Твоя приватность
Большинство приложений сначала спрашивают, кто ты. Мы построили MotoNavigator так, чтобы этот вопрос вообще не возникал. Не из вежливости — из архитектуры. Принцип за всем этим: настолько анонимно, насколько позволяет техника. Что это значит — простыми словами.
Мы не знаем, кто ты
Никакого аккаунта. Никакой регистрации. Ни почты, ни имени, ни фото профиля, ни «войти через что угодно». При первом запуске твой телефон выбрасывает случайный идентификатор — длинную цепочку бросков кубиков, чисто технический, квази-анонимный идентификатор. Это число никого не называет — и большинство наших серверов его даже не видят.
Мы не смогли бы прислать тебе рассылку, даже если бы захотели. Нет адреса, куда её слать — приложение ни одного не знает и никогда о нём не спрашивает. Появится когда-нибудь здесь, на сайте, форма, и ты сам в неё впишешься — значит, адрес нам дал ты. Сами по себе мы до тебя не доберёмся. Напишешь в поддержку — свой идентификатор придётся назвать самому: приложение показывает его тебе, потому что мы не умеем тебя искать. Не существует списка, в котором ты значишься как человек.
Одно исключение есть, и собираешь его ты сам: твоё письмо. Его мы храним, как любая уважающая себя мастерская хранит заказ-наряды, — и если в нём стоит твой идентификатор, то стоит он там рядом с твоим адресом. Не хочешь так — скажи нам; тогда мы его удалим, если только закон не заставляет нас его хранить.
И оплата тебя не раскрывает
Pro идёт через магазин твоего телефона: номера карты мы не видим никогда. До нас доходит ровно одно: «оплачено до даты X». Чек за этим не несёт ни имени, ни почты, ни аккаунта Apple или Google — такие данные магазины разработчикам вообще не выдают. К нам из этого попадает дата действия — одной строкой рядом с твоим выброшенным кубиками идентификатором. В той же строке стоит, когда ты запустил приложение впервые и в какой день пользовался им в последний раз — и только. Ни имени, ни адреса, ни номера карты. Выбросишь когда-нибудь новый — чек просто перенесёт свою дату на новое число; большей связи не существует. Твои деньги и твоя езда никогда не сидят в одной строке.
Зоны приватности: что никогда не записано, никогда не утечёт
Нарисуй круг вокруг своего дома. Внутри этого круга не записывается ничего — не «загружено-и-спрятано», не «удалено-потом». Вообще не записывается, даже на твоём собственном телефоне. И не только позиция: скорость, курс, высота, наклон, давление — каждое значение остаётся пустым.
Дыры это, впрочем, не рвёт: поездка идёт дальше, часы идут с ней, нет только значений. Тот, кому однажды попадёт в руки одна из твоих поездок, не увидит, где она кончается на самом деле, — а в остальном только то, что было проехано: расстояние, скорость, наклон. Ни имени, ни адреса, ни цели.
Это действует и по отношению к нам: в выгруженных поездках позиции внутри твоей зоны тоже не существует. Мы не знаем, где в этом круге стоит твой дом, — и не можем знать. Чего нет, того никто не заберёт. И мы тоже.
Твои поездки живут на твоём телефоне
Каждая запись — GPS, датчики, наклон — пишется локально, сырой, и там остаётся. Ничто не покидает этот телефон, пока ты не сказал, что можно, — и забрать это разрешение ты можешь в любой день. Твой архив путешествий — твой, как твой гараж — твой.
Выгрузка — только opt-in, а для нас — просто числа
Если ты делишься записями — трек, показания датчиков и то, что приложение заметило в пути, вместе с твоим ответом на это, — выгрузка несёт твой выброшенный кубиками идентификатор. Больше ничего. Твоя поездка ложится в стопку ко многим другим, и из этой стопки мы учимся: какой поворот заводит, где собираются мотоциклисты, что приложение в следующий раз распознает лучше. Маршруты, которые текут. Карты без вранья. Приложение с головой. Это наш бизнес, и мы скорее скажем это, чем умолчим.
Чего мы не делаем: не анализируем тебя по отдельности. Никакого табеля за стиль езды, никакого списка лихачей, никаких штрафных баллов. Нас интересует стопка, а не отдельный лист в ней. Для нас твой идентификатор значит ровно одно: эти поездки с одного устройства, те — с другого. Нет ни имени, ни почты, ни аккаунта, к которому число вело бы. Проследить до человека не предусмотрено и невозможно: этого пути просто нет.
К тому же каждая поездка складывается под собственным случайным идентификатором в качестве имени файла — твоё число сидит внутри файла, а не на полке. Это единственная нить между твоими поездками, и она остаётся тем, что есть: числом, которое никого не называет.
Где всё это лежит
Твои выгруженные поездки лежат в ЕС. Точка — и всё, что мы из них считаем, тоже, пока оно ещё указывает на устройство.
