Політика конфіденційності Kostra

Контролером персональних даних, що обробляються в Kostra, є зазначена вище фізична особа-підприємець, зареєстрована в Польщі та діюча під назвою HulerDevelopment. Ми не призначали інспектора із захисту даних. Стаття 37 GDPR цього не вимагає: ми не є органом влади, наша основна діяльність не полягає у масштабному моніторингу, і ми не обробляємо особливі категорії даних у великих обсягах. Кожне питання, запит чи скарга надходить на вказану вище адресу й опрацьовується контролером особисто.

Лише те, що потрібно застосунку, щоб вести ваш облік по автомобілю. Конкретно: • Обліковий запис: адреса пошти та ім'я для показу. Якщо ви реєструєтесь із паролем, ми зберігаємо його bcrypt-хеш, а не сам пароль. Якщо входите через Google або Apple, замість цього зберігаємо ідентифікатор облікового запису, який надає провайдер. • Токен авторизації Apple: при вході через Apple ми зберігаємо виданий Apple токен оновлення. Він має єдине призначення — відкликати вашу авторизацію в Apple при видаленні облікового запису, чого вимагає Apple і чого без цього токена зробити неможливо. • Налаштування: основна валюта, мова, одиниці відстані й об'єму, а також приховані вами категорії витрат. • Транспортні засоби: назва, марка, модель, рік, номерний знак, VIN, початковий пробіг, типове пальне, ціна купівлі та валюта — ті з них, які ви заповните. Обов'язкова лише назва. • Витрати: категорія, дата, сума, валюта, пробіг, ваші нотатки, а для заправки ще й тип пального, об'єм, одиниця, ознака повного бака та заправка. • Поїздки: дата, мета, початковий і кінцевий пробіг, пункт призначення, контрагент і опис. Кожне редагування поїздки зберігає копію замінених значень, бо журнал, записи якого можна змінити без сліду, не вартий нічого для податкової. Ця історія змін видаляється разом із поїздкою. • Нагадування: тип, назва, дата, пробіг і за скільки часу попередити. • Власні категорії: обрана назва, іконка й колір. • Сесії: для кожного активного входу ми зберігаємо ідентифікатор токена оновлення, строк його дії та ознаку відкликання. Сам токен не зберігається ніколи — саме тому вихід із загубленого пристрою має сенс. • Технічні дані сервера: наш хостинг-провайдер фіксує IP-адресу та базові дані кожного звернення до API, як і будь-який сервер, задля безпеки й діагностики. • Підписка: який план у вас оформлений, чи він ще діє, коли завершується поточний період, та ідентифікатор, який магазин надав підписці — за ним ми можемо запитати про неї магазин. Вашої картки ми не бачимо ніколи: платіж приймають Apple і Google та повідомляють нам лише те, що він відбувся.

Одна річ, яку зазвичай очікують побачити надісланою кудись, нікуди не надсилається: • Нагадування. Сповіщення планує локально операційна система телефона. Немає жодного push-сервера, ми не маємо push-токена і не бачимо та не запускаємо сповіщень, які ви отримуєте.

У Kostra немає жодного рекламного SDK, жодної аналітики й жодного збору звітів про збої. У застосунку немає нічого, що повідомляло б про вашу поведінку нам чи третій стороні. Зокрема, ми не збираємо: рекламні ідентифікатори, вашу геолокацію чи GPS-трек, контакти, календар, перелік інших застосунків, історію переглядів, дані платіжних карток чи банківські дані. Ми не стежимо за вами між застосунками й сайтами, не профілюємо вас і не продаємо, не здаємо в оренду та не передаємо ваші дані для реклами. Пробіг і пункти призначення в поїздці — це дані, які ви ввели самі; застосунок ніколи не фіксує, де перебуває ваш телефон.

