Dursil Privacy Policy

This policy describes exactly what Dursil reads, transmits, and stores. It is written to match how the app actually works. Dursil is built around one promise: your heartbeat is felt in the moment and then it is gone.

Dursil ships in the App Store Health & Fitness category, because reading a live heart rate and remotely starting the sensor on a paired person's Apple Watch both rely on Apple's HealthKit. The category is about the data source, not the purpose: Dursil is for emotional closeness, and it never turns your heart rate into a metric, a chart, or a history.

1. What we read

Heart rate (via Apple HealthKit). When a friend you have allowed feels you, your Apple Watch reads your live heart rate during an active workout session. This reading happens on your device and only while that session is running. When the session ends — because it times out, either person stops it, or you revoke consent — the reading stops.

Our HealthKit access is read-only, heart rate only. We do not request write (share) access to Health, and we do not read any other Health data (no steps, sleep, workout history). watchOS delivers live heart rate only inside a workout session, so your watch starts a short “mind and body” session while you are being felt; it runs without a workout builder and the workout is discarded when the session ends, so nothing is written to Health.

To start that session on your watch when a friend with anytime permission taps your name, your iPhone uses Apple's startWatchApp mechanism to launch the Dursil watch app. This is a HealthKit capability, which is one reason Dursil is a Health & Fitness app.

Watch on the wrist. Outside sessions, if "Show when my watch is on" is enabled (it is by default), your iPhone reads from Health only the time of the latest heart-rate sample your Apple Watch recorded, and sends that time. The value is never sent or stored.

If you choose to find friends in your contacts, Dursil reads the email addresses in the contacts you share with it, on your iPhone, turns each into a one-way hash there, and sends only the hashes for a single comparison; nothing from your contacts is stored. We do not read your photos, location, or microphone.

2. What we transmit

Live beats-per-minute (BPM), in the moment. While a session is active, each heart-rate value is sent as a small message ({bpm, ts} — a number and a timestamp) through our relay server to the specific paired person who is currently feeling you and whom you have consented to. The relay checks that you two are a mutual pair, that your consent for them is not off, that you are not paused or inside your quiet hours, and that you are under your daily cap, then passes the value through to their device to be felt as taps on their wrist, and does not keep it.

BPM is only transmitted while a session is live. Nothing is transmitted when no session is running.

Wake and request signals. To start a session, a small control message travels through the relay so your watch can begin measuring. If your iPhone is off, offline, or has the app suspended, the automatic start cannot reach it, and instead you receive a notification you can tap to share your heartbeat — remote start is best-effort, never guaranteed. In ask mode, the friend's request arrives as a notification you accept or decline. A notification never contains a heart-rate value.

3. What we store

• Account identity from Sign in with Apple: a stable user identifier, and — if you shared your email when signing in — a keyed one-way hash of that email (never the address itself) so friends who have it in their contacts can find you. If you chose Hide My Email, nothing about your email is stored.
• Display name — on your first sign-in, the name you chose to share with Apple, which you can edit at any time.
• Pair graph — who you are paired with (a pair exists only when both people accepted), plus the invite codes you create until they are used or expire.
• Per-friend consent — for each friend, your mode (anytime, ask, or off) and the maximum session length you allow them, plus any blocks.
• Your settings — quiet hours and time zone, whether you are globally paused, your daily cap on being felt, your presence visibility, and whether you want “someone wanted to feel you” notifications.
• Daily usage counter — the number of seconds you were felt today, kept only to enforce your daily cap. It is a duration, never a heart-rate value.
• Devices — your registered iPhone and Apple Watch (a device identifier, the platform, and a push token) so we can wake the right watch and send notifications.
• Moments (optional, off by default) — a private log of sessions, showing only who and how long (for example “You felt Mom, 3 min” / “Dad felt you, 2 min”). It is written only when both people have turned Moments on, contains no heart-rate values, and you can delete any entry.
• Sign in with Apple refresh token — kept for one purpose only: to revoke your Sign in with Apple authorization at Apple when you delete your account.

