---
title: "Политика конфиденциальности"
description: "Как Odoma обращается с вашими данными — координаты GPS не покидают устройство."
url: https://odoma.ee/ru/legal/privacy
language: ru
published: 2026-03-01
updated: 2026-09-04
publisher: Odoma Digipädevuse Selts (Estonian non-profit, registry code 80659718)
---
# Политика конфиденциальности

*Дата вступления в силу: 4 сентября 2026 (раздел 3.4 и регион базы) · Odoma Tracker · Таллинн, Эстония*

*GDPR · уведомление по статье 13*

## 1. Кто мы

Эта Политика конфиденциальности относится к мобильному приложению **Odoma Tracker** (далее — «**приложение**»). Везде в этом документе слово «приложение» означает Odoma Tracker.

Приложение разрабатывается и поддерживается организацией **Odoma Digipädevuse Selts** (далее — «**мы**», «**нас**», «**наш**») — некоммерческой ассоциацией, зарегистрированной в Эстонии (рег. № 80659718), Таллинн, уезд Харьюмаа. Odoma Digipädevuse Selts является контролёром данных в значении GDPR.

По вопросам конфиденциальности обращайтесь по адресу [privacy@odoma.ee](mailto:privacy@odoma.ee).

## 2. Какие данные приложение обрабатывает на вашем устройстве

Odoma Tracker обрабатывает следующие категории данных на вашем устройстве:

- **GPS / геолокация** — используется для распознавания начала и конца поездки, расчёта расстояния и формирования эко- и safety-скоров. Данные о местоположении обрабатываются полностью на устройстве и никогда не передаются на наши серверы.
- **Данные о движении и активности (CoreMotion)** — используются, чтобы отличить вождение от ходьбы или статического состояния. Обрабатываются только на устройстве.
- **Данные близости Bluetooth** — используются, чтобы распознать сопряжённый автомобиль как сигнал начала поездки. Имена и идентификаторы устройств хранятся локально на телефоне и не передаются на наши серверы.
- **Записи о поездках** — время начала и конца, расстояние, эко-скор, safety-скор и цель поездки сохраняются локально на вашем устройстве. Они не передаются, если вы явно не выберете экспорт, отправку или участие в опциональной программе исследований ниже.
- **Отсканированные чеки** — изображение чека и распознанные поля хранятся локально на вашем устройстве. Они не передаются, кроме случая, описанного в разделе 3.3, и только по вашему явному действию.

## 3. Какие данные отправляются на наши серверы

Наши серверы получают только **ограниченные агрегированные или сгруппированные в бакеты метрики**. Мы не передаём сырые GPS-треки, истории маршрутов или данные о местоположении по конкретным поездкам.

Существуют два независимых трека серверного участия. У каждого свой переключатель, и они включаются/выключаются независимо.

### 3.1 Публичная статистика влияния и таблица лидеров (по согласию)

Когда вы включаете участие в таблице лидеров в настройках (по умолчанию выключено), периодически отправляются следующие данные:

- **anonymous_id** — случайно сгенерированный идентификатор устройства, созданный при первом запуске и сохранённый на устройстве — в Keychain на iOS, в приватном хранилище приложения на Android. Тот же идентификатор используется для опционального участия в исследованиях Tier B (см. 3.2).
- **avgScore** — ваш средний эко-скор.
- **tripCount** — общее число записанных поездок.
- **totalKm** — общая записанная дистанция в километрах.
- **wastedCo2Kg** — оценка избыточного CO₂, связанного со стилем вождения.
- **fuelType** — тип топлива, выбранный вами в приложении.
- **country** — код страны (ISO 3166-1 alpha-2), определяемый по локали устройства, не по GPS.
- **joinedAt** — дата создания вашего агрегированного профиля влияния.
- **co2Norm** — норма CO₂ для вашего автомобиля.

Эти данные питают публичную статистику влияния и, при желании, публичную таблицу лидеров на `odoma.ee/<язык>/impact/leaderboard`.

