Политика конфиденциальности
Документ описывает, что сервис делает с данными на самом деле — по устройству базы и кода, а не по шаблону из интернета.
1. Кто обрабатывает данные
Оператором персональных данных является владелец сервиса AruGo — приложения для вызова такси в сёлах Казахстана и сайта arun.kz. Связаться с оператором по любому вопросу об этих данных можно по адресу berkenov.post@gmail.com.
Обработка данных начинается в момент, когда вы вводите номер телефона при входе в приложение. До этого момента приложение не отправляет о вас на сервер ничего.
2. Какие данные мы собираем и зачем
Перечень полный. Каждая строка ниже соответствует конкретному месту в нашей базе данных — если чего-то нет в этом списке, значит этого нет и в базе.
У всех пользователей
Номер телефона
Единственный идентификатор человека в системе. Ни паролей, ни адреса электронной почты, ни анкет, ни документов у пассажиров и водителей мы не спрашиваем — аккаунт существует именно как номер.
Зачем: вход в приложение, связь водителя и пассажира по конкретной поездке, разбор жалоб.
Имя, которым вы подписались
Поле необязательное. Нужно, чтобы водитель у ворот понимал, кого он забирает, а пассажир видел, кто за рулём.
Язык интерфейса
Русский, казахский или английский. Определяет язык уведомлений и сообщения с кодом входа.
Код подтверждения при входе
Сам код мы не храним — в базе лежит только его необратимый хеш, срок жизни пять минут, счётчик попыток и IP-адрес, с которого запрошен код. IP нужен ровно для одного: остановить перебор кодов, когда кто-то пытается зайти в чужой аккаунт.
Данные устройства для уведомлений
Токен push-уведомлений, платформа (Android или iOS), версия приложения и языковые настройки телефона. Без токена телефон невозможно разбудить, когда приходит заказ.
У одного человека может быть несколько устройств — у водителя часто два телефона, и оба должны звонить.
При создании заказа
Геопозиция в момент создания заказа
Приложение берёт вашу текущую точку один раз — когда вы оформляете заказ. По ней определяется ближайшее подключённое село, считается цена по тарифу этого села и водитель понимает, куда подъезжать.
Фонового отслеживания перемещений нет. Приложение не пишет ваш маршрут, не собирает координаты между заказами и не хранит историю передвижений вне заказов. Точка подачи и точка назначения существуют только как часть конкретного заказа.
Ориентир и уточнение словами
«Больница», «Школа №1», а также ваша приписка вроде «зелёные ворота» или «напротив аптеки». Это то, как в селе реально объясняют дорогу, и это избавляет от звонка.
Журнал заказа
Номер заказа, статус, время каждого шага, рассчитанная цена, назначенный водитель, факт отмены и кем она сделана. Отдельно — журнал предложений: кому из водителей заказ показывался, кто принял, кто отказался, кто промолчал.
Зачем: без этого журнала невозможно разобрать спор «мне не пришёл заказ» или «водитель не приехал» — не останется ничего, кроме двух противоречащих друг другу рассказов.
Точки, где сервиса нет
Если рядом с вами нет подключённого села, мы записываем факт неудачной попытки, чтобы понимать, какое село подключать следующим. Координаты при этом огрубляются прямо при записи до примерно километра и не связываются ни с вашим номером, ни с аккаунтом. Точной точки в этой таблице не существует ни на одном этапе.
Дополнительно у водителей
Государственный номер машины
Хранится в двух видах: как вы его набрали и в нормализованном виде — чтобы «123 АВС» кириллицей и «123 ABC» латиницей считались одной машиной, а не двумя.
Зачем: пассажир должен узнать машину у ворот. Это же единственная зацепка при разборе жалобы.
Цвет, марка, модель и год машины
Чтобы карточка водителя читалась зимой в семь утра.
Фотография машины
Необязательна — отказ от фото ничего не ограничивает. Фотографии водителя, то есть человека, мы не просим и не храним вообще.
Загруженный снимок пересжимается на сервере, и при этом принудительно вырезаются метаданные EXIF. В EXIF лежат GPS-координаты места съёмки — как правило, двор водителя. Мы не хотим, чтобы домашний адрес человека уезжал вместе с картинкой.
Смена и очередь
На линии водитель или нет, когда вышел, место в очереди села, время последнего сигнала связи, счётчики пропущенных заказов.
Зачем: очередь — ядро продукта. Без этих полей заказ некому раздать по порядку.
История изменений профиля
Если водитель поменял госномер или марку машины, старое значение сохраняется. Это защита пассажира: посреди спора машина не может «стать другой».
