Политика конфиденциальности

Sayr — путеводитель по природным местам Узбекистана. Мы стараемся собирать как можно меньше данных: приложение работает без регистрации, а аккаунт — через Telegram, Apple или по номеру телефона — заводится по желанию: чтобы избранное и история выходов жили на всех ваших телефонах и чтобы искать попутчиков. Рекламы и внешних систем аналитики нет. Обезличенную статистику — сколько устройств заходит и какие места открывают — сервер ведёт сам, без передачи кому-либо. Всё сказанное ниже одинаково верно для версий для iPhone и для Android.

Что мы собираем

• Случайный идентификатор устройства. При первом запуске приложение само создаёт случайный номер (UUID) и хранит его на устройстве. Пока вы не вошли в аккаунт, он не связан ни с именем, ни с телефоном, ни с почтой, ни с рекламным идентификатором. Нужен, чтобы отметка «я пойду» считалась один раз и чтобы вы могли её отменить, а также чтобы в статистике посещаемости одно устройство не считалось за несколько. После входа запросы несут его вместе с аккаунтом — так планы, отмеченные с этого телефона до входа, переезжают в аккаунт.
• Отметки «я пойду». Когда вы отмечаете дату похода, на сервер уходит место, дата и этот случайный номер. Так на экране появляется счётчик «кто ещё идёт».
• Как прошёл выход. Вечером дня похода приложение спрашивает, состоялся ли он и разошлось ли время с расчётным. Ответ дописывается к вашей отметке и живёт столько же, сколько она. Отдельно и навсегда остаётся только счётчик по месту — сколько человек прошли быстрее, дольше или как в расчёте: в нём нет ни дат, ни номеров устройств. По нему мы правим время в каталоге, часть которого посчитана формулой, а не пройдена с секундомером.
• Статистика использования. Когда вы открываете каталог, карточку места или скачиваете трек, сервер записывает, что именно открыли, когда и с какого случайного номера. Так же он отмечает, каким способом вы вошли в аккаунт — через Telegram, Apple или по номеру, впервые или снова, — привязали ли Telegram, заполнили или поправили ли анкету и что было в комнатах попутчиков: открыли комнату, попросились, взяли или отказали, вступили, вышли, отменили поход, пожаловались или заблокировали, вошли в группу, — без имени, номера телефона, кода комнаты и того, кого касалось действие. Приложение также сообщает ему, какими функциями вы пользуетесь: запустили ли навигатор по треку, дошли ли до его конца, записали ли выход, сделали ли наклейку, что искали в каталоге (только запросы, по которым место нашлось), начали ли вход и не сорвался ли он, нажали ли без сети кнопку, которой нужна сеть (только раздел: вход, попутчики, комната или анкета), — всегда названием из каталога или коротким словом из списка, без координат и без свободного текста. Ещё оно сообщает платформу, версию приложения и язык интерфейса. Это нужно, чтобы понимать, какими местами и функциями пользуются, а какие стоит сделать лучше. Записи обезличены, никому не передаются и хранятся не дольше 30 дней — дальше остаются только общие числа по дням, без привязки к устройствам.
• Адрес для уведомлений. Если вы разрешили уведомления, приложение получает у Apple или Google push-токен — длинную случайную строку, по которой их служба находит именно этот телефон, — и отправляет его нам вместе с платформой, языком интерфейса, выбранным городом выезда, версией приложения и тем же случайным номером устройства. Токен нужен для двух вещей: прислать объявление — о новом месте, закрытой тропе или обновлении, — и, если вы ищете попутчиков, сообщить о вашей комнате: кто-то просится, вас взяли, группа готова, поход отменили. Ни имени, ни номера телефона в нём нет, и узнать по нему, где вы находитесь, нельзя. Запретите уведомления в настройках телефона — при следующем открытии приложение само попросит сервер забыть токен. Если Apple или Google отвечают, что телефон больше не принимает уведомления — например, приложение удалили, — запись гасится и стирается через 30 дней.
• Сообщение о неточности. Если вы заполнили форму на сайте — ту, куда пишут, что в карточке места не сходится, — мы храним написанное: место, отмеченные темы, текст, контакт, если вы его оставили, и файлы, если вы их приложили. Контакт нужен для одного: спросить подробности и ответить, что поправили. Приложенные снимки и треки не публикуются и открываются только нам. Ни рассылок, ни передачи кому-либо. Разобрали заявку — удаляем её целиком, вместе с контактом и файлами.
• Технические журналы сервера. Как у любого сайта: IP-адрес, время запроса и его адрес. Используются только для защиты от сбоев и злоупотреблений, хранятся не дольше 30 дней.

