Політика конфіденційності застосунку «Орієнтир»
1. Хто відповідає за дані
Розробник: Владислав Шинкаренко (фізична особа, Україна). Питання про дані: privacy@orientyr.app. Підтримка: orientyr.app/support.
2. Коротко
- Облікових записів нема. Ми не знаємо, хто ви.
- Історія ваших поїздок, «Дім»/«Робота» та історія пошуку зберігаються на телефоні (якщо ви самі не ввімкнули «Записи поїздок», розділ 5). Для онлайн-пошуку й онлайн-маршруту на наш сервер передаються лише запит і точки — без вашої IP-адреси й без ідентифікатора (розділ 6).
- Без окремої згоди застосунок надсилає лише затори на ділянках доріг, позначки, які ви ставите самі, і текст пошукових запитів, за якими нічого не знайдено (без координат, 7 днів), — анонімно (розділ 4.1).
- Лише за вашою згодою — «Дані про дороги», «Статистика роботи» (екран «Допомогти покращувати Орієнтир?», розділ 4.2) і мітки «Карти від водіїв», які ви самі додаєте чи підтверджуєте (розділ 4.1). Повні записи поїздок — лише якщо ви самі ввімкнете перемикач «Записи поїздок» (розділ 5).
- Жодної реклами, жодного стеження між застосунками, жодного продажу даних.
3. Що залишається на телефоні
Геопозиція з висотою (також у фоні під час поїздки) і позначка системи (iOS чи Android), чи координати не підроблені програмно; дані датчиків руху (гіроскоп, акселерометр, компас, барометр) і тип руху за оцінкою iOS (їзда, ходьба, стоїте); маршрут і ціль, «Дім»/«Робота», недавні місця, історія пошуку; те, чого застосунок навчився для точності (як закріплено телефон у тримачі, де ви зазвичай зупиняєтесь біля частих цілей, з якою швидкістю їздите знайомими дорогами); записи поїздок, якщо ввімкнено запис (до 200 МБ, найстаріші стираються автоматично); офлайн-карти; для «Карти від водіїв» — ваші мітки й де ви бували за останні 14 днів (лише клітинки ~25 м без порядку руху — щоб телефон сам визначив «ви були поруч»; на сервер іде лише так/ні). Це потрібно, щоб показувати, де ви, і вести маршрутом, зокрема коли GPS зник або подає хибні координати. Фонова геопозиція працює лише під час поїздки й вимикається після зупинки; дозвіл змінюється в Параметрах iOS → Конфіденційність → Служби локації → Орієнтир. Видалення застосунку стирає всі ці дані.
3.1. Android
На Android геопозицію застосунок отримує лише з дозволом «Під час використання застосунку»; доступ «Завжди» він не запитує. Коли ви почали поїздку, Орієнтир запускає службу з постійним сповіщенням «Орієнтир веде поїздку» — вона дозволяє вести позицію, озвучувати підказки й попереджати про камери, коли екран вимкнено або відкрито інший застосунок. Служба зупиняється сама, коли поїздка закінчилась і авто кілька хвилин стоїть. Дозвіл на сповіщення (Android 13 і новіші) потрібен лише для цього сповіщення. Дозвіл на геопозицію змінюється в Налаштуваннях Android → Застосунки → Орієнтир → Дозволи. Голосові підказки озвучує синтезатор мовлення на вашому телефоні — текст фраз нікуди не надсилається. Повні записи поїздок (розділ 5) на Android надсилаються лише тоді, коли ви самі ввімкнули перемикач «Записи поїздок» (на екрані «Допомогти покращувати Орієнтир» або в меню «Записи поїздок для тестувальників»); типово він вимкнений.
4. Що надсилається анонімно
Ці дані не містять ідентифікатора пристрою чи користувача й треку поїздки. Вони йдуть через сервер «Орієнтира», а IP-адреса в базу даних не потрапляє. Щоб рахувати підтвердження від різних водіїв і захищатися від спаму, сервер зберігає короткий необоротний відбиток (хеш) IP-адреси, обчислений із секретним ключем: для позначки чи адреси — окремий для кожного випадку, для лімітів частоти — не довше 25 годин. Для перекриття відбиток рахується від мережі (а не точної адреси) і від випадкового ключа установки, що зберігається лише на телефоні, — щоб одна людина з двох мереж не «підтвердила» перекриття сама; ключ установки в базу не потрапляє, а відбиток так само окремий для кожного випадку. Відновити з нього IP неможливо, повʼязати різні позначки між собою — теж. Щоб показати затори, позначки, підтверджені адреси й перевірені мітки карти від водіїв поблизу, застосунок читає в сервера загальні дані для ділянки приблизно 25×25 км навколо вас; ці запити не зберігаються. Дані збираються лише в межах України.
4.1. Частина роботи застосунку
| Що | Навіщо | Як захищено і скільки зберігається |
|---|---|---|
| Затори: ділянка дороги, швидкість (з кроком 5 км/год), 15-хвилинний інтервал часу | Показати затори іншим водіям | Без ідентифікатора; не надсилається в радіусі 500 м від початку поїздки, цілі та збережених «Дім»/«Робота»; показується 45 хвилин, видаляється через 2 доби |
| Позначки, які ви ставите самі, і ваші відповіді «ще є / вже нема»: тип (камера, ДТП, небезпека, затор, перекриття, ремонт, яма, негода на дорозі), місце, напрямок, час; для затору — ще обраний вами ступінь (від «повільно» до «стоїмо»); для перекриття — ще ознака «поруч був точний GPS» і відмітка «проїхав крізь», коли застосунок бачить, що ви проїхали позначене перекриття | Показати іншим водіям поблизу; обʼїхати підтверджене перекриття | Без ідентифікатора, хто поставив позначку, не видно нікому; ДТП показується іншим після підтвердження ще одним водієм, перекриття — ще двома; затор і негода — години, ремонт — дні, яма — тижні, камери — до 30 днів; видаляються з бази через 90 днів |
| Адреси від водіїв — лише коли ви погодились («Допомогти іншим?»): текст адреси (населений пункт, вулиця, номер) і точка, яку ви вказали на карті | Знаходити будинки, яких немає на карті, іншим водіям | Лише за вашою згодою, без ідентифікатора; «Дім»/«Робота» ніколи не надсилаються; іншим показується лише після незалежного підтвердження ще одним водієм; зберігається, доки адреса потрібна для пошуку, — видалити конкретну адресу можна на прохання на privacy@orientyr.app |
| Карта від водіїв — лише коли ви самі натиснули «Додати», «Так, є», «Тут нема», «Тут нема проїзду» чи «Поскаржитись»: вид (номер будинку, назва вулиці, заклад, ділянка дороги без проїзду), категорія закладу, назва чи адреса, точка, яку ви вказали на карті (для назви вулиці чи ділянки без проїзду — ділянки дороги), доба, ознака «ви були поруч» (так/ні; телефон визначає її сам за своїм GPS, трек не надсилається) | Показати іншим водіям будинки, вулиці й заклади, яких немає на карті, і дороги, якими насправді не проїхати | Без ідентифікатора пристрою й без IP-адреси. Щоб рахувати незалежні підтвердження, обмежувати спам і дати змогу приховати порушника, сервер зберігає короткі необоротні відбитки, обчислені з секретним ключем: окремо для кожної мітки, відбиток IP-адреси за добу і псевдонім установки застосунку (не дозволяє встановити, хто ви, але повʼязує мітки з одного телефона; нікому не показується). Іншим мітку видно лише після незалежного підтвердження; автора не видно нікому. «Дім»/«Робота» ніколи не надсилаються. Строки: непідтверджені — до 12 місяців; приховані й видалені — 90 днів; псевдонім установки стирається через 24 місяці після останньої мітки; підтверджені мітки є частиною карти і зберігаються, доки актуальні. Свої мітки можна видалити будь-коли: «Меню → Мої мітки на карті»; «Стерти всі мої мітки» там само розриває звʼязок між вашими старими й новими мітками. |
| Пошук адрес — запити без результату: якщо пошук не знайшов жодного варіанта, текст запиту (у нижньому регістрі; номер квартири, підʼїзду, код домофону відрізаються) і дата. Запити, схожі на телефон, e-mail, посилання чи координати, не надсилаються взагалі | Знати, які адреси й заклади наш пошук не знаходить, і доповнювати його | Без координат, ідентифікатора пристрою, IP і часу доби; зберігається 7 днів |
Без заторів і позначок ви не бачитимете заторів від інших водіїв і не зможете ставити позначки.