Жалобы и техническая телеметрия
Текст жалобы
Что вы написали, на кого и по какому заказу. Читают только сотрудники платформы, разбирающие обращения.
Три технических события из приложения
Приложение сообщает нам ровно три вещи, которых сервер не может узнать сам: через сколько миллисекунд карточка заказа реально появилась на экране водителя, какие системные разрешения выданы приложению (геопозиция, уведомления, работа в фоне, экономия батареи) и факт того, что форма заказа была брошена, не дойдя до подтверждения.
Зачем: первое показывает, доходят ли заказы за секунды или мы врём себе. Второе объясняет, почему конкретный водитель на линии не получает заказы. Третье показывает, на каком шаге люди отказываются от поездки.
Журнал событий платформы
Технический поток, по которому считаются метрики сервиса. В нём по правилу, заложенному прямо в схему базы, нет персональных данных — только внутренние идентификаторы (номер заказа, номер пользователя, номер села). Ни телефона, ни имени, ни госномера, ни координат, ни текста уточнения к адресу в этот журнал не попадает никогда.
3. Чего мы не собираем принципиально
Этот список такой же обязательный, как предыдущий. Мы не собираем:
- Геопозицию вне заказа. Никакого фонового отслеживания, никакой истории перемещений.
- Рекламный идентификатор, модель телефона, оператора связи. Персональные данные без единого вопроса, на который они бы отвечали.
- Просмотры экранов, нажатия кнопок, скроллы, время в приложении. Это не продуктовые метрики, а слежка за поведением.
- Список контактов, фотогалерею, микрофон, календарь. Приложение этих разрешений не запрашивает.
- Платёжные данные. Ни карт, ни привязок, ни счетов: оплата идёт напрямую водителю, минуя платформу (см. Условия использования). Нам просто нечем вас списать.
- Документы водителя — права, техпаспорт, страховку. Мы их не проверяем и не храним; поле «загрузите потом» создавало бы ложное впечатление проверки.
- Фотографию лица водителя или пассажира.
- Адрес прописки, ИИН, дату рождения, семейное положение и прочие анкетные данные.
Мы не продаём данные, не передаём их рекламным сетям, брокерам данных и кредитным бюро, не используем для профилирования и таргетинга.
4. Где данные хранятся
База данных находится на сервере на территории Республики Казахстан. Это требование статьи 12 Закона Республики Казахстан «О персональных данных и их защите»: персональные данные граждан Казахстана обязаны храниться в базе, физически расположенной в РК.
Резервные копии базы — это те же персональные данные, поэтому они тоже остаются на территории Казахстана и не вывозятся во внешние облака за пределы страны.
По этой же причине сервис не использует внешние облачные платформы аналитики (Google Analytics, Amplitude, Mixpanel и подобные): все они увозят данные за пределы РК. Аналитика у нас своя и лежит в той же базе, что и заказы.
5. Кому данные передаются
Третьих лиц ровно четыре, и каждому уходит строго определённый минимум. Ниже сказано не только что уходит, но и что не уходит.
Google Firebase Cloud Messaging — доставка уведомлений
Уходит: push-токен вашего устройства, короткий текст уведомления («Новый заказ», «Машина найдена», «Водитель на месте») и служебные поля — внутренний номер заказа, название события и срок, до которого действует предложение.
Не уходит: номер телефона, имя, адрес подачи, адрес назначения, координаты, цена поездки, госномер машины.
Так сделано осознанно: задача push — разбудить приложение, а не доставить содержимое заказа. Само содержимое приложение забирает с нашего сервера в Казахстане отдельным запросом. Поэтому внутренний номер заказа, который уходит в Firebase, за пределами нашей базы не значит ничего.
Шлюз WhatsApp — доставка кода входа
Уходит: ваш номер телефона и текст одного сообщения — «AruGo: код подтверждения 1234. Никому его не сообщайте».
Не уходит: ваше имя, ваши заказы, ваша геопозиция, история поездок — ничего, кроме номера и кода. Шлюз используется только для отправки и никакие ваши данные у нас не читает.
Само сообщение доставляется инфраструктурой WhatsApp, как любое другое сообщение в этом мессенджере. Мы выбрали WhatsApp вместо SMS потому, что он есть у всех в селе и отправка не стоит денег за каждую регистрацию.
OpenStreetMap — картинка карты
Когда вы смотрите на карту в приложении, фрагменты карты загружаются вашим телефоном напрямую с серверов проекта OpenStreetMap. Этому серверу становится виден IP-адрес вашего телефона и примерный участок карты, который вы открыли.
