Мобильное приложение: Политика конфиденциальности

1Введение

Документ описывает обработку данных My Safe Circle. Оператор — Giovanni Rizzotti (раздел 15). Чтение, принятие Условий или использование приложения не дают общего согласия. Необязательная передача позиции и хранение требуют отдельных решений.

2Информация, которую мы собираем

Имя, фамилия, псевдоним и email нужны аккаунту и кругу. Обрабатываются сообщения безопасности, ответы на напоминания и добровольно переданные координаты. Передаваемые позиции включают координаты, время определения местоположения и, если устройство её предоставляет, оценочную точность в метрах. Live обновляет последнюю позицию без непрерывного маршрута. Обрабатываются идентификаторы устройства/установки, push/аутентификационные токены, использование/сбои, язык, часовой пояс и страна из сигналов устройства/сети/языка. Premium включает клиентские/продуктовые ID, статус, продления, возвраты и промокоды; полные данные карты мы не получаем.

Сохраняем минимальное подтверждение выбора: аккаунт, ID запроса, включение или отзыв, версия/хеш текста и время сервера. Оно проверяет согласие и повторы, без GPS-координат.

Начиная с версии 2.3.1 подробная аналитика PostHog запускается только с отдельного согласия. Она использует случайный идентификатор этой установки и ограниченные события использования: это псевдонимизированные, а не анонимные данные. В эту аналитику не передаются ID аккаунта, имя, фамилия, email, имена или идентификаторы контактов, тексты сообщений либо координаты; снимки экрана, аудио и записи сеансов не собираются. Выбор аналитики сохраняется на устройстве отдельно от описанного выше подтверждения согласия на хранение данных безопасности. События могут указывать, что использовалась опция сообщения или геолокации, без самого содержимого или позиции.

3Правовое основание и цель обработки

Аккаунт, запрошенные сообщения и Premium необходимы для услуги и договора; закон может требовать иных операций. Необязательная передача позиции и хранение последних данных требуют специального согласия. Отзыв не влияет на предшествующую законную обработку. Технические данные нужны работе, безопасности и диагностике. Раздел 12 описывает инструменты: согласие на хранение не является согласием на аналитику.

Необязательная подробная аналитика PostHog основана на отдельном согласии, отличном от Условий, прочтения этой политики и хранения данных безопасности. Отказ не мешает пользоваться услугой. Агрегированная статистика из раздела 12 остаётся отключённой в production до документирования и проверки правового основания и гарантий поставщика; эта политика не заявляет об общем освобождении аналитики от согласия.

4Как мы используем информацию

Данные нужны аккаунту, кругу, OK/SOS, напоминаниям, уведомлениям, поддержке и покупкам. Местный номер экстренной службы может использовать уже полученную позицию SOS либо страну устройства и системный геокодер. Live требует подтверждения времени и одобренных адресатов: 15 минут Free; 1, 2, 4 или 8 часов Premium. Фоновое обновление зависит от сети, разрешений, батареи и системы. После SOS тоже нужно отдельное подтверждение; Stop и истечение срока прекращают обновления.

5Передача и раскрытие

Одобренные контакты видят данные согласно вашему выбору. Firebase/Google обеспечивают авторизацию, хостинг, уведомления и диагностику Crashlytics в release-сборках. Опубликованные версии до 2.3.0 включительно содержат Firebase Analytics; версия 2.3.1 удаляет его и использует PostHog для подробной аналитики только с отдельного согласия, а возможный агрегированный режим — на условиях раздела 12. Apple, Google и RevenueCat обрабатывают покупки и Premium. Раскрытие возможно по закону. Данные не продаются и не арендуются для рекламы. Поставщики могут обрабатывать технические журналы соединений и привлекать субобработчиков согласно применимым условиям. Условия PostHog могут разрешать использование агрегированного содержимого клиента или содержимого с удалёнными идентификаторами для разработки собственных продуктов и внутренних моделей, если это не исключено применимым соглашением или настройками сервиса. Эта политика не подтверждает, что такое исключение настроено; новые режимы аналитики остаются отключёнными в production до проверки применимых условий поставщика. Удаление контакта отзывает онлайн-доступ; новое приглашение не возвращает ранее отозванные данные. Приложение не может удалённо стереть независимые снимки экрана или экспорты получателей.

