Обновлено: 1 ноября 2026
TripTrack — это iOS-приложение для записи автомобильных поездок. Данная Политика описывает, какую информацию мы собираем, как её используем, и какие у Вас есть права. Она распространяется на мобильное приложение TripTrack и серверную инфраструктуру, которой мы управляем («Сервис»).
Разработчик TripTrack («мы») выступает оператором персональных данных, обрабатываемых Сервисом. Контакт: privacy@trip-track.app.
TripTrack работает в двух режимах. Состав обрабатываемых данных зависит от выбранного режима.
Если Вы не выполнили вход, TripTrack хранит все данные — поездки, GPS-треки, фотографии, профили автомобилей, настройки — исключительно на Вашем устройстве через фреймворк CoreData. Поездки, треки, фотографии и настройки устройство не покидают, аккаунт мы для Вас не заводим.
Три вещи уходят с устройства даже в гостевом режиме, и мы предпочитаем назвать их, а не утверждать обратное:
Если Вы вошли через Apple ID, Ваши данные могут синхронизироваться с нашим сервером, чтобы быть доступными на других Ваших устройствах. Синхронизация включается по Вашему согласию и может быть отключена в любое время в приложении (Профиль → Синхронизация в облаке).
Один случай от синхронизации не зависит. Поездка, которую Вы опубликовали, и прикреплённые к ней фотографии уходят на сервер даже при выключенной синхронизации — в этом и состоит публикация. Новые поездки по умолчанию приватны, а приватная поездка уезжает только при включённой синхронизации.
Приложение отправляет отчёты о падениях, события зависаний и принудительных завершений системой, записи о начале и конце сессии и 10 % выборку трассировок производительности в Sentry (Functional Software, Inc.), который выступает нашим обработчиком. События принимаются и хранятся в европейском регионе Sentry (ingest.de.sentry.io).
Каждое событие несёт: идентификатор Вашего аккаунта (UUID — без имени и без email), идентификатор установки, сгенерированный самим SDK, модель устройства, версию ОС, объём свободной памяти, уровень заряда, локаль, календарь и название часового пояса, а также след сетевых запросов в обезличенном виде — метод, код ответа и форму адреса: query, фрагмент и все идентификаторы внутри пути вырезаются до того, как событие покинет устройство.
Мы не отправляем снимки экрана, иерархии представлений, записи сессий, профили производительности, тела запросов и ответов, пути к файлам, токены доступа и расположение Вашего дома. Хеш «устройство + приложение», который SDK считает от identifierForVendor Apple, также вырезается перед отправкой.
Диагностика отправляется в обоих режимах, включая гостевой, и от синхронизации не зависит; отдельного тумблера для неё в приложении нет. Правовое основание: законный интерес (ст. 6(1)(f) GDPR) в поддержании работоспособности приложения. Срок хранения: события удаляются автоматически по истечении срока, настроенного в нашей организации Sentry. Возразить против такой обработки можно письмом на privacy@trip-track.app.
С Вашего согласия в Настройки → Приватность → Помогать улучшать TripTrack мы получаем количество запусков записи, успешных локальных сохранений (без отброшенных коротких записей), ошибок сохранения, открытий Атласа и интервалы скорости сохранения. Также передаются календарные дни UTC для согласия, отправки и первых двух сохранённых записей после согласия, а также признак наличия поездок в локальной библиотеке на момент включения. Это счётчики за период согласия, а не копия истории поездок. По умолчанию опция выключена; она не зависит от входа в аккаунт и облачной синхронизации.
Счётчики объединяются новым случайным кодом; сервер хранит его SHA-256-хеш. К данным не прикладываются ID аккаунта, рекламный ID, маршрут, координаты, расстояние, фото, заметки или сведения об автомобиле. Это псевдонимная аналитика самого TripTrack, а не рекламное отслеживание. Как и при любом запросе, инфраструктура видит IP-адрес подключения (п. 3.3).
Отключение сразу очищает локальные счётчики и ставит удаление серверных счётчиков в очередь до подключения к сети. Маркер удаления не даёт запоздалым запросам восстановить данные. Неактивные записи и маркеры удаления удаляются через 90 дней. Повторное включение создаёт новый код и начинает счёт заново; само удаление приложения не может отправить запрос на удаление. Основание обработки этих добровольных счётчиков — Ваше согласие, которое можно отозвать в любой момент без ограничения возможностей приложения.
PRO и чаевые покупаются через App Store. Способ оплаты, карту и чек видит только Apple — к нам они не попадают. Apple присылает нашему серверу уведомление о каждой покупке, продлении, отмене, проблеме со списанием и возврате денег. Если Вы вошли в аккаунт, приложение также отправляет нам подписанное Apple подтверждение покупки, и покупка связывается с Вашим аккаунтом; если не вошли — покупка остаётся анонимной и ни с кем не связывается.