• Ведення облікового запису та зберігання записів — ст. 6(1)(b) GDPR, виконання договору, який ви укладаєте, створюючи обліковий запис. Без цих даних немає послуги: увесь застосунок — це ваш облік. • Переведення сум між валютами — ст. 6(1)(b), частина тієї самої послуги. Щоденні довідкові курси ми отримуємо від зовнішнього постачальника; йому надсилаються коди валют і нічого про вас. • Безпека сервісу — ст. 6(1)(f), наш законний інтерес у захисті облікових записів від несанкціонованого доступу та зловживань. Це охоплює хешування паролів, відкликання сесій, обмеження частоти запитів і серверні журнали. Ми вважаємо цей інтерес збалансованим, бо обсяг даних мінімальний, а альтернатива — залишити ваш облік беззахисним. Ви можете заперечити за ст. 21, і ми пояснимо баланс у вашому випадку. • Відповіді на звернення та запити — ст. 6(1)(c), наш юридичний обов'язок за розділом III GDPR, і ст. 6(1)(b) для звичайної підтримки. • Доступ до сповіщень — ст. 6(1)(a), ваша згода, надана через системний запит і відкликана будь-коли в налаштуваннях пристрою. Відмова не ламає решту застосунку. Ми не просимо особливих категорій даних (ст. 9), і в застосунку немає поля для них. Не вписуйте у вільні нотатки дані про здоров'я, політичні погляди тощо; якщо впишете — це ваше рішення їх зберігати, і ви можете видалити їх будь-коли. Обслуговування підписки підпадає під той самий договір — ст. 6(1)(b). Не знаючи, чи вона оплачена і до якого числа, ми не можемо відкрити вам застосунок, а перевірка покупки в магазині — частина того самого: лише так відрізняється справжня підписка від заяви про неї.

Ми користуємось невеликою кількістю провайдерів, кожен — за договором про обробку даних, якого вимагає ст. 28 GDPR, і кожен діє лише за нашими вказівками: • Neon (Neon Inc.) — база даних PostgreSQL з вашим обліковим записом і записами. Регіон: Франкфурт, Німеччина. • DigitalOcean (DigitalOcean LLC) — сервери, на яких працює API Kostra. Регіон: Франкфурт, Німеччина. Ще дві сторони не є нашими обробниками, а незалежними контролерами, і до того, що роблять вони, застосовуються їхні власні політики: • Google та Apple, якщо ви користуєтесь їхнім входом. Вони повідомляють нам ідентифікатор облікового запису, адресу пошти та ім'я; вони дізнаються, що ви користуєтесь Kostra. Функція Apple «Приховати мою пошту» дає вам адресу-ретранслятор замість справжньої, і застосунок з нею працює нормально. • Apple і Google як магазини застосунків — розповсюдження, статистика встановлень і діагностика збоїв, на збір якої ви погодились на рівні операційної системи. Ще наш сервер раз на добу звертається до зовнішнього сервісу курсів валют (open.er-api.com). У цьому запиті немає персональних даних. Більше ми не передаємо дані нікому — окрім випадків, коли зобов'язані розкрити їх органу влади в межах його повноважень, або якщо цього вимагатиме передача бізнесу, про що вас попередять заздалегідь. Apple і Google опрацьовують і сам платіж, і там вони виступають продавцем, а не обробником за нашими вказівками. Вони беруть гроші, виставляють рахунок, вирішують питання повернень і повідомляють нам лише, чи дійсна підписка та до якого числа. Дані картки, платіжна адреса й податкові дані належать їм і до нас не потрапляють — а отже, запит до нас їх і не видобуде.

Записи в базі даних зберігаються в Європейському Союзі, у Франкфурті (Німеччина). Проте компанії, що керують цією інфраструктурою, зареєстровані у США, і віддалений адміністративний доступ з-поза меж ЄЕЗ виключити не можна. Будь-яка така передача покрита стандартними договірними положеннями, ухваленими Європейською Комісією за ст. 46(2)(c) GDPR, разом із додатковими заходами в наших договорах із цими провайдерами, а там, де провайдер сертифікований, — рішенням про адекватність EU–US Data Privacy Framework від 10 липня 2023 року. Якщо ви входите через Google або Apple, цей вхід обробляється на їхній інфраструктурі за їхніми власними гарантіями передачі. Копію відповідних гарантій можна запитати за вказаною вище адресою.

• Ваш обліковий запис і все в ньому: доки ви його не видалите. Ми не закриваємо неактивні облікові записи й не прибираємо тихцем старі записи — історія витрат корисна лише тоді, коли вона повна. • Після видалення облікового запису: рядки в базі видаляються негайно. Копії можуть залишатися в ротаційних резервних копіях наших провайдерів до 30 днів, після чого зникають самі; дістати окремий запис із резервної копії раніше ми не можемо і ніколи не відновлюємо з неї видалений обліковий запис. • Записи сесій: до завершення строку токена оновлення (30 днів) плюс короткий період для відкликаних сесій, бо друга спроба скористатися відкликаним токеном — це і є сигнал про викрадення. • Журнали сервера: зберігаються хостинг-провайдером короткий операційний період, не довше ніж 30 днів. • Листування з нами: доки це потрібно для розгляду вашого звернення, а далі — лише там, де цього вимагає строк позовної давності. • Записи про підписку: доки існує обліковий запис, і видаляються разом із ним. Рахунків ми не зберігаємо — їх виставляють магазини, і діють їхні власні строки зберігання.

