Политика конфиденциальности Kostra

Контролёром персональных данных, обрабатываемых в Kostra, является указанное выше физическое лицо — предприниматель, зарегистрированный в Польше и работающий под именем HulerDevelopment. Мы не назначали инспектора по защите данных. Статья 37 GDPR этого не требует: мы не орган власти, наша основная деятельность не состоит в масштабном мониторинге, и мы не обрабатываем особые категории данных в больших объёмах. Любой вопрос, запрос или жалоба приходит на указанный выше адрес и обрабатывается контролёром лично.

Только то, что нужно приложению, чтобы вести ваш учёт по автомобилю. Конкретно: • Учётная запись: адрес почты и отображаемое имя. Если вы регистрируетесь с паролем, мы храним его bcrypt-хеш, а не сам пароль. Если входите через Google или Apple, вместо этого храним идентификатор учётной записи, который даёт провайдер. • Токен авторизации Apple: при входе через Apple мы сохраняем выданный Apple токен обновления. У него одно назначение — отозвать вашу авторизацию в Apple при удалении учётной записи, чего требует Apple и что без этого токена сделать невозможно. • Настройки: основная валюта, язык, единицы расстояния и объёма, а также скрытые вами категории расходов. • Автомобили: название, марка, модель, год, госномер, VIN, начальный пробег, топливо по умолчанию, цена покупки и валюта — те из них, которые вы заполните. Обязательно только название. • Расходы: категория, дата, сумма, валюта, пробег, ваши заметки, а для заправки ещё тип топлива, объём, единица, признак полного бака и заправка. • Поездки: дата, цель, начальный и конечный пробег, пункт назначения, контрагент и описание. Каждое изменение поездки сохраняет копию заменённых значений, потому что журнал, записи которого можно изменить без следа, ничего не стоит для налоговой. Эта история правок удаляется вместе с поездкой. • Напоминания: тип, название, срок, пробег и за сколько предупредить. • Собственные категории: выбранные название, иконка и цвет. • Сессии: для каждого активного входа мы храним идентификатор токена обновления, срок его действия и признак отзыва. Сам токен не хранится никогда — именно поэтому выход на потерянном устройстве имеет смысл. • Технические данные сервера: наш хостинг-провайдер фиксирует IP-адрес и базовые данные каждого обращения к API, как и любой сервер, ради безопасности и диагностики. • Подписка: какой план оформлен, действует ли он ещё, когда заканчивается текущий период, и идентификатор, который магазин присвоил подписке — по нему мы можем спросить о ней магазин. Вашу карту мы не видим никогда: платёж принимают Apple и Google и сообщают нам только то, что он состоялся.

Одна вещь, которую обычно ожидают увидеть отправленной куда-то, никуда не отправляется: • Напоминания. Уведомления планирует локально операционная система телефона. Push-сервера нет, push-токена у нас нет, и мы не видим и не запускаем приходящие вам уведомления.

В Kostra нет ни рекламного SDK, ни аналитики, ни сбора отчётов о сбоях. В приложении нет ничего, что сообщало бы о вашем поведении нам или третьей стороне. В частности, мы не собираем: рекламные идентификаторы, вашу геолокацию или GPS-трек, контакты, календарь, список других приложений, историю браузера, данные платёжных карт и банковские данные. Мы не следим за вами между приложениями и сайтами, не профилируем вас и не продаём, не сдаём в аренду и не передаём ваши данные для рекламы. Пробег и пункты назначения в поездке — это данные, которые вы ввели сами; приложение никогда не фиксирует, где находится ваш телефон.