4.2. Лише за вашою згодою — «Допомогти покращувати Орієнтир»
Після першого запуску застосунок питає, чи ви хочете допомагати покращувати його. Обидва перемикачі типово вимкнені; змінити рішення можна будь-коли: Меню → «Дані й приватність». Вимкнення стирає все, що ще не надіслано.
| Що | Навіщо | Як захищено і скільки зберігається |
|---|---|---|
| Дані про дороги: ділянка дороги й напрямок, день тижня і пів години доби (за київським часом), середня швидкість проїзду й швидкість руху, чи була зупинка на ділянці, затримка на перехресті між двома ділянками, довжина ділянок і положення доріг на карті (докладніше — нижче) | Точніші маршрути й час прибуття по всій Україні — зокрема з урахуванням того, як зазвичай їдуть цією дорогою в цей день тижня й цю пів години; позиція без GPS | Лише коли GPS точний; без початку й кінця поїздки (перший і останній кілометр та 500 м навколо цілі, «Дім»/«Робота» відкидаються ще на телефоні); не більше одного значення на ділянку за добу; кожна ділянка — окремий запис без календарної дати (лише день тижня й пів години), записи з різних ділянок і днів перемішуються й надсилаються із затримкою 1–3 доби. До запису додається короткий анонімний знак (16 біт), обчислений на телефоні із секретом, який нікуди не надсилається: він потрібен, щоб один телефон не вплинув на статистику двічі, і різний для різних ділянок та півгодин, тож записи не можна зшити в маршрут. Сервер не зберігає окремих записів і поїздок: надіслані значення складаються в зведену статистику ділянки за днем тижня й півгодиною (до складання вони недовго лишаються лише в памʼяті сервера), а треку чи історії поїздки не лишається. Типову швидкість ділянки ми використовуємо вже з першого проїзду, тому на дорогах, де їздять рідко, вона може спиратися на один–два проїзди; у ній нема ні дати, ні даних про те, хто їхав; ґрунтові, дачні, службові й польові дороги — після щонайменше 2 різних телефонів. Зведені швидкості ділянок ми регулярно оновлюємо й передаємо в застосунок. Статистику ділянок, на яких був лише один проїзд і які ніхто не поповнював, видаляємо через 90 днів |
| Висота ділянок доріг: наскільки дорога піднімається чи опускається між двома перехрестями (за барометром телефона) | Точніше визначати позицію без GPS | Знеособлено, з тим самим захистом, що й «Дані про дороги», і зведено з усіх водіїв, які проїхали ділянку; у карту висот іде лише висота перехресть і грубий клас точності — без даних про те, хто, коли і скільки разів там їхав. Ґрунтові, дачні, службові й польові дороги потрапляють у карту лише після проїзду щонайменше 2 різних телефонів. Висоту ділянок, якими їздили ви, телефон памʼятає і для себе — вона нікуди не надсилається і стирається кнопкою «Скинути мої навчені дані» в «Дані й приватність» |
| Стан доріг (у складі «Дані про дороги»): для ділянки дороги й напрямку — затримка проїзду перехрестя між двома ділянками (з днем тижня й пів годиною доби) і місце останньої зупинки перед ним, швидкість уздовж ділянки кожні 10 м (з типом дня й частиною доби: ніч, ранок, день, вечір), вигини дороги за гіроскопом, рівень вібрації й форма ухилу кожні 10 м, місця різких ударів під колесами (ями, лежачі поліцейські, переїзди, шви мостів); магнітне поле вздовж ділянки (біля мостів, естакад, тунелів) — поки не збираємо | Точніший час на перехрестях і світлофорах, попередження про нерівності, позиція без GPS | Знеособлено, з тим самим захистом, що й «Дані про дороги»: лише коли GPS точний; без першого й останнього кілометра поїздки і 500 м навколо цілі, «Дім»/«Робота»; не збирається взагалі в районах, де з міркувань безпеки ми не показуємо затори; одне значення на ділянку за добу, кожна ділянка — окремий запис без дати й часу, надсилається із затримкою 1–3 доби, з коротким анонімним знаком. Опис самої ділянки (вигини, вібрація, ухил) — не частіше разу на 7 днів з одного телефона. Сервер не зберігає окремих записів — лише додає їх до загальної статистики ділянки; затримки на перехрестях використовуємо вже з першого проїзду, як і швидкості в «Даних про дороги»; швидкість уздовж ділянки — лише коли її проїхали щонайменше 3 різні телефони у 2 різні дні, удари під колесами — щонайменше 2 різні телефони, ґрунтові, дачні, службові й польові дороги — щонайменше 2. Місця ударів, що повторились на ваших поїздках, телефон памʼятає і для себе — вони нікуди не надсилаються і стираються кнопкою «Скинути мої навчені дані» в «Дані й приватність» |
| Перекриття доріг: телефон повідомляє лише, що ділянка дороги, схоже, непроїзна — без часу, поїздки й пристрою | Щоб маршрути інших водіїв оминали ділянку, якою, схоже, не проїхати | Позначка тримається до 90 хвилин і знімається, щойно ділянку хтось проїде; у резервних копіях сервера — до 30 днів |
| Довжина й геометрія ділянок доріг: скільки метрів авто насправді проїжджає ділянкою між двома перехрестями (за швидкістю GPS), наскільки праворуч чи ліворуч від лінії на карті авто справді їдуть і де саме на перехресті повертають | Точніше визначати позицію без GPS | Лише коли GPS точний; знеособлено, з тим самим захистом, що й «Дані про дороги», і зведено з усіх водіїв, які проїхали ділянку; у карту йде лише поправка довжини й положення лінії — без даних про те, хто, коли і скільки разів там їхав. Ґрунтові, дачні, службові й польові дороги — лише після щонайменше 2 різних телефонів. Довжину ділянок, якими їздили ви, телефон памʼятає і для себе — вона нікуди не надсилається і стирається кнопкою «Скинути мої навчені дані» в «Дані й приватність» |
| Нові дороги: якщо ви проїхали там, де на карті застосунку немає дороги, телефон надсилає лише середину такої ділянки — без її початку й кінця, без часу й швидкості | Щоб згодом додати до карти дороги, яких на ній немає | Знеособлено і з затримкою. Нічого не збирається біля початку й кінця поїздки, ваших місць «Дім» і «Робота», місця призначення та в районах, де з міркувань безпеки ми не показуємо затори. Ділянка потрапляє до спільних даних лише тоді, коли її незалежно проїхали щонайменше троє водіїв; ділянки, які проїхало менше водіїв, сервер стирає через 30 днів. Вимкнення згоди стирає все, що ще не надіслано |
