Найкоротше. Ми не знаємо, хто ви і де ви. Ваші GPS-координати ніколи не залишають пристрій. Ім'я та email з Google чи Apple теж залишаються на пристрої — ми їх не отримуємо. Реклами й рекламних трекерів у застосунку немає. Назовні, крім нашого сервера, ідуть лише знеособлені технічні дані: звіти про збої, події користування застосунком і — якщо ви їх увімкнули — сповіщення (розділ 5). Якщо ви користуєтесь розділом «Сім'я», на сервері зберігається ім'я та обране місто кожного доданого родича; якщо оформлюєте підписку «Обрій PRO» — статус підписки обробляє RevenueCat, а саму оплату App Store чи Google Play (розділи 2 і 5).
1. Хто обробляє дані
«Обрій» — волонтерський проєкт. Володільцем персональних даних у розумінні Закону України «Про захист персональних даних» і контролером у розумінні GDPR є автор проєкту.
Усі звернення щодо даних: support@obrii.info. Відповідаємо протягом 30 днів.
2. Що надходить на сервер
| Дані | Навіщо | Підстава |
|---|---|---|
| Випадковий ідентифікатор установки | Відрізнити одну установку від іншої, щоб видати їй токени доступу | Виконання договору |
| Платформа та версія застосунку | Сумісність і діагностика збоїв конкретної версії | Законний інтерес |
| Обраний населений пункт | Показувати укриття й попередження саме для нього | Виконання договору |
| Знеособлений ідентифікатор з токена Google або Apple — лише якщо ви входите через них | Повернути ту саму установку при повторному вході | Виконання договору |
| IP-адреса запиту | Обмеження частоти запитів і захист від зловживань; потрапляє до технічних логів | Законний інтерес |
| Токен пристрою для push-сповіщень — лише якщо ви їх увімкнули | Доставити повідомлення про тривогу чи відбій для обраного населеного пункту | Згода |
| Токен для Live Activity на екрані блокування — лише на iPhone, лише якщо ви дозволили сповіщення | Запустити картку «Повітряна тривога» на екрані блокування без відкриття застосунку | Згода |
| Ім'я та обраний населений пункт кожного доданого родича — лише якщо ви користуєтесь розділом «Сім'я» | Показати вам статус тривоги родича й надіслати запрошення приєднатися | Виконання договору |
| Код запрошення в «Сім'ю» — лише поки він активний (7 днів або до використання) | Зв'язати запрошеного родича з тим, хто його запросив | Виконання договору |
| Статус підписки «Обрій PRO» (активна/ні, дата закінчення, ідентифікатор покупки з RevenueCat) — лише якщо ви її оформили | Розблокувати необмежену кількість родичів і платні сповіщення | Виконання договору |
Це вичерпний перелік. Нічого іншого застосунок на сервер не передає. Саму оплату — номер картки, підтвердження покупки в App Store чи Google Play — ми не бачимо й не обробляємо: цим займається RevenueCat і сам магазин застосунків (розділ 5).
3. Що залишається лише на пристрої
Нам недоступні й нікуди не надсилаються: ваші GPS-координати, ім'я, іконка та email профілю (зокрема отримані від Google чи Apple), налаштування теми, сесійні токени й вбудований довідник укриттів. Усе це зникає, коли ви виходите з акаунта, натискаєте «Видалити акаунт» або видаляєте застосунок.
4. Чого ми не збираємо
- Координати. Дозвіл на геолокацію працює виключно на пристрої: показати вашу позначку на карті та відстані до укриттів. До мережевих запитів координати не додаються.
- Ваше ім'я та email. З токена Google чи Apple сервер читає лише знеособлений ідентифікатор; решту вмісту токена не зберігає.
- Рекламні та наскрізні ідентифікатори пристрою (IDFA, Advertising ID).
- Контакти, фотографії, файли, мікрофон, календар — доступу до них застосунок не запитує.
- Персоналізовану рекламу. У застосунку немає жодної рекламної мережі, і ми не вмикаємо рекламну персоналізацію в аналітичних інструментах, якими користуємось.
