Політика конфіденційності

1. Хто відповідає за дані

Володілець персональних даних — Олександр Андрюшко (ФОП), Україна. Звернення щодо даних: o.andriushko@gmail.com, відповідаємо протягом 30 днів. Ми дотримуємося ЗУ «Про захист персональних даних» та GDPR.

2. Коротко

Мапа тривог, Ваш сектор, сповіщення, віджети, Apple Watch і графіки е/е працюють БЕЗ реєстрації. Вхід через Apple потрібен лише для Чатів та Ефіру. Ми не продаємо дані, не використовуємо рекламних мереж, рекламних ідентифікаторів (IDFA), аналітичних чи інших сторонніх SDK і не відстежуємо Вас між застосунками.

Оголошення в Ефірі — це пости користувачів, перевірені модератором, без жодного відстеження.

3. Геолокація

Якщо Ви дозволите, застосунок визначає Вашу громаду, район і область за геолокацією ПРЯМО НА ПРИСТРОЇ (точність близько 1 км, без звернення до сервера). Для тривог і сповіщень на сервер Stalex передаються лише НАЗВИ місць, не координати.

Для прогнозу погоди точка (Ваше розташування або центр обраного сектору) надсилається в Apple WeatherKit — не на сервер Stalex. Точна геолокація передається на сервер Stalex лише тоді, коли Ви самі вмикаєте SOS (розділ 9). Геолокацію можна вимкнути й обрати сектор вручну.

4. Дані на пристрої

Обраний сектор, місця «Стежу», об'єкти е/е, режим вібрації, мова, голос і звуки, стан для віджетів, ускладнень і Live Activity, кеш голосових фраз і медіа зберігаються на Вашому пристрої і видаляються разом із застосунком. Хвилина мовчання о 9:00 — локальне сповіщення, сервер для неї не використовується.

5. Технічні дані сервера

Щоб показати тривоги, застосунок звертається до нашого сервера за даними Trembita Pro. Сервер, як і будь-який веб-сервер, обробляє технічні дані запиту (IP-адресу, час) у журналах безпеки, які зберігаються обмежений час і використовуються лише для захисту й стабільної роботи.

6. Сповіщення

Для пуш-сповіщень і Live Activity на сервері зберігається анонімний запис установки — без акаунта: випадковий ідентифікатор установки, токени сповіщень і Live Activity, платформа, НАЗВИ Вашого сектору й місць «Стежу» (не координати), голос, мова, останній стан тривоги та підписка на сповіщення е/е (розділ 7).

Текст голосового сповіщення (назва місця й тип загрози) озвучує голосовий сервер Trembita Pro. Записи, неактивні 60 днів, видаляються автоматично.

7. Е/е

Щоб надсилати сповіщення про вимкнення й увімкнення е/е, сервер зберігає регіон, оператора, групу (чергу) і введену Вами назву місця — в анонімному записі установки, без акаунта й координат. Графіки сервер завантажує з YASNO та відкритих проєктів outage-data-ua, OE_OUTAGE_DATA і gpv-voe-vinnytsia (копії сайтів ДТЕК та обленерго) без Ваших даних.

Якщо Ви шукаєте групу за адресою, текст адреси проходить через наш сервер до довідника YASNO.

7а. Транспорт, укриття й «Моє місце»

Розділ «Транспорт» працює без реєстрації. Ваше місце (для міста, зупинок поруч і поїздки) й адреси «Звідки / Куди» використовуються лише на iPhone: варіанти поїздки рахує сам застосунок. Сервер Stalex отримує лише назву міста й номер зупинки, прибуття на яку Ви дивитесь, — без координат і без привʼязки до Вас.

Сповіщення «коли буде поряд» сервер надсилає за номером зупинки й маршрутом; геолокацію застосунок використовує лише поки він на екрані. Пошук адрес і пішохідні маршрути надає Apple Maps.

Укриття: список завантажується прямо з офіційних мап міських рад (Київ — КМДА, Харків, Дніпро, Запоріжжя; Одеса — через наш сервер) без Ваших даних, найближчі рахуються на iPhone. «Моє місце» вручну (якщо РЕБ зсуває GPS) зберігається лише на пристрої.

Дані про транспорт — відкриті дані міст: Львівська міська рада (Львівавтодор), КМДА (Київпастранс, Київський метрополітен, маршрутні таксі) за ліцензією CC BY 4.0.

