Политика конфиденциальности LocalSound

Дата вступления в силу: 27 августа 2026 г.

LocalSound — плеер вашей личной фонотеки. Приложение работает на устройстве: музыка, медиатека, история прослушиваний и настройки остаются в нём. У приложения нет аккаунтов, регистрации и серверов разработчика. Единственное, что уходит наружу само, — обезличенная статистика использования: какие экраны открывают, какими функциями пользуются, каким путём добавляют музыку и где приложение не справилось. Что именно отправляется, видно в самом приложении, и отправку можно выключить одним переключателем. Подробности — ниже.

Что хранится на устройстве

Всё — и только локально, в песочнице приложения:

аудиофайлы, которые вы добавили;
медиатека и её организация: альбомы, артисты, плейлисты, избранное, закреплённое, теги, правки метаданных и обложек;
история прослушиваний (нужна для разделов «Для вас», «Часто слушаете», «Твой месяц») — её можно очистить: Настройки → Хранилище → «Сбросить историю прослушиваний»;
настройки приложения;
журнал на устройстве — строки, показанные в Настройках → «Конфиденциальность» → «Что отправляется». Он ведётся всегда, независимо от переключателя, потому что сам по себе никуда не уходит: это файл в песочнице приложения размером не больше ~128 КБ, старые строки в котором вытесняются новыми. Кроме отправляемых событий в нём есть технические подробности, которые не уходят никогда, — см. раздел «Журнал на устройстве шире отправляемого» ниже.

Эти данные не покидают устройство, пока вы сами их не отправите — например, сделав экспорт или бэкап через меню «Поделиться».

Обезличенная статистика использования

У приложения нет ни аккаунтов, ни встроенной обратной связи, поэтому единственный способ понять, какими функциями пользуются и где приложение ломается, — короткие обезличенные события.

Что именно отправляется:

открытие экрана — только его название из заранее заданного списка: медиатека, плейлисты, поиск, настройки, хранилище, плеер, очередь, текст песни, эквалайзер, таймер сна, дубли, темы;
использование функции — подключение CarPlay или часов, создание тега, создание умного плейлиста, бэкап, экспорт, смена темы, показ текста песни, удаление дублей, голосовой поиск;
импорт — каким путём он начался (из «Файлов», через меню «Поделиться», через выбор файлов или из папки приложения), чем закончился (успешно / частично / с ошибкой) и сколько файлов пришло — интервалом, а не точным числом: «1–10», «11–100», «больше 100»;
сбой — область (импорт, распаковка, воспроизведение, экспорт, синхронизация с часами) и причина из короткого закрытого списка (например «файл не читается», «формат не поддерживается», «битый архив», «сеть»). Сюда же попали отказы, которые раньше проходили молча: экспорт, который не удалось начать, бэкап, который не удалось закодировать, и архив, который не удалось распаковать при восстановлении;
старт воспроизведения — и откуда его запустили: медиатека, плейлист, поиск, CarPlay, часы, Siri;
снимок медиатеки — раз за запуск: её размер интервалом («пусто», «1–100», «101–1000», «1001–10 000», «больше 10 000») и к какому качеству она склоняется в целом («с потерями», «смешанная», «без потерь», «неизвестно»). Ни одного трека по отдельности в этом событии нет — ни названия, ни имени файла, ни битрейта: качество считается долей по всей медиатеке сразу;
первый запуск приложения, первый импорт и первое включение музыки на этой установке — по одному разу за всё время. У первого запуска параметров нет вовсе; у первого импорта и первого включения музыки есть один — сколько времени прошло с установки, снова интервалом («меньше минуты», «меньше 10 минут», «меньше часа», «меньше суток», «больше суток»), а не точным сроком. Интервал запоминается в момент самого события, а не в момент отправки: если отправка была выключена и вы включили её позже, уйдёт тот интервал, который был тогда. У установок, где веха случилась ещё до того, как приложение научилось это запоминать, интервала нет вовсе — вместо него уходит «неизвестно», а не выдуманный срок. По ним видно, доходят ли новые пользователи до музыки и за какое время; переустановка приложения считается новой установкой.

Это не обещание, а то, что можно проверить: Настройки → «Конфиденциальность» → «Что отправляется» показывает реальные записанные строки — время, название события и его параметры. То, что уходит по сети, — не то же самое: к событию добавляется собственный контекст SDK Aptabase (см. ниже), а журнал ведётся независимо от переключателя, поэтому часть показанных строк никуда не уходила.

