Политика конфиденциальности

1. Коротко

Unbeen записывает ваши прогулки и закрашивает на карте улицы, по которым вы прошли.

Маршруты прогулок, точки спутника и заметки хранятся на вашем телефоне. На наш сервер они попадают только внутри зашифрованной копии, которую мы не открываем.

На наш сервер уходят цифры о прогулках и технический журнал работы приложения, без координат. По ним мы видим, что ломается, и чиним. Это выключается одним переключателем.

Вход через Apple, Google или по почте с паролем, на Android — через Google или по почте (§3.3); пароль к нам не попадает, его проверяет служба входа Supabase. Для сервера вы случайный номер игрока, к которому прикреплён ваш аккаунт. Рекламы, рекламных идентификаторов и сторонних систем аналитики нет.

Есть версия для Android. Данные в ней устроены так же, но возможностей пока меньше, а карта другая: чем она отличается от iPhone, сказано в §3.14.

Ниже перечислено всё, что покидает телефон, и куда оно уходит. Других путей передачи данных в приложении нет.

2. Что остаётся только на телефоне

В открытом виде телефон не покидают:

• маршруты прогулок и сырые точки спутника;
• названия улиц, которые вы прошли, и места, где вы были;
• тексты заметок; фото и видео заметок не покидают телефон вовсе;
• место вашего дома, если вы его отметили;
• настройки приложения.

Исключения описаны ниже и только такие: зашифрованная копия (§3.6), которую мы не открываем; маршрут, который вы сами нарисовали для совместной прогулки (§3.8); территории «Захвата», если вы в него играете (§3.10); отчёты и картинки, которые вы отправляете сами (§3.1).

3. Что уходит наружу и куда

3.1. Карта Apple и то, что вы отправляете сами

Приложение показывает карту Apple (MapKit). Как любое приложение с картой, оно запрашивает у Apple изображения карты для области, которую вы смотрите. Это обрабатывается Apple по её собственной политике конфиденциальности.

3.2. Карты городов

Чтобы полоска ложилась на улицы, приложению нужна карта улиц города: файл обычно в несколько мегабайт, у самых больших городов до 20 МБ. Файлы лежат в двух местах: в открытом хранилище проекта на GitHub (github.com/Efimother/unbeen-citypacks) и в хранилище проекта maps.unbeen.app на Cloudflare. Список части городов встроен в приложение. Чтобы найти карту для места, которого в этом списке нет, приложение запрашивает в maps.unbeen.app кусок каталога по номеру квадрата примерно 28 на 28 км: ваша координата не передаётся. Перед установкой телефон сверяет контрольную сумму файла, чтобы карта пришла целой.

• При открытии приложения: только после вопроса. Если вы в городе, карты которого на телефоне ещё нет, приложение спрашивает, скачать ли её. Без вашего «да» ничего не скачивается. Вопрос повторяется, когда вы нажимаете кнопку прогулки.
• Во время записи прогулки: само. Если вы въехали в другой город, приложение скачивает его карту, чтобы не прерывать счёт новых улиц. Это включено по умолчанию и выключается: Настройки → Города → «Скачивать города сами в пути». Там же карты скачиваются и удаляются вручную.

GitHub и Cloudflare получают только запрос файла: по имени файла видно, карта какого города или квадрата понадобилась, и, как любой сайт, они видят адрес вашего подключения. Координаты, история прогулок и ваш номер игрока им не передаются.

3.3. Наш сервер и кто вы для него

Сервер unbeen.app работает на Cloudflare. Данные хранятся в базе Supabase во Франкфурте (Германия).

Кто вы для сервера. При установке телефон создаёт случайный номер игрока и секретный ключ. На iPhone ключ лежит в связке ключей телефона, а если включена «Связка ключей iCloud», то и в ней: так новый телефон с тем же Apple ID получает его обратно. На Android ключ лежит в файле на телефоне, зашифрованном ключом из защищённого хранилища Android; в облако Google он не попадает. Из ключа выводятся пропуск для запросов (сервер хранит только его отпечаток) и печать для зашифрованной копии. Пока вы не вошли в аккаунт, сам ключ сервер не получает.