We do not store heart-rate values, session recordings, or any history of what a heartbeat felt like.

3a. Friends, @usernames and your watch status

• @username — the unique name you choose so friends can find you. Anyone signed in to Dursil with an Apple Watch can find you by it, unless you turn off "Find me by @username".
• Friend requests — who asked whom and when, until the request is accepted, declined or withdrawn. Declining is silent: the sender only sees the request disappear.
• Watch on the wrist — the time of the latest heart-rate sample your Apple Watch recorded, never the value. Apple Watch measures heart rate only while worn, so your friends see when your watch was last on, a few minutes late. Turn off "Show when my watch is on" and that time is no longer read, sent or shown.
• Email hash for finding friends — see section 3. Turn off "Find me by my Apple email" to stop being found that way.
• Apple Watch — whether your account has an Apple Watch with Dursil, because Dursil is only for Apple Watch owners.

4. What we do NOT do

• We do not store or log your heart-rate values.
• We do not ask for, receive, or store your email address.
• We do not use Health data for advertising. We show no ads at all.
• We do not sell, rent, or trade your personal data.
• We do not build a health profile about you, and we never chart, score, or interpret your heart rate — being a Health & Fitness app does not change that.
• We do not share your data with third parties except the infrastructure needed to run the service (hosting/push), and never for their own purposes.

5. Consent and control

• Mutual pairing: a heartbeat link exists only if both people accepted.
• The listener starts, on your standing terms. You decide, per friend, whether they can feel you anytime, must ask first, or off. In anytime you can be felt without a prompt each time — but only within the limits you set.
• Your limits: quiet hours (no sessions during them), a global pause that stops everyone at once, a maximum length per session, and a daily cap on total time felt.
• Always visible, never silent: whenever someone is feeling you, your watch and phone show a live indicator naming them, with a one-tap Stop.
• Revoke any time: changing a friend to off, pausing, blocking, or removing the pair ends any live session with them immediately and stops all future ones.
• Presence: “online” means that person’s Dursil app is connected to our relay on their iPhone or Apple Watch; the extra “watch” mark means their Watch app is reachable right now, and during a session that heart-rate samples are arriving. It is not wrist detection — Apple gives apps no way to tell whether a watch is on a wrist — and it carries no health information. Only your mutual pairs can see it, and you can narrow that further in settings.

6. The feeling ends if the listener leaves the app

On the listener’s side, the taps are produced by a mindfulness runtime session on their Apple Watch. The screen can be off and the wrist down, but if the listener leaves the Dursil app, the feeling stops. We state this plainly so no one expects a heartbeat to run in the background forever.

7. Sign in with Apple

Dursil uses Sign in with Apple as its only sign-in method. We request your name and your email. The email is used only as described in section 3a: turned into a keyed one-way hash for finding friends, never stored as an address, never used to contact you. Apple gives us a stable identifier for your account and, on your first sign-in, the name you chose to share (it becomes your editable display name). We do not receive your Apple password. When you delete your account we also ask Apple to revoke the Sign in with Apple authorization you granted Dursil.

8. Data retention and deletion

• Heart-rate values: not retained (relayed and dropped in real time).
• Account, display name, pair graph, per-friend consent, settings, daily usage counter, devices, optional Moments, and the Apple refresh token: retained while your account exists.
• Delete your account in the app (or by contacting us). Deletion removes your account, your pairs, your consent and settings, your daily usage counter, your devices, your Moments and your invite codes, and revokes the Sign in with Apple authorization. Because we never stored your heart data, there is no heart-rate history to delete.

9. Children

Dursil is not directed at children. You must be at least 13 years old (or the older minimum age required in your country) to use Dursil, and the app asks you to confirm that before you get started. We do not knowingly collect data from anyone below the minimum age.

10. Not a medical device

Dursil is an emotional connection app, not a medical or diagnostic tool. The heartbeat you feel is a rhythm reproduction at the real BPM, not a clinical signal. Do not use Dursil to monitor a medical condition or make health decisions. If you have a health concern, consult a qualified professional.