| Затори в реальному часі: ділянка дороги й напрямок і наскільки повільніше звичайного там зараз рух (кількома ступенями) або що вже вільно — коли ви ведете за маршрутом і застосунок бачить, що ви в заторі | Щоб маршрути інших водіїв обʼїжджали затор, у якому ви стоїте, а ваш — затори, у яких стоять інші | Знеособлено, лише коли GPS точний; без треку, часу поїздки й ідентифікатора; не надсилається на початку й наприкінці поїздки, біля цілі та «Дім»/«Робота», а в районах, де затори не показуємо з міркувань безпеки, не збирається взагалі. Короткий анонімний знак — як у «Швидкостях на дорогах». Іншим водіям видно лише загальну оцінку ділянки, без кількості водіїв; затор, який бачив лише один водій, на карті показуємо із запізненням і лише на великих дорогах. Сервер видаляє записи протягом 20 хвилин і нікуди їх не копіює. Зберігається лише позначка ділянки дороги «тут повільно» — без даних про телефон чи поїздку; вона зникає за 30 хвилин після останнього підтвердження, а в резервних копіях сервера лишається до 30 днів |
| Статистика роботи — підсумок якості за день: скільки хвилин не було GPS, наскільки позиція без GPS розійшлась із GPS, коли він повернувся, скільки разів ви натиснули «повільніше»; скільки разів за день телефон давав лише приблизну геопозицію (точність гірше 1 км) і скільки з них — коли в Параметрах вимкнено «Точне розташування» (лише кількості, без місця й часу); скільки разів за день застосунок перед цим було закрито звичайно, вивантажено системою у фоні або він зупинився на екрані (лише кількості, без часу); область (не точніше); як спрацював пошук — вид запиту (з номером будинку чи без, латиниця), звідки був вибраний результат і його місце в списку, чи нічого не вибрано, чи шукали знову, на якій відстані від вибраної точки ви зупинились (групами: до 50, 200, 500 м, далі); скільки разів за день ви відкривали пошук, вводили запит, бачили порожній чи непорожній список і з яких джерел були результати (офлайн-база, Photon, Visicom, водії), вибирали місце, будували до нього маршрут і рушали — лише кількості; для поїздок із прибуттям — довжина маршруту (у кілометрах), запланований і фактичний час у хвилинах, частина доби, яка частка маршруту пролягала містом і якою — магістралями (округлено до 10 %) | Бачити, чи стає навігація, пошук і прогноз часу точнішими після оновлень | Лише числа: без тексту запитів, адрес, координат і маршрутів; раз на добу у випадкову мить; зберігається 24 місяці |
| Статистика роботи — технічне: версія застосунку, модель телефона, версія системи (iOS чи Android), помилки, швидкодія | Шукати й виправляти збої | Окремим записом, без ідентифікатора; тексти помилок без чисел і координат; зберігається 24 місяці |
| Статистика роботи — здоровʼя застосунку й якість за день: скільки разів не вдалося надіслати дані, скільки хвилин ви були в русі і скільки з них без GPS, чи завантажено карту району; як працювала навігація без GPS — наскільки позиція розійшлась із GPS, коли він повернувся, скільки разів стрілка «стрибнула», скільки разів маршрут перебудувався без GPS і чи даремно, скільки секунд застосунок шукав позицію на старті й після повернення GPS, як часто в мить повернення GPS стрілка відставала більш ніж на 100 м; наскільки точно застосунок оцінював швидкість без GPS з урахуванням того, чого він навчився на ваших поїздках (розділ 3), і без цього; скільки разів за день телефон отримав координати GPS поза Україною (лише кількість — самих координат застосунок не надсилає); скільки разів за день ви натискали «швидше» / «повільніше» і скільки з них — у русі з GPS чи на зупинці (лише кількості); скільки разів за день застосунок аварійно зупинився, завис або був закритий системою (лише кількості, без вмісту); скільки разів за день застосунок перезапускався — після згортання чи раптово на екрані — і чи вдалося продовжити ведення без вашої участі (лише кількість за день, без місця й часу). Усе — лише групами (наприклад «3–9 разів», «150–300 м»). Окремо — технічні лічильники роботи датчика висоти доріг на телефоні (скільки ділянок з висотою збережено, скільки чекає на надсилання, скільки вже надіслано й чи відповів сервер) — просто цілі числа за добу, без місць, без назв чи номерів доріг і без ідентифікаторів | Знаходити збої й перевіряти, чи стає навігація без GPS точнішою після оновлень | Окремим записом раз на добу, без ідентифікатора, координат і області; лише день, номер версії застосунку й система (iOS/Android). Сервер не зберігає ні IP, ні самого запису — одразу додає 1 до лічильників «день + версія»; показуємо собі лише лічильники, де ≥ 5 телефонів, менші стираються через 30 днів; лічильники зберігаються 24 місяці |
| Статистика роботи — відкриття застосунку: номер версії застосунку й звідки встановлено (TestFlight, App Store чи Google Play) — лише раз на добу, разом із перевіркою, чи є нова версія. Разом із номером версії передається, які з перемикачів «Допомогти покращувати» увімкнені («Дані про дороги», «Статистика роботи», «Записи поїздок»; у меню перші два ще можуть називатися «Швидкості на дорогах» і «Анонімна статистика») — лише три позначки «так/ні», без ідентифікатора. Також передається, чи цей телефон раніше відкривав тестову версію з TestFlight (так/ні) — щоб знати, скільки людей перейшло в App Store; без ідентифікатора пристрою. | Знати, скільки людей користуються кожною версією, і вчасно припиняти підтримку старих | Без ідентифікатора: сервер не зберігає ні IP, ні окремих записів — лише додає 1 до лічильника «версія + день»; лічильники зберігаються 3 місяці. Без згоди застосунок теж перевіряє, чи є нова версія, але нічого про себе не повідомляє |
