Мобільний додаток: Політика конфіденційності

1Вступ

Документ описує обробку даних My Safe Circle. Відповідальний — Giovanni Rizzotti (розділ 15). Читання, прийняття Умов або користування застосунком не надають загальної згоди. Необов’язкова позиція та збереження потребують окремих рішень.

2Інформація, яку ми збираємо

Ім’я, прізвище, псевдонім і email потрібні обліковому запису й колу. Обробляємо повідомлення безпеки, відповіді на нагадування та добровільно передані координати. Передані позиції включають координати, час визначення місцеположення та, якщо пристрій її надає, орієнтовну точність у метрах. Live оновлює останню позицію без неперервного маршруту. Обробляються ID пристрою/встановлення, push/автентифікаційні токени, використання/збої, мова, часовий пояс і країна із сигналів пристрою/мережі/мови. Premium включає клієнтські/продуктові ID, стан, поновлення, повернення і промокоди; повних даних картки не отримуємо.

Зберігаємо мінімальне підтвердження вибору: обліковий запис, ID запиту, увімкнення чи відкликання, версію/хеш тексту й час сервера. Воно перевіряє згоду і повтори, без GPS-координат.

Починаючи з версії 2.3.1 докладна аналітика PostHog запускається лише після окремої згоди. Вона використовує випадковий ідентифікатор цього встановлення й обмежені події використання: це псевдонімізовані, а не анонімні дані. До цієї аналітики не передаються ID облікового запису, ім’я, прізвище, email, імена чи ідентифікатори контактів, тексти повідомлень або координати; знімки екрана, аудіо й записи сеансів не збираються. Вибір аналітики зберігається на пристрої окремо від описаного вище підтвердження згоди на збереження даних безпеки. Події можуть вказувати, що використано опцію повідомлення або геолокації, без самого вмісту чи позиції.

3Правова основа та мета обробки

Обліковий запис, запитані повідомлення та Premium потрібні для послуги й договору; закон може вимагати інших операцій. Необов’язкова передача позиції і збереження останніх даних потребують окремої згоди. Відкликання не впливає на попередню законну обробку. Технічні дані потрібні роботі, безпеці й діагностиці. Розділ 12 описує інструменти: згода збереження не є згодою аналітики.

Необов’язкова докладна аналітика PostHog ґрунтується на окремій згоді, відмінній від Умов, прочитання цієї політики й збереження даних безпеки. Відмова не заважає користуватися послугою. Агрегована статистика з розділу 12 залишається вимкненою у production до документування й перевірки правової підстави та гарантій постачальника; ця політика не заявляє про загальне звільнення аналітики від згоди.

4Як ми використовуємо інформацію

Дані потрібні обліковому запису, колу, OK/SOS, нагадуванням, сповіщенням, підтримці й покупкам. Місцевий екстрений номер може використовувати отриману позицію SOS або країну пристрою та системний геокодер. Live потребує підтвердження часу й схвалених адресатів: 15 хвилин Free; 1, 2, 4 або 8 годин Premium. Фонові оновлення залежать від мережі, дозволів, батареї й системи. Після SOS також потрібне окреме підтвердження; Stop і завершення строку припиняють оновлення.

5Передача та розкриття

Схвалені контакти бачать дані відповідно до вашого вибору. Firebase/Google надають автентифікацію, хостинг, сповіщення й діагностику Crashlytics у release-збірках. Опубліковані версії до 2.3.0 включно містять Firebase Analytics; версія 2.3.1 видаляє його й використовує PostHog для докладної аналітики лише після окремої згоди, а можливий агрегований режим — за умовами розділу 12. Apple, Google і RevenueCat обробляють покупки й Premium. Розкриття можливе за законом. Дані не продаються й не здаються в оренду для реклами. Постачальники можуть обробляти технічні журнали з’єднань і залучати субобробників за застосовними умовами. Умови PostHog можуть дозволяти використання агрегованого вмісту клієнта або вмісту з видаленими ідентифікаторами для розроблення власних продуктів і внутрішніх моделей, якщо це не виключено застосовною угодою чи налаштуваннями сервісу. Ця політика не підтверджує, що таке виключення налаштовано; нові режими аналітики залишаються вимкненими у production до перевірки застосовних умов постачальника. Видалення контакту відкликає онлайн-доступ; нове запрошення не відновлює відкликані дані. Застосунок не може дистанційно стерти незалежні знімки екрана чи експорти отримувачів.