Вход через Apple, Google или по почте. На iPhone — Apple, Google или почта, на Android — Google или почта. Через Apple или Google вы входите системным окном (на Android окно показывают сервисы Google Play телефона), и телефон передаёт полученный от них знак входа только нашему серверу. По почте вы регистрируетесь сами: ник, почта и пароль. Почта и пароль уходят прямо в Supabase Auth (тот же поставщик, что и база), к нам пароль не попадает; Supabase присылает письмо со ссылкой, чтобы подтвердить почту. Сервер проверяет знак входа в Supabase Auth. После входа мы храним: номер вашего пользователя в Supabase, каким способом вы вошли, подсказку почты (первая буква и домен, например m•••@gmail.com; скрытую почту Apple не храним) и время входа. Сам Supabase хранит своего пользователя: номер и почту, а при входе по почте ещё и пароль в виде хэша (сам пароль не хранится нигде). Имя мы не просим. Вместе со входом телефон передаёт серверу ваш ключ; сервер хранит его запечатанным своим секретом и выдаёт только вам, сразу после входа тем же аккаунтом на другом телефоне, чтобы копия (§3.6) вернулась туда.

Вход по почте. Можно завести аккаунт по почте: ник, адрес и пароль дважды. Почта и пароль уходят прямо в Supabase Auth, минуя наш сервер. Supabase хранит адрес и хэш пароля (сам пароль не хранит никто) и присылает письмо со ссылкой для подтверждения адреса, а при «Забыли пароль?» письмо с кодом. Пароль на телефоне не сохраняется. Нашему серверу телефон передаёт только знак входа от Supabase; дальше всё как у входа через Apple или Google: мы храним номер пользователя Supabase, способ входа «почта», подсказку почты и время входа. Ник из регистрации становится именем в профиле (§ «Ник» ниже).

Ник: имя, которое вы ввели в профиле, а если его нет, автоматическое, например Otter-03.

Знакомство с сервером. Раз в сутки и при изменениях телефон сообщает: номер игрока и случайный номер телефона в приложении, версию приложения, модель телефона, версию iOS или Android, включены ли уведомления, ник, язык приложения, страну из региональных настроек телефона, часовой пояс и положения переключателей «Моих данных». Если статистика выключена, телефон раз в сутки сообщает только номера, версию приложения и положения переключателей: так сервер может попросить обновить слишком старую версию.

Журнал запросов. Сервер записывает, какой адрес вызван, ответ, длительность, размер и через какой узел Cloudflare прошёл запрос. Адрес вашего подключения видит Cloudflare и использует его для защиты от перегрузки; в нашу базу он не записывается.

3.4. Статистика и журнал работы

Переключатель «Статистика и журнал работы»: Настройки → Приватность → Мои данные. Он включён по умолчанию, но до первого показа экрана «Что уходит к нам» (он появляется вскоре после первого запуска) не уходит ничего: события ждут в памяти телефона и уходят после экрана, если переключатель остался включён. Если выключить, очередь неотправленного стирается и больше ничего не уходит, кроме знакомства из §3.3.

Пока он включён, уходят:

• Цифры о каждой прогулке без координат: время начала и конца, часовой пояс, пешком или на велосипеде, расстояние, сколько метров новых и пройденных заново дорог, длительность, число точек, город (номер карты города), полученный опыт.
• Прогресс: уровень, опыт, серия дней, достижения, задания, точки дня (когда выданы и собраны и насколько далеко от дома: ближе 500 м, до 2 км или дальше), бобы и траты, обещания погулять, процент исследованных улиц и районов по городам.
• Исследованные улицы не названиями, а отпечатками, которые телефон считает со своим секретом: без вашего телефона по отпечатку улицу не узнать. К отпечатку добавляются длина, город и дата.
• Заметки только числами: вид (текст, фото, видео), длина текста и размер файла. Содержимое не уходит.
• Покупки за деньги: какую пачку бобов вы купили, номер покупки в App Store, дата и возврат, если он был; какой тариф у вас подключён. Платёжных данных мы не получаем: оплату ведёт Apple.
• Технический журнал: какие экраны открываются и какие кнопки нажимаются, запуск и уход в фон, время в приложении, события записи прогулки (старт, пауза, остановка, отброшенные неточные точки, разрывы, ошибки сохранения) без координат, скачивание карт, изменения разрешений и настроек, доставка уведомлений, работа виджетов и карточки на экране блокировки, отчёты Apple о падениях и зависаниях (MetricKit): тип сбоя и места в коде приложения, без ваших данных.

Сервер на всякий случай вырезает из журнала поля, похожие на координаты, адреса, названия улиц и тексты.

3.5. Обезличенная карта прогулок

Переключатель «Обезличенная карта прогулок» в «Моих данных» выключен по умолчанию. Пока вы его не включите, ничего не уходит.