| Статистика роботи — доїзди до адрес з пошуку (лише якщо увімкнено «Статистика роботи»): коли ви знайшли адресу з номером будинку, поїхали до неї і зупинилися поруч — текст запиту, який ви набрали в пошуку (у нижньому регістрі; квартира, підʼїзд, код відрізаються), місце, де ви зупинилися (з точністю близько 11 м), скільки секунд стояли і дата. Біля адрес «Дім», «Робота» й улюблених — ніколи | Раз на добу без привʼязки до людини звіряємо текст запиту з відкритою картою OpenStreetMap: чи є там така адреса і чи правильна її точка. Адресу, до якої доїхали щонайменше у два різні дні, додаємо в наш пошук у написанні OpenStreetMap (назва вулиці й населеного пункту), з номером будинку й точкою; сам текст запиту в пошук не потрапляє. Тексти російською не зберігаються й не додаються | Без ідентифікатора пристрою, IP, часу доби й маршруту; окремі доїзди між собою не повʼязані; зберігаються 30 днів, потім стираються |
5. Повні записи поїздок — лише добровольці
У застосунку — на iPhone і Android, у всіх збірках, зокрема з App Store і Google Play (розділ 3.1), — і у вебверсії є окремий перемикач «Записи поїздок» (на екрані «Допомогти покращувати Орієнтир?» і в Меню → «Записи поїздок» → «Надсилати записи розробнику»), типово вимкнений. Якщо ви його ввімкнули, застосунок надсилає розробнику журнал поїздок:
- координати GPS з точністю, висотою, швидкістю, курсом, часом і позначкою підробки; дані датчиків руху й тип руху;
- лише на пристроях Android і лише під час запису поїздки: дані про мобільний зв’язок — до якої вишки підключений телефон (код країни й оператора, номер вишки й зони, сила сигналу, відстань до вишки за часом відгуку), скільки вишок поруч; стан супутникового сигналу — скільки супутників видно, наскільки сильний їхній сигнал і наскільки приймач підсилює шум; мережі Wi-Fi поруч — їхня технічна адреса (BSSID), сила сигналу й частота, без назв мереж і без підключення до них. Навіщо: щоб розпізнавати глушіння й підміну GPS і точніше визначати, де ви, коли GPS нема. Ми не бачимо ваших дзвінків, повідомлень, номера телефона й того, що ви робите в мережі;
- події навігації: маршрути, цілі, пошукові запити, «Дім»/«Робота», ручні поправки позиції, відновлений шлях, проїханий після стрибка позиції (сірий слід на карті: точки по дорогах або місце розриву), вивчені місця зупинок біля цілей;
- технічні дані: модель і версія системи, заряд батареї, памʼять, помилки;
- випадковий ідентифікатор установки і, якщо ви його вказали, імʼя чи прізвисько тестувальника (лише у вебверсії, за посиланням для тестувальників).
Такий журнал є персональними даними: трек поїздок може вказати на конкретну людину. Його бачить лише розробник, використовує лише для перевірки й покращення точності, не публікує й не передає третім особам. Журнал зберігається в приватному сховищі Cloudflare R2 у ЄС (без публічного доступу) і кілька разів на добу переноситься звідти до розробника. Строк зберігання — 12 місяців від отримання; після цього запис видаляється або знеособлюється (прибирається ідентифікатор, імʼя, початок і кінець кожної поїздки). Вимкнути можна будь-коли тим самим перемикачем; щоб видалити вже надіслане, напишіть на privacy@orientyr.app з ідентифікатором установки (Меню → Про застосунок) — видалимо протягом 30 днів.
6. Зовнішні сервіси
| Сервіс | Для чого | Що отримує |
|---|---|---|
| OpenFreeMap | Тайли карти, офлайн-завантаження | IP-адресу і ділянки карти, які ви переглядаєте |
| Amazon Web Services — Terrain Tiles | Рельєф | IP-адресу і ділянки карти |
| Сервер пакетів карт «Орієнтира» (Cloudflare R2, packs.orientyr.app) | Завантаження карт районів і областей | IP-адресу й назву завантаженого району |
| Сервер «Орієнтира» (Cloudflare) → власний сервер пошуку «Орієнтира» (Hetzner, Німеччина); якщо він не відповів — Photon (komoot) | Онлайн-пошук адрес, коли офлайн-пошук не знайшов | Текст запиту і приблизне місце (округлене до кількох кілометрів); вашої IP-адреси жоден із них не бачить. Наш сервер пошуку не веде журналу запитів. Відповіді на однакові запити сервер тимчасово кешує (до 7 днів) без будь-яких даних про вас |
| Сервер «Орієнтира» (Cloudflare) → Visicom (АТ «Візіком») | Пошук адрес і місць, яких не знайшов офлайн- чи онлайн-пошук | Текст запиту і приблизне місце; вашої IP-адреси сервіс не бачить. Кеш на сервері — до 1 години |
| Сервер «Орієнтира» (Cloudflare) → TomTom | Онлайн-маршрут поза офлайн-картою | Точки старту й цілі маршруту; вашої IP-адреси TomTom не бачить |
| Сервер «Орієнтира» → data.gov.ua | Перелік камер контролю швидкості | Нічого про вас |
| Cloudflare, Supabase | Хостинг сервера; приватне сховище повних записів поїздок добровольців (Cloudflare R2, ЄС); база даних (Supabase, ЄС, Ірландія) | Дані з розділів 4–5 |
Ці компанії можуть обробляти дані за межами України (зокрема в ЄС і США).
Коротке посилання Google Maps (maps.app.goo.gl), яке ви вставили чи надіслали в Орієнтир, телефон відкриває напряму в Google, щоб дізнатися повну адресу посилання. Ми це посилання не отримуємо й не зберігаємо.
7. Чого ми не робимо
Не показуємо рекламу, не використовуємо рекламних ідентифікаторів, не відстежуємо вас в інших застосунках і на сайтах, не продаємо даних і не передаємо їх брокерам, не поєднуємо з даними з інших джерел, не намагаємося встановити особу за анонімними даними, не маємо доступу до контактів, фото, мікрофона, камери чи повідомлень.
8. Правові підстави й ваші права
Анонімні дані (розділ 4) не дозволяють встановити особу; затори й позначки обробляються, бо без них не працює спільна функція застосунку, а відбитки IP — щоб захищати сервіс від спаму (законний інтерес). «Дані про дороги», «Статистика роботи», мітки «Карти від водіїв» (ви додаєте їх свідомо, прийнявши «Правила») і повні записи (розділ 5) обробляються на підставі вашої згоди, яку можна відкликати тим самим перемикачем (мітки — видалити в «Мої мітки на карті»). Ми керуємося Законом України «Про захист персональних даних», а для користувачів з ЄС — GDPR. Ви можете запитати, які дані про вас є, вимагати їх виправлення чи видалення, відкликати згоду й поскаржитися Уповноваженому Верховної Ради України з прав людини (або наглядовому органу своєї країни ЄС). Пишіть на privacy@orientyr.app.
9. Безпека
Усі зʼєднання зашифровані (HTTPS). Застосунок може лише додавати дані в базу й читати загальні анонімні затори, позначки та перевірені мітки карти від водіїв поблизу; повні записи бачить тільки розробник.
10. Діти
Орієнтир — навігатор для водіїв і не призначений для дітей.