Застосунок просить два дозволи. Геолокація «під час використання» необов'язкова: без неї все працює, ви лише не побачите власної позначки й відстаней до укриттів. Сповіщення теж необов'язкові: без них усе працює, ви просто не отримаєте push про тривогу чи відбій. Якщо ви їх увімкнете, застосунок реєструє токен пристрою на нашому сервері й у Firebase Cloud Messaging (розділ 5); вимикання в «Профілі» одразу його стирає.
5. Кому дані стають видимими
Ми не продаємо дані й не передаємо їх для чужих цілей. Ваш пристрій напряму звертається до кількох сторонніх сервісів, і їм видно вашу IP-адресу:
- Постачальник картографічної підкладки (OpenFreeMap) — бачить вашу IP-адресу й те, які ділянки карти ви переглядаєте. Його обробкою даних ми не керуємо.
- Google та Apple — під час входу, згідно з їхніми власними політиками.
- Firebase Crashlytics (Google) — якщо застосунок аварійно завершиться, звіт про збій надсилається до Google. У ньому технічні дані: стек виклику, модель пристрою, версія системи та застосунку, час збою і згенерований Crashlytics випадковий ідентифікатор установки. Ані координат, ані імені, ані email, ані обраного населеного пункту там немає — власних полів ми не додаємо. Підстава — законний інтерес: інакше ми не побачимо, що застосунок падає у людей під час тривоги. Працює лише у версіях, зібраних для магазинів.
- Firebase Analytics (Google) — застосунок надсилає події користування: наприклад, «відкрито карту», «увімкнено сповіщення», «змінено місто» (без назви самого міста), «застосунок згорнуто». Кожна подія прив'язана до випадкового ідентифікатора установки, який генерує сам Firebase, — не до вашого імені чи email, яких там немає. Firebase також сам додає технічні параметри на кшталт моделі пристрою й версії ОС. Підстава — законний інтерес: розуміти, які частини застосунку насправді працюють. Працює лише у версіях, зібраних для магазинів; у Firebase дані зберігаються за його власним строком (розділ 6).
- Firebase Cloud Messaging (Google) — якщо ви увімкнули сповіщення, токен вашого пристрою реєструється в Google, щоб доставити push. Google бачить сам факт доставлення повідомлення на пристрій із цим токеном, не те, яке місто ви обрали.
- Apple Push Notification service — лише на iPhone й лише якщо ви дозволили сповіщення: наш сервер напряму, в обхід Google, звертається до Apple, щоб запустити картку «Повітряна тривога» на екрані блокування (Live Activity) без відкриття застосунку. Apple бачить назву обраного вами населеного пункту й час початку тривоги — рівно те, що показано на картці, — за власною політикою Apple.
- RevenueCat — якщо ви оформили підписку «Обрій PRO», RevenueCat обробляє підтвердження покупки від App Store чи Google Play й повідомляє наш сервер, активна вона чи ні. RevenueCat бачить випадковий ідентифікатор установки (той самий, що й решта сервера) та дані самої покупки з магазину застосунків — не ваше ім'я, email чи обраний населений пункт.
- App Store / Google Play — самі приймають оплату за підписку; ми номер картки й реквізити оплати не бачимо й не зберігаємо. Що саме бачить магазин застосунків — за його власною політикою конфіденційності (Apple, Google).
- Сайти новин — лише якщо ви самі відкриєте посилання на першоджерело.
Родичі, яких ви додали в розділ «Сім'я» — не сторонній сервіс, а інший користувач «Обрію» (щойно вони приєднаються за запрошенням): вони бачать ваш статус тривоги так само, як ви — їхній, і отримують ваше повідомлення «Я в безпеці», якщо ви його надішлете. Поки запрошення не прийняте, вони самого застосунку могли навіть не встановлювати — ми зберігаємо лише ім'я й місто, які ви ввели.
На нашому боці дані обробляють підрядники з хостингу, DNS і поштової пересилки — виключно за нашими вказівками й на підставі договорів про обробку. Довідник укриттів вбудований у застосунок і працює офлайн: пошук укриттів не породжує жодних запитів назовні.