Если включить, после прогулки уходят: квадраты сетки со стороной около 60 метров, которые задел трек; отрезки улиц по номерам из карты города; час недели; город; категория: уровень группой (1–4, 5–9, 10–19, 20 и выше), пешком или на велосипеде, стаж в приложении (меньше недели, месяца, года или больше) и страна. Сервер только прибавляет единицу к счётчику квадрата или отрезка за неделю. Номер игрока и номер прогулки в карту не записываются, в журнал запросов для этого адреса игрок тоже не пишется. С версии от 28 сентября 2026 квадраты уходят вообще без номера игрока: приложение прикладывает одноразовый талон, который сервер выдаёт при знакомстве и не связывает с вами. Старые версии приложения присылают номер и пропуск, сервер проверяет их только затем, чтобы отсечь чужих, и никуда не записывает. Такую сводку по улицам мы можем показывать партнёрам.

3.6. Зашифрованная копия

Переключатель «Зашифрованная копия у нас» в «Моих данных» включён по умолчанию.

Что в копии. Копия базы данных телефона: прогулки с маршрутами, тексты заметок, прогресс. Фото и видео заметок в копию не входят.

Как защищена. Телефон сжимает копию и шифрует её (AES-GCM) печатью из вашего ключа до отправки. Сервер и разработчик видят только размер, дату, контрольную сумму, версию и число прогулок; мы копию не открываем. Если вы вошли в аккаунт (Apple, Google или почта), ключ хранится у нас запечатанным (§3.3) и выдаётся только вам после входа. Если вы не входили и ключ потерян (на iPhone — не было «Связки ключей iCloud», а телефон утрачен; на Android — телефон утрачен или приложение удалено, §3.14), копию не откроет никто, и мы тоже.

Когда уходит. Только по сети без ограничения трафика (Wi-Fi), не чаще раза в 15 минут и только если на телефоне есть хотя бы одна прогулка.

Где лежит. В хранилище Cloudflare R2, 7 последних копий, старые удаляются. Последняя копия каждого игрока каждую ночь дублируется в хранилище Supabase на случай сбоя; копия, которой больше нет в R2, удаляется из этого дубля в ту же ночь.

Возврат. На iPhone после переустановки или на новом iPhone с тем же Apple ID и включённой «Связкой ключей iCloud», а на любом телефоне — после входа тем же аккаунтом копия возвращается сама. Перенос атласа между iPhone и Android пока не работает (§3.14). Вручную: «Мои данные» → «Восстановить с нашего сервера».

Выключение переключателя останавливает новые копии; уже сохранённые удаляет «Удалить всё у нас».

3.7. Рейтинг и аватар

Рейтинг включён по умолчанию и выключается одним переключателем: Настройки → Приватность → «Участвовать в рейтинге».

Пока он включён, на сервере лежит и видна всем игрокам ваша строка: ник · аватар, если вы его выбрали (маленькая картинка нарисованного зверька из приложения) · рамка аватара · уровень · опыт · число исследованных улиц · километры и число прогулок всего, пешком и на велосипеде · средняя длина прогулки · серия дней (число, не даты) · сколько у вас текстовых заметок, фото и видео (только количество) · километры и прогулки за текущую и прошлую неделю · время последнего обновления. Вместе со строкой хранятся служебные поля, которые нужны, чтобы строку показать правильно: номер игрока (случайный, к вашему имени и телефону не привязан), метки текущей и прошлой недели, версия картинки аватара и версия формата строки.

Не публикуется никогда: координаты, маршруты, текущее местоположение, названия улиц и городов, даты прогулок, содержимое заметок.

Своё фото поставить нельзя: аватар выбирается только из нарисованных зверьков. Фото, поставленное в прежних версиях, приложение само удаляет с телефона и с сервера.

Если выключить участие, строка и аватар удаляются с сервера. Если на игрока пожаловались (§3.11), разработчик может скрыть его ник, аватар и территорию «Захвата» от всех.

3.8. Друзья, совместные прогулки, задания и подарки

Всё это хранится на нашем сервере и видно только участникам.

• Дружба: номера и ники обоих, дата.
• Совместная прогулка: название, дата и время, город, длина, организатор, позванные и их ответы, отметки начала и конца. И маршрут с координатами точек, который нарисовал организатор: это план встречи, а не запись вашего движения. Видят его только организатор и позванные, а позвать можно только друзей. Примерно через двое суток после начала приложение организатора стирает точки маршрута с сервера.
• Общие задания и вызовы 1 на 1: вид, цель, сроки, участники, их ответы и прогресс.
• Подарки бобов: кто, кому, когда и принят ли подарок.
• Промокоды: какой код и когда вы применили.

