Політика конфіденційності

01Хто відповідає за дані

Володілець (контролер) персональних даних — Олександр Андрюшко (ФОП), Україна. Звернення щодо даних: o.andriushko@gmail.com.

Ця Політика пояснює, які дані обробляє застосунок Nebo Pro для iPhone і Apple Watch (разом із віджетами, ускладненнями циферблата та Live Activity) і як саме. Ми дотримуємося Закону України «Про захист персональних даних» № 2297-VI та Загального регламенту ЄС про захист даних (GDPR, Регламент (ЄС) 2016/679).

Правові підстави обробки

• Виконання договору (ст. 6(1)(b) GDPR) — надання функцій, які ви вмикаєте: пуш-сповіщення, Live Activity, голосові сповіщення, вхід через Apple, а коли стануть доступні — Коло, Ефір і підписка.
• Згода (ст. 6(1)(a) GDPR) — доступ до геолокації (зокрема передавання точки в Apple WeatherKit для прогнозу) та дозвіл на сповіщення. Згоду можна відкликати будь-коли в Параметрах iOS → Nebo Pro.
• Законний інтерес (ст. 6(1)(f) GDPR) — безпека й стабільність сервера, захист від зловживань, а після запуску Кола та Ефіру — їх модерація.

Для користувачів в Україні правовою підставою є також ст. 11 Закону України «Про захист персональних даних».

02Коротко: які дані й навіщо

Мапа тривог, ваш сектор і вібросигнали працюють без реєстрації. Ми не продаємо дані, не показуємо рекламу, не використовуємо рекламні ідентифікатори (IDFA) й не відстежуємо вас між застосунками та сайтами. У застосунку немає сторонніх рекламних чи аналітичних SDK, і він не запитує дозволу на відстеження (App Tracking Transparency).

Чого ми не робимо

• не збираємо рекламні ідентифікатори та не відстежуємо вас між застосунками;
• не надсилаємо координати на свій сервер і не зберігаємо історію переміщень (координати точки погоди отримує лише Apple WeatherKit);
• не продаємо й не передаємо дані рекламодавцям, брокерам даних чи іншим третім особам;
• не використовуємо сторонні сервіси аналітики, крешрепортингу чи реклами;
• не запитуємо email, номер телефону чи контакти.

03Геолокація

Якщо ви дозволите, застосунок визначає вашу громаду, район і область за геолокацією прямо на пристрої: точка перевіряється в межах громад, вбудованих у застосунок (офлайн, без звернення до сервера). Координати не передаються і не зберігаються на нашому сервері.

Застосунок запитує доступ лише «Коли застосунок використовується», з точністю близько кілометра; фонового відстеження немає. Геолокацію можна вимкнути (Параметри iOS → Nebo Pro → Геолокація) й обрати сектор вручну — усі функції тривог працюватимуть так само.

Погода (Apple WeatherKit)

Щоб показати прогноз, застосунок надсилає в сервіс Apple WeatherKit координати точки: ваше поточне розташування, якщо сектор визначається за геолокацією, або центр обраного вручну сектора. Ця точка зберігається на пристрої для віджета «Небо», і віджет на екрані «Додому» сам запитує в WeatherKit прогноз для неї. Ці запити обробляє Apple відповідно до своєї Політики конфіденційності; на наш сервер координати не потрапляють. Дані погоди позначено «Apple Weather» з посиланням на джерела даних.

04Дані на пристрої

Обраний сектор, місця «Стежу», режим вібрації, налаштування голосу, випадковий ідентифікатор установки та інші параметри зберігаються на вашому пристрої. Стан, потрібний віджетам, ускладненням і Live Activity, зберігається у спільному контейнері застосунку (App Group) на тому ж пристрої: для віджета «Небо» це назва й опис сектора, поточний стан тривоги, остання погода та координати точки погоди. Там же кешуються озвучені голосові фрази сповіщень (до 40 файлів).

Apple Watch отримує від iPhone через WatchConnectivity назви місць (ваш сектор і місця «Стежу»), а під час видалення акаунта — команду скинути свій ідентифікатор. Годинник зберігає ці назви, власний випадковий ідентифікатор установки та стан режиму «В укритті» у себе.