О подписке мы храним: тариф, пробный ли период, дату окончания, включено ли автопродление, состояние (действует, льготный период, закончилась или возвращена) и номер транзакции Apple. Это нужно, чтобы PRO работал на втором телефоне и чтобы те, кому Вы показываете профиль, видели выбранное Вами платное оформление. Карты, адреса и платёжных данных мы не храним.
Разработчик видит эти записи в служебном разделе приложения, доступном только его собственному аккаунту: сколько людей на пробном периоде и на платном, когда кончается период, включено ли продление. Имён и почты там нет — только последние цифры номера транзакции, язык приложения, дата создания аккаунта и число поездок. На каждое событие подписки на телефон разработчика также приходит уведомление с тарифом, ценой и страной витрины, без имени и почты. Это не реклама и не передача третьим лицам.
Для каждой категории данных мы указываем конкретное правовое основание обработки:
| Данные | Цель | Основание |
|---|---|---|
| Apple User ID, UUID аккаунта, UUID устройства | Создание и авторизация аккаунта | Исполнение договора — ст. 6(1)(b) GDPR / п. 5 ч. 1 ст. 6 152-ФЗ |
| Email, отображаемое имя | Идентификация, социальные функции, восстановление аккаунта | Исполнение договора |
| GPS-треки поездок (при включённой синхронизации) | Предоставление сервиса синхронизации | Согласие — п. 1 ч. 1 ст. 6 152-ФЗ / ст. 6(1)(b) GDPR |
| Фотографии (с удалёнными метаданными) | Сервис синхронизации | Согласие / исполнение договора |
| Публичный профиль, подписки, реакции | Социальные функции, включённые Вами | Исполнение договора |
| Записи о подписке PRO и уведомления App Store (п. 3.7) | Предоставление купленной подписки на всех Ваших устройствах, ответы на вопросы об оплате | Исполнение договора — ст. 6(1)(b) GDPR / п. 5 ч. 1 ст. 6 152-ФЗ |
| Диагностика: падения, производительность, сессии (п. 3.5) | Поиск и исправление дефектов, работоспособность приложения | Законный интерес — ст. 6(1)(f) GDPR |
| Серверные журналы, IP-адреса, записи о злоупотреблениях | Безопасность сервиса, противодействие злоупотреблениям | Законный интерес — ст. 6(1)(f) GDPR |
Правовым основанием обработки является согласие субъекта персональных данных (п. 1 ч. 1 ст. 6 152-ФЗ), выраженное при регистрации аккаунта через Sign in with Apple и активации соответствующих функций Приложения (облачная синхронизация, публичный профиль). Вы можете отозвать согласие в любой момент, отключив соответствующие функции или удалив аккаунт.
Специальные категории данных. GPS-координаты сами по себе не относятся к специальным категориям по ст. 10 152-ФЗ / ст. 9 GDPR. Мы не выводим и не кластеризуем пользователей по типу посещённых мест (здоровье, религия и т.п.), не запускаем ML-инференс на Ваших треках. В случае изменения этой практики Политика будет обновлена заранее.
Для пользователей из Российской Федерации. Обработка персональных данных осуществляется на серверах, расположенных на территории Европейского союза. Фотографии хранятся в объектном хранилище Cloudflare R2 (EU-регион). Начиная использовать Приложение и активируя синхронизацию или социальные функции, Пользователь выражает информированное согласие на трансграничную передачу своих персональных данных в соответствии со ст. 12 152-ФЗ в страны, обеспечивающие адекватную защиту прав субъектов персональных данных.
Оператор не включён в Реестр операторов, осуществляющих обработку персональных данных (Роскомнадзор). Обработка осуществляется физическим лицом в некоммерческом формате и необходима для предоставления запрошенных Пользователем функций Приложения. При росте масштаба обработки или изменении правового статуса настоящий пункт будет пересмотрен.
Диагностические события (п. 3.5) принимаются и хранятся в европейском регионе Sentry и за его пределы нами не передаются; сама компания Sentry зарегистрирована в США, обработка регулируется её соглашением об обработке данных (DPA).
Для пользователей ЕЭЗ/GB/других юрисдикций мы опираемся на сертификацию EU-US Data Privacy Framework обработчиков и стандартные договорные положения (SCC 2021/914).
Данные обрабатывают следующие стороны. Sentry — с первого запуска, в том числе в гостевом режиме; остальные — только после входа или включения синхронизации:
Мы не продаём, не сдаём в аренду и не передаём Ваши данные рекламодателям. Рекламных и трекинговых SDK в приложении нет, рекламных сетей и межприложенческих/межсайтовых трекеров тоже. Сторонний SDK ровно один, и он диагностический — Sentry (п. 3.5). Он же считает начала и концы сессий, то есть запуски приложения, — поэтому мы больше не утверждаем, что аналитики у нас нет вовсе. Мы не используем Ваш контент для обучения моделей машинного обучения.
