, получает эту коробку и то, что в ней. Комната, в которой она стоит, а значит и место в вашем доме, намеренно не едет вместе с ней.

Одна ссылка не впускает никого. Приглашение — это адрес, а не ключ, и общий доступ никогда не принимает «любого, у кого она есть». Рядом со ссылкой владелец зачитывает шестизначный код, который есть на его экране и больше нигде. Тот, кто присоединяется, набирает этот код и пишет своё имя, и отправляемое шифруется ключом, сделанным из кода, ещё до того, как покинет его телефон. Владелец видит имя и решает. Только тогда этот человек вписывается в общий доступ, и только с этого мгновения ссылка что-то значит для его телефона.

Это представление — второе из трёх, что Memono кладёт на нашу машину, и это имя и анонимный идентификатор, под которым iCloud уже хранит этого человека: ни адреса почты, ни номера телефона. Оно уходит на ту же полку, что и переданная вещь, запечатанное так же и так же нечитаемое для нас. Код действует сутки и уходит в отставку в тот миг, когда впустил кого-то.

Ответ того, кого впустили только смотреть. Когда кто-то в доме не может найти вещь, ответить может любой из домашних — в том числе тот, чьему телефону позволено лишь смотреть на общее. Его слова уходят ещё одним запечатанным файлом на ту же полку, под случайным на вид именем, которое умеют вычислить только телефоны внутри этого дома, зашифрованные ключом, выросшим из самой сущности вещи, о которой никто снаружи дома не знает: мы не прочли бы оттуда ни слова, даже если бы захотели. Внутри — набранная им фраза и тот же анонимный идентификатор, что несёт представление, чтобы ответ мог сказать, кто ответил. Телефон, объявивший поиск, забирает его, и файл уходит с полки; невостребованный, он исчезает через тридцать дней, как и всё там.

Из общего дома каждый может уйти когда захочет, и владелец может вывести оттуда кого угодно. В обоих случаях копия общего с того телефона стирается. Не возвращается одно: коробка, которую кто-то перенёс в ваш дом, — она была отдана дому, и уход её не забирает. Приложение говорит об этом до того, как вы уйдёте.

Форма отзыва

В Настройках есть страница, чтобы сказать нам, что вы думаете, и она уходит только когда вы нажимаете «Отправить». Едут набранные вами слова, какой из трёх видов сообщения вы выбрали, версия приложения и язык, на который оно настроено. Больше ничего: ни имени, ни аккаунта, ни какого бы то ни было идентификатора, и совсем ничего о ваших коробках и о том, что в них.

Она не идёт через Почту. Окно письма отправило бы её с вашего собственного адреса, хотите вы того или нет, и вовсе не открылось бы на телефоне без настроенной почты. Вместо этого приложение передаёт сообщение ретранслятору форм Formspree, который превращает его в письмо и пересылает нам. Их серверы видят сообщение по дороге, и ничего вашего там сверх этого не остаётся.

Если хотите ответ, есть поле для адреса — только так он у нас и появится. Оставьте его пустым, и сообщение придёт без дороги обратно к вам; именно так оно и приходит, если вы не решите иначе.

Вопрос о том, сколько вещь стоит

Memono может спросить у Google, что это за вещь, и предлагает это в двух местах. Есть кнопка на самой вещи и есть карточка, которая появляется, когда вы швыряете что-то через груду: она спрашивает, нужна ли вам ещё эта вещь, и предлагает посмотреть, за сколько такую продают. И то и другое — предложение: никуда ничего не уходит, пока вы не нажмёте на то, что спрашивает. Карточку можно выключить в Настройках, в разделе конфиденциальности, а кнопка навсегда остаётся просто кнопкой.

Это единственное в Memono, что вообще куда-то отправляет фотографию, и стоит понять, почему иначе нельзя.

Google Объектив показывает ответ только тому, кто спросил, а телефон не может спросить за браузер: картинка должна лежать по адресу, на который браузер укажет Google. Поэтому вырезка уходит на нашу машину под случайным именем, Safari открывает Google Объектив на этом адресе, и Google забирает её один раз. Уезжает только вырезка самой вещи. Ни названия, ни коробки или комнаты, где она стоит, ни дома, ни других ваших снимков, и ничего, что опознаёт вас или телефон.

Эта фотография не шифруется — весь смысл её отправки в том, чтобы чужой компьютер смог её прочесть. Прочесть её может и любой, у кого есть адрес, а адрес — это сто двадцать восемь случайных бит, существующих в одной-единственной ссылке. После того как Google посмотрел, что он делает с этой фотографией, определяет политика конфиденциальности Google, а не эта страница.

Фотография удаляется в течение тридцати дней, спросите вы ещё раз или нет. О том, о каких вещах вы спрашивали, когда и что вернулось, не остаётся ничего.

Удаление

Удалите вещь — и её нет. Удалите приложение — и всё, что было на телефоне, уйдёт вместе с ним. Копия существует где-то ещё только там, куда вы её положили, и способов это сделать четыре: то, что лежит в вашем собственном iCloud, если вы включили синхронизацию, — удалять его вам; вещь, которую вы кому-то передали, — мы не можем её прочесть, и она удаляется сама в течение тридцати дней; фотография, отправленная, чтобы спросить, сколько вещь стоит, — уходит так же, за тридцать дней; и то, чем вы делитесь с другим человеком, — оно лежит на его телефоне, пока вы делитесь. Прекратите делиться или заберите одолженную коробку — и его копия уйдёт вместе с доступом.

Если что-то из этого изменится в следующей версии, эта страница изменится первой.