11. Security

Data in transit is protected with TLS (the live stream runs over secure WebSockets; when a watch cannot hold a socket it uses the same TLS-protected HTTP endpoints). Every request and every live connection is authenticated with a session token issued after Sign in with Apple; stored account data is readable only by the relay service. Because we never store heart-rate values, the most sensitive data simply does not persist.

12. Changes to this policy

If we change this policy we will update the date at the top and, for material changes, notify you in the app.

13. Contact

Questions or requests: privacy@dursil.app.

Политика конфиденциальности Dursil

Обновлено: 30 сентября 2026 · Контакт: privacy@dursil.app

Эта политика точно описывает, что Dursil читает, передаёт и хранит. Она написана так, как приложение реально работает. Dursil построен вокруг одного обещания: ваше сердцебиение чувствуется в моменте — и затем исчезает.

Dursil выходит в App Store в категории «Здоровье и фитнес», потому что и чтение живого пульса, и удалённый запуск датчика на часах человека из пары опираются на Apple HealthKit. Категория — про источник данных, а не про цель: Dursil создан для эмоциональной близости и никогда не превращает пульс в показатель, график или историю.

1. Что мы читаем

Пульс (через Apple HealthKit). Когда разрешённый вами друг чувствует вас, ваши Apple Watch читают ваш живой пульс во время активной тренировочной сессии. Чтение происходит на вашем устройстве и только пока идёт эта сессия. Когда сессия заканчивается — по таймауту, потому что кто-то её остановил или потому что вы отозвали согласие — чтение прекращается.

Наш доступ к HealthKit — только на чтение и только пульс. Мы не запрашиваем доступ на запись в Health и не читаем никакие другие данные Health (ни шаги, ни сон, ни историю тренировок). watchOS отдаёт живой пульс только внутри тренировочной сессии, поэтому на время, пока вас чувствуют, ваши часы запускают короткую сессию «осознанность»; она работает без workout-билдера, а сама тренировка отбрасывается по завершении сессии, так что в Health ничего не записывается.

Чтобы запустить эту сессию на ваших часах, когда друг с правом «в любое время» нажимает ваше имя, ваш iPhone использует механизм Apple startWatchApp для запуска приложения Dursil на часах. Это возможность HealthKit — одна из причин, почему Dursil относится к «Здоровью и фитнесу».

Часы на руке. Вне сессий, если включено «Показывать, когда часы на мне» (по умолчанию включено), iPhone читает из «Здоровья» только время последнего замера пульса вашими Apple Watch и отправляет это время. Значение никогда не отправляется и не хранится.

Если вы решите найти друзей в контактах, Dursil читает адреса email в тех контактах, к которым вы дали доступ, на вашем iPhone, превращает каждый в необратимый хэш прямо там и отправляет только хэши для однократного сравнения; из контактов ничего не сохраняется. Мы не читаем ваши фото, геолокацию или микрофон.

2. Что мы передаём

Живой пульс (BPM) в моменте. Пока сессия активна, каждое значение пульса отправляется маленьким сообщением ({bpm, ts} — число и метка времени) через наш сервер-ретранслятор конкретному человеку из вашей пары, который сейчас вас чувствует и на которого вы дали согласие. Ретранслятор проверяет, что вы взаимная пара, что ваше согласие для него не «нет», что вы не на паузе и не в тихих часах и что вы не превысили дневной лимит, затем передаёт значение на его устройство, чтобы оно почувствовалось как касания на запястье, и не сохраняет его.

Пульс передаётся только во время активной сессии. Без сессии ничего не передаётся.

Сигналы запуска и запроса. Чтобы начать сессию, через ретранслятор проходит маленькое служебное сообщение, чтобы ваши часы начали измерять. Если ваш iPhone выключен, оффлайн или приложение выгружено, автоматический запуск до него не дойдёт, и вместо этого вы получите уведомление, которое можно нажать, чтобы поделиться сердцебиением, — удалённый запуск делается «по возможности» и никогда не гарантирован. В режиме «спрашивать» запрос друга приходит уведомлением, которое вы принимаете или отклоняете. Значение пульса в уведомление не попадает никогда.