Организатор, удаляя совместную прогулку, стирает её у всех; удаление друга снимает дружбу у обоих.

3.9. Уведомления о действиях других людей

Уведомления «вас добавили в друзья», «вас зовут на прогулку» и подобные доставляет наш сервер через службу уведомлений Apple.

Что хранится в сервисе уведомлений (Cloudflare): адрес вашего телефона для уведомлений, который выдаёт Apple; номер игрока; ваш секретный адрес для уведомлений; язык уведомлений; часовой пояс (ночью с 22:00 до 8:00 уведомления приходят без звука); время обновления. Ещё: кому вы разрешили вам писать и кого заблокировали, ваш код друга, одноразовые ссылки-приглашения (живут до использования или 30 дней) и заявки в друзья (действуют 30 дней). Счётчик уведомлений за час исчезает через два часа, отметка «уже доставлено» через шесть часов.

Копия в нашей базе для разработчика: дружбы, заявки, коды, отпечаток адреса (не сам адрес) и журнал отправленных уведомлений: вид, от кого, кому, доставлено ли и открыто ли. Тексты уведомлений не хранятся.

Кто может прислать вам уведомление. Только тот, кому вы сами дали ссылку-приглашение или код друга и с кем вы в друзьях. Номера из рейтинга для этого недостаточно.

Выключение уведомлений стирает адрес телефона. Остальная запись остаётся, чтобы друзья не потеряли вас при следующем включении; целиком её стирает «Удалить всё у нас». Когда Apple сообщает, что приложение с телефона удалено, адрес телефона стирается сам. В странах, где Cloudflare заблокирован, уведомления не работают.

3.10. Игровой режим «Захват»

Если вы играете в «Захват», на сервере лежат области завершённых захватов, то есть участки города, которые вы обвели, с временем захвата до минуты, ником и цветом. Вы получаете свою запись целиком. Другим игрокам сервер отдаёт только закрашенную землю цветом вашей команды: без ника, фото, номера игрока и времени захватов; по ней нельзя найти вашу строку в рейтинге. В таблице «Захвата» вы для других просто «Игрок» со своей долей города. Живая позиция и сам маршрут не публикуются.

Скажем прямо: по закрашенной земле другие игроки видят, в каких местах кто-то из команды гулял. Петлю лучше замыкать подальше от дома, об этом говорит обучение при входе в режим. «Покинуть игру» удаляет вашу территорию с сервера.

3.11. Обратная связь и жалобы

«Сообщить о проблеме» и «Предложить идею» (это обращения в поддержку) отправляют в нашу базу ваш текст, контакт для ответа, если вы его указали, версию приложения, версию iOS или Android, модель телефона, язык и номер игрока: чтобы ответить и посмотреть журнал работы.

Жалоба на игрока («Пожаловаться») сохраняет, кто пожаловался, на кого, где (рейтинг, «Захват», друзья, заявки, совместные дела) и когда. Разработчик сразу получает письмо с ником и номером игрока, на которого пожаловались; письмо уходит через Cloudflare на почту разработчика. По жалобе он может скрыть этого игрока от всех.

3.12. Что осталось от облака Apple

До 13 сентября 2026 года рейтинг, друзья, совместные прогулки и резервная копия жили в облаке Apple (CloudKit). Теперь:

• рейтинг, друзья, совместные дела и «Захват» хранятся только на нашем сервере; старые записи дружбы из облака Apple приложение больше не читает;
• копия базы в ваш личный iCloud больше не делается, её заменила зашифрованная копия (§3.6);
• фото и видео заметок в iCloud больше не копируются: они хранятся только на телефоне. Те, что прежние версии успели сохранить в ваше личное хранилище iCloud, остаются там, и приложение может забрать их обратно на телефон, если их там не хватает. Мы к этому хранилищу доступа не имеем. Удалить: Настройки iPhone → ваше имя → iCloud → Хранилище → Unbeen;
• ключ игрока хранится в «Связке ключей iCloud» (§3.3).