Остальное может стоять ближе к тебе. Скачивание карт или групповой сервер на другом конце света — технически плохая идея: каждый запрос идёт в обход, и ты это чувствуешь. Твоего выброшенного кубиками идентификатора эти серверы даже не видят — пропуск, с которым приложение туда обращается, его не несёт. Они знают, что кому-то нужны картографические данные. Не кому.
IP-адрес они, конечно, видят — как любой сервер в сети. Он лежит в журнале максимум две недели, на случай, если кто-то начнёт пакостить. По истечении этого срока адрес вылетает. Статистика, которую мы из этого вытягиваем, IP-адресов не знает. Для этого сайта — то же самое.
Кнопка нового старта
Глубоко в настройках можно выбросить свой идентификатор и кинуть кубики заново. Старое число кончается там — что было у наших серверов под ним, осиротеет навсегда. Нам бы хотелось, чтобы тебе это никогда не понадобилось. Но это твоя рукоятка — значит, твой рычаг.
Никакой социальной сети — намеренно
Ни ленты, ни подписчиков, ни лайков, ни вкладки «Обзор», ни профиля для ухода. Это не отсутствующая функция, это решение: твои маршруты и POI — твои, и никто не зарабатывает на том, что ты их показываешь.
Делиться всё равно можно — так, как ты уже делаешь. Путешествие уходит файлом: форум, почта, мессенджер, флешка, AirDrop на заправке. Ходовые форматы обмена входят и выходят. А кому мало — есть наш собственный открытый формат: он несёт не только трек, а весь рецепт — типы точек маршрута, профиль навигации, POI, целые коллекции. Открыто задокументирован, читаем, без клетки производителя. В обоих случаях: файл в твоей руке, а не ссылка на наши серверы — без твоего идентификатора внутри, и мы даже не узнаем, что ты поделился. Сообщество случается там, куда его ставишь ты, а не туда, куда гонит алгоритм.
И да, профиль в Facebook и Instagram у нас всё равно есть. Витрина, а не тусовка. Ссылаемся на него разве что простой ссылкой — ни пикселя-счётчика, ни кнопки лайка, ничего, что заранее отправляет данные в Meta. Кто кликнет — тот на территории Meta; что Meta там подсчитывает о посетителях, написано в формальной версии.
Групповые выезды? Там и файл не нужен — маршрут приходит автоматически от планировщика группы, а поменяет он его — новый у всех. Один QR-код, действителен на поездку, псевдоним по желанию. Пока едете вместе, группа видит друг друга на карте — для того она и есть. И здесь анонимность держится: группа работает на собственном техническом идентификаторе, никак не связанном с твоим, а твой псевдоним — лишь этикетка на нём. После поездки код истекает — не остаётся ничего, что указывало бы на кого-то.
Почему мы говорим «псевдонимно» — а не «анонимно»
GPS-трек — это GPS-трек: где кто-то ехал и когда. Исследователи показали: горсти точек маршрута может хватить, чтобы отличить паттерн одного человека от другого. Именно поэтому существует архитектура выше — без имени рядом, с зонами приватности, вырезающими дом, с выгрузками, не ведущими ни к какому человеку. Твои данные мы называем «псевдонимными», а не «анонимными», потому что это точное слово. А то, что мы возвращаем сообществу — какие повороты текут, какие перевалы стоят крюка, — суммируется по многим мотоциклистам, пока не перестаёт указывать на кого-либо.
Приложение разговаривает только с нами
MotoNavigator общается исключительно с нашими собственными системами под motonavigator.app — карты, навигация, выгрузка, групповые выезды: всё идёт к нашим серверам. Никаких аналитических сервисов, никаких рекламных сетей, никаких сторонних SDK, звонящих домой. Когда приложение передаёт — оно передаёт нам. Три исключения, и все очевидные: покупка в приложении, понятно, идёт через кассу магазина твоего телефона. Резервная копия твоего телефона забирает с собой данные приложения, как у любого другого — толстые пакеты карт мы из неё исключили. А тапнешь у заправки на её сайт или номер — ты уже у них: эти сведения из OpenStreetMap, а не от нас, и пока ты не тапнул, никто посторонний ничего не узнаёт.
Формальная версия со статьями и абзацами живёт в политике конфиденциальности. Те же факты. Больше юристов.
Для технарей среди нас: «Выброшенный кубиками идентификатор» — это UUIDv7, что-то вроде: 01a0f3e8-4d2c-7b91-a6e4-9c825d13f7a2. Передняя часть — временная метка броска: она выдаёт максимум то, когда приложение впервые запустили. Остальное — 74 бита криптографически стойкой случайности, сгенерированной на твоём устройстве, а не на наших серверах. Никакого номера железа, никакого хеша твоей почты, ничего производного — внутри нет ничего, что можно было бы просчитать обратно до тебя. И как уже сказано: перебросить кубики можно всегда. В групповых выездах этот идентификатор, кстати, вообще не используется — там едет другой, бросаемый заново при каждом входе в группу.