6Хранение и безопасность

Документ каждой live-сессии хранит только последнюю полученную позицию 7 дней после завершения, без истории маршрута. Автоматическое физическое удаление может произойти позже. Отзыв согласия и удаление аккаунта остаются доступны.

Хранение последнего OK/SOS, сообщения и позиции необязательно, изначально выключено и действует для аккаунта на всех устройствах. Версии с «Согласия и обмен данными» в Помощи позволяют включить и отозвать его. Live работает без постоянного хранения; последняя позиция новых сессий сохраняется согласно согласию аккаунта, без второго выбора. При согласии последние копии не имеют автоматического срока, пока согласие, аккаунт и контакт действуют; новое событие заменяет соответствующую копию, OK без позиции не стирает прежнюю точку. Stop не отзывает согласие. Без хранения сессия доступна онлайн не более 7 дней после конца; физическое TTL-удаление позже без гарантированного времени.

Подтверждённый сервером отзыв блокирует Live на устройствах и удаляет сохранённые копии и сессии из сервиса. Если данные остались, «Повторить» завершает страницы удаления; офлайн-действие или неопределённый результат не подтверждают завершение. В старых версиях без управления обратитесь по контакту конфиденциальности. Уведомления безопасности, ответы на напоминания и локальная история/кэш отдельны и этим отзывом не стираются; серверные уведомления имеют номинальное окно 30 дней с последующей очисткой. Для более широкого удаления подконтрольных нам копий свяжитесь с нами. Удаление контакта/аккаунта запускает его очистку. Инфраструктура защищает передачу и хранение; нет сквозного шифрования и гарантии абсолютной безопасности.

Старые версии могут хранить в круге позицию последнего переданного события OK/SOS отдельно от новых копий. Если аккаунт ещё не выбрал ничего в новом управлении, совместимость сохраняется. Новый выбор, даже OFF, закрывает этот путь: старые отправки не заполняют позицию круга заново; отдельные копии событий остаются.

Минимальные записи выбора хранятся в течение жизни аккаунта и удаляются очисткой при его удалении; отзыв хранения не стирает эти записи и отдельный автоматический срок не гарантирован.

7Международные передачи

Поставщики могут обрабатывать данные за рубежом, включая США. Регионы различаются; регион Functions не означает нахождение всех данных в Европе. Для PostHog используются хостинг и endpoint ЕС; это не гарантирует, что все операции, поддержка, субобработчики или инфраструктурные журналы остаются исключительно в ЕС. IP-адрес участвует в передаче и может присутствовать в сетевых журналах или журналах поставщика, хотя мы не добавляем его как свойство событий. Firebase/Google публикуют условия и механизмы передачи, включая стандартные договорные положения, где применимо: https://firebase.google.com/support/privacy. Для PostHog: https://posthog.com/privacy. Запросите сведения и копии применимых гарантий через контакт конфиденциальности. Мы не заявляем о завершённой оценке международных передач.

8Нарушения данных

При нарушении оцениваем риски и меры. Если GDPR требует, уведомляем орган без неоправданной задержки и по возможности в течение 72 часов после обнаружения, объясняя задержку. При высоком риске уведомляем людей без задержки, с законными исключениями.

9Права пользователя

Доступны применимые права на доступ, исправление, удаление, ограничение, переносимость и возражение, отзыв согласия и жалоба компетентному органу (в Италии Garante). Укажите аккаунт и запрос без пароля и лишних координат. Проверка личности соразмерна. Обычно отвечаем в месяц; допустимое продление объясняется в этот срок. Объясняем исключения и оцениваем обязательное уведомление адресатов. Срок ответа не гарантирует физическое удаление каждой копии за 30 дней.

10Конфиденциальность несовершеннолетних

Сервис не предназначен детям до 13 лет; заявленная аудитория ЕС — от 16. Для онлайн-услуг на согласии порог GDPR варьируется от 13 до 16 (14 в Италии). Приложение не проверяет возраст или родительское согласие. Не следите за людьми без необходимых сведений, разрешений и правовых оснований.