3.13. Кто обрабатывает данные по нашему поручению

• Cloudflare: сервер unbeen.app, сервис уведомлений, хранилище копий, хранилище карт городов maps.unbeen.app, сайт.
• Supabase: база данных (Франкфурт), ночной дубль последней копии и вход через Apple, Google и по почте (Supabase Auth), включая письма для подтверждения почты.
• Google: вход через Google, если вы выбрали его. На Android ещё службы геопозиции Google Play: на телефонах, где они есть, они определяют место для записи прогулки (§3.14).
• OpenFreeMap: изображения карты в приложении для Android (§3.14).
• GitHub: хранит файлы карт городов в открытом доступе и по нашему поручению каждую ночь выгружает резервную копию базы (GitHub Actions); данные проходят через его машины, не оставаясь там.
• Grafana Labs (Grafana Cloud): читает базу, только чтение, чтобы разработчик видел доски с показателями; самих зашифрованных копий не видит.
• Apple: карта и маршруты, доставка уведомлений, фото заметок, сохранённые прежними версиями в вашем iCloud, покупки в приложении, вход через Apple. Оплату обрабатывает Apple, платёжных данных мы не получаем.

Все они обязаны защищать данные по своим договорам об обработке данных и не вправе использовать их для своих целей. Исключения: карта Apple, службы геопозиции Google Play и OpenFreeMap работают по собственным правилам этих компаний и сервисов, а не по нашему поручению.

3.14. Приложение для Android

Версия Unbeen для Android устроена так же, как на iPhone: прогулки, маршруты, точки спутника и заметки хранятся на телефоне, а всё сказанное выше о том, что уходит к нам, действует и для неё. Отличия такие.

Карта. Вместо карты Apple приложение показывает карту на данных OpenStreetMap. Изображения карты для области, которую вы смотрите, приходят из открытого сервиса OpenFreeMap (tiles.openfreemap.org). Как и любой сервис карт, он видит адрес вашего подключения и район, который показан на экране. Ключей и аккаунтов у него нет, ваш номер игрока ему не передаётся. На Android это заменяет сказанное в §3.1 о карте Apple.

Карты городов. На Android карта города скачивается только после вашего «да» или нажатия: сама в пути, во время записи, она не скачивается. Файлы берутся из тех же двух хранилищ, что на iPhone (§3.2), и так же сверяются по контрольной сумме. Чтобы найти карту для места, где вы находитесь, приложение запрашивает в хранилище проекта maps.unbeen.app кусок каталога по номеру квадрата примерно 28 на 28 км: ваша координата не передаётся. В разделе Настройки → Города по вашему нажатию приложение загружает оттуда список стран, а когда вы открываете страну, список её карт. Наружу при этом уходит только то, какая страна вас интересует.

Геопозиция. На телефонах со службами Google Play приложение получает место от них, на остальных от встроенного датчика Android. Координаты приложение никуда не отправляет. Как службы Google определяют место, задают настройки телефона и правила Google. Распознавание активности (пешком вы или в транспорте) на Android не используется: запись начинается только тогда, когда вы её начали.

Геопозиция в фоне. Разрешение «Разрешить в любом режиме» необязательно. Приложение просит его при старте прогулки и пользуется им только во время прогулки, которую вы начали сами: если Android выгрузит приложение при погашенном экране, запись продолжится и прогулка сохранится целиком. Вне прогулки геопозиция в фоне не используется. Пока идёт запись, в шторке телефона висит постоянное уведомление о ней; остановить запись можно прямо из него.

Чего на Android пока нет: входа через Apple, друзей, совместных прогулок, общих заданий, вызовов и подарков (§3.8), уведомлений от нашего сервера (§3.9), «Захвата» (§3.10), покупок и отчётов о падениях. Поэтому данные, описанные в этих разделах, с Android не уходят. Когда что-то из этого появится, политика обновится.

Что уходит к нам с Android: знакомство с сервером (§3.3), статистика и журнал работы (§3.4), обезличенная карта прогулок, если вы её включили (§3.5), зашифрованная копия базы приложения (§3.6), если включён переключатель «Зашифрованная копия у нас» (он включён по умолчанию, как на iPhone), строка рейтинга и картинка аватара (§3.7, подробнее ниже), обращения «Сообщить о проблеме» и «Предложить идею» (§3.11). Копия, как и статистика, не уходит до экрана «Что уходит к нам», уходит только по Wi-Fi или другой сети без ограничения трафика, не во время записи прогулки и не чаще раза в 15 минут; мы видим только её размер, дату, число прогулок и контрольную сумму. Статистика, как и на iPhone, не уходит до экрана «Что уходит к нам» и выключается одним переключателем: Настройки → Приватность → Мои данные. В журнал работы на Android дополнительно попадает состояние телефона, от которого зависит запись в фоне: снято ли ограничение батареи, разрешена ли геопозиция в любом режиме, включено ли энергосбережение и включён ли экран. Координат в журнале нет.

