Политика конфиденциальности

Дата вступления в силу: 4 сентября 2026 (раздел 3.4 и регион базы) · Odoma Tracker · Таллинн, Эстония

GDPR · уведомление по статье 13

1. Кто мы

Эта Политика конфиденциальности относится к мобильному приложению Odoma Tracker (далее — «приложение»). Везде в этом документе слово «приложение» означает Odoma Tracker.

Приложение разрабатывается и поддерживается организацией Odoma Digipädevuse Selts (далее — «мы», «нас», «наш») — некоммерческой ассоциацией, зарегистрированной в Эстонии (рег. № 80659718), Таллинн, уезд Харьюмаа. Odoma Digipädevuse Selts является контролёром данных в значении GDPR.

По вопросам конфиденциальности обращайтесь по адресу privacy@odoma.ee.

2. Какие данные приложение обрабатывает на вашем устройстве

Odoma Tracker обрабатывает следующие категории данных на вашем устройстве:

GPS / геолокация — используется для распознавания начала и конца поездки, расчёта расстояния и формирования эко- и safety-скоров. Данные о местоположении обрабатываются полностью на устройстве и никогда не передаются на наши серверы.
Данные о движении и активности (CoreMotion) — используются, чтобы отличить вождение от ходьбы или статического состояния. Обрабатываются только на устройстве.
Данные близости Bluetooth — используются, чтобы распознать сопряжённый автомобиль как сигнал начала поездки. Имена и идентификаторы устройств хранятся локально на телефоне и не передаются на наши серверы.
Записи о поездках — время начала и конца, расстояние, эко-скор, safety-скор и цель поездки сохраняются локально на вашем устройстве. Они не передаются, если вы явно не выберете экспорт, отправку или участие в опциональной программе исследований ниже.
Отсканированные чеки — изображение чека и распознанные поля хранятся локально на вашем устройстве. Они не передаются, кроме случая, описанного в разделе 3.3, и только по вашему явному действию.

3. Какие данные отправляются на наши серверы

Наши серверы получают только ограниченные агрегированные или сгруппированные в бакеты метрики. Мы не передаём сырые GPS-треки, истории маршрутов или данные о местоположении по конкретным поездкам.

Существуют два независимых трека серверного участия. У каждого свой переключатель, и они включаются/выключаются независимо.

3.1 Публичная статистика влияния и таблица лидеров (по согласию)

Когда вы включаете участие в таблице лидеров в настройках (по умолчанию выключено), периодически отправляются следующие данные:

anonymous_id — случайно сгенерированный идентификатор устройства, созданный при первом запуске и сохранённый на устройстве — в Keychain на iOS, в приватном хранилище приложения на Android. Тот же идентификатор используется для опционального участия в исследованиях Tier B (см. 3.2).
avgScore — ваш средний эко-скор.
tripCount — общее число записанных поездок.
totalKm — общая записанная дистанция в километрах.
wastedCo2Kg — оценка избыточного CO₂, связанного со стилем вождения.
fuelType — тип топлива, выбранный вами в приложении.
country — код страны (ISO 3166-1 alpha-2), определяемый по локали устройства, не по GPS.
joinedAt — дата создания вашего агрегированного профиля влияния.
co2Norm — норма CO₂ для вашего автомобиля.

Эти данные питают публичную статистику влияния и, при желании, публичную таблицу лидеров на odoma.ee/<язык>/impact/leaderboard.

3.2 Участие в исследованиях — Crowd Dataset (по согласию, по умолчанию выключено)

Когда вы соглашаетесь на участие в исследованиях (Настройки → Исследование, или через диалог в приложении после пятой качественной поездки), может действовать один или оба из следующих уровней:

Базовое исследование (Tier A)

Для каждой завершённой самостоятельно проведённой поездки мы отправляем запись, содержащую:

28 числовых признаков в крупных бакетах (без точных значений): средняя и максимальная скорость, продолжительность, дистанция, число резких ускорений и торможений, Safety Score, Eco Score, бакет времени суток, бакет дня недели
Код страны (ISO 3166-1 alpha-2)
Мажорная версия ОС (iOS или Android)
Версия приложения
row_id — свежий случайный идентификатор, сгенерированный для этой одной загрузки. Он не сохраняется на вашем устройстве и никогда не повторяется. Это делает longitudinal-анализ структурно невозможным на базовом уровне — мы не можем связать две поездки с одним устройством.