Чего в событиях нет:

названий треков, артистов, альбомов и плейлистов;
имён файлов, путей, содержимого файлов, обложек и текстов песен;
истории прослушиваний — что и когда вы слушали, наружу не уходит;
адреса вашего сервера текстов песен;
вашего имени, e-mail, телефона, рекламного идентификатора — приложение их вовсе не запрашивает.

Произвольный текст попасть в событие не может технически: значением параметра может быть только строка из заранее заданного набора или число. Положить туда название трека нечем.

Кто получает данные. Обработчик — Aptabase (aptabase.com), сервис продуктовой аналитики; события уходят на его серверы по HTTPS (регион — европейский или американский — определяется ключом приложения). Aptabase добавляет к каждому событию свой контекст, и его тоже нужно назвать: время события, идентификатор сессии, версию и номер сборки приложения, название и версию системы, модель устройства, код языка, версию своего SDK и признак отладочной сборки. Идентификатор сессии — случайное число, которое приложение создаёт при запуске, держит только в памяти и заменяет после часа бездействия; оно не связано ни с устройством, ни с учётной записью и не сохраняется между запусками. Как и при любом сетевом запросе, принимающий сервер видит IP-адрес устройства.

Ни в наших событиях, ни в контексте Aptabase нет устойчивого идентификатора пользователя или устройства: рекламный идентификатор (IDFA) не запрашивается, идентификатор поставщика (IDFV) не передаётся. Данные не связываются с личностью и не используются для отслеживания — ни для нашей рекламы, ни для чужой. Никому не продаются и никуда дальше не передаются.

Как выключить. Настройки → «Конфиденциальность» → «Отправлять обезличенную статистику». Переключатель включён по умолчанию; выключение действует сразу — события, случившиеся после него, в отправку не попадают. Локальный журнал на устройстве при этом продолжает вестись: он и нужен экрану «Что отправляется», и он по-прежнему никуда не уходит.

Журнал на устройстве шире отправляемого

Журнал никуда не уходит — поэтому в нём есть то, чего в отправляемом событии быть не может: технические подробности для разбора проблем. Сейчас их три вида:

расширение файла, который не удалось открыть при воспроизведении, и код ошибки — домен и числовой код системной ошибки, без её текста (в тексте системного сообщения бывает имя файла);
код ошибки, из-за которой не открылся архив, — название случая ошибки библиотеки архивов либо, как выше, домен и числовой код системной ошибки;
точные счётчики завершённого импорта: сколько треков добавлено, сколько не удалось, сколько пропущено как дубли, сколько файлов оказалось неподдерживаемого формата. Наружу из этих чисел уходит только интервал добавленных.

Названий треков, артистов, альбомов, плейлистов, имён файлов и путей нет и здесь.

Эти строки не уходят никуда и никогда — независимо от того, включена ли отправка статистики. Дело не в дисциплине: у сетевого приёмника попросту нет канала, по которому такую строку можно было бы передать, поэтому переключатель на них не влияет вовсе.

В приложении оба вида показаны отдельно: экран Настройки → «Конфиденциальность» → «Что отправляется» разделён на «Отправляется» и «Только на устройстве».

Куда приложение выходит в сеть

1. Ваш сервер текстов песен (LRC) — по умолчанию не задан: приложение читает тексты только из тегов ваших собственных файлов. Если вы впишете адрес своего сервера, приложение отправит на него исполнителя и название трека, чтобы получить текст. Никакого сервера текстов «по умолчанию» приложение не содержит. 2. Aptabase — обезличенная статистика использования, описанная выше. Отключается переключателем в Настройках.

Больше приложение никуда не обращается. Рекламы и рекламных трекеров в нём нет, данные не передаются рекламным сетям. Из сторонних библиотек GRDB (локальная база данных), ZIPFoundation (архивы) и ID3TagEditor (теги файлов) работают исключительно на устройстве и в сеть не выходят; Aptabase — единственная, которая в сеть выходит, и только ради описанного выше.