11. Зміни
Про суттєві зміни ми повідомимо в застосунку і, якщо потрібно, попросимо згоди знову. Дата редакції — вгорі сторінки. Редакція від 04.11.2026 додала до розділу 4 запити пошуку без результату (лише текст і дата, 7 днів) і — за перемикачем «Статистика роботи» — доїзди до адрес з пошуку (набраний текст, місце зупинки з точністю ≈11 м, дата; 30 днів), з яких ми доповнюємо власний пошук адрес. Редакція від 12.10.2026 змінила опис «Даних про дороги» (розділ 4.2): замість типу дня (будній/вихідний) — день тижня і пів години доби за київським часом; типові швидкості ділянок і затримки на перехрестях використовуємо вже з першого проїзду, без вимоги кількох телефонів; зведені швидкості ділянок регулярно оновлюємо на телефонах; окремих поїздок і треків, як і раніше, не зберігаємо; до лічильника відкриттів застосунку (розділ 4) додала позначку «так/ні», чи цей телефон раніше відкривав тестову версію з TestFlight (без ідентифікатора пристрою). Редакція від 11.10.2026 додала до журналу поїздок добровольців (розділ 5, лише на Android і лише за перемикачем «Записи поїздок») дані про мобільний зв’язок (вишки), стан супутникового сигналу й мережі Wi-Fi поруч (технічна адреса, сила сигналу, частота; без назв мереж). Редакція від 10.10.2026 додала до «Анонімної статистики» технічні лічильники роботи датчика висоти доріг на телефоні (лише цілі числа за добу, без місць і ідентифікаторів). Редакція від 08.10.2026 змінила місце зберігання повних записів поїздок (розділ 5): приватне сховище Cloudflare R2 у ЄС замість бази даних; уточнила, що перемикач «Записи поїздок» є в усіх збірках застосунку, зокрема з App Store, і нові назви згод «Дані про дороги» та «Статистика роботи». Редакція від 07.10.2026 додала: до позначки «Затор» — обраний водієм ступінь (від «повільно» до «стоїмо»); до лічильника відкриттів застосунку — які з перемикачів «Допомогти покращувати» увімкнені (без ідентифікатора); пояснення про короткі посилання Google Maps, які телефон відкриває напряму в Google; лічильник перезапусків застосунку — і раптових на екрані. Редакція від 06.10.2026 додала: стан доріг, перекриття, довжину й геометрію ділянок, нові дороги, нові назви перемикачів. Редакція від 05.10.2026 додала розділ 3.1 про застосунок для Android (служба зі сповіщенням під час поїздки, дозволи, записи поїздок лише за перемикачем); до «Карти від водіїв» мітку «Тут нема проїзду» (ділянка дороги, якою насправді не проїхати); до «Анонімної статистики» — скільки разів за день телефон давав лише приблизну геопозицію, наскільки точно застосунок оцінював швидкість без GPS з урахуванням навченого й без нього, як часто стрілка відставала в мить повернення GPS і скільки разів телефон отримав координати GPS поза Україною, скільки разів натискали «швидше» / «повільніше» і за яких обставин, скільки разів система перезапускала застосунок після згортання і чи продовжилось ведення само (лише кількості й групи, без місця й часу); до журналу поїздок добровольців-тестувальників — відновлений шлях після стрибка позиції. Редакція від 03.10.2026 додала до «Анонімної статистики» щоденний підсумок здоровʼя застосунку й якості навігації без GPS (лише лічильники групами, без ідентифікатора й координат), а в підсумок якості — кількість завершень попереднього запуску за типом і лічильники кроків пошуку за день (лише кількості, без тексту запитів і місць). Редакція від 02.10.2026 додала нові типи позначок (перекриття, ремонт, яма, негода на дорозі), для перекриття — ознаку «поруч був точний GPS», позначку «проїхав крізь» і обʼїзд підтвердженого перекриття в маршруті, а також «Карту від водіїв» (номери будинків, назви вулиць і заклади від водіїв, підтвердження, скарги) і псевдонім установки для неї. Редакція від 01.10.2026 додала: згоду «Допомогти покращувати Орієнтир» («Швидкості на дорогах», «Анонімна статистика» — тепер лише за згодою), адреси від водіїв, пошук Visicom, відбитки IP для підтверджень і лімітів, строки зберігання; прибрала HERE.
12. Безпека на дорозі
Позиція без GPS — це оцінка і може бути неточною. Стежте за дорогою, дотримуйтеся ПДР і не взаємодійте з телефоном під час руху.
Orientyr Privacy Policy
1. Who is responsible
Developer: Vladyslav Shynkarenko (individual, Ukraine). Data questions: privacy@orientyr.app. Support: orientyr.app/support.
2. In short
- No accounts. We don’t know who you are.
- Your trip history, Home/Work and search history are stored on your phone (unless you turned on “Trip recordings” yourself, section 5). For online search and online routing only the query and the points are sent to our server — without your IP address or any identifier (section 6).
- Without separate consent the app sends only traffic on road segments, road reports you post yourself and the text of searches that found nothing (no location, 7 days) — anonymously (section 4.1).
- Only with your consent: “Road data”, “App statistics” (the “Help improve Orientyr?” screen, section 4.2) and “Drivers’ map” marks that you add or confirm yourself (section 4.1). Full trip recordings — only if you turn on the “Trip recordings” switch yourself (section 5).
- No ads, no cross-app tracking, no sale of data.
3. What stays on your phone
Location with altitude (including in the background during a trip) and the system flag (iOS or Android) showing whether it was simulated by software; motion sensor data (gyroscope, accelerometer, compass, barometer) and the motion type estimated by iOS (driving, walking, stationary); route and destination, Home/Work, recent places, search history; what the app learns for accuracy (how the phone sits in the holder, where you usually stop near frequent destinations, how fast you drive on familiar roads); trip recordings if recording is on (up to 200 MB, the oldest are deleted automatically); offline maps; for the “Drivers’ map” — your marks and where you have been in the last 14 days (only ~25 m cells without the order of movement, so that the phone itself can tell “you were nearby”; only yes/no is sent to the server). These are used to show where you are and guide you, including when GPS is lost or spoofed. Background location runs only during a trip and stops after you park; change it in iOS Settings → Privacy → Location Services → Orientyr. Deleting the app erases all of this.
3.1. Android
On Android the app gets your location only with the “While using the app” permission; it never asks for “All the time” access. When you start a trip, Orientyr starts a service with a persistent notification “Orientyr is guiding the trip” so that it can keep tracking your position, speak directions and warn about speed cameras while the screen is off or another app is open. The service stops by itself once the trip is over and the car has been parked for a few minutes. The notification permission (Android 13 and later) is needed only for this notification. You can change the location permission in Android Settings → Apps → Orientyr → Permissions. Voice prompts are spoken by the speech synthesizer on your phone — the text is not sent anywhere. Full trip recordings (section 5) are sent on Android only if you yourself turn on the “Trip recordings” switch (on the “Help improve Orientyr” screen or in the “Trip recordings for testers” menu); it is off by default.
