Политика конфиденциальности приложения D-Konnect

Настоящая Политика описывает, какие данные обрабатывает приложение D-Konnect, зачем, кому они передаются и какие права есть у пользователя. Политика едина для всех каналов распространения приложения (магазинов приложений и прямой установки APK), а вот состав сторонних компонентов в них различается: в сборку для Google Play входит на один сервис больше — второй получатель отчётов о сбоях. Полный состав, с указанием, что в каком канале работает, приведён в Приложении А.

Кратко

• Приложение не требует регистрации и учётной записи. Мы не запрашиваем имя, e-mail, телефон и не создаём профиль пользователя на сервере.
• У приложения нет собственного сервера. Данные автомобиля, настройки, индикаторы, формулы и история измерений хранятся только в памяти вашего устройства и никуда нами не отправляются.
• Приложение не собирает и не сохраняет координаты вашего местоположения. Разрешение на геолокацию используется, чтобы получить от системы скорость и высоту над уровнем моря для соответствующих индикаторов.
• Данные, которые всё-таки покидают устройство, — это обезличенная техническая телеметрия (отчёты о сбоях и статистика использования) и данные, необходимые рекламной сети. И то и другое входит во все сборки приложения, из какого бы канала оно ни было установлено. У приложения, установленного из Google Play, отчёты о сбоях получает дополнительно ещё один сервис — Firebase Crashlytics компании Google; в сборках для RuStore и прямой установки APK его нет (Приложение А).
• Персонализированную рекламу можно отключить в самом приложении — «Настройки» → «Конфиденциальность». Там, где закон требует получать согласие заранее (ЕЭЗ, Великобритания, Швейцария), переключатель по умолчанию выключен, и его включение и есть согласие; в остальных странах он по умолчанию включён и может быть выключен в любой момент. Реклама показывается в обоих случаях: переключатель влияет на то, как она подбирается, а не на то, есть ли она (раздел 5).
• Мы не продаём данные пользователей и не передаём их третьим лицам для самостоятельного использования, кроме случаев, описанных в разделах 5 и 6.

Данные, которые обрабатываются и остаются на устройстве

Эти данные хранятся в локальных базах данных и файлах настроек приложения. Мы к ним доступа не имеем: они не передаются ни нам, ни третьим лицам.

VIN и идентификаторы блоков управления. Приложение запрашивает VIN у автомобиля само — одним запросом на каждое подключение — и показывает его на экране состояния связи; там же есть кнопка запросить его заново. Значение хранится в оперативной памяти до конца работы приложения: в базу данных оно не записывается, в резервную копию не попадает и в историю измерений не идёт.

Ни VIN, ни любой другой идентификатор блока управления не передаётся сервисам из Приложения А — ни в отчётах о сбоях, ни в статистике использования; запрет действует на уровне кода приложения. В технические журналы записывается только объём ответа автомобиля, но никогда его содержимое.

Если вы самостоятельно создадите индикатор, читающий VIN или иной идентификатор блока управления, это значение будет обработано как любое другое показание — то есть, в отличие от описанного выше, сохранено локально и записано в историю измерений.

Удаление. Всё перечисленное удаляется вместе с приложением, а также через системную функцию «Очистить данные» (Настройки → Приложения → D-Konnect → Хранилище). Отдельные объекты (профили, индикаторы, известные адаптеры, история) удаляются средствами самого приложения.

Разрешения устройства и цели их использования

Приложение запрашивает разрешения только по мере необходимости и объясняет причину в момент запроса.

Кроме перечисленных, приложение объявляет служебные разрешения. Отдельного запроса они не требуют и диалога не показывают, но видны в списке разрешений в карточке приложения в магазине:

Любое разрешение из первой таблицы можно отозвать в системных настройках Android в любой момент.

Данные, обрабатываемые автоматически при использовании приложения

Приложение обрабатывает данные о работе на устройстве и, в объёме, описанном ниже, передаёт часть из них сторонним сервисам:

• Отчёты о сбоях: тип и модель устройства, версия ОС, версия приложения, стек вызовов и время сбоя. К отчёту может прилагаться краткий технический след последних действий внутри приложения; на него распространяются те же ограничения, что и на события ниже, — ни показаний автомобиля, ни координат, ни введённого вами текста в нём быть не может. В приложении, установленном из Google Play, один и тот же отчёт уходит двум получателям — AppMetrica и Firebase Crashlytics; в остальных каналах только в AppMetrica (Приложение А).
• Статистика использования: факты запуска и продолжительность сеанса, формирующие агрегированные метрики аудитории (число активных пользователей, удержание), и события о том, как приложение работает у вас: какой экран открыт; ответ на запрос разрешений Bluetooth; ход поиска и подключения адаптера — сколько устройств нашлось, удалось ли подключиться, сколько это заняло, к какому известному семейству относится адаптер и почему связь оборвалась; результат согласования с автомобилем; факт чтения или сброса кодов неисправностей и их количество; добавление индикатора из каталога; длина поискового запроса и число найденных строк; выдача и показ рекламных объявлений.
• Чего в этих событиях не бывает. Ограничение действует на уровне кода приложения: параметром события может быть только число, длительность или значение из закрытого списка. Не передаются никогда: VIN и другие идентификаторы блоков управления; MAC-адрес и имя адаптера — имя сводится на устройстве к семейству вроде elm327 или к отметке «без имени»; координаты, скорость и высота; любые показания автомобиля; введённый вами текст — названия профилей, индикаторов и формул, содержание поисковых запросов. Индикатор, написанный вами, отправляется как custom, без собственного идентификатора и названия.
• Идентификаторы: сторонние SDK создают собственный идентификатор установки приложения, а рекламный идентификатор устройства используют только при включённой персонализированной рекламе (раздел 5). Идентификатор установки сбрасывается при переустановке приложения и не связан с вашей личностью.
• Источник установки: магазин, из которого установлено приложение (Google Play, RuStore, прямая установка APK). Приложение узнаёт его у системы и отправляет как свойство установки. Отдельно от этого рекламный SDK читает данные об объявлении, по которому произошла установка (Play Install Referrer и его аналог в RuStore); эта атрибуция выполняется только при включённой персонализированной рекламе (раздел 5).

Правовое основание для этой обработки — законный интерес разработчика в обеспечении работоспособности и стабильности приложения (см. раздел 8). Отдельного переключателя для отчётов о сбоях и статистики использования в приложении нет — этот сбор прекращается вместе с удалением приложения. Использование рекламного идентификатора для персонализированной рекламы — отдельный вопрос, у него есть собственный переключатель, см. раздел 5.

Сторонние сервисы

Состав сторонних компонентов зависит от канала, из которого установлено приложение: в сборке для Google Play их на один больше. Полный перечень с ссылками на политики поставщиков приведён в Приложении А, там же указано, что в каком канале работает. Мы передаём этим сервисам только те данные, которые перечислены в разделе 4 и в Приложении А; каждый из них обрабатывает данные в соответствии с собственной политикой.

Категории используемых сервисов:

1. Сбор отчётов о сбоях и техническая диагностика — обязательны для выпуска стабильных обновлений.
2. Обобщённая аналитика использования — только агрегированные показатели аудитории.
3. Рекламная сеть — входит во все сборки приложения. Рекламная сеть может обрабатывать рекламный идентификатор, сведения об устройстве и приблизительное местоположение по IP-адресу для подбора и учёта показов. Что именно ей разрешено использовать, зависит от вашего выбора — см. «Персонализированная реклама и ваш выбор» ниже. Реклама не отображается на экране приборной панели во время движения.
4. Платёжный механизм магазина приложений — если в вашей версии доступны покупки (раздел 6).

Персонализированная реклама и ваш выбор

Приложение не показывает диалог согласия. Исходное положение настройки определяется юрисдикцией, в которой, судя по устройству, вы находитесь, и вы можете изменить его в любой момент.

Как определяется исходное положение. Приложение не делает для этого сетевых запросов: оно читает страну SIM-карты, страну сети оператора, регион языковой настройки самого устройства и регион его часового пояса. Если хотя бы один из этих признаков указывает на Европейскую экономическую зону, Великобританию или Швейцарию — либо если ни один из них не даёт ответа — приложение стартует с выключенной персонализацией. Во всех остальных случаях — с включённой. Эти признаки считываются на устройстве, никуда не передаются и не сохраняются.

Где переключатель. «Настройки» → «Конфиденциальность» → «Персонализированная реклама». Его можно переводить в любую сторону сколько угодно раз: отозвать согласие ровно так же просто, как дать. Ваш выбор и дата, когда он сделан, хранятся на устройстве: ни нам, ни рекламной сети они не передаются. Android может включить их в системную резервную копию вместе с остальными настройками — намеренно, чтобы отказ от персонализации не пропал при переезде на новое устройство (раздел 7).

Что означает «выключено». Рекламному SDK передаётся указание не использовать рекламный идентификатор и не выполнять отчётность об установках и атрибуции. Реклама при этом продолжает показываться — она подбирается без этих признаков. Тот же выбор передаётся и AppMetrica — сервису сбора сбоев и аналитики из раздела 4: она тоже перестаёт собирать рекламный идентификатор, переключатель не ограничен одной рекламной сетью. Firebase Crashlytics в сборке из Google Play рекламный идентификатор не собирает ни при каком положении переключателя: сбор рекламных признаков для него выключен в самой сборке и нигде не включается.