Разрешения

Микрофон и распознавание речи — только для голосового поиска музыки (в CarPlay). Звук обрабатывается системным механизмом распознавания речи Apple и может передаваться на серверы Apple в соответствии с политикой Apple. Разработчик LocalSound записи не сохраняет и никуда не передаёт.
Siri — чтобы включать музыку из вашей медиатеки голосом. Запрос обрабатывается системой.
Apple Watch — данные передаются напрямую между вашим iPhone и вашими часами; третьи стороны не участвуют.

Дети

Приложение не спрашивает возраст, не запрашивает персональных данных и не создаёт учётных записей — ни у кого, включая детей. Обезличенная статистика, описанная выше, личность не устанавливает и для отслеживания не используется.

Удаление данных

Удаление приложения удаляет всё, что оно хранит, включая журнал событий. Отдельные части можно удалить внутри приложения: медиатеку, кэш и историю прослушиваний — в Настройках → Хранилище. Уже отправленную обезличенную статистику отозвать нельзя: в ней нет ничего, по чему её можно было бы связать с вами и найти именно ваши записи. Чтобы новые события не отправлялись, выключите переключатель в Настройках → «Конфиденциальность».

Изменения

Если политика изменится, обновлённая версия будет опубликована по этому же адресу с новой датой вступления в силу.

Контакт

Вопросы о приватности: support@localsound.app

LocalSound Privacy Policy

Effective date: August 27, 2026

LocalSound is a player for your personal music library. The app runs on your device: your music, your library, your listening history and your settings stay on it. There are no accounts, no sign-up, and no developer-operated servers. The one thing that leaves on its own is anonymous usage statistics: which screens are opened, which features are used, how music was added, and where the app failed. What exactly is sent is visible inside the app, and sending it can be turned off with a single switch. The details are below.

What is stored on your device

Everything, and only locally, inside the app's sandbox:

the audio files you added;
your library and how it is organised: albums, artists, playlists, favorites, pinned items, tags, metadata and artwork edits;
listening history (used by "For You", "Frequently played", "Your month") — you can clear it under Settings → Storage → "Reset listening history";
app settings;
an on-device journal — the lines shown under Settings → "Privacy" → "What gets sent". It is kept regardless of the switch, because it never leaves on its own: it is a file inside the app's sandbox, no larger than ~128 KB, where old lines are pushed out by new ones. Besides the events that are sent, it holds technical details that are never sent — see "The on-device journal holds more than what is sent" below.

None of this leaves your device unless you send it yourself — for example by exporting or backing up through the share sheet.

Anonymous usage statistics

The app has no accounts and no built-in feedback, so short anonymous events are the only way to learn which features people use and where something goes wrong in the app.

What is sent:

a screen was opened — only its name, from a fixed list: library, playlists, search, settings, storage, player, queue, lyrics, equalizer, sleep timer, duplicates, themes;
a feature was used — CarPlay or the watch connected, a tag created, a smart playlist created, a backup, an export, a theme change, lyrics shown, duplicates removed, voice search;
an import — how it started (from Files, the share sheet, the file picker, or the app's own folder), how it ended (success / partial / failure) and how many files arrived — as a range, not an exact number: "1–10", "11–100", "over 100";
a failure — the area (import, unzip, playback, export, watch sync) and a reason from a short closed list (for example "unreadable file", "unsupported format", "corrupt archive", "network"). This now covers failures that used to pass silently: an export that could not be started, a backup that could not be encoded, and an archive that could not be unpacked while restoring;
playback started — and where it was started from: library, playlist, search, CarPlay, watch, Siri;
a snapshot of your library — once per launch: its size as a range ("empty", "1–100", "101–1000", "1001–10 000", "over 10 000") and which quality tier it leans to overall ("lossy", "mixed", "lossless", "unknown"). Not one individual track appears in this event — no title, no file name, no bitrate: the quality is a proportion across the whole library at once;
the first launch of the app, the first import and the first time music played on this install — once ever each. The first launch carries no parameters at all; the first import and the first playback carry one — how long it was since the install, again as a range ("under a minute", "under 10 minutes", "under an hour", "under a day", "over a day"), not an exact time. The range is fixed at the moment of the event, not at the moment of sending: if sending was off and you turned it on later, what leaves is the range it had back then. Installs where the milestone happened before the app learned to remember this have no range at all — they send "unknown" rather than an invented interval. Together they show whether new users get as far as playing something, and how long it takes; reinstalling counts as a new install.