4. What is sent anonymously
This data contains no device or user identifier and no trip track. It passes through the Orientyr server, and your IP address never reaches the database. To count confirmations from different drivers and to fight spam, the server keeps a short one-way fingerprint (hash) of the IP address computed with a secret key: a separate one for each report or address, and for rate limits for no longer than 25 hours. For a road closure the fingerprint is computed from the network (not the exact address) and from a random install key kept only on the phone, so that one person on two networks cannot “confirm” a closure alone; the install key never reaches the database, and the fingerprint is likewise separate for each case. It cannot be turned back into the IP address or used to link different reports together. To show traffic, reports, confirmed addresses and verified drivers’ map marks nearby, the app reads shared data for an area of about 25×25 km around you; these requests are not stored. Data is collected only within Ukraine.
4.1. Part of how the app works
| What | Why | Protection and retention |
|---|---|---|
| Traffic: road segment, speed (in 5 km/h steps), 15-minute time slot | Show congestion to other drivers | No identifier; not sent within 500 m of the start of a trip, the destination or saved Home/Work; shown for 45 minutes, deleted after 2 days |
| Road reports you post and your “still there / gone” answers: type (camera, crash, hazard, jam, road closure, roadworks, pothole, bad road weather), location, direction, time; for a traffic jam — also the level you chose (from “slow” to “stopped”); for a closure also a “precise GPS nearby” flag and a “drove through” mark when the app sees you drive through a reported closure | Show to drivers nearby; route around a confirmed closure | No identifier, nobody can see who posted a report; a crash is shown to others after another driver confirms it, a closure after two more drivers do; jam and weather last hours, roadworks days, potholes weeks, cameras up to 30 days; deleted from the database after 90 days |
| Driver addresses — only if you agree (“Help others?”): the address text (town, street, number) and the point you marked on the map | Help other drivers find houses missing from the map | Only with your consent, no identifier; Home/Work are never sent; shown to others only after another driver independently confirms it; kept while the address is useful for search — a specific address can be deleted on request to privacy@orientyr.app |
| Drivers’ map — only when you yourself tap “Add”, “Yes, it’s here”, “Not here”, “No way through here” or “Report”: the kind (house number, street name, place, road section with no way through), the category of a place, the name or address, the point you marked on the map (for a street name or a section with no way through — road segments), the day, and a “you were nearby” flag (yes/no; the phone decides it from its own GPS, no track is sent) | Show other drivers houses, streets and places missing from the map, and roads that cannot actually be driven through | No device identifier and no IP address. To count independent confirmations, limit spam and let people hide an abuser, the server keeps short one-way fingerprints computed with a secret key: one per mark, a per-day IP fingerprint and an app installation pseudonym (it does not reveal who you are but links marks from one phone; it is never shown to anyone). A mark is shown to others only after independent confirmation; the author is never shown. Home/Work are never sent. Retention: unconfirmed marks — up to 12 months; hidden and deleted — 90 days; the installation pseudonym is erased 24 months after your last mark; confirmed marks become part of the map and are kept while relevant. You can delete your marks at any time: “Menu → My map marks”; “Erase all my marks” there also breaks the link between your old and new marks. |
| Address search — searches with no result: if search found nothing, the search text (lower-case; flat, entrance and door code are cut off) and the date. Searches that look like a phone number, e-mail, link or coordinates are not sent at all | Know which addresses and places our search cannot find, and add them | No location, device identifier, IP or time of day; kept for 7 days |
Without traffic and reports you won’t see congestion from other drivers or be able to post reports.
4.2. Only with your consent — “Help improve Orientyr”
After the first launch the app asks whether you want to help improve it. Both switches are off by default; you can change your choice at any time: Menu → “Data & privacy”. Turning a switch off erases everything not yet sent.
| What | Why | Protection and retention |
|---|---|---|
| Road data: road segment and direction, day of the week and half-hour of the day (Kyiv time), average travel speed and moving speed, whether you stopped on the segment, delay at a junction between two segments, segment length and the position of roads on the map (more below) | More accurate routes and arrival times across Ukraine — including how traffic usually moves on a road on a given day of the week and half-hour; position without GPS | Only when GPS is accurate; without the start and end of the trip (the first and last kilometre and 500 m around the destination and Home/Work are dropped on the phone); at most one value per segment per day; each segment is a separate record without a calendar date (only the day of the week and half-hour), records from different segments and days are shuffled and sent with a 1–3 day delay. Each record carries a short anonymous tag (16 bits) computed on the phone from a secret that never leaves it: it exists so that one phone does not affect the statistics twice, and it differs for different segments and half-hours, so records cannot be stitched into a route. The server does not keep individual records or trips: the values it receives are added to the segment’s summary by day of the week and half-hour (before that they stay briefly in the server’s memory only), and no track or trip history remains. We use a segment’s typical speed from the first drive, so on rarely used roads it may rest on one or two drives; it carries no date and nothing about who drove; dirt, dacha, service and field roads — after at least 2 different phones. We regularly refresh the summarised segment speeds and deliver them to the app. Summaries of segments that had only one drive and that nobody has added to are deleted after 90 days |
| Road segment elevation: how much the road rises or falls between two junctions (from the phone’s barometer) | Determine your position more accurately without GPS | Anonymised, with the same protection as “Road data”, and combined from all drivers who drove the segment; the elevation map contains only junction heights and a coarse accuracy class — nothing about who drove there, when or how many times. Dirt, dacha, service and field roads enter the map only after at least 2 different phones drove them. Your phone also remembers the elevation of segments you drove, for your own use — it is never sent and is erased with “Reset my learned data” in “Data & privacy” |
| Road conditions (part of “Road data”): for a road segment and direction — the delay of passing a junction between two segments (with the day of the week and half-hour) and where you last stopped before it, the speed along the segment every 10 m (with the type of day and part of the day: night, morning, day, evening), road bends from the gyroscope, vibration level and the shape of the slope every 10 m, places of sharp bumps under the wheels (potholes, speed bumps, railway crossings, bridge joints); the magnetic field along the segment (near bridges, overpasses, tunnels) — not collected yet | More accurate times at junctions and traffic lights, warnings about rough road, position without GPS | Anonymised, with the same protection as “Road data”: only when GPS is accurate; without the first and last kilometre of the trip and 500 m around the destination and Home/Work; not collected at all in areas where, for safety reasons, we do not show traffic jams; one value per segment per day, each segment a separate record without date or time, sent with a 1–3 day delay, with a short anonymous tag. The description of the segment itself (bends, vibration, slope) — at most once every 7 days from one phone. The server does not keep individual records — it only adds them to the segment’s totals; junction delays are used from the first drive, like speeds in “Road data”; speed along the segment — only after at least 3 different phones drove it on 2 different days, bumps under the wheels — after at least 2 different phones, dirt, dacha, service and field roads — after at least 2. Your phone also remembers bumps that repeated on your own trips, for your own use — they are never sent and are erased with “Reset my learned data” in “Data & privacy” |
| Road closures: the phone only reports that a road segment appears impassable — without time, trip or device | So other drivers’ routes avoid a segment that appears to be impassable | The mark lasts up to 90 minutes and is removed as soon as someone drives through; it stays in the server’s backups for up to 30 days |