Местоположение — вне переключателя. Обращаться к местоположению устройства рекламному SDK запрещено при любом положении переключателя: запрет задан в самой сборке и нигде не снимается. Географические координаты не покидают устройство независимо от вашего выбора и от того, выдано ли системное разрешение на местоположение (раздел 3). Приблизительное местоположение, которое рекламная сеть определяет по IP-адресу запроса, к этому запрету не относится — оно вычисляется на её стороне и координатами устройства не является.

Чего это положение переключателя не останавливает: собственно сбора отчётов о сбоях и обобщённых метрик аудитории. У них своё правовое основание и отдельного переключателя в приложении нет, но при выключенном переключателе они не содержат рекламного идентификатора.

Независимо от этой настройки, в системных настройках Android можно сбросить или удалить рекламный идентификатор сразу для всех приложений («Конфиденциальность» → «Реклама»).

AppMetrica решает две задачи одновременно

Рекламный SDK Yandex Mobile Ads поставляется вместе с библиотекой AppMetrica, поэтому она попадает в приложение как его зависимость. Одновременно приложение активирует AppMetrica собственным ключом и использует её как сервис сбора отчётов о сбоях и обобщённых метрик аудитории (раздел 4). Верно для всех каналов: AppMetrica ведёт аналитику и принимает отчёты о сбоях везде, включая Google Play, где у неё есть второй сосед по этой задаче.

То есть одна и та же библиотека параллельно обслуживает две задачи: технические нужды самого рекламного SDK — под ключом Яндекса, и наши — под ключом приложения. В Приложении А она указана одной строкой, и колонка данных охватывает оба случая.

Покупки в приложении

Если в вашей сборке доступны платные функции, оплата проводится средствами магазина приложений, из которого установлено приложение. Данные банковской карты вводятся в интерфейсе магазина: разработчик их не получает, не видит и не хранит. Приложение получает от магазина только факт наличия покупки, чтобы включить оплаченные функции. Возвраты и споры по платежам регулируются правилами соответствующего магазина.

Резервное копирование и перенос на новое устройство

Android может включать данные приложения в системное резервное копирование и в перенос данных на новое устройство. В резервную копию включены только настройки и конфигурация: профили, индикаторы, формулы, конфигурации подключения, список известных адаптеров (включая их MAC-адреса), параметры приложения и ваш выбор по персонализированной рекламе (раздел 5) — последний включён намеренно, чтобы отказ от персонализации не сбросился на новом устройстве. История измерений в резервную копию не включается.

Резервная копия обрабатывается системным сервисом резервного копирования вашего устройства, а не разработчиком. Резервное копирование можно отключить в системных настройках Android.

Правовые основания и применимое законодательство

Политика составлена так, чтобы соответствовать требованиям законодательства по месту распространения приложения, в частности:

• Российская Федерация: Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных». Обработка персональных данных пользователей на серверах разработчика не осуществляется — собственная инфраструктура отсутствует; локальные данные обрабатываются на устройстве пользователя.
• Европейская экономическая зона, Великобритания и Швейцария: Регламент (ЕС) 2016/679 (GDPR) и соответствующие ему британские и швейцарские нормы. Правовые основания: согласие — для доступа к геолокации и к Bluetooth (даётся системным диалогом разрешений) и для персонализированной рекламы (даётся включением переключателя из раздела 5, который в этих странах по умолчанию выключен, поэтому до вашего действия персонализация не применяется); законный интерес — для диагностики сбоев и обобщённой статистики, необходимых для поддержания работоспособности приложения; исполнение договора — для предоставления функциональности приложения и оплаченных функций.
• США (Калифорния и штаты со сходным регулированием): законодательство этих штатов даёт право отказаться от «продажи» и «передачи» персональных данных в целях таргетированной рекламы. Таким отказом служит переключатель в разделе «Настройки» → «Конфиденциальность». Данные пользователей на возмездной основе мы не передаём.

Сторонние сервисы, перечисленные в Приложении А, могут обрабатывать данные за пределами страны пользователя; передача осуществляется на основании условий соответствующих поставщиков.

Сроки хранения

• Локальные данные хранятся, пока установлено приложение и пока вы их не удалили; история измерений дополнительно ограничена по объёму — самые старые записи удаляются автоматически.
• Отчёты о сбоях и статистика хранятся у поставщиков сервисов в сроки, установленные их политиками (как правило, от нескольких месяцев до полутора лет).
• Переписка с разработчиком хранится, пока она нужна, чтобы ответить и довести ваш вопрос до конца, и удаляется по вашей просьбе в любой момент (раздел 15).