3. Что мы храним

• Личность аккаунта из «Входа с Apple»: стабильный идентификатор и — если при входе вы поделились email — ключевой необратимый хэш этого email (никогда не сам адрес), чтобы вас могли найти друзья, у которых он есть в контактах. Если вы выбрали «Скрыть e-mail», про ваш email ничего не хранится.
• Отображаемое имя — при первом входе то имя, которым вы решили поделиться через Apple; его можно изменить в любой момент.
• Граф пар — с кем вы в паре (пара существует, только если оба согласились), а также созданные вами коды-приглашения, пока они не использованы или не истекли.
• Согласие по каждому другу — для каждого друга ваш режим («в любое время», «спрашивать» или «нет») и максимальная длина сессии, которую вы ему разрешаете, а также любые блокировки.
• Ваши настройки — тихие часы и часовой пояс, стоите ли вы на общей паузе, ваш дневной лимит на то, сколько вас чувствуют, видимость присутствия и хотите ли вы уведомления «кто-то хотел вас почувствовать».
• Счётчик дневного использования — сколько секунд вас сегодня чувствовали, хранится только чтобы соблюдать ваш дневной лимит. Это длительность, а не значение пульса.
• Устройства — ваши зарегистрированные iPhone и Apple Watch (идентификатор устройства, платформа и токен push), чтобы разбудить нужные часы и отправлять уведомления.
• Моменты (необязательно, по умолчанию выключено) — приватный журнал сессий, показывающий только кто и как долго (например, «Вы почувствовали маму, 3 мин» / «Папа почувствовал вас, 2 мин»). Он пишется только если оба человека включили «Моменты», не содержит значений пульса, и любую запись можно удалить.
• Refresh-токен «Входа с Apple» — хранится ровно для одного: отозвать у Apple выданную Dursil авторизацию, когда вы удаляете аккаунт.

Мы не храним значения пульса, записи сессий или историю того, каким было сердцебиение.

3а. Друзья, @ники и статус часов

• @ник — уникальное имя, которое вы выбираете, чтобы вас находили друзья. Найти вас по нему может любой, кто вошёл в Dursil и у кого есть Apple Watch, если вы не выключили «Находить меня по @нику».
• Заявки в друзья — кто кого пригласил и когда, пока заявку не приняли, не отклонили или не отозвали. Отказ беззвучный: отправитель видит только, что заявка исчезла.
• Часы на руке — время последнего замера пульса вашими Apple Watch, никогда не значение. Часы меряют пульс только на руке, поэтому друзья видят, когда часы были на вас, с задержкой в несколько минут. Выключите «Показывать, когда часы на мне» — и это время больше не читается, не отправляется и не показывается.
• Хэш email для поиска друзей — см. раздел 3. Выключите «Находить меня по почте Apple», чтобы вас не находили так.
• Apple Watch — есть ли у вашего аккаунта Apple Watch с Dursil, потому что Dursil только для владельцев Apple Watch.

4. Чего мы НЕ делаем

• Мы не храним и не логируем значения вашего пульса.
• Мы не запрашиваем, не получаем и не храним ваш email.
• Мы не используем данные Health для рекламы. У нас нет рекламы вообще.
• Мы не продаём, не сдаём в аренду и не обмениваем ваши персональные данные.
• Мы не строим ваш медицинский профиль и никогда не рисуем графики, не выставляем оценки и не интерпретируем ваш пульс — принадлежность к «Здоровью и фитнесу» этого не меняет.
• Мы не передаём данные третьим сторонам, кроме инфраструктуры, нужной для работы сервиса (хостинг/push), и никогда — для их собственных целей.