| Road segment length and geometry: how many metres a car actually travels along a segment between two junctions (from GPS speed), how far right or left of the map line cars actually drive, and where exactly they turn at a junction | Determine your position more accurately without GPS | Only when GPS is accurate; anonymised, with the same protection as “Road data”, and combined from all drivers who drove the segment; the map contains only a length correction and the line position — nothing about who drove there, when or how many times. Dirt, dacha, service and field roads only after at least 2 different phones. Your phone also remembers the length of segments you drove, for your own use — it is never sent and is erased with “Reset my learned data” in “Data & privacy” |
| New roads: if you drove where the app’s map has no road, the phone sends only the middle of such a segment — without its start and end, without time or speed | So that roads missing from the map can later be added to it | Anonymised and sent with a delay. Nothing is collected near the start and end of a trip, your Home and Work places, the destination, and in areas where, for safety reasons, we do not show traffic jams. A segment enters the shared data only when at least three drivers have driven it independently; segments driven by fewer drivers are erased by the server after 30 days. Turning consent off erases everything not yet sent |
| Live traffic jams: a road segment and direction and how much slower than usual traffic is moving there right now (in a few steps), or that it is clear again — while you follow a route and the app sees you are in a jam | So other drivers’ routes avoid the jam you are in, and your route avoids jams others are in | Anonymised, only when GPS is accurate; no track, trip time or identifier; not sent at the start or end of a trip, near your destination or “Home”/“Work”, and not collected at all in areas where, for safety reasons, we do not show traffic jams. A short anonymous token — as in “Road data”. Other drivers see only an overall estimate for the segment, never the number of drivers; a jam seen by only one driver is shown on the map with a delay and only on major roads. The server deletes the records within 20 minutes and does not copy them anywhere. Only a mark on the road segment (“slow here”) is kept — without any data about the phone or the trip; it disappears 30 minutes after the last confirmation and remains in the server’s backups for up to 30 days |
| App statistics — daily quality summary: minutes without GPS, how far the no-GPS position was from GPS when it returned, how often you tapped “Slower”; how many times that day the phone gave only an approximate location (accuracy worse than 1 km) and how many of them while “Precise Location” was off in Settings (counts only, no place or time); how many times that day the app had previously been closed normally, unloaded by the system in the background, or stopped while on screen (counts only, no times); region (no finer); how search worked — the kind of query (with or without a house number, Latin letters), where the chosen result came from and its place in the list, whether nothing was chosen, whether you searched again, how far from the chosen point you stopped (in groups: up to 50, 200, 500 m, farther); how many times that day you opened search, typed a query, saw an empty or non-empty list and which sources the results came from (offline database, Photon, Visicom, drivers), chose a place, built a route to it and started driving — counts only; for trips that reached the destination — route length in kilometres, planned and actual minutes, part of the day, what share of the route ran through towns and what share along highways (rounded to 10%) | See whether navigation, search and arrival-time estimates get more accurate after updates | Numbers only: no query text, addresses, coordinates or routes; once a day at a random moment; kept for 24 months |
| App statistics — technical: app version, phone model, OS version (iOS or Android), errors, performance | Find and fix bugs | A separate record without an identifier; error texts without numbers or coordinates; kept for 24 months |
| App statistics — app health and daily quality: how many times sending data failed, how many minutes you were moving and how many of them without GPS, whether an area map is downloaded; how navigation without GPS worked — how far the position was from GPS when it returned, how many times the arrow “jumped”, how many times the route was rebuilt without GPS and whether needlessly, how many seconds the app took to find your position at start and after GPS returned, how often the arrow was more than 100 m behind at the moment GPS returned; how accurately the app estimated speed without GPS with and without what it has learned from your trips (section 3); how many times a day the phone received GPS coordinates outside Ukraine (a count only — the app does not send the coordinates themselves); how many times a day you tapped “faster” / “slower” and how many of those taps were while moving with GPS or while stopped (counts only); how many times a day the app crashed, froze or was closed by the system (counts only, no content); how many times a day the app restarted — after being in the background or suddenly while on screen — and whether navigation resumed without your action (only a daily count, without place or time). All in groups only (e.g. “3–9 times”, “150–300 m”). Separately — technical counters of the road-elevation sensor on the phone (how many segments with elevation are stored, how many are waiting to be sent, how many have been sent and whether the server responded) — plain whole numbers per day, with no places, no road names or numbers and no identifiers | Find bugs and check whether navigation without GPS gets more accurate after updates | A separate record once a day, with no identifier, coordinates or region; only the day, app version number and system (iOS/Android). The server keeps neither the IP address nor the record itself — it only adds 1 to “day + version” counters; we look only at counters with ≥ 5 phones, smaller ones are deleted after 30 days; counters are kept for 24 months |
| App statistics — app opens: the app version number and where it was installed from (TestFlight, App Store or Google Play) — at most once a day, together with the check for a new version. Along with the version number, the app sends which of the “Help improve” switches are on (“Road data”, “App statistics”, “Trip recordings”; in the menu the first two may still be called “Road speeds” and “Anonymous statistics”) — just three yes/no marks, with no identifier. The app also sends whether this phone has previously opened the test version from TestFlight (yes/no) — to know how many people have moved to the App Store; with no device identifier. | Know how many people use each version and retire old ones in time | No identifier: the server keeps neither the IP address nor individual records — it only adds 1 to a “version + day” counter; counters are kept for 3 months. Without consent the app still checks for a new version but reports nothing about itself |
| App statistics — arrivals at addresses from search (only if “App statistics” is on): when you found an address with a house number, drove to it and stopped nearby — the text you typed in search (lower-case; flat, entrance and door code are cut off), where you stopped (to about 11 m), how many seconds you stood and the date. Never near “Home”, “Work” or favourites | Once a day, without linking to a person, we check the search text against the open OpenStreetMap map: whether the address exists there and whether its point is right. An address reached on at least two different days is added to our search as spelled in OpenStreetMap (street and town name), with the house number and the point; the search text itself does not go into search. Texts in Russian are neither kept nor added | No device identifier, IP, time of day or route; separate arrivals are not linked to each other; kept for 30 days, then deleted |
5. Full trip recordings — volunteers only
The app — on iPhone and Android, in every build, including from the App Store and Google Play (section 3.1) — and the web version have a separate “Trip recordings” switch (on the “Help improve Orientyr?” screen and in Menu → “Trip recordings” → “Send recordings to the developer”), off by default. If you turn it on, the app sends the developer a trip log:
- GPS coordinates with accuracy, altitude, speed, heading, time and the simulated-location flag; motion sensor data and motion type;
- Android devices only, and only while a trip is being recorded: mobile network data — which cell tower the phone is connected to (country and operator code, tower and area ID, signal strength, distance to the tower from timing advance) and how many towers are nearby; satellite signal status — how many satellites are visible, how strong their signals are and how much the receiver amplifies noise; nearby Wi-Fi networks — their hardware address (BSSID), signal strength and frequency, without network names and without connecting to them. Why: to recognise GPS jamming and spoofing and to estimate your position more accurately when GPS is unavailable. We don’t see your calls, messages, phone number or what you do online;
- navigation events: routes, destinations, search queries, Home/Work, manual position corrections, the restored path driven after a position jump (the grey trail on the map: points along roads or the place of a gap), learned stopping places near destinations;
- technical data: device model and OS version, battery, memory, errors;
- a random installation ID and, if you entered one, a tester name or nickname (web version only, via a tester link).