Рейтинг и аватар на Android устроены так же, как на iPhone (§3.7). Участие включено по умолчанию и выключается одним переключателем: Настройки → Приватность → «Участвовать в рейтинге». Пока оно включено, на сервер уходит ваша строка рейтинга с теми же полями, что с iPhone, а если вы выбрали аватар, то и его картинка. Аватар на Android — только нарисованный зверёк из приложения, маленькая картинка не больше 9 800 байт. Своё фото с Android не уходит никогда: поставить его в аватар нельзя, а к галерее телефона приложение не обращается. Если выключить участие, строка и картинка удаляются с сервера; если убрать зверька, удаляется картинка. Особые рамки аватара покупаются за бобы, заработанные в приложении, а не за деньги: запись о покупке хранится в кошельке на телефоне и, как любая трата бобов, попадает в статистику (§3.4), если она включена; в строке рейтинга уходит только то, какая рамка надета. Из рейтинга можно пожаловаться на игрока (§3.11) и заблокировать его (§3.9): это уходит на наш сервер так же, как с iPhone.

Вход в аккаунт на Android — через Google или по почте, так же, как на iPhone (§3.3): знак входа Google уходит только нашему серверу, почта и пароль — прямо в Supabase Auth, пароль к нам не попадает. Если письмо для подтверждения или сброса пароля не пришло, его можно отправить ещё раз: писем в час мы пока отправляем немного. Войти можно и позже: «Продолжить без входа» есть всегда, тогда приложение раз в несколько часов напомнит о входе окном и каждый вечер в 19:00 — уведомлением на самом телефоне (без нашего сервера). Один аккаунт ведёт один атлас: если атлас аккаунта ведётся на iPhone, Android скажет об этом и ничего не перенесёт — перенос атласа между iPhone и Android появится позже.

Ключ игрока хранится на телефоне, в файле, зашифрованном ключом из защищённого хранилища Android. Этим ключом запечатана зашифрованная копия. Пока вы не вошли в аккаунт, ключ телефон не покидает. Когда вы входите, телефон передаёт его нашему серверу, а сервер хранит его запечатанным своим секретом и выдаёт только вам, сразу после входа тем же аккаунтом на новом телефоне (§3.3, как на iPhone).

Копии в облаке Google нет. Автоматическая копия Android в облако Google (Google Диск) и перенос данных на новый телефон через Google для Unbeen выключены: данные приложения туда не попадают. Вернуть прогулки на новом телефоне или после переустановки можно зашифрованной копией у нас (§3.6): войдите тем же аккаунтом, и приложение само скачает копию и откроет её вашим ключом. Без входа ключ хранится только на этом телефоне: вместе с приложением удаляется и он, и копию после этого не открыть. Копия возвращает и прогулки, если база на телефоне пропала, а приложение осталось: Настройки → Приватность → Мои данные → Восстановить с нашего сервера. Фото и видео заметок в копию не входят.

Фото и видео заметок снимаются камерой приложения и не покидают телефон. Микрофон не запрашивается: видео записываются без звука. К галерее телефона приложение не обращается.

Разрешения на Android:

Удаление. «Удалить всё у нас» (Настройки → Приватность → Мои данные) стирает на сервере всё, что ушло с телефона, и выключает отправку; если вы вошли, вместе с данными удаляется и аккаунт. Для вошедших есть и «Удалить аккаунт», как на iPhone (§10). Можно и написать на support@unbeen.app, указав ник. Данные на телефоне стираются вместе с приложением.

4. Разрешения, которые просит приложение

Ниже разрешения на iPhone; на Android они другие, их список в §3.14.

Камера нужна только для заметок: аватар выбирается из нарисованных зверьков, к вашим фото приложение не обращается. Микрофон не запрашивается: видео-заметки записываются без звука.

Любое разрешение можно отозвать в настройках телефона. Приложение продолжит работать, только без той возможности, которой разрешение требовалось: например, без геолокации не записываются прогулки, а карта, атлас и всё остальное открываются.

5. Чего в приложении нет

• нет паролей у нас: при входе по почте пароль проверяет Supabase Auth и хранит только его хэш;
• нет рекламы и рекламных идентификаторов, нет слежки между приложениями;
• нет сторонних библиотек аналитики и слежки; технический журнал ведём мы сами (§3.4);
• нет продажи данных. Партнёрам мы можем показывать только сводку обезличенной карты (§3.5), и только от тех, кто её включил.