6Зберігання та безпека

Документ кожної live-сесії зберігає лише останню отриману позицію 7 днів після завершення, без історії маршруту. Автоматичне фізичне видалення може відбутися пізніше. Відкликання згоди та видалення облікового запису залишаються доступними.

Збереження останнього OK/SOS, повідомлення й позиції необов’язкове, спочатку вимкнене і діє на всіх пристроях облікового запису. Версії зі «Згоди та обмін даними» в Допомозі дозволяють увімкнути або відкликати. Live працює без постійного збереження; кінцева позиція нових сесій зберігається відповідно до згоди облікового запису, без другого вибору. За згоди останні копії не мають автоматичного строку, поки згода, обліковий запис і контакт активні; нова подія замінює відповідну копію, OK без позиції не стирає попередню точку. Stop не відкликає згоду. Без збереження сесія доступна онлайн не більше 7 днів після кінця; фізичне TTL-видалення пізніше без гарантованого часу.

Підтверджене сервером відкликання блокує Live на пристроях та видаляє збережені копії й сесії зі служби. Якщо дані залишилися, «Повторити» завершує сторінки видалення; офлайн-дія або непевний результат не підтверджує завершення. У старих версіях без керування зверніться за контактом конфіденційності. Сповіщення безпеки, відповіді на нагадування та локальна історія/кеш окремі й цим відкликанням не видаляються; серверні сповіщення мають номінальне вікно 30 днів із подальшим очищенням. Для ширшого видалення підконтрольних нам копій зверніться до нас. Видалення контакту/облікового запису запускає очищення. Інфраструктура захищає передачу і зберігання; немає наскрізного шифрування та гарантії абсолютної безпеки.

Старі версії можуть зберігати в колі позицію останньої переданої події OK/SOS окремо від нових копій. Якщо обліковий запис ще не зробив вибору в новому керуванні, сумісність діє. Новий вибір, навіть OFF, закриває цей шлях: старі надсилання не заповнюють позицію кола знову; окремі копії подій залишаються.

Мінімальні записи вибору зберігаються протягом існування облікового запису й видаляються очищенням після його видалення; відкликання збереження не стирає ці записи, окремий автоматичний строк не гарантовано.

7Міжнародні передачі

Постачальники можуть обробляти дані за кордоном, включно зі США. Регіони різні; регіон Functions не означає перебування всіх даних у Європі. Для PostHog використовуються хостинг і endpoint ЄС; це не гарантує, що всі операції, підтримка, субобробники або інфраструктурні журнали залишаються винятково в ЄС. IP-адреса бере участь у передаванні й може бути в мережевих журналах або журналах постачальника, хоча ми не додаємо її як властивість подій. Firebase/Google публікують умови й механізми передавання, включно зі стандартними договірними положеннями, де застосовно: https://firebase.google.com/support/privacy. Для PostHog: https://posthog.com/privacy. Запитайте відомості й копії застосовних гарантій через контакт конфіденційності. Не заявляємо про завершену оцінку міжнародних передавань.

8Порушення даних

За порушення оцінюємо ризики й заходи. Якщо GDPR вимагає, повідомляємо орган без невиправданої затримки й за можливості протягом 72 годин після виявлення, пояснюючи затримки. За високого ризику повідомляємо людей без затримки, з передбаченими законом винятками.

9Права користувача

Доступні застосовні права доступу, виправлення, видалення, обмеження, перенесення й заперечення, відкликання згоди та скарга компетентному органу (Італія: Garante). Укажіть обліковий запис і запит без пароля та зайвих координат. Перевірка особи пропорційна. Зазвичай відповідаємо за місяць; дозволене продовження пояснюємо в цей строк. Пояснюємо винятки й оцінюємо обов’язкове повідомлення адресатів. Строк відповіді не гарантує фізичне видалення кожної копії за 30 днів.

10Конфіденційність неповнолітніх

Служба не призначена дітям до 13 років; заявлена аудиторія ЄС — від 16. Для онлайн-послуг на згоді поріг GDPR варіюється від 13 до 16 (14 в Італії). Застосунок не перевіряє вік або батьківську згоду. Не стежте за людьми без потрібної інформації, дозволів і правових підстав.

11Обмеження та відповідальність

Застосунок — засіб зв’язку, не екстрена служба. Повідомлення, позиція та сповіщення можуть бути помилковими, запізнілими чи недоступними. Уважно обирайте адресатів; переслідування й приховане спостереження заборонені. Технічні межі не скасовують обов’язків та обов’язкових прав.