Ці дані видаляються разом із застосунком. Щоб сповіщення приходили, коли застосунок закрито, на сервер передаються назви місць, що звучать, токени сповіщень і налаштування голосу — але не координати (див. розділ 7).

05Технічні дані сервера

Щоб показати тривоги, застосунок (а також Apple Watch і віджети) звертається до нашого сервера за даними, які надає Trembita Pro. Ці запити не містять ваших ідентифікаторів.

Сервер, як і будь-який веб-сервер, обробляє технічні дані запиту (IP-адресу, час) у журналах безпеки. Вони зберігаються обмежений час, використовуються лише для захисту й стабільної роботи сервера і не пов'язуються з вашою особою.

06Вхід через Apple

Мапа, сектор, тривоги, сигнали й Apple Watch працюють без акаунта. Вхід через Apple (Sign in with Apple) потрібен лише для Кола, Ефіру та підписки «Підтримай». Ці функції ще не запущено — незабаром.

Ми отримуємо анонімний ідентифікатор Apple ID (видається Apple саме для цього застосунку) і запитуємо лише ім'я — якщо ви погодитеся його надати, зберігається тільки ім'я без прізвища. Email не запитується. Пароля Apple ID ми не бачимо — автентифікацію виконує Apple.

Наразі ідентифікатор та ім'я зберігаються лише на вашому iPhone і на наш сервер не надсилаються; вони не пов'язуються з записом для сповіщень. Коли запрацюють Коло та Ефір, ідентифікатор використовуватиметься для вашого акаунта на сервері — ми оновимо цю Політику до запуску. Якщо ви припините використання входу через Apple у налаштуваннях Apple ID, застосунок вийде з акаунта.

07Сповіщення

Щоб пуш-сповіщення та Live Activity («Острів тривоги») приходили, навіть коли застосунок закрито, на сервері зберігається запис установки:

• випадковий ідентифікатор установки — не пов'язаний з вашою особою чи акаунтом Apple;
• токен сповіщень Apple Push Notification service (APNs) і його середовище (робоче чи тестове);
• токени Live Activity — для запуску (push-to-start) і для оновлення конкретної активності;
• платформа (iPhone або Apple Watch);
• чи ввімкнено голосові сповіщення;
• назви місць, що звучать: ваша громада чи область і місця «Стежу» — не координати;
• службовий стан: останній відомий статус тривоги для кожного з цих місць (щоб визначити початок і відбій) і час останнього тестового сповіщення;
• час створення й останнього оновлення запису.

Ці дані використовуються лише для того, щоб надіслати сповіщення про обрані місця. Сповіщення доставляє Apple через APNs. Запис створюється під час запуску застосунку; якщо сповіщення не дозволено, він не містить токена APNs. Застосунок запитує дозвіл лише на банери та звук — без бейджів на значку.

Голосові сповіщення

Текст голосового сповіщення (наприклад, «Увага! Повітряна тривога…») озвучується голосовим сервером Trembita Pro. Запит містить лише текст фрази — назву місця й тип загрози — без ідентифікаторів, токенів чи координат.

Apple Watch

Apple Watch отримує ті самі назви місць від iPhone (через WatchConnectivity) і реєструє на сервері окремий запис: власний випадковий ідентифікатор установки, власний токен APNs, платформа «Apple Watch», ті самі назви місць, голос вимкнено (без токенів Live Activity).

Хвилина мовчання

Щоденне нагадування о 9:00 — це локальне сповіщення, яке планується на самому iPhone; сервер для нього не використовується і жодні дані не передаються. Його можна вимкнути в застосунку (Штаб).

Строки та вимкнення

Застосунок оновлює запис, коли ви ним користуєтеся (відкриваєте його, змінюєте сектор, місця чи налаштування голосу). Сервер щодня автоматично видаляє записи, які не оновлювалися 60 днів. Сповіщення можна вимкнути будь-коли: Параметри iOS → Nebo Pro → Сповіщення. Після видалення застосунку запис на сервері залишається, доки його не видалить це автоматичне прибирання — приблизно через 60 днів після останнього оновлення. Видалення запису разом з акаунтом описано в розділі 11.

08Коло та Ефір

Коло (статус близьких) і Ефір (чат) — функції, що незабаром з'являться й потребуватимуть входу через Apple. Наразі їх не запущено, і застосунок не збирає й не зберігає жодних повідомлень, статусів чи скарг.