8. Вхід через Apple

Вхід потрібен лише для Чатів та Ефіру. Застосунок запитує в Apple лише ім'я. Сервер зберігає ідентифікатор Apple (без email), ім'я та прізвище і токен Apple для відкликання доступу під час видалення акаунта. Сесія: доступ — 1 година, оновлення — 60 днів.

9. Чати

Листування в Чатах наскрізно зашифроване: текст, правки, видалення, реакції, закріплення, відповіді, опитування й вкладення шифрує Ваш iPhone для кожного отримувача (X25519, HKDF-SHA256, ChaCha20-Poly1305); кожен файл — власним випадковим ключем. Сервер бачить лише шифротекст і видаляє його, щойно всі отримали, або через 7 днів.

Зверніть увагу: співрозмовник зі Stalex Plus може зберегти на СВОЄМУ iPhone попередні версії змінених Вами повідомлень і повідомлення, які Ви видалили «для всіх», — з позначкою «Автор видалив для всіх»; на сервер ці копії не потрапляють. Історія зберігається ЛИШЕ на пристроях учасників — без копії на сервері й в iCloud; після перевстановлення її не відновити.

Приватний ключ — у Keychain, на сервер іде лише публічний. На сервері зберігаються: профіль (ім'я, прізвище, @нік, фото, колір, біо — їх бачать інші), дата прийняття умов, час останньої активності, налаштування видимості, пошуку й сповіщень, аудиторія SOS, членство в чатах, блокування.

НЕ зашифровані наскрізно (лише TLS): статуси «В укритті» / «У безпеці», SOS і його геолокація, назви й фото груп і гілок, системні події груп, «друкує…», позначки прочитання, зображення власних наборів стікерів і метадані (хто кому і коли).

SOS: «мітка» — одна точка, «маячок» — оновлення до 6 годин, зокрема у фоні (за дозволу «Завжди»); місце бачать учасники Ваших чатів або вибрані Вами люди. Статуси, SOS і скарги зберігаються до видалення чату або акаунта.

Номер телефону НЕОБОВ'ЯЗКОВИЙ: якщо Ви його додаєте, він підтверджується через Telegram-бот @stalex_ua_bot; сервер зберігає номер, ідентифікатор Telegram і хеш номера, а показ номера й пошук за ним вмикаєте Ви. Пошук знайомих: iPhone надсилає лише SHA-256 хеші номерів з контактів (до 3 000), сервер їх не зберігає.

Для знайомих, які вже в Stalex, iPhone пам'ятає, як вони підписані у Ваших контактах (лише на пристрої, на сервер не надсилається), — щоб так і показувати їх у чатах, дзвінках і сповіщеннях.

Щоб на екрані вхідного дзвінка було видно, хто дзвонить, iPhone додає фото Stalex лише тим Вашим контактам, у яких фото ще немає (наявні фото не змінюються); вимкнути можна в «Налаштування → Дзвінки → Фото зі Stalex у Контактах». Щоб рідні бачили тривогу у Вашому регіоні (рупор), сервер знає лише НАЗВУ Вашого сектору; це вимикається в Профілі.

Скарга надсилає модератору текст повідомлення, на яке скаржаться. Фільтр спаму (пропозиції наркотиків, «роботи», антиукраїнська пропаганда) перевіряє повідомлення ЛИШЕ на iPhone — правилами й мовною моделлю Apple на пристрої; текст нікуди не надсилається, фільтр можна вимкнути в Профілі.

9а. Дзвінки

Дзвінки в Чатах (голосові й відео, лише 1:1) наскрізно зашифровані: звук і відео шифрує сам iPhone (WebRTC, DTLS-SRTP), а ключі дзвінка два iPhone узгоджують між собою в конвертах, зашифрованих ключами Чатів.

Звук і відео йдуть напряму між пристроями або — якщо напряму не вийде чи Ви ввімкнули «Завжди через сервер Stalex» — через наш ретранслятор, який бачить лише шифр. Сервер не записує й не зберігає дзвінки і не веде журнал: хто, кому, коли і скільки говорив, ніде не зберігається.

Щоб розбудити iPhone співрозмовника, сервер зберігає токен VoIP-сповіщень Вашого пристрою; перевірки виклику (чи є між Вами чат, блокування, захист від спаму й перевантаження) він робить у пам'яті, без запису.

Налаштування «Хто може дзвонити» зберігається у Вашому профілі; якщо Ви обрали «Лише мої контакти», iPhone передає на сервер перелік людей Stalex, чий номер є у Ваших контактах (лише їхні id, без імен і номерів), — щоб сервер не будив Ваш iPhone дзвінками від інших; оберете інший варіант — перелік видаляється.

