Tondily Privacy Policy Operator: Luxod LLC, <address>, Florida, USA. Contact: support@tondily.com; safety: safety@tondily.com. Effective date: <date>.
1. Who can use Tondily
Adults 18 and older only. We don't knowingly collect children's data; sign-up is blocked when the date of birth is under 18 <and the data is deleted — the code only blocks today, see question 6>.
2. What we collect
| What | Source | Why |
|---|---|---|
| Phone number, or Sign in with Apple / Google (email, sign-in identifier) | you, at sign-in | account access; preventing banned members from signing up again |
| Name, date of birth, gender, modes (Dating / Friends), who to show, goal, interests, languages, temperament, lifestyle, height, bio, prompt answer, city | you, in your profile | profile and matching |
| Orientation, religion, nationality, private matching preferences | you, optional | matching only: kept in a separate protected table, never shown to others, never sent to analytics |
| Profile photos | you | your profile; checked for explicit or violent content and against your verification face |
| Biometric data: face frames and a reference image | face check, only with your separate consent | confirming the photos are you and comparing new photos (section 4) |
| Location | your phone (with permission), ZIP code or chosen city | people and plans nearby; coordinates are rounded to about 1 km, others see only a rounded distance, exact coordinates are never shared |
| Phone contacts | only if you turn on "Hide from contacts" | numbers are turned into irreversible hashes on your phone; the numbers themselves never reach us |
| Messages, plans, requests, likes, matches, reports and blocks | you, while using the app | running the app and safety |
| Push token, language, time zone, last active time | your phone | notifications; daily picks in your local time |
| Support requests and image removal requests | you | replying to you |
Analytics (PostHog) and crash reports (Sentry) — <when connected>: no session replay, no orientation, religion or preferences (only the fact that a setting changed).
3. How we check content
Profile texts, plan descriptions and chat messages are automatically checked for scams, contact details in early messages and prohibited content. Some checks use Anthropic's AI service, which receives only the text being checked, without your name, ID or chat history. Profile photos are checked by Amazon Rekognition. Suspicious messages may be hidden behind a warning; ban decisions are made by human moderators.
4. Biometric data (face check)
We ask for separate consent before the face check and keep its date and text version. We receive three frames of your face from a short video (the video stays on your phone) and keep one of them as a reference to confirm you are the person in your profile photos and to compare new photos with it. The other frames are deleted right after the check. The reference is kept while you have an account, but no longer than 3 years after your last sign-in; when you delete your account, it is deleted within 24 hours. Amazon Web Services (Amazon Rekognition) performs the comparison on our behalf; files are stored in Cloudflare R2. We never sell biometric data, use it for ads or share it with other users.
5. Who we share data with
We do not sell personal data or share it for advertising. Our service providers process it on our behalf:
| Provider | Purpose |
|---|---|
| Supabase (USA) | database, sign-in, server functions |
| Cloudflare R2 | storing photos and verification frames |
| Amazon Web Services (Rekognition) | face check and photo moderation |
| Anthropic | text checks (only the text itself) |
| Google Cloud Translation | translating a message when you tap "Translate" (only that message's text) |
| Twilio | sending SMS codes |
| Expo, Apple (APNs), Google (FCM) | delivering push notifications |
| Apple, Google | Sign in with Apple / Google |
| <PostHog, Sentry> | analytics and crash reports — when connected |
| <RevenueCat, App Store, Google Play> | subscriptions — from year two |
Other members see your profile (except the sensitive fields in section 2), a rounded distance, and what you send them. The exact place of a plan is visible to its participants only.
We disclose data when the law requires it: in response to valid law enforcement requests and when reporting child sexual exploitation material to NCMEC (section 7).
6. How long we keep data
- While you have an account — your profile, photos, chats and the rest.
- When you delete your account, everything is deleted at once (your profile disappears for everyone), files within 24 hours, and copies in server backups automatically within 7 days.
- What stays after deletion:
- reports you filed — without your name;
- materials of reports about your account — 1 year after the decision, or 2 years if a violation was confirmed;
- if the account was banned — for 2 years, only encrypted fingerprints of the phone number and the Apple or Google sign-in, the reason and the dates, to prevent re-registration; we don't keep profile photos, videos or face data;
- if the account was banned for fraud — who messaged whom and when the last message was sent, until we have warned those people;
- the moderation decision log (only IDs, decisions and reasons, no message texts) — 3 years;
- the legal compliance log (image removal requests, fraud notices) — 5 years;
- material reported to NCMEC — at least 1 year after the report, in secure storage.