Коли ці функції запрацюють, повідомлення, статуси «я в безпеці» та скарги, які ви надсилатимете, зберігатимуться на сервері, щоб їх бачили адресати й модератори; ви зможете видалити свої повідомлення та акаунт, а скарги розглядатимуться згідно з Умовами використання. До запуску ми оновимо цю Політику.

09Покупки

Підписка «Підтримай» ще недоступна, і наразі в застосунку немає покупок. Коли вона з'явиться, її оформлюватимуть через App Store, а оплату оброблятиме Apple. Ми не отримуватимемо платіжних даних (картки, адреси тощо) — лише статус підписки.

10Де зберігаються дані

Сервер (інфраструктура Trembita Pro, api.trembita.app) розміщено в Європейському Союзі (Contabo GmbH, Німеччина). Дані між застосунком і сервером передаються лише зашифрованим з'єднанням (HTTPS).

Хто ще отримує дані

• Apple — доставка сповіщень і Live Activity (APNs), вхід через Apple, прогноз погоди (WeatherKit отримує координати точки погоди), а згодом — оплата в App Store. Apple обробляє ці дані відповідно до власної Політики конфіденційності.
• Trembita Pro — джерело даних про тривоги та голосовий сервер; та сама серверна інфраструктура і той самий розробник.

Іншим третім особам дані не передаються, крім випадків, прямо передбачених законом.

11Видалення та строки зберігання

Штаб → Акаунт → «Видалити акаунт» (доступно після входу через Apple):

• виходить з акаунта й видаляє з iPhone ідентифікатор Apple ID та ім'я (акаунта на сервері наразі немає);
• надсилає на сервер запит на видалення запису установки iPhone (токени, назви місць, налаштування голосу, службовий стан);
• створює новий випадковий ідентифікатор установки й реєструється з ним заново, щоб сигнали тривоги приходили й далі без входу; новий запис не пов'язаний зі старим;
• через WatchConnectivity просить Apple Watch (якщо годинник спарено й Nebo Pro на ньому встановлено) так само видалити свій запис і перейти на новий ідентифікатор — команда виконається, щойно годинник буде на зв'язку.

Якщо в момент видалення немає зв'язку з сервером, старий запис видалить автоматичне прибирання після 60 днів без оновлень. Дані на пристрої видаляються разом із застосунком; після видалення застосунку запис на сервері залишається, доки його не видалить автоматичне прибирання.

Строки зберігання

• записи установок для сповіщень — доки застосунок їх оновлює; записи без оновлень упродовж 60 днів видаляються щоденним автоматичним прибиранням, а під час видалення акаунта — одразу;
• журнали безпеки сервера — обмежений час, без прив'язки до вашої особи;
• повідомлення й статуси Кола та Ефіру (після запуску цих функцій) — до видалення вами або видалення акаунта;
• геолокація — на сервері не зберігається взагалі.

12Ваші права

Відповідно до ЗУ «Про захист персональних даних» (ст. 8) та GDPR (ст. 15–22) ви маєте право:

• знати, які ваші дані обробляються, і отримати їх копію (право на доступ);
• виправити неточні дані;
• видалити дані («право бути забутим»);
• обмежити обробку та заперечити проти неї;
• на перенесення даних;
• відкликати згоду будь-коли — це не впливає на законність обробки до відкликання;
• подати скаргу Уповноваженому Верховної Ради України з прав людини або до наглядового органу з захисту даних країни ЄС, де ви проживаєте.

Пишіть на o.andriushko@gmail.com — відповідаємо протягом 30 днів. Оскільки більшість даних не пов'язана з вашою особою, ми можемо попросити уточнення, щоб знайти відповідний запис.

13Вік

Мапа тривог і сигнали доступні всім і не потребують акаунта. Соціальні функції (Коло, Ефір) призначені для осіб від 18 років. Ми свідомо не збираємо персональних даних дітей; якщо дізнаємося про такий акаунт — видалимо його.

14Зміни

Ми можемо оновлювати цю Політику. Про суттєві зміни ми повідомимо в застосунку; актуальна версія завжди доступна на цій сторінці з новою датою «Оновлено».