• Ведение учётной записи и хранение записей — ст. 6(1)(b) GDPR, исполнение договора, который вы заключаете, создавая учётную запись. Без этих данных нет услуги: всё приложение — это ваш учёт. • Пересчёт сумм между валютами — ст. 6(1)(b), часть той же услуги. Ежедневные справочные курсы мы получаем у внешнего поставщика; ему отправляются коды валют и ничего о вас. • Безопасность сервиса — ст. 6(1)(f), наш законный интерес в защите учётных записей от несанкционированного доступа и злоупотреблений. Сюда входят хеширование паролей, отзыв сессий, ограничение частоты запросов и серверные логи. Мы считаем этот интерес сбалансированным: объём данных минимален, а альтернатива — оставить ваш учёт без защиты. Вы можете возразить по ст. 21, и мы объясним баланс в вашем случае. • Ответы на обращения и запросы — ст. 6(1)(c), наша юридическая обязанность по главе III GDPR, и ст. 6(1)(b) для обычной поддержки. • Доступ к уведомлениям — ст. 6(1)(a), ваше согласие, данное в системном запросе и отзываемое в любой момент в настройках устройства. Отказ не ломает остальное приложение. Мы не запрашиваем особые категории данных (ст. 9), и поля для них в приложении нет. Не вписывайте в свободные заметки сведения о здоровье, политических взглядах и тому подобное; если впишете — это ваше решение их хранить, и вы можете удалить их в любой момент. Обслуживание подписки подпадает под тот же договор — ст. 6(1)(b). Не зная, оплачена ли она и до какого числа, мы не можем открыть вам приложение, а проверка покупки в магазине — часть того же самого: только так отличить настоящую подписку от утверждения о ней.

Мы пользуемся небольшим числом провайдеров, каждый — по договору об обработке, которого требует ст. 28 GDPR, и каждый действует только по нашим указаниям: • Neon (Neon Inc.) — база данных PostgreSQL с вашей учётной записью и записями. Регион: Франкфурт, Германия. • DigitalOcean (DigitalOcean LLC) — серверы, на которых работает API Kostra. Регион: Франкфурт, Германия. Ещё две стороны не являются нашими обработчиками, а выступают самостоятельными контролёрами, и к тому, что делают они, применяются их собственные политики: • Google и Apple, если вы пользуетесь их входом. Они сообщают нам идентификатор учётной записи, адрес почты и имя; они узнают, что вы пользуетесь Kostra. Функция Apple «Скрыть мою почту» даёт вам адрес-ретранслятор вместо настоящего, и приложение с ним работает нормально. • Apple и Google как магазины приложений — распространение, статистика установок и диагностика сбоев, на сбор которой вы согласились на уровне операционной системы. Ещё наш сервер раз в сутки обращается к внешнему сервису курсов валют (open.er-api.com). В этом запросе нет персональных данных. Больше мы не передаём данные никому — кроме случаев, когда обязаны раскрыть их органу власти в пределах его полномочий, либо если этого потребует передача бизнеса, о чём вас предупредят заранее. Apple и Google обрабатывают и сам платёж, и там они выступают продавцом, а не обработчиком по нашим указаниям. Они берут деньги, выставляют счёт, решают вопросы возврата и сообщают нам лишь, действительна ли подписка и до какого числа. Данные карты, платёжный адрес и налоговые данные принадлежат им и до нас не доходят — а значит, запрос к нам их и не достанет.

Записи в базе данных хранятся в Европейском союзе, во Франкфурте (Германия). Однако компании, управляющие этой инфраструктурой, зарегистрированы в США, и удалённый административный доступ из-за пределов ЕЭЗ исключить нельзя. Любая такая передача покрыта стандартными договорными условиями, принятыми Европейской комиссией по ст. 46(2)(c) GDPR, вместе с дополнительными мерами из наших договоров с этими провайдерами, а там, где провайдер сертифицирован, — решением об адекватности EU–US Data Privacy Framework от 10 июля 2023 года. Если вы входите через Google или Apple, этот вход обрабатывается на их инфраструктуре по их собственным гарантиям передачи. Копию соответствующих гарантий можно запросить по указанному выше адресу.

• Ваша учётная запись и всё в ней: пока вы её не удалите. Мы не закрываем неактивные учётные записи и не убираем втихую старые записи — история расходов полезна, только если она полная. • После удаления учётной записи: строки в базе удаляются немедленно. Копии могут сохраняться в ротационных резервных копиях наших провайдеров до 30 дней, после чего исчезают сами; достать отдельную запись из резервной копии раньше мы не можем и никогда не восстанавливаем из неё удалённую учётную запись. • Записи сессий: до истечения токена обновления (30 дней) плюс короткий период для отозванных сессий, потому что вторая попытка воспользоваться отозванным токеном — это и есть сигнал о краже. • Логи сервера: хранятся хостинг-провайдером короткий операционный период, не дольше 30 дней. • Переписка с нами: пока это нужно для разбора вашего обращения, а дальше — только там, где этого требует срок исковой давности. • Записи о подписке: пока существует учётная запись, и удаляются вместе с ней. Счетов мы не храним — их выставляют магазины, и действуют их собственные сроки хранения.