### 3.2 Участие в исследованиях — Crowd Dataset (по согласию, по умолчанию выключено)

Когда вы соглашаетесь на участие в исследованиях (Настройки → Исследование, или через диалог в приложении после пятой качественной поездки), может действовать один или оба из следующих уровней:

#### Базовое исследование (Tier A)

Для каждой завершённой самостоятельно проведённой поездки мы отправляем запись, содержащую:

- **28 числовых признаков в крупных бакетах** (без точных значений): средняя и максимальная скорость, продолжительность, дистанция, число резких ускорений и торможений, Safety Score, Eco Score, бакет времени суток, бакет дня недели
- **Код страны** (ISO 3166-1 alpha-2)
- **Мажорная версия ОС** (iOS или Android)
- **Версия приложения**
- **row_id** — свежий случайный идентификатор, сгенерированный для этой одной загрузки. Он не сохраняется на вашем устройстве и никогда не повторяется. Это делает longitudinal-анализ структурно невозможным на базовом уровне — мы не можем связать две поездки с одним устройством.

#### Индивидуальное исследование (Tier B)

Tier B — это дополнительный, отдельно подтверждаемый уровень. При его включении каждая запись Crowd Dataset, описанная выше, отправляется с **anonymous_id** вместо свежего `row_id`. `anonymous_id` — тот же идентификатор устройства, описанный в разделе 3.1, что позволяет нам (и в будущем нашим исследовательским партнёрам) анализировать изменения вашего личного стиля вождения со временем.

Мы **не передаём** ни на Tier A, ни на Tier B:

- GPS-координаты (старт, финиш или маршрут)
- Адреса или названия мест
- Имена Bluetooth-устройств
- Точные временные метки (только бакеты)
- Производителя или модель устройства
- Минорную версию ОС или номер сборки
- Ваше имя, email, контактные данные или иную напрямую идентифицирующую информацию

На iOS каждый запрос к нашим серверам подписывается через **Apple App Attest**, чтобы мы могли убедиться, что он пришёл от подлинного, неизменённого экземпляра официального приложения Odoma Tracker; подписывающий ключ никогда не покидает Secure Enclave вашего устройства. На Android аппаратный аналог (Play Integrity) пока не включён — такие отправки проверяются только на сервере. Это влияет на то, как мы проверяем отправителя, а не на то, что отправляется.

### 3.3 Обратная связь по распознаванию чеков (анонимно, по вашему запросу)

Приложение умеет сканировать чек (например, заправочный) камерой и распознавать его поля. **Сам чек, его изображение и распознанные поля хранятся только на вашем устройстве** (см. раздел 2) и никуда не передаются автоматически.

Если чек распознался неточно, вы можете **по своему явному действию** отправить обратную связь «для изучения», чтобы помочь нам улучшить алгоритм распознавания. Перед отправкой приложение показывает **предпросмотр ровно того, что будет отправлено**.

В отправляемую запись входят:

- **Структурные поля чека** (не идентифицируют вас): продавец, дата, сумма, валюта, ставка и сумма НДС, сумма без НДС, категория, способ оплаты, номер чека, код документа, регистрационный код магазина;
- **Список полей, которые вы исправили вручную** — это и есть полезный сигнал обучения;
- Версия схемы, время создания записи, номер сборки приложения, локаль;
- **Обезличенный текст чека.** Из распознанного текста автоматически вырезаются жёсткие формы персональных данных и заменяются плейсхолдерами: IBAN → `[IBAN]`, эстонский isikukood → `[ISIKUKOOD]`, номера карт → `[CARD]`, имена (по якорям «Müüja/Teenindaja/Kassapidaja» и по известным именам владельца устройства) → `[NAME]`. Вы видите на экране **точно тот обезличенный текст, который будет отправлен**, и сами решаете, отправлять его или нет.