За GDPR ви маєте право: • Отримати доступ до своїх даних і їх копію (ст. 15). • Виправити неточні дані (ст. 16) — більшість із них ви можете відредагувати просто в застосунку. • Видалити дані (ст. 17) — див. наступний розділ. • Обмежити обробку (ст. 18) і заперечити проти обробки на підставі законного інтересу (ст. 21). • Отримати дані у структурованому машинозчитуваному форматі (ст. 20). Застосунок уже експортує витрати й поїздки у CSV з екранів «Статистика» та «Поїздки»; решту надішлемо на запит. • Відкликати згоду будь-коли (ст. 7(3)), без впливу на те, що було зроблено до відкликання. Напишіть на вказану вище адресу. Ми відповідаємо протягом місяця з дня отримання запиту, а для складних запитів можемо подовжити цей строк на два місяці, пояснивши причину (ст. 12(3)). Це безкоштовно, якщо тільки запит не є явно необґрунтованим або надмірним. Ми можемо попросити підтвердити, що ви володієте поштою облікового запису — не щоб завадити вам, а тому, що видати ваш облік тому, хто видає себе за вас, було б гіршою помилкою.

Обліковий запис і все, що в ньому є, можна видалити просто в застосунку: Налаштування → Видалити обліковий запис. Діє негайно й незворотно. Якщо застосунок уже видалено або ви не можете увійти, скористайтесь сторінкою видалення за адресою /kostra/delete-account або напишіть на вказану вище пошту. Видалення облікового запису прибирає ваші транспортні засоби, витрати, поїздки з історією змін, нагадування, власні категорії і сесії. Якщо обліковий запис пов'язаний із входом через Apple, ми одночасно відкликаємо нашу авторизацію в Apple, і Kostra зникає з вашого Apple ID. Видалення застосунку з телефона не видаляє обліковий запис — записи залишаються на нашому сервері, і прибирає їх лише один із двох шляхів вище.

• Увесь трафік між застосунком і нашим API йде через TLS. • Паролі зберігаються як bcrypt-хеші; ми не можемо їх прочитати й ніколи не спитаємо у вас пароль. • Токени доступу спливають за 15 хвилин; токени оновлення можна відкликати, а сервер зберігає лише ідентифікатор кожного з них, а не сам токен. • Токени на пристрої тримаються у захищеному сховищі платформи — Keychain на iOS, Keystore на Android. • На Android участь застосунку в системному хмарному резервному копіюванні вимкнено, тож локальні дані не потрапляють у копію, яку можна відновити на іншому телефоні. • Дані у стані спокою шифруються провайдерами бази даних і сховища. • Адміністративний доступ до продакшн-даних має лише контролер. Ідеальних систем не буває. Якщо колись станеться порушення, яке ймовірно загрожуватиме вашим правам, ми повідомимо наглядовий орган протягом 72 годин і звернемось до вас напряму, як вимагають ст. 33 і 34 GDPR.

Kostra — інструмент для власників авто й не адресована дітям. Щоб мати обліковий запис, потрібно щонайменше 16 років або менший вік, встановлений вашою країною за ст. 8(2) GDPR, але не менше 13. Ми свідомо не обробляємо дані осіб, молодших за цей вік. Якщо ви вважаєте, що обліковий запис створила дитина, напишіть нам — ми його видалимо.

Його немає. Kostra не ухвалює автоматизованих рішень, що мають для вас правові чи подібні істотні наслідки у розумінні ст. 22 GDPR, і не профілює вас. Статистика в застосунку — це арифметика над вашими ж записами, порахована для того, щоб ви її прочитали.

Якщо ми змінимо те, як застосунок поводиться з даними, ми оновимо цю сторінку та дату вгорі. Про зміну, що істотно вас стосується — новий обробник, нова мета, довший строк зберігання, — ми повідомимо в застосунку або поштою до того, як вона набуде чинності, а якщо зміна потребує вашої згоди, ми попросимо її, а не припускатимемо.

Якщо ви вважаєте, що ми обробляємо ваші дані незаконно, спершу напишіть нам — більшість проблем швидше вирішити напряму. Ви також маєте право подати скаргу до наглядового органу (ст. 77 GDPR). Наш орган — Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa, Польща — uodo.gov.pl. Так само ви можете поскаржитись до органу країни ЄС, де живете чи працюєте.