Коли лінія завантажена, сервер тримає анонімний тимчасовий запис про зайняту лінію чи місце в черзі — лише рівень пріоритету (чи є Stalex Plus у когось із двох) і час, без того, хто кому дзвонить; запис зникає наприкінці дзвінка або сам за 90 секунд і не зберігається на диску.

Журнал дзвінків є лише на Вашому iPhone; якщо ввімкнено «Показувати в «Телефоні»», iOS додає дзвінки в «Недавні» (з увімкненим iCloud — синхронізуються з Apple). При прямому з'єднанні співрозмовник технічно може бачити Вашу IP-адресу — щоб цього уникнути, увімкніть «Завжди через сервер Stalex».

9б. Наради

Наради Stalex Meeting Time (до 3 учасників, зі Stalex Plus — до 10) наскрізно зашифровані: відео, звук, чат, файли, дошку й опитування шифрують пристрої учасників ключем наради. Ключ є лише в запрошенні (усередині наскрізно зашифрованого повідомлення Чатів) або в частині посилання після «#», яку браузер серверу не передає.

Ретранслятор нарад на нашому сервері пересилає лише шифр і нічого не записує.

Сервер зберігає до 24 годин: організатора, ліміт учасників, кількість місць за посиланням, відбитки (SHA-256) секретів запрошення й посилання, зашифровані назву й опис, час першого входу (для ліміту 3 години); для гостей за посиланням — випадковий ідентифікатор браузера (щоб рахувати місця) і, якщо ввімкнено підтвердження входу, зашифроване ім'я гостя та стан запиту.

Імен учасників сервер не знає: у кімнаті кожен — випадковий ідентифікатор; сервер знає лише, чи є в людини Stalex Plus (для позначки). Субтитри розпізнаються на пристрої того, хто говорить, а переклад робить пристрій того, хто читає; у дзвінках 1:1 текст субтитрів іде співрозмовнику зашифрованим каналом дзвінка.

Розмитий фон і режим «Аудиторія» обробляються лише на Вашому пристрої. Якщо під час наради чи дзвінка у Вашому регіоні тривога, Ваш iPhone повідомляє учасникам назву регіону й тип загрози — так само зашифровано.

9в. Stalex на комп'ютері

Веб-версія trembita.app/stalex/app працює лише після підключення з Вашого iPhone: браузер показує одноразовий QR, Ви підтверджуєте вхід у застосунку й вводите пароль для входу на комп'ютері, який придумали на iPhone.

Ключ шифрування Чатів iPhone передає браузеру зашифрованим (одноразовий ключ браузера X25519 + ключ із пароля, PBKDF2-SHA256); сервер його не бачить. Пароль ніде не зберігається: на сервері — лише сіль і відбиток (SHA-256) ключа автентифікації, на iPhone — у Keychain лише ключ шифрування з нього.

У браузері ключ зберігається як неекспортований ключ (IndexedDB), повідомлення — лише в цьому браузері. Сервер знає про браузер: назву («Chrome · macOS»), час підключення й останньої активності; поки браузер підключено, зашифровані повідомлення чекають на сервері, доки їх не отримають усі Ваші пристрої (не довше 7 днів).

Для сповіщень у браузері (якщо Ви їх увімкнете) сервер зберігає адресу підписки Web Push цього браузера; вміст сповіщень шифрується (RFC 8291). «Профіль → Активні сеанси» показує всі iPhone і браузери, де Ви ввійшли; будь-який можна завершити — він одразу втрачає доступ.

Мапа й транспорт у браузері завантажують фрагменти мапи з OpenFreeMap (без файлів cookie й ідентифікаторів).

10. Ефір

Ефір — публічна частина Stalex: 27 відкритих чатів областей (лише текст, стікери, голосові й «кружечки») і канали користувачів (до 5 на людину; пишуть лише власник і призначені ним адміністратори, у каналах можна також фото й відео).

Ефір НЕ зашифрований наскрізно: дописи, медіа й реакції зберігаються на сервері (захищено TLS), а Ваше ім'я, @нік і аватар біля дописів бачать усі користувачі Ефіру — не публікуйте свою точну адресу чи місце перебування. Сервер також зберігає членство й підписки, адміністраторів каналів, скарги, обмеження й блокування.

Автор може редагувати допис 48 годин і видалити будь-коли; видалити допис можуть також власник чи адміністратори каналу та модератор. Скарга надходить модератору Stalex (розробнику) з причиною й копією тексту допису; модератор може видаляти дописи, обмежити користувачеві публікацію (на 7 днів або назавжди) і блокувати канали.

