Политика конфиденциальности

Настоящая Политика описывает, какие персональные данные собирает мобильное приложение «Millennium Travel» (далее — Приложение), зачем, как они хранятся и какие права есть у пользователя. Оператор данных — MILLENNIUM WORLD MCHJ (Millennium Travel), г. Ташкент, ул. Заргар, 3, телефон +998 90 888 00 00, email millenniumtravel.uzb@gmail.com.

1. Какие данные мы обрабатываем

• Номер мобильного телефона — используется как логин; на него приходит SMS-код для входа.
• Профиль: имя и фамилия, язык интерфейса, а по вашему желанию — email, дата рождения и фото профиля.
• Данные о ваших поездках, купленных у Millennium Travel: направление, даты, отели, перелёты, трансферы, страховки, статус визы.
• Документы к поездке (ваучеры, билеты, страховые полисы, подтверждения), которые загружает ваш менеджер, чтобы они были доступны вам в Приложении, в том числе офлайн.
• Данные путешественников, которых вы добавляете (ФИО, дата рождения, номер и срок действия паспорта, гражданство, примечание), — в виде текста.
• Переписка с менеджером и визовым отделом: сообщения и файлы, которые вы отправляете в чат (фото и PDF, в том числе копии документов для оформления визы).
• Заявки консьержу, на туры и события (с номером телефона для связи) и отзывы о поездках.
• Данные для AI-функций — только если вы ими пользуетесь и дали согласие: вопросы AI-ассистенту и история диалога; голосовые заметки, фото чеков и скриншоты уведомлений банка для учёта расходов; голос, фото и текст для переводчика, фото места или блюда для AI-камеры в переводчике; пожелания к поездке для AI-планировщика и составленные им планы; фото или PDF билета, ваучера, полиса, визы или билета на событие, купленных не у нас, если вы добавляете их в поездку через «Добавить документ» (модель распознаёт тип, даты, города, номер брони и имена; номера паспортов не сохраняются). Посадочный талон по штрихкоду читается без AI, на нашем сервере.
• Память Calypso (помощника в Приложении): только если вы пользуетесь Calypso и не выключили память: короткие факты о ваших предпочтениях в поездках (например, «не ест мясо», «путешествует с двумя детьми», «предпочитает отели у моря», «бюджет на отель до 150 $ за ночь»), которые Calypso выделяет из ваших сообщений ей или которые вы добавили сами, и сводка по вашим заказам и поездкам в Millennium Travel (где вы бывали, в каких отелях, средний чек, с кем вы ездите). Память нужна, чтобы Calypso отвечала с учётом ваших вкусов и не переспрашивала одно и то же. Имя, номер телефона, номера паспортов и других документов, номера банковских карт и счетов, адреса проживания и диагнозы в память не записываются; из сведений о здоровье сохраняются только аллергии и диета, если вы сами о них сказали. Чтобы выделить факты, текст вашего сообщения Calypso передаётся OpenAI на тех же условиях, что и для AI-ассистента (без имени и телефона); сама память хранится в нашей базе данных. Посмотреть всё, что Calypso помнит, удалить любую запись, очистить память целиком или выключить её можно в Приложении: экран Calypso, меню, «Что Calypso знает обо мне». Выключенная память не пополняется и не используется в ответах.
• Геолокация — если вы разрешили доступ (подробнее ниже).
• Данные о физической активности из приложения «Здоровье» (Apple Health) — только на iPhone и только если вы открыли «Активность поездки» и разрешили доступ (подробнее ниже).
• Технические данные: модель устройства, версия ОС и Приложения, идентификатор для push-уведомлений, статистика использования Приложения (какие экраны и функции открываются), отчёты о сбоях; IP-адрес и время запросов в технических журналах сервера.