6. Сайт unbeen.app

Что собирает сайт. Адрес почты: и только если вы сами его ввели, чтобы мы сообщили о выходе приложения. Отдельной кнопкой можно оставить почту для версии на Android. Вместе с адресом сохраняются язык страницы, для какой версии вы подписались (iPhone или Android), страна, определённая по адресу вашего подключения, и дата, чтобы написать вам на вашем языке, когда приложение появится в вашей стране.

Зачем. Чтобы отправить вам письмо, когда приложение выйдет. Для этого и ни для чего больше: рекламных рассылок не будет.

Где хранится. В инфраструктуре Cloudflare, где размещён сам сайт.

Как долго. До выхода приложения плюс тридцать дней, либо до того момента, как вы попросите удалить адрес. После этого адрес стирается.

Отписка. Ссылка на отписку есть в каждом письме. Можно и просто написать на support@unbeen.app, и мы удалим адрес.

Сайт не использует рекламные и аналитические файлы cookie.

7. На каком основании

• Статистика и журнал работы: наш законный интерес находить и чинить поломки. Включено по умолчанию, координат и текстов нет, отказ одним переключателем.
• Зашифрованная копия: законный интерес вернуть вам данные после потери телефона; мы её не открываем, отказ одним переключателем.
• Аккаунт (Apple, Google или почта) и хранение ключа: выполнение договора: вы входите, чтобы атлас вернулся на новом телефоне.
• Обезличенная карта прогулок: ваше согласие, включается только вами.
• Рейтинг и аватар: законный интерес показывать общую таблицу результатов под псевдонимом; отказ одним переключателем, после которого строка удаляется.
• Друзья, совместные прогулки, задания, подарки, покупки, уведомления, «Захват», обратная связь: выполнение того, о чём вы сами попросили.
• Жалобы и скрытие игроков: законный интерес защищать участников от оскорбительных ников и названий (этого требуют и правила App Store).
• Карта (Apple на iPhone, OpenFreeMap на Android) и карты городов: необходимость для работы приложения.
• Письмо о выходе приложения: ваше согласие галочкой в форме, отзывается в любой момент.

Автоматических решений с юридическими последствиями и профилирования в приложении нет.

8. Сколько хранятся данные

• Технический журнал и журнал запросов сервера: 90 дней. Журнал хранится помесячно, и месяц удаляется целиком, когда ему исполняется 90 дней, поэтому самые старые записи живут до четырёх месяцев.
• Цифры о прогулках, прогресс, покупки, строка рейтинга, аватар, дружбы, совместные дела, территория «Захвата», обратная связь, поданные вами жалобы, журнал уведомлений, ежедневные сводки использования: пока вы не нажмёте «Удалить всё у нас» или не удалите их кнопками внутри приложения.
• Аккаунт и запечатанный ключ: пока вы не удалите аккаунт или не нажмёте «Удалить всё у нас».
• Маршрут совместной прогулки: примерно двое суток после её начала.
• Зашифрованные копии: 7 последних; ночной дубль: только последняя.
• Ночные выгрузки всей базы (на случай аварии): 7 ежедневных, 8 еженедельных и 12 ежемесячных, то есть до года. После «Удалить всё у нас» ваши данные остаются в уже сделанных выгрузках до их замены, не дольше 12 месяцев, и используются только для восстановления после аварии.
• Архив перед общим сбросом прогресса (полная выгрузка базы и копий): до 6 месяцев, потом удаляется вручную.
• Сервис уведомлений: адрес телефона, пока уведомления включены; остальное до «Удалить всё у нас». Ссылки-приглашения и заявки в друзья: 30 дней, счётчик за час: два часа.
• Жалобы, поданные на вас другими игроками, и отметка о скрытии модератором: «Удалить всё у нас» их не стирает, это защита других участников. Если считаете скрытие ошибочным, напишите нам.
• Обезличенная карта: счётчики без номера игрока хранятся без срока, потому что связать их с вами нельзя.
• Фото и видео заметок, сохранённые прежними версиями в iCloud: пока вы их не удалите.
• Адрес почты с сайта: до выхода приложения плюс тридцать дней или до вашей просьбы.