12Cookies та відстеження

Опубліковані версії до 2.3.0 включно використовують Firebase Analytics без окремого вибору аналітики. Версія 2.3.1 видаляє Firebase Analytics і запроваджує необов’язкову докладну аналітику PostHog, спочатку вимкнену й увімкнену лише за необхідної конфігурації публікації й після попередньої окремої згоди. Випадковий ідентифікатор встановлення дозволяє пов’язувати його використання в часі: це псевдонімізація, а не анонімність. Не передаються ID облікового запису, ім’я, прізвище, email, контакти, тексти повідомлень або координати; знімки екрана, аудіо й Session Replay не збираються.

Вибір зберігається локально, не в профілі Firebase, і не синхронізується між встановленнями. Збережена згода не запитується знову після навчання. Відкликання зупиняє майбутній збір і видаляє локальну чергу ще не надісланих даних; воно не видаляє автоматично відомості, уже отримані PostHog. Щоб попросити їх видалити, напишіть на [email protected] і, якщо доступні, додайте випадкові коди встановлення, показані в налаштуваннях конфіденційності. Не надсилайте паролі чи координати.

Можливий агрегований режим залишається вимкненим у production до документування й перевірки правової підстави та гарантій постачальника. Якщо його ввімкнуть, надсилатимуться щоденні лічильники за метрикою, днем і кількістю зі спільним глобальним ідентифікатором, без ідентифікатора встановлення та індивідуальної історії. Для нього передбачено окрему відмову. Відмова від докладної аналітики не означала б вимкнення агрегованого режиму; згода на докладну аналітику призупиняла б агреговану, щоб уникнути дублювання. Не припускаємо, що будь-яке налаштування PostHog або будь-яка країна дозволяє аналітику без згоди.

Crashlytics залишається у release-збірках як окрема діагностика: вибір аналітики використання не керує Crashlytics. Технічні служби можуть обробляти ідентифікатори й дані з’єднання без cookie браузера. Дозволи геолокації та збереження даних безпеки не означають згоди на аналітику. Не гарантуємо максимум 12 місяців для технічних даних або автоматичне видалення віддаленої історії після відкликання. Сайт має окрему політику.

13Зміни політики

Версія й дата наведені тут. Нові версії показують оновлення після готовності головної сторінки один раз на обліковий запис і версію, дозволяючи продовжити без збереження. Старі можуть мати лише ручне читання; email при кожній зміні не гарантовано. Читання не надає й не відкликає згоду; текст не вмикає необов’язкові функції. Remote Config сам не оновлює встановлений застосунок чи сайт.

14Юридична відповідність

Застосовується відповідний закон, включно з GDPR де застосовно. Документ не засвідчує універсальну відповідність, завершену DPIA чи інші оцінки та не скасовує прав. Можна звернутися до відповідального й компетентного органу.

15Контакти

Відповідальний за дані: Giovanni Rizzotti, фізична особа, яка керує My Safe Circle. Конфіденційність і права: [email protected]. Сайт: https://mysafecircle.app. Підтримка: https://mysafecircle.app/it/contact.html.

16Окремі рішення

Позиція повідомлень, Live, збереження даних безпеки, докладна аналітика й можлива агрегована статистика — окремі рішення від Умов і дозволів пристрою. Прочитання політики їх не вмикає. Починаючи з 2.3.1 керування знаходиться в Налаштування > Згоди та обмін даними; попередні версії можуть показувати його в Допомозі й підтримці. Докладна аналітика потребує ствердного вибору без заздалегідь позначених пунктів. Можна продовжити без згоди й змінити локально збережений вибір. Інше встановлення може потребувати нового вибору; Firebase для синхронізації не використовується. Відкликання аналітики не видаляє автоматично віддалену історію: використовуйте коди встановлення й контакт конфіденційності з розділу 12. Можлива агрегована статистика має окреме керування й залишається вимкненою у production. Повідомлення безпеки працюють без згоди на аналітику й необов’язкове збереження. Відкликання збереження зберігає наслідки й обмеження розділу 6.

Вибір аналітики стосується цього встановлення, а функціональне збереження з розділу 6 — усього облікового запису. Відкликання аналітики не відкликає збереження; відкликання збереження також не змінює налаштування аналітики.