Ваша точка заказа туда не отправляется — карта не знает, где вы поставили метку и куда собрались. Наш сервер в этом обмене вообще не участвует.
Внешние навигаторы — по нажатию водителя
Своего навигатора у нас нет. Когда водитель нажимает «Построить маршрут», адрес передаётся в то приложение карт, которое он выбрал сам — 2ГИС, Яндекс.Навигатор или системные карты телефона. Дальше действует политика конфиденциальности этого приложения, а не наша.
Четвёртая сторона — казахстанский хостинг-провайдер, у которого стоит наш сервер. Он предоставляет железо и не имеет доступа к содержимому базы в рамках обычной работы. Данные при этом не покидают территорию Казахстана.
Кроме перечисленного, данные могут быть переданы государственным органам Республики Казахстан по официальному запросу, оформленному в соответствии с законодательством. Иных получателей нет.
6. Что пассажир и водитель видят друг о друге
Смысл продукта в том, что о вашей поездке не узнаёт всё село. Поэтому граница видимости проведена жёстко:
- Пока заказ ищет машину, водители видят маршрут и сумму. Ваши контакты им не показываются.
- После того как водитель принял заказ, вы видите его имя, номер телефона, госномер, цвет и модель машины. Это нужно, чтобы узнать машину у ворот и позвонить, если он не нашёл нужный дом.
- Водитель видит точку подачи, ваше уточнение к адресу и пункт назначения — то, без чего невозможно приехать.
- Остальные жители села не видят ничего. Вашу поездку не видят водители, которые её не взяли: заказ у них с экрана просто исчезает.
- Чата внутри приложения нет — значит, нет и переписки, которую мы могли бы хранить и читать.
Важно не переоценивать приватность: это не анонимность. Водитель всё равно узнает вас в лицо — село маленькое. Ценность в том, что поездка перестаёт быть публичным объявлением для трёхсот человек в общей группе.
7. Тихие взаимные блокировки
После поездки и пассажир, и водитель могут отметить: «больше не работать с этим человеком». Система перестаёт сводить эту пару в заказах.
Вторая сторона об этом не узнаёт никогда. Ей не приходит уведомление, она не видит этого в приложении, ей не сообщают причину отсутствия заказов, и она не может узнать ни сам факт блокировки, ни того, кто её поставил. Информация не показывается ни в каком экране приложения — ни пассажиру, ни водителю.
Так сделано намеренно: в селе конфликт с оглаской обходится дороже самого конфликта. Причину блокировки мы даже не спрашиваем — это действие в одно касание, а не форма с объяснением.
Что мы делаем с этой информацией внутри: блокировки видны сотрудникам платформы в обезличенном виде как счётчик. Если одного водителя перестают возить сразу многие пассажиры, это поднимает флаг для проверки человеком. Автоматического снятия с линии по этому счётчику нет — решение принимает человек. Сам список «кто кого заблокировал» не выгружается, не публикуется и не сообщается никому из пользователей.
8. Сколько данные хранятся
| Что | Срок |
|---|---|
| Профиль, номер телефона, профиль водителя | пока есть аккаунт |
| Заказы и журнал их выполнения | 3 года |
| Жалобы и результат их разбора | 3 года |
| Техническая телеметрия приложения | 12 месяцев |
| IP-адрес запроса кода входа | 30 дней |
| Код подтверждения (хеш) | 5 минут |
| Точки вне зоны обслуживания | 90 дней |
| Обезличенные агрегаты по селу и дню | бессрочно |
Трёхлетний срок для заказов и жалоб выбран не произвольно: это ориентир на общий срок исковой давности, в течение которого журнал поездки может понадобиться как доказательство в споре.
Обезличенные агрегаты — это суммы вроде «в таком-то селе в такой-то день было столько заказов». Персональных данных в них нет по построению, поэтому они не удаляются.
9. Ваши права, включая удаление аккаунта
Доступ
Вы вправе узнать, какие ваши данные у нас есть. Часть видна прямо в приложении: профиль, список ваших заказов с ценами и датами, профиль машины у водителя. Полную выгрузку можно запросить письмом — мы ответим в течение 15 календарных дней.
Исправление
Имя, язык интерфейса и данные машины меняются в приложении самостоятельно, в любой момент. Смена номера телефона означает новый вход — напишите нам, если нужно перенести историю.
Удаление аккаунта
Удалить аккаунт можно прямо в приложении — в разделе профиля, без письма, без звонка и без объяснения причин. Отдельного разрешения от нас для этого не требуется.