Права пользователя

Вы вправе:

• получить информацию о том, какие данные обрабатываются, — настоящая Политика содержит полный перечень;
• удалить данные — через функции приложения, через системную очистку данных или удалением приложения; локальное удаление является полным и необратимым;
• отозвать разрешения (геолокация, Bluetooth, уведомления) в настройках Android;
• отключить персонализированную рекламу — переключателем в приложении («Настройки» → «Конфиденциальность»), а дополнительно — сбросив или отключив рекламный идентификатор в настройках Android;
• обратиться к разработчику (см. раздел 15 «Контакты») с запросом на доступ, исправление, удаление данных или с жалобой. Мы отвечаем в срок не более 30 дней. Обратите внимание: поскольку приложение не имеет учётных записей, у нас нет технической возможности связать обезличенные отчёты о сбоях с конкретным человеком; в таких случаях мы поможем удалить данные на устройстве и подскажем, как обратиться к поставщику соответствующего сервиса;
• подать жалобу в надзорный орган по месту жительства (для ЕЭЗ/Великобритании — в орган по защите данных, для РФ — в Роскомнадзор).

Дети

Приложение предназначено для водителей и владельцев автомобилей и не адресовано детям младше 16 лет. Мы сознательно не собираем данные детей. Если вам стало известно, что ребёнок передал разработчику какие-либо данные, сообщите нам по адресу из раздела 15 «Контакты» — данные будут удалены.

Безопасность

Данные приложения хранятся в его частном каталоге, изолированном средствами Android от других приложений. Соединение с OBD-II адаптером — локальное (Bluetooth), интернет для передачи данных автомобиля не используется. Передача данных сторонним сервисам, перечисленным в Приложении А, выполняется по защищённым каналам средствами их SDK.

Абсолютной безопасности не гарантирует ни одно техническое решение; при обнаружении уязвимости, затрагивающей пользователей, мы уведомим об этом в описании обновления и, при необходимости, через магазин приложений.

Предупреждение о безопасности при использовании

Приложение отображает данные бортовой диагностики и не является средством измерения или диагностическим прибором. Не взаимодействуйте с приложением во время движения. Разработчик не несёт ответственности за решения, принятые на основании показаний приложения.

Изменения Политики

Мы можем обновлять Политику при изменении функциональности приложения или состава сторонних сервисов. Актуальная редакция всегда доступна по адресу, указанному в карточке приложения в магазине и в разделе «Настройки» приложения. При существенных изменениях (появление новой категории собираемых данных или нового получателя данных) мы сообщим об этом в описании обновления. Дата редакции указана в начале документа; предыдущие редакции доступны по запросу.

Контакты

По любым вопросам о конфиденциальности и обработке данных:

legal@denis55ka.app

Если вы нам пишете — на этот адрес, на hello@denis55ka.app или из приложения («Настройки» → «Написать разработчику»), — мы получаем ваш адрес электронной почты, текст письма и всё, что вы к нему приложили. Письмо из приложения открывается в вашем почтовом клиенте и уже содержит версию приложения, магазин, для которого собрана установленная сборка, модель устройства и версию Android: это помогает ответить по существу, и всё это можно удалить перед отправкой. Само приложение ничего не отправляет — письмо уходит, только когда вы отправите его сами. Переписка используется только для ответа на ваше обращение, третьим лицам не передаётся и хранится в почтовом ящике разработчика у его почтового провайдера.

Приложение А. Сторонние сервисы

Первая таблица действует для всех каналов. Вторая — только для приложения, установленного из Google Play. Компонент, не указанный ни в одной из них, отсутствует: его SDK не включён ни в одну сборку.

Дополнительно — только в сборке из Google Play. Приложение, установленное из Google Play, отправляет отчёты о сбоях второму получателю, помимо AppMetrica. В сборках для RuStore и прямой установки APK этого компонента нет.

Платёжный компонент в приложение не включён. Платных функций нет, поэтому ни Google Play Billing, ни платёжный механизм RuStore в сборку не входят. Раздел 6 описывает, как будут обрабатываться покупки, если платные функции появятся; платёжный сервис соответствующего магазина будет добавлен в первую таблицу тем же выпуском.

Firebase Analytics не входит ни в одну сборку. В предыдущих версиях сборка для Google Play использовала его вместе с Crashlytics; аналитику во всех каналах теперь ведёт AppMetrica, а от Firebase остался только сбор сбоев и служебные библиотеки, которые он тянет за собой (Firebase Installations, Firebase Sessions и транспорт доставки отчётов). Во всех сборках остаются библиотеки Google, которые предоставляют перечисленным выше SDK рекламный идентификатор и App Set ID (play-services-ads-identifier, play-services-appset); они считывают идентификаторы на устройстве и сами получателями ваших данных не являются.

Если будет выпущена сборка с иным составом сторонних сервисов, это Приложение будет обновлено тем же выпуском.