- Deletion may be paused in response to a preservation request from authorities (18 U.S.C. § 2703(f)) or a legal dispute.
7. Child protection law
If we learn of child sexual exploitation material, we must report it to the U.S. National Center for Missing & Exploited Children (NCMEC) and keep it securely for at least 1 year.
8. Intimate images shared without consent (TAKE IT DOWN Act)
If an intimate image of you was published without consent, send a request through <form address> or in the app (Settings → Safety); no account is needed. We will remove the image and the copies we know of within 48 hours.
9. Your choices and rights
- View and edit your profile in the app.
- Delete your account — Profile → ⚙ → Delete account, no conditions; web deletion form — <address>.
- Withdraw biometric consent — by deleting your account <or by emailing safety@tondily.com — to confirm>.
- Turn off location, contacts, camera and notification access in your phone settings.
- Questions about your data — support@tondily.com. <State-specific rights — per legal review.>
10. Security
Data is transmitted over encrypted connections; access is restricted by database rules; service keys are kept on the server only.
11. Changes
We'll notify you in the app about material changes before they take effect.
Политика конфиденциальности Tondily Оператор: Luxod LLC, <адрес>, Флорида, США. Контакты: support@tondily.com, по безопасности — safety@tondily.com. Дата вступления в силу: <дата>.
1. Кто может пользоваться Tondily
Только взрослые 18 лет и старше. Мы не собираем данные детей сознательно; при дате рождения младше 18 регистрация блокируется <и данные удаляются — сейчас в коде только блокировка, см. вопрос 6>.
2. Какие данные мы собираем
| Что | Откуда | Зачем |
|---|---|---|
| Номер телефона или вход через Apple / Google (email, идентификатор входа) | вы при входе | вход в аккаунт, защита от повторной регистрации заблокированных |
| Имя, дата рождения, пол, режимы (Свидания / Дружба), кого показывать, цель, интересы, языки, темперамент, образ жизни, рост, «О себе», ответ на вопрос, город | вы в профиле | профиль и подбор |
| Ориентация, религия, национальность, личные предпочтения подбора | вы, по желанию | только для функции подбора: отдельная защищённая таблица, другим не показываются, в аналитику не передаются |
| Фото профиля | вы | профиль; проверяются на откровенное и жестокое содержание и на совпадение с лицом из проверки |
| Биометрические данные: кадры лица и эталонный снимок | проверка лица, только с вашего отдельного согласия | подтвердить, что на фото — вы, и сверять новые фото (раздел 4) |
| Местоположение | телефон (с разрешения), индекс или выбранный город | подбор людей и планов рядом; координаты округляются примерно до 1 км, другим показывается только округлённое расстояние, точные координаты не передаются |
| Контакты телефона | только если вы включите «Скрывать от контактов» | номера превращаются в необратимые хэши на телефоне; сами номера к нам не попадают |
| Сообщения, планы, заявки, симпатии, пары, жалобы и блокировки | вы при пользовании | работа приложения и безопасность |
| Токен push-уведомлений, язык, часовой пояс, время последней активности | телефон | уведомления, подборка по местному времени |
| Обращения в поддержку и запросы на удаление изображений | вы | ответ на обращение |
Аналитика (PostHog) и отчёты об ошибках (Sentry) — <когда будут подключены>: без записи экрана, без ориентации, религии и предпочтений (передаётся только факт изменения настройки).
3. Как мы проверяем контент
Тексты профиля, описания планов и сообщения в чатах автоматически проверяются на мошенничество, контакты в первых сообщениях и запрещённый контент. Для части проверок используется ИИ-сервис Anthropic: ему передаётся только проверяемый текст, без имени, идентификатора и истории переписки. Фото профиля проверяются сервисом Amazon Rekognition. Подозрительные сообщения могут быть скрыты за предупреждением; решения о блокировке принимают люди-модераторы.