Индивидуальное исследование (Tier B)

Tier B — это дополнительный, отдельно подтверждаемый уровень. При его включении каждая запись Crowd Dataset, описанная выше, отправляется с anonymous_id вместо свежего row_id. anonymous_id — тот же идентификатор устройства, описанный в разделе 3.1, что позволяет нам (и в будущем нашим исследовательским партнёрам) анализировать изменения вашего личного стиля вождения со временем.

Мы не передаём ни на Tier A, ни на Tier B:

GPS-координаты (старт, финиш или маршрут)
Адреса или названия мест
Имена Bluetooth-устройств
Точные временные метки (только бакеты)
Производителя или модель устройства
Минорную версию ОС или номер сборки
Ваше имя, email, контактные данные или иную напрямую идентифицирующую информацию

На iOS каждый запрос к нашим серверам подписывается через Apple App Attest, чтобы мы могли убедиться, что он пришёл от подлинного, неизменённого экземпляра официального приложения Odoma Tracker; подписывающий ключ никогда не покидает Secure Enclave вашего устройства. На Android аппаратный аналог (Play Integrity) пока не включён — такие отправки проверяются только на сервере. Это влияет на то, как мы проверяем отправителя, а не на то, что отправляется.

3.3 Обратная связь по распознаванию чеков (анонимно, по вашему запросу)

Приложение умеет сканировать чек (например, заправочный) камерой и распознавать его поля. Сам чек, его изображение и распознанные поля хранятся только на вашем устройстве (см. раздел 2) и никуда не передаются автоматически.

Если чек распознался неточно, вы можете по своему явному действию отправить обратную связь «для изучения», чтобы помочь нам улучшить алгоритм распознавания. Перед отправкой приложение показывает предпросмотр ровно того, что будет отправлено.

В отправляемую запись входят:

Структурные поля чека (не идентифицируют вас): продавец, дата, сумма, валюта, ставка и сумма НДС, сумма без НДС, категория, способ оплаты, номер чека, код документа, регистрационный код магазина;
Список полей, которые вы исправили вручную — это и есть полезный сигнал обучения;
Версия схемы, время создания записи, номер сборки приложения, локаль;
Обезличенный текст чека. Из распознанного текста автоматически вырезаются жёсткие формы персональных данных и заменяются плейсхолдерами: IBAN → [IBAN], эстонский isikukood → [ISIKUKOOD], номера карт → [CARD], имена (по якорям «Müüja/Teenindaja/Kassapidaja» и по известным именам владельца устройства) → [NAME]. Вы видите на экране точно тот обезличенный текст, который будет отправлен, и сами решаете, отправлять его или нет.

Анонимность. Запись не содержит ни идентификатора устройства, ни anonymous_id, ни любого другого идентификатора. Клиент не добавляет таких полей; дополнительно сервер проверяет каждую отправку и отклоняет её целиком, не сохраняя, если в ней присутствует любое из известных полей-идентификаторов (anonymous_id, pseudo_id, device_id, user_id и аналогичные). Поэтому отправки нельзя связать ни между собой, ни с пользователем, ни с другими данными в Odoma Tracker.

Целостность. На iOS каждая отправка подписывается через Apple App Attest, чтобы подтвердить, что она пришла от подлинного, неизменённого экземпляра официального приложения; подписывающий ключ никогда не покидает Secure Enclave устройства. На Android аппаратный аналог (Play Integrity) пока не включён.

Хранение на сервере. Полученные записи хранятся в режиме append-only, доступны только администратору, не входят ни в какой публикуемый или передаваемый партнёрам датасет и используются исключительно для улучшения качества распознавания чеков. Срок хранения — до 12 месяцев с момента получения, затем запись автоматически удаляется.

Правовая основа. Статья 6(1)(a) GDPR — ваше согласие, выражаемое отдельно для каждой отправки. Поскольку запись анонимна архитектурно и минимальна по составу, отозвать конкретную отправку постфактум технически невозможно (её нельзя найти — она ни с чем не связана); вы контролируете передачу до её совершения через предпросмотр (см. также раздел 7 о статье 11 GDPR).

3.4 Связка с работодателем — Odoma для фирм (по вашему действию)

Приложение умеет работать в связке с дашбордом работодателя Odoma для фирм (dashboard.odoma.app). Связка включается только вами: вы вводите код приглашения фирмы в приложении. Пока связки нет, ни одна поездка и ни один чек с телефона на серверы не уходят.

После связки на сервер дашборда передаются только поездки, помеченные рабочими, и чеки, которые вы решили передать фирме: дата и время, адреса начала и конца, расстояние, показания одометра, цель, объект, сумма компенсации и упрощённая линия маршрута (не более нескольких десятков точек), по которой дашборд определяет объект и время на нём; для чека — фотография и распознанные поля. Личные поездки не передаются никогда. Если рабочую поездку вы переводите в личную, её серверная копия удаляется.