Зелена позначка «Засновник» — перевірений акаунт засновника Stalex; імена й @ніки зі словами owner, admin, administrator, власник, засновник чи модератор іншим недоступні. Дописи чатів областей зберігаються на сервері 14 днів, дописи каналів — 1 рік, потім видаляються разом із медіа. Медіа Ефіру кешуються на iPhone 14 днів.

11. Stalex Flamingo, Stalex Plus, реклама й подарунки

Платні функції — необовʼязкові пакети Stalex Flamingo 🦩 (валюта застосунку) і щомісячна підписка Stalex Plus через Apple In-App Purchase.

Для Stalex Plus сервер зберігає ідентифікатор підписки, продукт і дату закінчення, а також: обраний колір імені й ознаку Plus (їх бачать інші біля Вашого імені), налаштування «читати без позначки», облік щомісячного бонусу Flamingo; відкладені повідомлення в Чатах — лише як шифротекст до хвилини доставки (сервер їх не може прочитати); відкладені дописи каналу — до публікації; щоденні стеження за транспортом — місто, маршрут, зупинку, дні й час, токен сповіщень, прив'язані до акаунта.

Копії правок і видалених повідомлень, розшифровки голосових і переклади робить і зберігає лише iPhone (розпізнавання мовлення й переклад Apple — на пристрої). Для каналу зберігаються дати й спосіб оплати (Flamingo чи подарунки) і подарунки каналу.

Даних Вашої картки ми не бачимо: сервер отримує підписану Apple транзакцію (ідентифікатор, продукт, дату, середовище), привʼязану до Вашого акаунта, і зараховує Flamingo на баланс. Зберігається історія руху Flamingo (поповнення, резерв і списання за рекламу, повернення, подарунки).

Для оголошення зберігаються зображення чи банер, посилання, текст, область (або «всі користувачі» для золотого банера), час і тривалість показу, ціна, статус і рішення модератора. Реклама не націлюється на окремих людей і не використовує Ваших даних.

Статистика для рекламодавця анонімна: застосунок повідомляє серверу про показ (раз на пристрій на місце показу) і перехід за посиланням з випадковим відбитком пристрою — SHA-256 від ідентифікатора установки й номера реклами, різним для кожної реклами, тож людину між рекламами не відстежити.

Подарунок зберігається на сервері (що, від кого, кому, коли, номер тиражу, підпис); колекцію подарованих бачать інші у Вашому профілі — кожен подарунок можна приховати. Подарунок «інкогніто» не показує відправника нікому, навіть отримувачу (сервер зберігає його лише для обліку Flamingo й захисту від зловживань).

Коли Apple повертає кошти, Flamingo знімаються з балансу (у межах залишку). Записи про покупки зберігаються для бухгалтерського обліку.

12. Де зберігаються дані

Сервер Stalex (api.trembita.app) розміщено в Європейському Союзі (Contabo GmbH, Німеччина), з'єднання — лише HTTPS/TLS. Дані також обробляють: Apple (вхід, сповіщення, WeatherKit, MapKit, покупки), Telegram (лише підтвердження номера), YASNO (лише пошук адреси), Trembita Pro (тривоги й озвучення).

13. Видалення

Профіль → Акаунт → «Видалити акаунт» стирає з сервера текст і медіа Ваших повідомлень у Чатах, реакції, особисті чати, профіль (зокрема номер телефону), сесії, членство, блокування й аватар; групи передаються найстаршому учаснику; Ваші канали Ефіру видаляються разом із дописами, а Ваші дописи в чатах областей і чужих каналах залишаються без імені, @ніка й аватара (видаліть їх заздалегідь, якщо не хочете, щоб лишилися); невикористаний баланс оголошень видаляється (записи про покупки зберігаються для обліку); пристрої відв'язуються, токен Apple відкликається, а дані Чатів і ключ шифрування стираються на iPhone.

Листування, що вже на пристроях співрозмовників, сервер видалити не може. Сигнали тривоги й далі працюють без входу.

14. Ваші права

Відповідно до ЗУ «Про захист персональних даних» та GDPR Ви маєте право на доступ, виправлення, видалення, обмеження обробки, перенесення даних, заперечення проти обробки й відкликання згоди, а також на скаргу Уповноваженому ВРУ з прав людини чи наглядовому органу ЄС. Пишіть на o.andriushko@gmail.com.

15. Вік

Соціальні функції (Чати, Ефір) призначені для осіб від 18 років. Мапа тривог і сигнали доступні всім.