Геолокация используется, только если вы разрешили к ней доступ, и только в функциях, которые вы открываете: карта и маршруты, «места вокруг», погода «Где я», время намаза, кибла и мечети рядом. Карта Google получает область карты и вашу точку на ней. Для «мест вокруг», маршрута и погоды «Где я» координаты передаются на наш сервер, а от него — в Google Maps Platform и Open-Meteo. Время намаза и кибла «Где я» считаются на устройстве. Мы не сохраняем координаты в базе данных, не привязываем их к профилю и не передаём менеджерам; для ускорения ответов сервер может временно держать координаты и результаты запросов в оперативной памяти без привязки к аккаунту; на диск они не записываются и стираются при перезапуске сервера.

Данные о здоровье и активности. Только на iPhone и только если вы открыли раздел «Активность поездки» и разрешили доступ в системном окне Apple Health, Приложение читает за дни поездки: количество шагов, пройденное расстояние, активные калории, минуты упражнений, а также тренировки и их маршруты (например, прогулку, записанную часами). Доступ только на чтение: Приложение ничего не записывает в «Здоровье». Эти данные обрабатываются и хранятся только на вашем устройстве, чтобы показать итоги дня, очки поездки и маршрут на карте. Мы не передаём их на наш сервер, менеджерам и третьим лицам, не используем для рекламы, маркетинга, продажи данных или оценки здоровья и не передаём в AI-функции. Отозвать доступ можно в любой момент: Настройки iPhone → Здоровье → Доступ к данным и устройства → Millennium Travel. Сохранённые итоги удаляются вместе с Приложением. Android-версия Приложения не запрашивает доступ к Health Connect и не читает данные о здоровье и активности.

Фото профиля хранится как файл, который открывается по прямой ссылке без входа в аккаунт, — не используйте в качестве фото профиля документы.

Мы не собираем контакты, содержимое галереи (кроме фото и файлов, которые вы сами выбираете для отправки) и данные других приложений. Аудио и фото для учёта расходов и переводчика после обработки на наших серверах не сохраняются.

2. Копии документов

Мы не просим загружать сканы паспорта в Приложение. Если вы сами отправите копию паспорта или другого документа в чат (например, визовому отделу для оформления визы), файл хранится в закрытом хранилище Supabase (Франкфурт, Германия), открывается по временной ссылке только вам и сотрудникам Millennium Travel, которые ведут ваш запрос, и удаляется вместе с аккаунтом. На таких изображениях есть фото лица — отправляйте их, только если это нужно для оформления поездки. Документы из профиля и поездок в AI-функции не передаются.

3. Зачем мы обрабатываем данные

• Чтобы показать вам вашу поездку, программу и документы в одном месте.
• Чтобы напомнить о вылете, сроке визы или действия документов (уведомления можно отключить в настройках).
• Чтобы обработать ваши заявки и переписку с менеджером и визовым отделом и связаться с вами по поездке.
• Чтобы работали функции, которые вы включаете: карта и места рядом, погода, время намаза, AI-ассистент, учёт расходов, переводчик, AI-планировщик, активность поездки.
• Чтобы находить и исправлять сбои и улучшать Приложение (статистика использования и отчёты о сбоях — без имени и телефона).
• Чтобы обеспечить безопасность аккаунта: вход по SMS-коду, защита от подбора кодов и злоупотреблений.

Правовое основание — договор оказания туристических услуг между вами и Millennium Travel и ваше согласие: вход в Приложение (принятие Условий использования и настоящей Политики), отдельное согласие на AI-функции в Приложении, разрешения устройства на геолокацию, камеру, микрофон, данные «Здоровья» и уведомления.

4. Где и как хранятся данные

База данных и файлы (документы, вложения чата, фото профиля) размещены у провайдера Supabase в дата-центре во Франкфурте (Германия), серверная часть Приложения — у провайдера Hetzner (Германия). Отдельные данные обрабатывают получатели, перечисленные в разделе 5, в том числе в США. Трансграничная передача выполняется в соответствии с Законом Республики Узбекистан «О персональных данных».