Оператор дашборда — коммерческое общество ODOMA SERVICES OSAÜHING (рег. код 17589729), оно обрабатывает эти данные по поручению вашего работодателя; работодатель — контролёр этих данных. Подробности, сроки хранения и ваши права по этим данным — в политике конфиденциальности дашборда. Связку можно разорвать в приложении в любой момент: после этого новые поездки на сервер не уходят, а об удалении уже переданных вы договариваетесь с работодателем.

Диагностические журналы телефона (в том числе с координатами) уходят на сервер дашборда только в режиме разработчика, который вы включаете сами в настройках; в обычной работе они остаются на телефоне.

Следующая обработка опирается на ваше явное согласие, которое вы можете отозвать в любой момент в настройках:

Участие в публичной таблице лидеров
Участие в исследованиях (Tier A, базовое)
Участие в исследованиях (Tier B, индивидуальное)
Отправка обратной связи по распознаванию чеков (раздел 3.3) — согласие выражается отдельно для каждой отправки

Мы обрабатываем ограниченные агрегированные метрики, описанные в разделе 3.1, привязанные к вашему anonymous_id, чтобы измерять экологическое и поведенческое влияние приложения. Эта обработка необходима для:

Демонстрации эффективности нашей некоммерческой экологической миссии;
Улучшения алгоритмов эко- и safety-скоринга, поставляемых всем пользователям в будущих версиях;
Понимания, как пользовательская база развивается со временем.

Мы считаем эту обработку соразмерной, потому что данные агрегированы, не содержат сырых GPS или напрямую идентифицирующей информации и привязаны только к идентификатору, сгенерированному устройством.

Вы вправе возразить в любой момент, обратившись на privacy@odoma.ee.

5. Как долго мы храним данные

Данные о поездках на устройстве — хранятся до тех пор, пока вы не удалите отдельные поездки или не удалите приложение. Эти данные остаются под вашим контролем.
Публичная статистика влияния — хранится, пока включено участие в таблице лидеров. Удаляется в течение 7 дней после отключения.
Crowd Dataset Tier A (базовое исследование) — хранится до 24 месяцев с даты загрузки, затем автоматически удаляется.
Crowd Dataset Tier B (индивидуальное исследование) — хранится до 24 месяцев с момента вашего последнего вклада. После 12 месяцев бездействия ваши записи автоматически удаляются. Вы также можете запросить немедленное удаление в любое время, нажав «Удалить мои данные» в Настройках → Исследование.
Обратная связь по чекам (раздел 3.3) — до 12 месяцев с момента получения, затем автоматическое удаление. Связать запись с вами или удалить конкретную запись по запросу невозможно, так как она анонимна архитектурно.

6. Передача данных и третьи стороны

Мы не продаём и не сдаём в аренду ваши данные, не передаём их рекламным сетям, брокерам данных или сторонним аналитическим SDK.

Наша серверная инфраструктура размещена на Google Firebase: функции и файлы — в регионе ЕС (europe-west3, Франкфурт), база данных Firestore — в регионе europe-west2 (Лондон, Великобритания); передача в Великобританию опирается на решение Европейской комиссии об адекватности, действующее до 27 декабря 2031 года. Firebase используется исключительно для работы нашего backend API и хранения ограниченных метрик, описанных выше. Мы используем Firebase в рамках применимых условий обработки данных Google.

Будущие пилоты со страховыми компаниями (только Tier B)

Мы изучаем партнёрства со страховыми компаниями для запуска программ скидок аккуратным водителям на основе данных Crowd Dataset Tier B. На данный момент такая программа не действует. Прежде чем какая-либо передача ваших записей, привязанных к anonymous_id, страховому партнёру состоится:

Будет заключено письменное соглашение о совместном контроле или обработке данных (GDPR Ст. 26 / 28);
Конкретное партнёрство и поток данных будут раскрыты в приложении и на этой странице;
Мы получим ваше явное отдельное согласие именно на эту программу. Существующее согласие на Tier B само по себе не разрешает передачу данных конкретному страховщику.

Если у вас включён только Tier A (без Tier B), ваши данные не несут anonymous_id и структурно не связаны с вами, поэтому они не могут быть переданы страховым партнёрам как ваши данные.