11Ограничения и ответственность

Приложение — средство связи, не экстренная служба. Сообщения, позиции и уведомления могут быть неверными, задержанными или недоступными. Выбирайте адресатов внимательно; преследование и скрытое наблюдение запрещены. Технические пределы не отменяют обязанностей и обязательных прав.

12Cookies и отслеживание

Опубликованные версии до 2.3.0 включительно используют Firebase Analytics без отдельного выбора аналитики. Версия 2.3.1 удаляет Firebase Analytics и вводит необязательную подробную аналитику PostHog, изначально отключённую и включаемую только при необходимой конфигурации публикации и после предварительного отдельного согласия. Случайный идентификатор установки позволяет связывать её использование во времени: это псевдонимизация, а не анонимность. Не передаются ID аккаунта, имя, фамилия, email, контакты, тексты сообщений или координаты; снимки экрана, аудио и Session Replay не собираются.

Выбор сохраняется локально, не в профиле Firebase, и не синхронизируется между установками. Сохранённое согласие не запрашивается повторно после обучения. Отзыв останавливает будущий сбор и удаляет локальную очередь ещё не отправленных данных; он не удаляет автоматически сведения, уже полученные PostHog. Для запроса их удаления напишите на [email protected] и, если доступны, укажите случайные коды установки, показанные в настройках конфиденциальности. Не отправляйте пароли или координаты.

Возможный агрегированный режим остаётся отключённым в production до документирования и проверки правового основания и гарантий поставщика. Если он будет включён, отправляться будут дневные счётчики по метрике, дню и количеству с общим глобальным идентификатором, без идентификатора установки и индивидуальной истории. Для него предусмотрен отдельный отказ. Отказ от подробной аналитики не означал бы отключения агрегированного режима; согласие на подробную аналитику приостанавливало бы агрегированную во избежание дублирования. Мы не предполагаем, что любая настройка PostHog или любая страна разрешает аналитику без согласия.

Crashlytics остаётся в release-сборках как отдельная диагностика: выбор аналитики использования не управляет Crashlytics. Технические службы могут обрабатывать идентификаторы и данные соединения без браузерных cookie. Разрешения геолокации и хранение данных безопасности не означают согласия на аналитику. Максимум 12 месяцев для технических данных и автоматическое удаление удалённой истории при отзыве не гарантируются. У сайта отдельная политика.

13Изменения политики

Версия и дата указаны здесь. Новые версии показывают обновление после готовности главной страницы один раз на аккаунт и версию, позволяя продолжить без хранения. Старые могут предлагать только ручное чтение; email при каждом изменении не гарантирован. Чтение не даёт и не отзывает согласие; текст не включает необязательные функции. Remote Config сам не обновляет установленное приложение или сайт.

14Юридическое соответствие

Применяется соответствующий закон, включая GDPR где применимо. Документ не удостоверяет универсальное соответствие, завершённую DPIA или иные оценки и не отменяет права. Можно обратиться к оператору и компетентному органу.

15Контакты

Оператор данных: Giovanni Rizzotti, физическое лицо, управляющее My Safe Circle. Конфиденциальность и права: [email protected]. Сайт: https://mysafecircle.app. Поддержка: https://mysafecircle.app/it/contact.html.

16Отдельные решения

Позиция сообщений, Live, хранение данных безопасности, подробная аналитика и возможная агрегированная статистика — решения отдельно от Условий и разрешений устройства. Прочтение политики их не включает. Начиная с 2.3.1 управление находится в Настройки > Согласия и обмен данными; прежние версии могут показывать его в Помощи и поддержке. Подробная аналитика требует утвердительного выбора без заранее отмеченных пунктов. Можно продолжить без согласия и изменить локально сохранённый выбор. Другая установка может потребовать нового выбора; Firebase для синхронизации не используется. Отзыв аналитики не удаляет автоматически удалённую историю: используйте коды установки и контакт конфиденциальности из раздела 12. Возможная агрегированная статистика имеет отдельное управление и остаётся отключённой в production. Сообщения безопасности работают без согласия на аналитику и необязательное хранение. Отзыв хранения сохраняет последствия и ограничения раздела 6.

Выбор аналитики относится к этой установке, а функциональное хранение из раздела 6 относится ко всему аккаунту. Отзыв аналитики не отзывает хранение; отзыв хранения также не меняет настройки аналитики.