9. Где физически лежат данные

• Supabase: база данных и ночной дубль копий, Франкфурт, Германия.
• Cloudflare: сервер и сервис уведомлений работают на ближайшем к вам узле сети по всему миру. Ночные выгрузки базы и архив лежат в хранилище с привязкой к Евросоюзу. Хранилище зашифрованных копий к Евросоюзу не привязано: место выбирает Cloudflare. Передача за пределы ЕС идёт по стандартным договорным условиям ЕС и соглашению EU–U.S. Data Privacy Framework.
• GitHub (файлы карт, ночная выгрузка): США и другие страны; стандартные договорные условия ЕС, GitHub сертифицирован по Data Privacy Framework.
• Grafana Cloud: наш экземпляр размещён в Германии.
• Облако Apple (фото и видео заметок, сохранённые прежними версиями в вашем iCloud). Данные европейских пользователей контролирует Apple Distribution International (Ирландия); хранятся они, как пишет сама Apple, в основном в США, по стандартным договорным условиям ЕС.

10. Ваши права и как удалить данные

Если вы находитесь в Европейской экономической зоне или в Великобритании, у вас есть право получить копию своих данных в машиночитаемом виде, исправить их, удалить, ограничить их обработку, возразить против обработки, отозвать согласие и подать жалобу в надзорный орган.

Как это сделать в Unbeen:

• «Удалить всё у нас»: Настройки → Приватность → Мои данные. На сервере стираются цифры и прогресс, покупки, технический журнал и журнал запросов, строка рейтинга и аватар, территория «Захвата», дружбы, ваши совместные прогулки и задания (из чужих вас убирают из списка участников), обратная связь с контактом, поданные вами жалобы, журнал уведомлений от вас и вам, ежедневные сводки использования, зашифрованные копии и запись в сервисе уведомлений: адрес, код друга, разрешения и заявки. Отправка выключается. На телефоне всё остаётся.
• Что «Удалить всё у нас» не стирает: жалобы на вас от других игроков и отметку о скрытии модератором (защита других участников); уже сделанные ночные выгрузки базы (до 12 месяцев) и архив перед сбросом прогресса (до 6 месяцев): они заменяются и удаляются по сроку; ночной дубль копии удаляется в ту же ночь.
• «Удалить аккаунт»: Настройки → Приватность → Аккаунт → «Удалить аккаунт» (та же кнопка внизу «Моих данных»). Стирает то же, что «Удалить всё у нас»: обе кнопки удаляют вместе с данными и аккаунт — привязку, запечатанный ключ и пользователя в Supabase (с почтой и хэшем пароля); «Удалить аккаунт» лишь просит подтвердить словом. На Android путь тот же, что на iPhone: Настройки → Приватность → Аккаунт → «Удалить аккаунт» или кнопка внизу «Моих данных». Подписку удаление не отменяет: её продлевает Apple, отменить её можно в настройках Apple ID (на экране удаления есть кнопка «Управлять подпиской»).
• Отдельно: выключение участия в рейтинге удаляет строку и аватар; «Покинуть игру» удаляет территорию; удаление друга или совместной прогулки удаляет их у всех.
• Данные на телефоне удаляются прогулка за прогулкой («Удалить прогулку») или вместе с приложением.
• Фото и видео заметок, сохранённые прежними версиями в iCloud: Настройки iPhone → ваше имя → iCloud → Хранилище → Unbeen.
• Копия ваших данных: напишите на support@unbeen.app и укажите ник; пришлём файлом.
• Если приложение уже удалено, а данные на сервере остались, напишите на support@unbeen.app и укажите ник: удалим и подтвердим письмом.
• Адрес почты с сайта удаляется по письму на support@unbeen.app или ссылкой в письме.

Все способы удалить аккаунт и данные, в приложении и без него, собраны на одной странице: unbeen.app/ru/delete-account.

На любой запрос отвечаем в течение месяца.

Надзорный орган в Португалии — Comissão Nacional de Proteção de Dados (CNPD), Av. D. Carlos I, 134, 1º, 1200-651 Lisboa, geral@cnpd.pt; жалобу можно подать на cnpd.pt. Вы также можете обратиться в надзорный орган своей страны.

11. Дети

Приложение не предназначено для детей младше 13 лет, и мы сознательно не собираем данные детей. Если вы считаете, что ребёнок оставил нам свои данные, напишите, и мы их удалим. В странах, где возраст цифрового согласия выше 13 лет, участие в рейтинге и друзьях возможно с этого возраста.

12. Изменения

Если политика изменится, новая редакция появится на этой странице с новой датой. Если изменение затронет уже собранные адреса почты, мы напишем об этом письмом.

13. Связь

Maksim Efimov · поддержка и вопросы о данных: support@unbeen.app · общий адрес: hi@unbeen.app