4. Биометрические данные (проверка лица)
Перед проверкой лица мы просим отдельное согласие и сохраняем его дату и версию текста. Мы получаем три кадра лица из короткого видео (само видео остаётся на телефоне) и храним один из них как эталон, чтобы подтвердить, что вы — человек на фото профиля, и сверять с ним новые фото. Остальные кадры удаляются сразу после проверки. Эталон хранится, пока у вас есть аккаунт, но не дольше 3 лет после последнего входа; при удалении аккаунта он удаляется в течение 24 часов. Сравнение выполняет Amazon Web Services (Amazon Rekognition) по нашему поручению; файлы хранятся в Cloudflare R2. Мы не продаём биометрические данные, не используем их для рекламы и не передаём другим пользователям.
5. Кому мы передаём данные
Мы не продаём персональные данные и не передаём их для рекламы. Данные обрабатывают наши поставщики по нашему поручению:
| Поставщик | Что делает |
|---|---|
| Supabase (США) | база данных, вход, серверные функции |
| Cloudflare R2 | хранение фото и кадров проверки |
| Amazon Web Services (Rekognition) | проверка лица и модерация фото |
| Anthropic | проверка текстов (только сам текст) |
| Google Cloud Translation | перевод сообщения, когда вы нажимаете «Перевести» (только текст этого сообщения) |
| Twilio | отправка SMS-кодов |
| Expo, Apple (APNs), Google (FCM) | доставка push-уведомлений |
| Apple, Google | вход через Apple / Google |
| <PostHog, Sentry> | аналитика и ошибки — когда подключены |
| <RevenueCat, App Store, Google Play> | подписки — со второго года |
Другие пользователи видят ваш профиль (кроме чувствительных полей из раздела 2), округлённое расстояние и то, что вы им пишете. Точное место плана видят только его участники.
Мы раскрываем данные по закону: по законному запросу правоохранительных органов и при сообщении в NCMEC о материалах сексуальной эксплуатации детей (раздел 7).
6. Сколько мы храним данные
- Пока у вас есть аккаунт — профиль, фото, переписка и прочее.
- При удалении аккаунта всё удаляется сразу (профиль исчезает для всех), файлы — в течение 24 часов, копии в резервных копиях сервера — автоматически в течение 7 дней.
- После удаления остаётся:
- жалобы, которые вы отправили, — без вашего имени;
- материалы жалоб на ваш аккаунт — 1 год после решения, а если нарушение подтвердилось — 2 года;
- если аккаунт заблокирован — 2 года только зашифрованные отпечатки номера телефона и входа через Apple или Google, причина и даты, чтобы нельзя было зарегистрироваться снова; фото, видео и данные лица из профиля не храним;
- если аккаунт заблокирован за мошенничество — кто с кем переписывался и когда было последнее сообщение, пока мы не предупредим этих людей;
- журнал решений модераторов (только идентификаторы, решения и причины, без текстов переписки) — 3 года;
- журнал выполнения законов (запросы на удаление изображений, уведомления о мошенничестве) — 5 лет;
- материалы, о которых мы сообщили в NCMEC, — не меньше 1 года после сообщения, в защищённом хранилище.
- Удаление может быть приостановлено по запросу властей о сохранении данных (18 U.S.C. § 2703(f)) или при судебном споре.
7. Закон о защите детей
Если мы узнаём о материалах сексуальной эксплуатации детей, мы обязаны сообщить о них в Национальный центр по делам пропавших и эксплуатируемых детей США (NCMEC) и хранить их не меньше 1 года в защищённом месте.
8. Интимные изображения без согласия (TAKE IT DOWN Act)
Если опубликовано ваше интимное изображение без согласия, отправьте запрос через форму <адрес формы> или в приложении («Настройки → Безопасность»); аккаунт для этого не нужен. Мы удалим изображение и известные нам копии в течение 48 часов.
9. Ваши права
- Посмотреть и изменить профиль — в приложении.
- Удалить аккаунт — «Профиль → ⚙ → Удалить аккаунт», без условий; веб-форма удаления — <адрес>.
- Отозвать согласие на биометрию — удалив аккаунт <или: запросом на safety@tondily.com — уточнить>.
- Отключить доступ к местоположению, контактам, камере и уведомлениям — в настройках телефона.
- Вопросы о данных — support@tondily.com. <Права жителей отдельных штатов — по проверке юриста.>
10. Безопасность
Данные передаются по защищённому соединению; доступ к ним ограничен правилами базы данных; ключи сервисов хранятся только на сервере.
11. Изменения политики
О существенных изменениях мы сообщим в приложении до их вступления в силу.