**Анонимность.** Запись **не содержит** ни идентификатора устройства, ни `anonymous_id`, ни любого другого идентификатора. Клиент не добавляет таких полей; дополнительно сервер проверяет каждую отправку и **отклоняет её целиком, не сохраняя**, если в ней присутствует любое из известных полей-идентификаторов (`anonymous_id`, `pseudo_id`, `device_id`, `user_id` и аналогичные). Поэтому отправки нельзя связать ни между собой, ни с пользователем, ни с другими данными в Odoma Tracker.

**Целостность.** На iOS каждая отправка подписывается через **Apple App Attest**, чтобы подтвердить, что она пришла от подлинного, неизменённого экземпляра официального приложения; подписывающий ключ никогда не покидает Secure Enclave устройства. На Android аппаратный аналог (Play Integrity) пока не включён.

**Хранение на сервере.** Полученные записи хранятся в режиме append-only, доступны только администратору, **не входят** ни в какой публикуемый или передаваемый партнёрам датасет и используются исключительно для улучшения качества распознавания чеков. Срок хранения — до 12 месяцев с момента получения, затем запись автоматически удаляется.

**Правовая основа.** Статья 6(1)(a) GDPR — ваше согласие, выражаемое отдельно для каждой отправки. Поскольку запись анонимна архитектурно и минимальна по составу, отозвать конкретную отправку постфактум технически невозможно (её нельзя найти — она ни с чем не связана); вы контролируете передачу до её совершения через предпросмотр (см. также раздел 7 о статье 11 GDPR).

### 3.4 Связка с работодателем — Odoma для фирм (по вашему действию)

Приложение умеет работать в связке с дашбордом работодателя **Odoma для фирм** (dashboard.odoma.app). Связка включается только вами: вы вводите код приглашения фирмы в приложении. Пока связки нет, ни одна поездка и ни один чек с телефона на серверы не уходят.

После связки на сервер дашборда передаются **только поездки, помеченные рабочими**, и чеки, которые вы решили передать фирме: дата и время, адреса начала и конца, расстояние, показания одометра, цель, объект, сумма компенсации и **упрощённая линия маршрута** (не более нескольких десятков точек), по которой дашборд определяет объект и время на нём; для чека — фотография и распознанные поля. **Личные поездки не передаются никогда.** Если рабочую поездку вы переводите в личную, её серверная копия удаляется.

Оператор дашборда — коммерческое общество **ODOMA SERVICES OSAÜHING** (рег. код 17589729), оно обрабатывает эти данные по поручению вашего работодателя; работодатель — контролёр этих данных. Подробности, сроки хранения и ваши права по этим данным — в [политике конфиденциальности дашборда](https://odoma.app/privacy). Связку можно разорвать в приложении в любой момент: после этого новые поездки на сервер не уходят, а об удалении уже переданных вы договариваетесь с работодателем.

Диагностические журналы телефона (в том числе с координатами) уходят на сервер дашборда **только в режиме разработчика**, который вы включаете сами в настройках; в обычной работе они остаются на телефоне.

## 4. Правовая основа обработки (GDPR статья 6)

### Статья 6(1)(a) GDPR — Согласие

Следующая обработка опирается на ваше явное согласие, которое вы можете отозвать в любой момент в настройках:

- Участие в публичной таблице лидеров
- Участие в исследованиях (Tier A, базовое)
- Участие в исследованиях (Tier B, индивидуальное)
- Отправка обратной связи по распознаванию чеков (раздел 3.3) — согласие выражается отдельно для каждой отправки

### Статья 6(1)(f) GDPR — Законные интересы (статистика влияния)

Мы обрабатываем ограниченные агрегированные метрики, описанные в разделе 3.1, привязанные к вашему `anonymous_id`, чтобы измерять экологическое и поведенческое влияние приложения. Эта обработка необходима для:

- Демонстрации эффективности нашей некоммерческой экологической миссии;
- Улучшения алгоритмов эко- и safety-скоринга, поставляемых всем пользователям в будущих версиях;
- Понимания, как пользовательская база развивается со временем.

Мы считаем эту обработку соразмерной, потому что данные агрегированы, не содержат сырых GPS или напрямую идентифицирующей информации и привязаны только к идентификатору, сгенерированному устройством.