Аккаунт

Аккаунт не обязателен: каталог, планы, навигатор и запись выхода работают без него. Он нужен, чтобы избранное, история выходов и город выезда были одинаковыми на всех ваших телефонах, и чтобы искать попутчиков. Войти можно через Telegram, с Apple (на iPhone) или по номеру телефона — у одного аккаунта может быть несколько способов, и любой из них открывает тот же аккаунт.

• Вход через Telegram. Telegram в своём окне спрашивает, пустить ли вас в Sayr, и с вашего согласия передаёт нам: номер вашего аккаунта Telegram, имя, ник и фото профиля, а если вы разрешите — номер телефона, который Telegram подтвердил. Номер аккаунта нужен, чтобы узнавать вас при следующем входе и в группах попутчиков. Номер телефона — чтобы вход через Telegram и вход по номеру вели в один аккаунт. Имя и фото заполняют анкету нового аккаунта — их можно поменять или стереть; имя переносим, только если оно написано буквами, а фото уменьшаем и убираем из него служебные данные, как у загруженного вручную. Ещё Telegram спрашивает, можно ли нашему боту писать вам: сейчас он не пишет, разрешение понадобится для напоминаний и подстраховки в походе, и о них мы скажем отдельно.
• Вход с Apple. Apple передаёт нам постоянный идентификатор, выданный именно для Sayr, и — только при первом входе — имя, если вы его не скрыли. Адрес почты, даже скрытый, мы не сохраняем. Чтобы при удалении аккаунта отозвать доступ Sayr к вашему Apple ID, храним выданный Apple ключ — в зашифрованном виде, он не показывается никому.
• Вход по номеру телефона. Пароля нет. Вы вводите номер, код приходит в Telegram: его отправляет и проверяет официальная служба Telegram Gateway, поэтому сам код у нас не хранится — ни в базе, ни в журналах. Мы записываем заявку на вход: номер, время, случайный номер устройства и IP-адрес — чтобы отбивать перебор кодов. Заявки стираются через 30 дней. После подтверждения телефон получает ключ сессии; у нас он лежит в виде хеша, и по украденной базе войти нельзя.
• Что хранится в аккаунте. Способы входа, которыми вы входили: номер аккаунта Telegram, идентификатор Apple и ключ для отзыва доступа, номер телефона. Анкета: имя и год рождения, а по желанию фамилия, пол, ник в Telegram и фото. Избранные места. Планы и история выходов — место, день, сколько дней длится поход и во сколько выезд по плану, состоялся ли выход и разошлось ли время с расчётным, километры и набор высоты. Город выезда. Треки: записанные выходы, файлы GPX, KML и KMZ, которые вы положили в «Рюкзак», и тренировки с часов — сам маршрут (точки с высотой и временем, а если часы его дали — с пульсом), название, начало и конец, километры, набор высоты, время в движении, место, с экрана которого начали запись, и сводка с часов: средний и максимальный пульс, калории, шаги. Список устройств, с которых вы входили: платформа и случайный номер устройства.
• Треки и данные с часов. Хранятся на сервере Sayr, пока вы не удалите трек или аккаунт, — чтобы появиться на другом вашем телефоне. Видите их только вы: файл трека отдаётся только по вашему входу, открытой ссылки на него нет. Третьим лицам мы их не передаём и для рекламы не используем. Удалённый трек стирается с сервера сразу, остаётся только отметка «удалён» — без маршрута, названия и места: по ней второй ваш телефон узнаёт, что трек надо убрать и у него.
• Что видят другие. Только то, что нужно попутчикам, — об этом ниже, в разделе «Попутчики». Пока вы не открыли комнату, не попросились в чужую и не вошли в неё по приглашению, анкету не видит никто. Номер телефона не показывается никому и никогда.
• Что в аккаунт не уходит. Ваши координаты, пока вы смотрите карту или идёте по треку, расчёт времени выезда с вашим запасом, напоминания. Всё это остаётся на телефоне, как описано ниже.
• Выход и удаление. «Выйти» в Профиле гасит вход на этом телефоне и убирает с него планы, избранное, историю выходов и треки — они вернутся, когда вы войдёте снова. Если какие-то треки ещё не успели уехать в аккаунт (например, без сети), приложение спросит, выходить ли. «Удалить аккаунт» стирает на сервере способы входа, анкету, фото, избранное, планы, историю выходов, треки, участие в комнатах попутчиков, ваши сообщения из их групп и все сессии — сразу, без обращения в поддержку. Если вы входили с Apple, мы тут же просим Apple отозвать доступ Sayr к вашему Apple ID. Не ответит — повторяем раз в час, но не дольше 30 дней: до тех пор ключ для отзыва лежит отдельно от стёртого аккаунта, в зашифрованном виде, и стирается, как только Apple отзыв подтвердит, или через 30 дней, даже если так и не подтвердил. С самого телефона удаление убирает планы, избранное и историю выходов, а треки, записанные или открытые на этом телефоне, остаются на нём; треки, которые лежали только в аккаунте, уходят вместе с ним. Обезличенная статистика с номером телефона не связана: в ней его нет.