По GDPR вы вправе: • Получить доступ к своим данным и их копию (ст. 15). • Исправить неточные данные (ст. 16) — большинство из них вы можете отредактировать прямо в приложении. • Удалить данные (ст. 17) — см. следующий раздел. • Ограничить обработку (ст. 18) и возразить против обработки на основании законного интереса (ст. 21). • Получить данные в структурированном машиночитаемом формате (ст. 20). Приложение уже экспортирует расходы и поездки в CSV с экранов «Статистика» и «Поездки»; остальное вышлем по запросу. • Отозвать согласие в любой момент (ст. 7(3)), без влияния на то, что было сделано до отзыва. Напишите на указанный выше адрес. Мы отвечаем в течение месяца со дня получения запроса, а для сложных запросов можем продлить срок на два месяца, объяснив причину (ст. 12(3)). Это бесплатно, если только запрос не является явно необоснованным или чрезмерным. Мы можем попросить подтвердить, что почта учётной записи ваша — не чтобы помешать вам, а потому что выдать ваш учёт тому, кто выдаёт себя за вас, было бы худшей ошибкой.

Учётную запись и всё её содержимое можно удалить прямо в приложении: Настройки → Удалить учётную запись. Действует немедленно и необратимо. Если приложение уже удалено или вы не можете войти, воспользуйтесь страницей удаления по адресу /kostra/delete-account или напишите на указанную выше почту. Удаление учётной записи убирает ваши автомобили, расходы, поездки с историей правок, напоминания, собственные категории и сессии. Если учётная запись связана со входом через Apple, мы одновременно отзываем нашу авторизацию в Apple, и Kostra перестаёт числиться за вашим Apple ID. Удаление приложения с телефона не удаляет учётную запись — записи остаются на нашем сервере, и убирает их только один из двух способов выше.

• Весь трафик между приложением и нашим API идёт по TLS. • Пароли хранятся как bcrypt-хеши; мы не можем их прочитать и никогда не спросим у вас пароль. • Токены доступа истекают через 15 минут; токены обновления отзываемы, а сервер хранит лишь идентификатор каждого из них, а не сам токен. • Токены на устройстве лежат в защищённом хранилище платформы — Keychain на iOS, Keystore на Android. • На Android участие приложения в системном облачном резервном копировании отключено, поэтому локальные данные не попадают в копию, которую можно восстановить на другом телефоне. • Данные в покое шифруются провайдерами базы данных и хранилища. • Административный доступ к продакшн-данным есть только у контролёра. Идеальных систем не бывает. Если когда-нибудь произойдёт нарушение, способное поставить под угрозу ваши права, мы уведомим надзорный орган в течение 72 часов и обратимся к вам напрямую, как требуют ст. 33 и 34 GDPR.

Kostra — инструмент для автовладельцев и не адресована детям. Для учётной записи нужно быть не младше 16 лет либо достичь меньшего возраста, установленного вашей страной по ст. 8(2) GDPR, но не менее 13. Мы сознательно не обрабатываем данные лиц младше этого возраста. Если вы считаете, что учётную запись создал ребёнок, напишите нам — мы её удалим.

Его нет. Kostra не принимает автоматизированных решений, имеющих для вас правовые или сходные существенные последствия в смысле ст. 22 GDPR, и не профилирует вас. Статистика в приложении — это арифметика по вашим же записям, посчитанная для того, чтобы вы её прочитали.

Если мы изменим то, как приложение обращается с данными, мы обновим эту страницу и дату вверху. Об изменении, существенно вас затрагивающем — новый обработчик, новая цель, более долгий срок хранения, — мы сообщим в приложении или по почте до того, как оно вступит в силу, а если изменение требует вашего согласия, мы его запросим, а не будем предполагать.

Если вы считаете, что мы обрабатываем ваши данные незаконно, сначала напишите нам — большинство проблем быстрее решить напрямую. Вы также вправе подать жалобу в надзорный орган (ст. 77 GDPR). Наш орган — Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa, Польша — uodo.gov.pl. Равным образом вы можете пожаловаться в орган страны ЕС, где живёте или работаете.