Если вы находитесь в ЕС/ЕЭЗ, у вас есть следующие права:

Доступ (Ст. 15) — запросить копию данных, связанных с вашим anonymous_id.
Исправление (Ст. 16) — запросить исправление неточных данных.
Удаление (Ст. 17) — запросить удаление всех серверных данных, связанных с вашим anonymous_id. Самый быстрый способ — действие «Удалить мои данные» в приложении в Настройках → Исследование:
1. Сбор приостанавливается сразу.
2. На наш сервер отправляется подписанный запрос на отзыв.
3. Все записи, связанные с вашим anonymous_id в Crowd Dataset Tier B, удаляются в течение 30 дней.
4. Вы можете продолжать пользоваться всеми функциями приложения, включая базовое исследование (Tier A), без привязки anonymous_id.
Ограничение (Ст. 18) — запросить ограничение обработки на время разрешения спора.
Портативность данных (Ст. 20) — запросить ваши данные в структурированном машиночитаемом формате.
Возражение (Ст. 21) — возразить против обработки на основании наших законных интересов.
Отзыв согласия (Ст. 7(3)) — выключить любой переключатель opt-in в настройках в любое время.

Обработка, не требующая идентификации (Ст. 11 GDPR). Часть данных архитектурно обрабатывается анонимно — прежде всего обратная связь по распознаванию чеков (раздел 3.3) и Crowd Dataset Tier A. Такие записи не содержат идентификатора и не могут быть сопоставлены с пользователем. Согласно статье 11 GDPR, если контролёр не способен идентифицировать субъекта данных, права на доступ, исправление, удаление и портативность (Ст. 15–20) к таким данным неприменимы, поскольку мы не можем найти «ваши» записи среди анонимных. Мы не обязаны и не будем собирать дополнительные данные только ради того, чтобы вас идентифицировать. Контроль над такими данными реализуется до отправки — через переключатели opt-in и предпросмотр перед отправкой.

Чтобы воспользоваться любым правом, обратитесь на privacy@odoma.ee. Мы отвечаем в течение 30 дней. Вы также имеете право подать жалобу в Эстонскую инспекцию по защите данных (Andmekaitse Inspektsioon) на aki.ee.

8. Дети

Odoma Tracker не предназначен для детей младше 16 лет. Мы сознательно не собираем данные от лиц младше 16 лет. Если вы считаете, что ребёнок воспользовался приложением и передал нам данные, свяжитесь с нами, чтобы мы могли их удалить.

9. Изменения этой политики

Мы можем обновлять эту Политику конфиденциальности по мере развития приложения. О существенных изменениях будет сообщено в release notes приложения и на этой странице вместе с обновлённой датой вступления в силу. Продолжение использования приложения после вступления существенных изменений в силу означает принятие обновлённой Политики.

Журнал изменений

2026-09-04 (v1.7.0) — Добавлен раздел 3.4 «Связка с работодателем — Odoma для фирм»: что и когда уходит в дашборд работодателя (только рабочие поездки и переданные чеки, упрощённая линия маршрута), кто оператор дашборда, ссылка на его политику; уточнён регион базы данных (europe-west2, Лондон) и основание передачи.
2026-08-22 (v1.6.0) — Выход Android. Политика называет оба приложения (iOS и Android) там, где раньше упоминался только iOS. Поле Crowd Dataset «мажорная версия iOS» описано как мажорная версия ОС (на проводе ничего не изменилось — приложение всегда отправляло только мажор); хранилище идентификатора названо по платформам (Keychain на iOS, приватное хранилище приложения на Android); App Attest отнесён к iOS с прямым указанием статуса на Android. Что собирается, зачем и кому передаётся — без изменений.
2026-05-16 (v1.4.0) — Добавлен раздел 3.3 «Обратная связь по распознаванию чеков»: архитектурно анонимная (сервер отклоняет любое id-поле), per-submission согласие, предпросмотр перед отправкой, авто-обезличивание текста (IBAN/isikukood/карты/имена), App-Attest, retention 12 мес. Добавлены соответствующие строки в разделы 2 и 5 и пункт о статье 11 GDPR (обработка, не требующая идентификации) в раздел 7.
2026-05-09 (v1.3.0) — Добавлен раздел Crowd Dataset (участие в исследованиях): Tier A (базовое, свежий row_id на каждую загрузку, longitudinal-связь невозможна) и Tier B (индивидуальное, привязка к псевдониму устройства). Добавлены механики отзыва (в приложении «Удалить мои данные» → серверное удаление в течение 30 дней). Раскрыт shared anonymous_id между таблицей лидеров и Tier B. Раскрыто намерение о будущих страховых партнёрствах под отдельный opt-in.
2026-04-30 (v1.2.0) — Первая публичная версия.

Вопросы или запросы: privacy@odoma.ee Odoma Tracker · Таллинн, Эстония · odoma.ee