Если приложение по какой-то причине недоступно, напишите с номера, привязанного к аккаунту, на berkenov.post@gmail.com — мы удалим аккаунт в течение 30 дней и подтвердим это ответным письмом.
Что происходит при удалении, честно:
- Удаляется безвозвратно: номер телефона, имя, привязанные устройства и push-токены, данные машины и фотография машины у водителя, ваши тихие блокировки.
- Остаётся в обезличенном виде: строки завершённых заказов и журнал их выполнения. За ними больше не стоит человек — ссылка ведёт на идентификатор, у которого нет ни номера, ни имени. Это нужно, потому что у поездки есть вторая сторона: водитель имеет право сохранить доказательство выполненной работы, а платформа — возможность разобрать жалобу по этой же поездке. По истечении срока хранения эти строки удаляются вместе со всеми остальными.
- Вернуть удалённый аккаунт нельзя. Новый вход по тому же номеру создаст новый, пустой аккаунт без истории.
Отзыв согласия
Согласие на обработку данных вы даёте в момент входа в приложение. Отозвать его можно в любой момент — отзыв согласия равнозначен удалению аккаунта, потому что без номера телефона сервис технически не может работать.
Возражение и жалоба
Если вы считаете, что ваши данные обработаны неправильно, сначала напишите нам — почти всё решается ответом в течение дня. Если наш ответ вас не устроил, вы вправе обратиться в уполномоченный орган по защите персональных данных Республики Казахстан или в суд.
10. Как данные защищены
- Весь обмен между приложением и сервером идёт по HTTPS с автоматически обновляемым сертификатом.
- Код подтверждения не хранится в открытом виде — только необратимый хеш, живущий пять минут.
- Количество попыток входа ограничено и по номеру, и по IP-адресу: перебор кода упирается в лимит.
- В служебных логах номер телефона записывается в замаскированном виде, а не целиком.
- Метаданные EXIF вырезаются из каждой загруженной фотографии машины на сервере — даже если приложение их уже удалило.
- В панели сотрудников платформы номер пассажира показывается замаскированным; полный номер доступен только там, где без него нельзя разобрать обращение.
- Каждое действие сотрудника платформы — блокировка, изменение тарифа, разбор жалобы — записывается в журнал, который не удаляется.
- Резервные копии делаются ежедневно и хранятся на территории Казахстана.
Абсолютной защиты не существует, и обещать её было бы нечестно. Если произойдёт утечка, затрагивающая ваши данные, мы сообщим об этом пользователям и в уполномоченный орган.
11. Возраст пользователей
Приложение не адресовано детям и не содержит ничего, что было бы для них предназначено. Возраст мы не проверяем: единственный идентификатор — номер телефона, и документов мы не спрашиваем.
Если выяснится, что аккаунтом пользуется ребёнок младше 16 лет без согласия законного представителя, напишите нам — мы удалим аккаунт и связанные с ним данные.
12. Изменения этой политики
Сервис меняется, и политика будет меняться вместе с ним. Мы не будем править её задним числом и делать вид, что так было всегда: у каждой редакции есть дата и номер версии, они стоят в начале документа.
Если изменения затронут состав собираемых данных или круг тех, кому они передаются, мы сообщим об этом в приложении до вступления изменений в силу.
13. Контакты и жалобы
По любому вопросу об этих данных — доступ, исправление, удаление, жалоба:
berkenov.post@gmail.comОтвечаем в течение 1–2 рабочих дней. По запросам об удалении и выгрузке данных — не позднее 15 календарных дней.
Смежные документы: Условия использования и Поддержка.
Қысқаша қазақша
AruGo сіз туралы бір ғана нәрсені сақтайды — телефон нөміріңізді, ал геопозицияңызды тек тапсырыс берген сәтте алады: фонда қозғалысыңыз бақыланбайды. Барлық дерек Қазақстан Республикасының аумағындағы серверде сақталады — бұл «Дербес деректер және оларды қорғау туралы» заңның 12-бабының талабы. Сыртқа тек екі нәрсе шығады: хабарландыруды жеткізу үшін Firebase-ке құрылғы токені мен қысқа мәтін, кіру кодын жіберу үшін WhatsApp шлюзіне нөміріңіз бен код — мекенжайыңыз да, бағаңыз да, есіміңіз де емес. Аккаунтты қосымшаның өзінде, профиль бөлімінен өшіруге болады; сұрағыңыз болса — berkenov.post@gmail.com.