This log is personal data: a trip track can point to a specific person. Only the developer sees it, uses it only to test and improve accuracy, and does not publish or share it. The log is stored in a private Cloudflare R2 storage in the EU (no public access) and moved from there to the developer several times a day. Retention: 12 months after receipt; then the recording is deleted or de-identified (identifier, name, and the start and end of each trip removed). Turn it off at any time with the same switch; to delete what was already sent, email privacy@orientyr.app with your installation ID (Menu → About) — we will delete it within 30 days.
6. Third-party services
| Service | Purpose | What it receives |
|---|---|---|
| OpenFreeMap | Map tiles, offline download | IP address and map areas you view |
| Amazon Web Services — Terrain Tiles | Terrain | IP address and map areas |
| Orientyr map package server (Cloudflare R2, packs.orientyr.app) | Downloading district and region maps | IP address and the name of the downloaded district |
| Orientyr server (Cloudflare) → Orientyr’s own search server (Hetzner, Germany); if it does not answer — Photon (komoot) | Online address search when offline search finds nothing | Query text and approximate location (rounded to a few kilometres); neither sees your IP address. Our search server keeps no query log. Answers to identical queries are cached on the server for up to 7 days without any data about you |
| Orientyr server (Cloudflare) → Visicom (Visicom JSC) | Searching addresses and places that neither offline nor online search found | Query text and approximate location; not your IP address. Server cache — up to 1 hour |
| Orientyr server (Cloudflare) → TomTom | Online route outside the offline map | Route start and destination points; TomTom does not see your IP address |
| Orientyr server → data.gov.ua | Speed camera list | Nothing about you |
| Cloudflare, Supabase | Server hosting; private storage of volunteers’ full trip recordings (Cloudflare R2, EU); database (Supabase, EU, Ireland) | Data from sections 4–5 |
These providers may process data outside Ukraine (including the EU and the US).
If you paste or share a short Google Maps link (maps.app.goo.gl) into Orientyr, your phone contacts Google directly to resolve it. We do not receive or store the link.
7. What we don’t do
No advertising or advertising identifiers, no tracking across other apps or websites, no sale of data and no sharing with data brokers, no combining with data from other sources, no attempts to identify anyone from anonymous data, no access to contacts, photos, microphone, camera or messages.
8. Legal bases and your rights
Anonymous data (section 4) does not allow identifying you; traffic and reports are processed because the shared feature of the app cannot work without them, and IP fingerprints to protect the service from spam (legitimate interest). “Road data”, “App statistics”, “Drivers’ map” marks (you add them knowingly after accepting the “Rules”) and full recordings (section 5) are processed based on your consent, which you can withdraw with the same switch (marks — delete them in “My map marks”). We follow the Law of Ukraine “On Personal Data Protection” and, for users in the EU, the GDPR. You may request access to, correction or deletion of your data, withdraw consent, and complain to the Ukrainian Parliament Commissioner for Human Rights (or your EU supervisory authority). Email privacy@orientyr.app.
9. Security
All connections are encrypted (HTTPS). The app can only add data to the database and read shared anonymous traffic, reports and verified drivers’ map marks nearby; only the developer sees full recordings.
10. Children
Orientyr is a navigation app for drivers and is not directed at children.
11. Changes
We will announce material changes in the app and ask for consent again where required. The effective date is shown at the top. The version of 4 November 2026 added to section 4 searches that found nothing (text and date only, 7 days) and — under the “App statistics” switch — arrivals at addresses from search (typed text, stopping point to about 11 m, date; 30 days), which we use to extend our own address search. The version of 12 October 2026 changed the description of “Road data” (section 4.2): instead of the type of day (weekday/weekend) — the day of the week and half-hour of the day in Kyiv time; typical segment speeds and junction delays are used from the first drive, without requiring several phones; summarised segment speeds are regularly refreshed on phones; we still do not keep individual trips or tracks; it also added to the app-open counter (section 4) a yes/no mark of whether this phone has previously opened the test version from TestFlight (no device identifier). The version of 11 October 2026 added to the volunteers’ trip logs (section 5, on Android only and only with the “Trip recordings” switch) mobile network data (cell towers), satellite signal status and nearby Wi-Fi networks (hardware address, signal strength, frequency; no network names). The version of 10 October 2026 added to “Anonymous statistics” technical counters of the road-elevation sensor on the phone (whole numbers per day only, no places or identifiers). The version of 8 October 2026 changed where full trip recordings are stored (section 5): a private Cloudflare R2 storage in the EU instead of the database; it also clarified that the “Trip recordings” switch is available in every build of the app, including the App Store, and the new consent names “Road data” and “App statistics”. The version of 7 October 2026 added: for a “jam” report — the level the driver chose (from “slow” to “stopped”); to the app-open counter — which of the “Help improve” switches are on (no identifier); a note on short Google Maps links, which your phone resolves directly with Google; the app-restart counter now also covers sudden restarts while on screen. The version of 6 October 2026 added: road conditions, closures, segment length and geometry, new roads, new names of the switches. The version of 5 October 2026 added section 3.1 on the Android app (a service with a notification during a trip, permissions, trip recordings only with the switch); the “No way through here” mark (a road section that cannot actually be driven through) to the “Drivers’ map”; to “Anonymous statistics” — how many times a day the phone gave only an approximate location, how accurately the app estimated speed without GPS with and without what it has learned, how often the arrow was behind when GPS returned, and how many times the phone received GPS coordinates outside Ukraine, how many times “faster” / “slower” were tapped and in what situation, how many times the system restarted the app after it was minimised and whether navigation resumed on its own (counts and groups only, no place or time); to volunteer testers’ trip logs — the restored path after a position jump. The version of 3 October 2026 added to “Anonymous statistics” a daily summary of app health and navigation quality without GPS (grouped counters only, no identifier or coordinates), and to the daily quality summary — the number of times the previous app run ended, by type, and daily counts of search steps (counts only, no query text or places). The version of 2 October 2026 added new report types (road closure, roadworks, pothole, bad road weather), for a closure a “precise GPS nearby” flag, a “drove through” mark and routing around a confirmed closure, as well as the “Drivers’ map” (house numbers, street names and places from drivers, confirmations, reports) and an installation pseudonym for it. The version of 1 October 2026 added: the “Help improve Orientyr” consent (“Road speeds”, “Anonymous statistics” — now only with consent), driver addresses, Visicom search, IP fingerprints for confirmations and rate limits, retention periods; it removed HERE.
12. Road safety
A position without GPS is an estimate and may be inaccurate. Keep your eyes on the road, follow traffic rules and do not interact with the phone while driving.