This is not a promise but something you can check: Settings → "Privacy" → "What gets sent" shows the real recorded lines — a timestamp, the event name, and its parameters. The form that actually leaves carries more: Aptabase's own SDK context, described below. And because the journal is kept regardless of the switch, some of the lines shown there never left the device at all.

What the events do not contain:

track, artist, album or playlist names;
file names, paths, file contents, artwork or lyrics;
your listening history — what you played and when never leaves the device;
the address of your lyrics server;
your name, e-mail, phone number or advertising identifier — the app never asks for them.

Free text cannot end up in an event by construction: a parameter's value can only be a string from a predefined set, or a number. There is nothing to put a track title into.

Who receives the data. The processor is Aptabase (aptabase.com), a product analytics service; events go to its servers over HTTPS (the region — European or American — is determined by the app key). Aptabase attaches its own context to every event, which has to be named too: the time of the event, a session identifier, the app's version and build number, the OS name and version, the device model, the language code, its own SDK version, and a debug-build flag. The session identifier is a random number the app generates at launch, keeps only in memory, and replaces after an hour of inactivity; it is tied to neither the device nor an account and is not persisted between launches. As with any network request, the receiving server sees the device's IP address.

Neither our events nor Aptabase's context contains a stable user or device identifier: the advertising identifier (IDFA) is never requested, and the vendor identifier (IDFV) is not sent. The data is not linked to your identity and is not used for tracking — not for our advertising, not for anyone else's. It is not sold and not passed on.

How to turn it off. Settings → "Privacy" → "Share anonymous usage data". The switch is on by default; turning it off takes effect immediately — events that happen afterwards are not sent. The local journal on the device keeps being written: it is what the "What gets sent" screen shows, and it still never leaves the device.

The on-device journal holds more than what is sent

The journal never leaves the device — which is why it can hold what an event that gets sent never could: technical details for diagnosing problems. There are three kinds of them today:

the extension of a file that failed to open during playback, plus an error code — the domain and numeric code of the system error, without its text (a system message often spells out the file name);
the error code behind an archive that would not open — the archive library's own error case name, or, as above, the domain and numeric code of a system error;
the exact counters of a finished import: how many tracks were added, how many failed, how many were skipped as duplicates, how many files were of an unsupported format. Of these numbers, only the range of added tracks ever leaves the device.

Track, artist, album and playlist names, file names and paths are absent here too.

These lines never leave the device, under any setting — whether sending statistics is on or off. This is not a matter of discipline: the network sink simply has no channel such a line could travel through, so the switch does not affect them at all.

Inside the app the two kinds are shown separately: the Settings → "Privacy" → "What gets sent" screen is split into "Sent" and "On the device only".

Network connections

1. Your own lyrics (LRC) server — not set by default: out of the box the app reads lyrics only from the tags of your own files. If you enter your own server's address, the app sends that server the track's artist and title in order to fetch lyrics. The app ships with no preconfigured lyrics server. 2. Aptabase — the anonymous usage statistics described above. Turned off by the switch in Settings.

The app makes no other network requests. There is no advertising and no ad tracking, and no data goes to advertising networks. Of the third-party libraries, GRDB (local database), ZIPFoundation (archives) and ID3TagEditor (file tags) run entirely on-device and make no network requests; Aptabase is the only one that goes online, and only for what is described above.

Permissions

Microphone and speech recognition — used only for voice search of your music (in CarPlay). Audio is processed by Apple's system speech recognition and may be sent to Apple's servers under Apple's policy. The developer of LocalSound neither stores nor transmits any recording.
Siri — to start music from your library by voice. The request is handled by the system.
Apple Watch — data is exchanged directly between your iPhone and your watch; no third party is involved.

Children

The app does not ask for an age, does not request personal data and does not create accounts — for anyone, children included. The anonymous statistics described above do not establish anyone's identity and are not used for tracking.

Deleting your data

Deleting the app removes everything it stores, the event journal included. Individual parts can be deleted inside the app: the library, the cache and the listening history, under Settings → Storage. Anonymous statistics that have already been sent cannot be recalled: there is nothing in them by which they could be linked back to you and your records found. To stop new events from being sent, turn off the switch under Settings → "Privacy".

Changes

If this policy changes, the updated version will be published at this same address with a new effective date.

Contact

Privacy questions: support@localsound.app