5. Согласие и контроль

• Взаимная пара: связь сердцебиений существует, только если оба согласились.
• Слушатель начинает — на ваших постоянных условиях. Вы решаете по каждому другу: может ли он чувствовать вас «в любое время», должен сначала «спрашивать» или «нет». В режиме «в любое время» вас можно почувствовать без запроса каждый раз — но только в пределах, которые вы задали.
• Ваши пределы: тихие часы (в них сессий нет), общая пауза, которая разом останавливает всех, максимальная длина сессии и дневной лимит на суммарное время.
• Всегда видно, никогда не тихо: пока вас кто-то чувствует, ваши часы и телефон показывают живой индикатор с его именем и остановкой Stop в одно касание.
• Отзыв в любой момент: перевод друга в «нет», пауза, блокировка или удаление пары мгновенно завершают любую живую сессию с ним и останавливают все будущие.
• Присутствие: «онлайн» значит, что приложение Dursil этого человека подключено к нашему ретранслятору на его iPhone или Apple Watch; отдельная отметка «часы» значит, что его приложение на часах сейчас доступно, а во время сессии — что приходят значения пульса. Это не определение ношения на запястье — Apple не даёт приложениям такой возможности — и не несёт информации о здоровье. Это видят только ваши взаимные пары, и в настройках это можно сузить.

6. Ощущение прекращается, если слушатель выходит из приложения

На стороне слушателя касания создаёт сессия mindfulness на его Apple Watch. Экран может быть погашен, а запястье опущено, но если слушатель выйдет из приложения Dursil, ощущение прекратится. Мы говорим об этом прямо, чтобы никто не ждал, что сердцебиение будет вечно идти в фоне.

7. Вход с Apple

Dursil использует Вход с Apple как единственный способ входа. Мы запрашиваем имя и email. Email используется только так, как описано в разделе 3а: превращается в ключевой необратимый хэш для поиска друзей, никогда не хранится как адрес и не используется, чтобы писать вам. Apple передаёт нам стабильный идентификатор и при первом входе — имя, если вы решили им поделиться (оно становится редактируемым отображаемым именем). Ваш пароль Apple мы не получаем. При удалении аккаунта мы также просим Apple отозвать выданную Dursil авторизацию «Входа с Apple».

8. Хранение и удаление данных

• Значения пульса: не хранятся (ретранслируются и удаляются в реальном времени).
• Аккаунт, имя, граф пар, согласие по каждому другу, настройки, счётчик дневного использования, устройства, необязательные «Моменты» и refresh-токен Apple: хранятся, пока существует ваш аккаунт.
• Удалите аккаунт в приложении (или обратившись к нам). Удаление убирает ваш аккаунт, пары, согласия и настройки, счётчик дневного использования, устройства, «Моменты» и коды-приглашения и отзывает авторизацию «Входа с Apple». Поскольку мы никогда не хранили данные пульса, удалять историю пульса не требуется.

9. Дети

Dursil не предназначен для детей. Вам должно быть не менее 13 лет (или больше, если это требует ваша страна), чтобы пользоваться Dursil, и приложение просит подтвердить это перед началом работы. Мы сознательно не собираем данные лиц младше минимального возраста.

10. Не медицинское устройство

Dursil — приложение для эмоциональной связи, а не медицинский или диагностический инструмент. Сердцебиение, которое вы чувствуете, — это воспроизведение ритма на реальном BPM, а не клинический сигнал. Не используйте Dursil для мониторинга заболеваний или принятия медицинских решений. При проблемах со здоровьем обратитесь к специалисту.

11. Безопасность

Данные в передаче защищены TLS (живой поток идёт по защищённым WebSocket; когда часы не могут держать сокет, они используют те же защищённые TLS HTTP-эндпоинты). Каждый запрос и каждое живое соединение аутентифицируются сессионным токеном, выданным после «Входа с Apple»; хранимые данные аккаунта доступны только сервису-ретранслятору. Поскольку мы никогда не храним значения пульса, самые чувствительные данные просто не сохраняются.

12. Изменения политики

Если мы изменим политику, мы обновим дату вверху и для существенных изменений уведомим вас в приложении.

13. Контакт

Вопросы или запросы: privacy@dursil.app.