Вы вправе возразить в любой момент, обратившись на [privacy@odoma.ee](mailto:privacy@odoma.ee).

## 5. Как долго мы храним данные

- **Данные о поездках на устройстве** — хранятся до тех пор, пока вы не удалите отдельные поездки или не удалите приложение. Эти данные остаются под вашим контролем.
- **Публичная статистика влияния** — хранится, пока включено участие в таблице лидеров. Удаляется в течение 7 дней после отключения.
- **Crowd Dataset Tier A (базовое исследование)** — хранится до **24 месяцев** с даты загрузки, затем автоматически удаляется.
- **Crowd Dataset Tier B (индивидуальное исследование)** — хранится до **24 месяцев** с момента вашего последнего вклада. После **12 месяцев бездействия** ваши записи автоматически удаляются. Вы также можете запросить немедленное удаление в любое время, нажав «Удалить мои данные» в Настройках → Исследование.
- **Обратная связь по чекам (раздел 3.3)** — до **12 месяцев** с момента получения, затем автоматическое удаление. Связать запись с вами или удалить конкретную запись по запросу невозможно, так как она анонимна архитектурно.

## 6. Передача данных и третьи стороны

Мы не продаём и не сдаём в аренду ваши данные, не передаём их рекламным сетям, брокерам данных или сторонним аналитическим SDK.

Наша серверная инфраструктура размещена на **Google Firebase**: функции и файлы — в регионе **ЕС (europe-west3, Франкфурт)**, база данных Firestore — в регионе **europe-west2 (Лондон, Великобритания)**; передача в Великобританию опирается на решение Европейской комиссии об адекватности, действующее до 27 декабря 2031 года. Firebase используется исключительно для работы нашего backend API и хранения ограниченных метрик, описанных выше. Мы используем Firebase в рамках применимых условий обработки данных Google.

### Будущие пилоты со страховыми компаниями (только Tier B)

Мы изучаем партнёрства со страховыми компаниями для запуска программ скидок аккуратным водителям на основе данных Crowd Dataset Tier B. **На данный момент такая программа не действует.** Прежде чем какая-либо передача ваших записей, привязанных к `anonymous_id`, страховому партнёру состоится:

- Будет заключено письменное соглашение о совместном контроле или обработке данных (GDPR Ст. 26 / 28);
- Конкретное партнёрство и поток данных будут раскрыты в приложении и на этой странице;
- Мы получим ваше **явное отдельное согласие** именно на эту программу. Существующее согласие на Tier B само по себе не разрешает передачу данных конкретному страховщику.

Если у вас включён только Tier A (без Tier B), ваши данные не несут `anonymous_id` и структурно не связаны с вами, поэтому они не могут быть переданы страховым партнёрам как ваши данные.

## 7. Ваши права согласно GDPR

Если вы находитесь в ЕС/ЕЭЗ, у вас есть следующие права:

- **Доступ (Ст. 15)** — запросить копию данных, связанных с вашим `anonymous_id`.
- **Исправление (Ст. 16)** — запросить исправление неточных данных.
- **Удаление (Ст. 17)** — запросить удаление всех серверных данных, связанных с вашим `anonymous_id`. Самый быстрый способ — действие **«Удалить мои данные»** в приложении в Настройках → Исследование:
  1. Сбор приостанавливается сразу.
  2. На наш сервер отправляется подписанный запрос на отзыв.
  3. Все записи, связанные с вашим `anonymous_id` в Crowd Dataset Tier B, удаляются в течение 30 дней.
  4. Вы можете продолжать пользоваться всеми функциями приложения, включая базовое исследование (Tier A), без привязки `anonymous_id`.
- **Ограничение (Ст. 18)** — запросить ограничение обработки на время разрешения спора.
- **Портативность данных (Ст. 20)** — запросить ваши данные в структурированном машиночитаемом формате.
- **Возражение (Ст. 21)** — возразить против обработки на основании наших законных интересов.
- **Отзыв согласия (Ст. 7(3))** — выключить любой переключатель opt-in в настройках в любое время.