Попутчики

Комнаты попутчиков — чтобы собраться в поход вместе: организатор, место и день. Своих зовут ссылкой, а открытую комнату видят те, кто собрался туда же и в тот же день, — они просятся, организатор решает.

• Что видно другим. Открытые комнаты видны в приложении и без входа — место, даты и сколько человек идёт, без имён; кто идёт, видят только вошедшие в аккаунт. Ссылку на комнату можно переслать, и её веб-страницу откроет любой, у кого есть ссылка, без входа: приглашение для своих показывает место, день и имя организатора, а ссылка «попроситься» — место, даты и сколько человек идёт, без имён. До одобрения — карточка организатора: имя, фото, пол и возраст (по году рождения), сколько человек идёт, как добираются и заметка. Просящийся показывает организатору такую же карточку о себе. Участники комнаты видят друг друга и ники в Telegram. Номер телефона не видит никто и никогда. Открыть комнату для незнакомых или попроситься в чужую можно с 18 лет.
• Группа в Telegram. Когда в комнате двое, наш аккаунт Telegram «Sayr Admin» создаёт для неё группу, и каждый участник получает в комнате свою одноразовую ссылку в неё. По ссылке или по аккаунту Telegram, с которым вы вошли в Sayr, Sayr Admin узнаёт вас в группе: делает организатора её администратором и убирает из группы тех, кто ушёл из комнаты. Пока Sayr Admin в группе, он пишет в неё, кто просится в поход и кто из него вышел, — только имя, как в комнате, без номера телефона и ника. Через две недели после похода он выходит сам, а группа остаётся вам.
• Переписка в группе. Sayr Admin состоит в группе и сохраняет текст сообщений и подписи к фото и видео — сами файлы не скачивает: какая группа, кто написал (аккаунт Telegram и, если знаем, человек в Sayr), когда и что. Правки и удаления в группе повторяются и у нас. Это нужно, чтобы уточнять сведения о тропах и местах; читает сохранённое только команда Sayr. Храним полгода. Организатор может вывести Sayr Admin из группы командой /leave — тогда всё сохранённое из этой группы стирается. Сама переписка живёт в Telegram по его правилам.
• Жалобы и блокировки. На человека или комнату можно пожаловаться: мы храним причину, текст, кто и на кого пожаловался, и разбираем жалобу в течение суток. Заблокированные друг друга не видят и в комнаты друг к другу не попадают.
• Удаление. С удалением аккаунта уходят участие в комнатах и ваши сохранённые сообщения. Походы, которые вы собирали, отменяются, участники получают уведомление, а из групп Sayr Admin вас убирает.