Согласно 152-ФЗ, GDPR и аналогичным законам других юрисдикций, Вы имеете право:
Мы отвечаем на подтверждённые запросы в течение 30 дней.
Ни одна система не является абсолютно безопасной. Если Вы подозреваете компрометацию аккаунта, свяжитесь с нами немедленно.
Приложение предназначено для взрослых. Минимальный возраст использования — 16 лет (строжайший порог GDPR Art. 8 в странах ЕЭЗ). Для пользователей из РФ: лица младше 14 лет могут пользоваться Приложением только с согласия законного представителя (ч. 1 ст. 9 152-ФЗ). Мы сознательно не собираем персональные данные детей младше 13 лет (в соответствии с COPPA для США); при получении сведений о таком пользователе аккаунт удаляется. Если Вы считаете, что ребёнок предоставил нам персональные данные, свяжитесь с нами для их удаления.
Мы можем периодически обновлять эту Политику. О существенных изменениях мы уведомим Вас в приложении или по email. Дата последнего обновления в начале документа всегда отражает актуальную версию.
Вопросы, жалобы, запросы от субъектов персональных данных:
Эта Политика также распространяется на TripTrack для Android. К нему применяются указанные в Политике цели обработки, права, условия безопасности, трансграничной передачи и хранения с платформенными уточнениями ниже. Записывать поездки и вести дневник можно без аккаунта. Синхронизация в облаке по умолчанию выключена. Android хранит дневник в локальной базе приложения вместо iOS Core Data.
Android использует вход через Google. Когда Вы выбираете его, приложение получает токен Google ID и, если они предоставлены, Ваше имя и адрес электронной почты. Наш сервер проверяет токен и использует идентификатор аккаунта Google, чтобы создать или узнать Ваш аккаунт TripTrack. Приложение также отправляет случайный идентификатор установки, одноразовое значение для проверки, платформу Android и версию приложения, а при соответствующей настройке имя устройства для различения сессий. Мы не получаем пароль Google, содержимое почты, контакты или календарь. Приложение не переносит фотографию профиля Google в Ваш дневник. Данные авторизации зашифрованы ключом из Android Keystore и исключены из резервного копирования и переноса устройств.
Вход необязателен и сам по себе не включает синхронизацию личной библиотеки. Аккаунты Android через Google и iPhone через Apple пока отдельные; совпадение почты их не связывает. Для входа и используемых Вами функций профиля действуют те же цели и правовые основания обработки, которые Политика устанавливает для соответствующих функций iOS.
TripTrack собирает данные о точном местоположении для записи маршрута, расстояния, скорости и высоты поездки. Если Вы включили автозапись и разрешили фоновый доступ, это включает начало и запись поездки, когда приложение закрыто или не используется. Запись можно приостановить или завершить, автозапись отключить, а разрешения отозвать в настройках Android. Разрешение «Физическая активность» даёт сигналы движения и нахождения в транспорте, помогающие определять начало поездки. Они обрабатываются на телефоне; мы не отправляем историю распознавания активности на сервер и не используем её для оценки здоровья или физической формы.
С разрешением «Устройства поблизости» на поддерживаемых версиях Android TripTrack может читать название привязанной магнитолы и состояние подключения. Сохранённое название, локальный идентификатор устройства и сведения о подключении Android Auto, используемом как магнитола, остаются в настройках приложения на телефоне. TripTrack не отправляет эти записи подключений при синхронизации в облаке. Для этой функции приложение не обращается к микрофону, не записывает звук и не сканирует адресную книгу. Вы выбираете доступный режим автозаписи и можете отвязать магнитолу или выключить функцию.
Во время записи Android запускает службу геолокации переднего плана. Постоянное уведомление показывает состояние и текущие показатели поездки, позволяет поставить запись на паузу, продолжить или завершить её. Уведомление показывает Android на Вашем устройстве; оно не является дополнительной передачей на наш сервер. Завершение поездки останавливает эту службу записи.
Карты Android используют MapLibre и онлайн-сервис тайлов OpenFreeMap. При загрузке карты провайдер и его инфраструктура доставки получают координаты тайлов и масштаб, сетевой адрес и обычные HTTP-данные об устройстве. Запрошенная область может соответствовать поездке или дому даже в гостевом режиме с выключенной синхронизацией. Это не загрузка полного маршрута на сервер TripTrack. Согласно политике OpenFreeMap обычные журналы доступа не содержат IP-адресов, журналы ошибок могут хранить IP и URL семь дней, а журналы инцидентов безопасности с IP-адресами до 30 дней. См. политику OpenFreeMap. Названия мест запрашиваются через системный Geocoder Android; провайдер зависит от телефона и может получать координаты, необходимые для ответа.