**Обработка, не требующая идентификации (Ст. 11 GDPR).** Часть данных архитектурно обрабатывается анонимно — прежде всего обратная связь по распознаванию чеков (раздел 3.3) и Crowd Dataset Tier A. Такие записи не содержат идентификатора и не могут быть сопоставлены с пользователем. Согласно статье 11 GDPR, если контролёр не способен идентифицировать субъекта данных, права на доступ, исправление, удаление и портативность (Ст. 15–20) к таким данным неприменимы, поскольку мы не можем найти «ваши» записи среди анонимных. Мы не обязаны и не будем собирать дополнительные данные только ради того, чтобы вас идентифицировать. Контроль над такими данными реализуется до отправки — через переключатели opt-in и предпросмотр перед отправкой.

Чтобы воспользоваться любым правом, обратитесь на [privacy@odoma.ee](mailto:privacy@odoma.ee). Мы отвечаем в течение 30 дней. Вы также имеете право подать жалобу в **Эстонскую инспекцию по защите данных (Andmekaitse Inspektsioon)** на [aki.ee](https://aki.ee).

## 8. Дети

Odoma Tracker не предназначен для детей младше 16 лет. Мы сознательно не собираем данные от лиц младше 16 лет. Если вы считаете, что ребёнок воспользовался приложением и передал нам данные, свяжитесь с нами, чтобы мы могли их удалить.

## 9. Изменения этой политики

Мы можем обновлять эту Политику конфиденциальности по мере развития приложения. О существенных изменениях будет сообщено в release notes приложения и на этой странице вместе с обновлённой датой вступления в силу. Продолжение использования приложения после вступления существенных изменений в силу означает принятие обновлённой Политики.

### Журнал изменений

- **2026-09-04 (v1.7.0)** — Добавлен раздел 3.4 «Связка с работодателем — Odoma для фирм»: что и когда уходит в дашборд работодателя (только рабочие поездки и переданные чеки, упрощённая линия маршрута), кто оператор дашборда, ссылка на его политику; уточнён регион базы данных (europe-west2, Лондон) и основание передачи.
- **2026-08-22 (v1.6.0)** — Выход Android. Политика называет оба приложения (iOS и Android) там, где раньше упоминался только iOS. Поле Crowd Dataset «мажорная версия iOS» описано как мажорная версия ОС (на проводе ничего не изменилось — приложение всегда отправляло только мажор); хранилище идентификатора названо по платформам (Keychain на iOS, приватное хранилище приложения на Android); App Attest отнесён к iOS с прямым указанием статуса на Android. Что собирается, зачем и кому передаётся — без изменений.
- **2026-05-16 (v1.4.0)** — Добавлен раздел 3.3 «Обратная связь по распознаванию чеков»: архитектурно анонимная (сервер отклоняет любое id-поле), per-submission согласие, предпросмотр перед отправкой, авто-обезличивание текста (IBAN/isikukood/карты/имена), App-Attest, retention 12 мес. Добавлены соответствующие строки в разделы 2 и 5 и пункт о статье 11 GDPR (обработка, не требующая идентификации) в раздел 7.
- **2026-05-09 (v1.3.0)** — Добавлен раздел Crowd Dataset (участие в исследованиях): Tier A (базовое, свежий row_id на каждую загрузку, longitudinal-связь невозможна) и Tier B (индивидуальное, привязка к псевдониму устройства). Добавлены механики отзыва (в приложении «Удалить мои данные» → серверное удаление в течение 30 дней). Раскрыт shared `anonymous_id` между таблицей лидеров и Tier B. Раскрыто намерение о будущих страховых партнёрствах под отдельный opt-in.
- **2026-04-30 (v1.2.0)** — Первая публичная версия.

---

**Вопросы или запросы:** [privacy@odoma.ee](mailto:privacy@odoma.ee)
Odoma Tracker · Таллинн, Эстония · odoma.ee