Что остаётся только на вашем устройстве

• Избранные места, планы и история выходов — пока вы не вошли в аккаунт. После входа они хранятся и в нём, чтобы появиться на другом вашем телефоне, а выход убирает их с этого телефона до следующего входа.
• Расчёт времени выезда и ваш запас времени.
• Напоминания о походе — их показывает сама система телефона, на сервер они не уходят.
• Ваша геопозиция. «Где я на тропе» и запись выхода считают положение прямо на телефоне: пока вы идёте, координаты не отправляются никуда. Пока вы просто смотрите трек, они нигде и не сохраняются — выключили экран, и их больше нет. Если вы нажали «Записать выход», пройденный путь пишется файлом в память телефона и лежит во вкладке «Рюкзак» (в прежних версиях — «Своё»), пока вы сами его не удалите.
• Ваши треки — пока вы не вошли в аккаунт. Записанные выходы и файлы GPX, KML и KMZ, открытые через «Поделиться», разбираются и хранятся на устройстве. После входа они уезжают и в аккаунт (см. «Треки и данные с часов» выше), а выход убирает их с этого телефона до следующего входа. Отправить трек другому человеку можно только самому — кнопкой «Поделиться файлом».
• Офлайн-комплект. Когда вы подтверждаете выезд, приложение заранее скачивает описание места, трек, фотографии и квадраты карты, чтобы в горах без связи всё открывалось. Комплект лежит на устройстве и стирается сам через несколько дней после поездки — или сразу, если вы её отменили.

Чего мы не делаем

• Не отправляем и не храним вашу геопозицию: она обрабатывается только на вашем устройстве.
• Не отслеживаем вас между приложениями и сайтами и не передаём данные рекламным сетям.
• Не продаём данные.

Сторонние сервисы

Погода. Прогноз мы берём у Open-Meteo. Запрос отправляет наш сервер и передаёт в нём координаты места из каталога, а не ваши — Open-Meteo не получает о вас никаких сведений.

Подложка «тропы». Топографические карты рисует Thunderforest, и за квадратами карты приложение обращается к нему напрямую с вашего устройства. Значит, ему виден ваш IP-адрес и то, какой участок карты вы смотрите. Ни ваш случайный номер, ни название открытого места ему не передаются.

Обычная карта. На iPhone её показывает Apple Maps средствами самой системы, на Android — Google Карты через библиотеку Google. Их использование подчиняется политикам Apple и Google.

Навигаторы и другие приложения. Кнопки «проложить маршрут» и «открыть трек» передают выбранному вами приложению — навигатору, Organic Maps, почте — координаты места или файл трека, и на этом наше участие заканчивается: дальше действует политика того приложения.

Вход через Telegram и с Apple. Окно входа показывает сам Telegram (или его защищённая страница, если приложения Telegram на телефоне нет) и сама система iPhone. Наш сервер получает только то, что описано в разделе «Аккаунт», и проверяет подлинность ответа по открытым ключам Telegram и Apple. Действуют политика Telegram и политика Apple.

Код для входа. Код отправляет Telegram Gateway — официальная служба Telegram. Ей передаётся ваш номер телефона, и она доставляет код в ваш аккаунт Telegram; действует политика Telegram. Если у номера нет Telegram, приложение так и скажет; СМС появятся позже.

Уведомления. Объявления доставляют службы самих платформ: на iPhone — Apple Push Notification service, на Android — Firebase Cloud Messaging компании Google. Наш сервер передаёт им токен и текст объявления, и они видят их так же, как почтальон видит адрес и открытку. Библиотека Firebase на Android заводит для установки собственный идентификатор и обменивается с Google служебными сведениями о телефоне — тоже только после вашего разрешения и по политике Firebase. Аналитику Firebase мы не подключали.

Как удалить свои данные

Аккаунт удаляется в Профиле — «Удалить аккаунт»: с сервера уходят способы входа, анкета, фото, избранное, планы, история выходов, участие в комнатах, ваши сообщения из групп попутчиков и сессии, а доступ Sayr к Apple ID, если вы входили с Apple, отзывается (зашифрованный ключ для отзыва ждёт ответа Apple не дольше 30 дней). Подтверждать это письмом не нужно. Повторное нажатие на выбранную дату снимает отметку и удаляет запись с сервера. Записи статистики привязаны к тому же случайному номеру и стираются сами не дольше чем через 30 дней. Удаление приложения стирает всё, что хранилось на устройстве; после переустановки создаётся новый случайный номер, не связанный с прежним. Уведомления выключаются в настройках телефона: при следующем открытии приложение само попросит сервер забыть токен. Если удалить приложение, не заходя в него, токен перестанет работать — Apple или Google сообщат нам об этом при первой же рассылке, и через 30 дней запись исчезнет. Если нужно удалить что-то ещё — напишите на mannopov481@gmail.com.

Дети

Приложение не предназначено для детей младше 13 лет и не собирает их данные осознанно.

Изменения

Если политика изменится, мы обновим дату вверху страницы.

Контакты

mannopov481@gmail.com