Приватные поездки, их фотографии и данные машин отправляются после входа и включения синхронизации в облаке. Опубликованная Вами поездка и её фотографии отправляются и при выключенной синхронизации. Данные профиля и добавленные в профиль фотографии относятся к функциям аккаунта и не зависят от этого переключателя. Выключение синхронизации останавливает новые загрузки личной библиотеки, но не удаляет уже загруженные копии. Выход сам по себе не удаляет аккаунт или его содержимое на сервере.
Если Вы задали приватную зону дома и включили обрезку, TripTrack убирает точки трека и превью внутри неё из отправляемых данных поездки и не отправляет координаты фотографий и отметок внутри зоны. Локальный маршрут остаётся полным. Файлы изображений перекодируются без встроенных GPS-данных и других EXIF-метаданных; отдельные поля времени и координат снимка подчиняются правилам обрезки. Зона не скрывает текст, видимые детали снимка, статистику поездки, запросы тайлов карты или запросы названий мест.
Системное резервное копирование Android может копировать базу и настройки в соответствии с настройками телефона. TripTrack не отправляет записи подключений в свой API, но не все локальные настройки исключены из резервного копирования операционной системы. Данные авторизации и файлы фотографий в каталоге приложения без резервного копирования исключены. Для загрузки карт нужен интернет; запись может продолжаться без него.
Описанные в Политике добровольные счётчики «Помогать улучшать TripTrack» применяются и к Android. По умолчанию они выключены и не зависят от входа или синхронизации в облаке. Случайный код каждого периода согласия объединяет счётчики; сервер хранит его хеш. Выключение очищает локальные счётчики и ставит удаление серверных данных в очередь. Неактивные записи и отметки удаления истекают через 90 дней. Простое удаление приложения не отправляет запрос на удаление.
Релизные сборки с настроенной диагностикой отправляют в Sentry, нашему обработчику диагностики, отчёты о падениях JVM/нативного кода и зависаниях, записи начала и конца сессий и выборку 10% трассировок производительности жизненного цикла приложения. Это действует и в гостевом режиме, независимо от синхронизации в облаке и добровольных счётчиков. События содержат UUID аккаунта после входа, случайный идентификатор установки SDK, данные устройства, ОС и приложения и очищенный технический контекст. Автоматическое добавление персональных данных и IP отключено. Значения чувствительных полей, включая имена, почту, токены, координаты дома и ссылки на фото, маскируются. Тела запросов, cookies, заголовки авторизации, идентификаторы в URL и параметры запросов удаляются. Сетевые breadcrumbs, захват ошибочных HTTP-ответов и трассировка HTTP и файлов отключены. Снимки экрана, иерархии интерфейса, повторы сессий, пользовательские файлы и профили производительности не прикладываются. Стеки нативного кода остаются в отчётах.
Sentry обрабатывает отчёты в регионе нашего проекта и удаляет по окончании настроенного срока хранения. Цель обработки: находить и исправлять ошибки на основании законного интереса, указанного в Политике. Для возражения напишите privacy@trip-track.app. Сборки без DSN диагностики, включая debug, не запускают Sentry. Журналы поддержки передаются отдельно по Вашему действию экспорта или отправки.
Действуют прежние сроки: аккаунт и синхронизированные данные хранятся, пока аккаунт активен; после трёх лет неактивности возможно удаление с предварительным уведомлением по почте; отдельные удалённые поездки, фотографии и машины физически стираются в течение 30 дней; резервные копии БД хранятся не более 30 дней; журналы доступа сервера до 14 дней; жалобы и записи о модерации до двух лет. Неидентифицирующая метка времени и непрозрачный хеш факта удаления аккаунта могут оставаться бессрочно. Добровольные счётчики и отметки удаления истекают через 90 дней неактивности. Refresh-токены ротируются при использовании и отзываются при выходе или удалении аккаунта. В стартовой сборке Android покупок нет.
В Android откройте Я → Настройки → Аккаунт и синхронизация → Удалить аккаунт и подтвердите. Приложение сначала просит сервер немедленно удалить аккаунт и связанные текущие данные. После успеха оно также стирает локальную библиотеку и данные аккаунта на этом телефоне. Если серверный запрос не удался, локальные данные сохраняются для повторной попытки. «Очистить данные на сервере» удаляет загруженную библиотеку с сохранением аккаунта; перед этим синхронизация выключается. Удаление приложения само по себе не удаляет аккаунт. Запросить удаление аккаунта или копию данных также можно по адресу privacy@trip-track.app; мы проверяем принадлежность аккаунта и отвечаем в течение 30 дней.
Этот раздел и есть страница удаления аккаунта, на которую ссылается Google Play: в нём описаны шаги в приложении и запрос по почте, который работает без приложения.