6. Де зберігаються дані та скільки
Наші сервери розташовані в межах Європейського Союзу, і самі ми даних за межі ЄС/ЄЕЗ не передаємо. Винятки — випадки з розділу 5, коли пристрій звертається до стороннього сервісу напряму. Серед них звіти про збої: Google обробляє їх на власній інфраструктурі, зокрема у США, на підставі стандартних договірних положень ЄС.
| Дані | Строк |
|---|---|
| Access-токен | 15 хвилин, далі недійсний автоматично |
| Refresh-токен | 30 днів; при кожному використанні старий одразу анулюється |
| Запис про установку та обраний населений пункт | Доки ви не попросите видалити (розділ 8) |
| Технічні логи | До 30 днів |
| Звіти про збої (Firebase Crashlytics) | До 90 днів — строк зберігання Google |
| Події користування (Firebase Analytics) | За строком зберігання, налаштованим у Firebase — типово до 14 місяців |
| Токен push-сповіщень | Доки сповіщення увімкнені; видаляється одразу, коли ви їх вимкнете або видалите акаунт |
| Токен для Live Activity | Доки сповіщення увімкнені; видаляється одразу, коли ви їх вимкнете або видалите акаунт |
| Список родичів (ім'я, обране місто) | Доки ви не видалите родича, акаунт, або самі не попросите (розділ 8) |
| Код запрошення в «Сім'ю» | 7 днів або до першого використання — що настане раніше |
| Статус підписки «Обрій PRO» | Доки підписка активна плюс термін, потрібний для обробки скасування; видаляється з видаленням акаунта |
Токени, координати та ідентифікатори маскуються перед записом у логи й у відкритому вигляді туди не потрапляють.
7. Захист
Обмін із сервером — лише через шифроване з'єднання; токени на пристрої зберігаються в системному захищеному сховищі (Keychain, Keystore). Жодна система не є абсолютно захищеною, тому ми мінімізуємо обсяг даних: те, чого ми не збираємо, неможливо втратити.
8. Ваші права
Ви маєте право на доступ до своїх даних, їх виправлення, видалення, обмеження чи заперечення проти обробки, а також на отримання їх у машинозчитуваному форматі — за Законом України «Про захист персональних даних» і статтями 15–21 GDPR. Напишіть на support@obrii.info.
Видалення — просто в застосунку. «Профіль» → «Видалити акаунт» стирає на сервері все, що ми про вашу установку тримаємо: сам запис, обраний населений пункт і звʼязок із вашим акаунтом Google чи Apple. Наступний вхід створить новий, порожній запис — старий не повернеться. Дані на самому пристрої очищаються тією ж дією. Писати нам для цього не потрібно.
Про ідентифікацію, якщо ви пишете листом. Ми не зберігаємо вашого імені чи email, тому за самим лише листом зазвичай не можемо визначити, який запис ваш — якщо ви входили через Google або Apple, напишіть із тієї самої адреси. Звіти про збої знеособлені й не мають поля, за яким їх можна знайти саме для вас.
Ви також маєте право подати скаргу до наглядового органу: в Україні — до Уповноваженого Верховної Ради України з прав людини, у ЄС — до органу за місцем проживання.
9. Діти та зміни
Застосунок не призначений для дітей молодше 13 років і не збирає свідомо даних про них. У ньому немає реклами, покупок і спілкування між користувачами. Якщо ви вважаєте, що дитина надала нам дані, — напишіть, ми їх видалимо.
Ця сторінка оновлюється разом зі змінами в застосунку; дата вгорі відповідає чинній редакції. Про зміни, що суттєво впливають на обробку ваших даних, ми повідомимо в самому застосунку.
10. Що це не є
«Обрій» не є офіційною системою оповіщення. Дані надходять із волонтерських і відкритих джерел, можуть бути неповними, із затримкою або неточними. Ухвалюючи рішення щодо власної безпеки, завжди керуйтеся офіційними каналами цивільного захисту. Докладніше — в Умовах використання.