Все соединения защищены шифрованием (HTTPS). Доступ к данным ограничен: клиент видит только свои поездки, документы и переписку; сотрудники Millennium Travel — только в рамках служебных обязанностей, с ведением журнала доступа. SMS-коды хранятся только в виде хэша и удаляются после входа.

5. Кому передаются данные

• Supabase (дата-центр во Франкфурте, Германия) — хостинг базы данных и файлов, обмен сообщениями чата в реальном времени.
• Hetzner (Германия) — хостинг серверной части Приложения.
• Eskiz.uz (Узбекистан) — отправка SMS с кодом входа (номер телефона и текст SMS).
• OpenAI (США) — AI-функции, только после вашего согласия в Приложении: AI-ассистент (ваши вопросы и краткий контекст поездок, виз и заявок, без имени и телефона; для ответа ассистент может искать информацию в интернете), учёт расходов (голосовая заметка, фото чека или скриншот уведомления банка, текст), переводчик (голос, фото, текст; перевод озвучивается; AI-камера: фото места или блюда, чтобы назвать его и рассказать о нём, и координаты для подсказки, если вы разрешили геолокацию), AI-планировщик поездки (город, даты, ответы на вопросы и пожелания, название отеля, время прилёта и вылета, купленные экскурсии), распознавание ваших документов о поездке при добавлении через «Добавить документ» (фото или PDF только для распознавания, файл у OpenAI не хранится дольше срока ниже), а также автоматическая проверка сообщений ассистенту на недопустимое содержание. По условиям OpenAI для API эти данные не используются для обучения моделей и могут храниться у OpenAI до 30 дней для контроля злоупотреблений.
• Google Maps Platform (Google, США) — карта в Приложении, поиск мест вокруг, маршруты, подсказки городов для погоды и определение города по координатам для погоды «Где я»; для AI-планировщика — поиск мест плана, отеля и города поездки, маршруты между точками плана и фотографии мест (передаются координаты, область карты, введённый текст, названия мест и отеля — без вашего имени и телефона).
• Google Firebase (Google, США): Cloud Messaging — доставка push-уведомлений (идентификатор устройства для push); Analytics — статистика использования Приложения (открытые экраны и функции, модель устройства, версия ОС, страна, идентификатор установки Приложения); Crashlytics — отчёты о сбоях (техническое состояние устройства и Приложения в момент сбоя). Для доставки через Firebase и Apple передаются только заголовок и текст уведомления: например, начало сообщения менеджера, название поездки, документа или брони. Имя, телефон и файлы документов в Firebase не передаются.
• Apple (Apple Push Notification service) — доставка push-уведомлений на iPhone.
• Open-Meteo — прогноз погоды (координаты города поездки или точки «Где я», названия городов поездок и текст поиска города).
• AlAdhan — время намаза и направление киблы для городов поездок (координаты города).
• OpenStreetMap и связанные открытые сервисы (OSRM, Valhalla, Overpass, Nominatim) — запасные маршруты и места, если сервисы Google недоступны (координаты точек); Nominatim используется только сотрудниками для поиска адресов в админке.
• Центральный банк Республики Узбекистан и ExchangeRate-API — курсы валют (их запрашивает сервер, ваши данные не передаются).

Мы не продаём персональные данные и не передаём их третьим лицам для рекламы. Данные могут быть раскрыты по законному требованию уполномоченных государственных органов.

6. Сроки хранения

• Профиль, путешественники, заявки, переписка и файлы чата, история AI-ассистента и планы AI-планировщика хранятся, пока существует ваш аккаунт; при удалении аккаунта они удаляются сразу, включая файлы в хранилище и push-идентификаторы устройств. Брони и документы, которые Millennium Travel оформила по вашим поездкам (билеты, ваучеры, полисы), остаются в учёте компании по договору и закону, но больше не связаны с вашим аккаунтом.
• Память Calypso хранится, пока существует ваш аккаунт или пока вы её не удалите. Удалённая запись стирается сразу (остаётся только отметка об удалении, чтобы Calypso не создала её заново из истории заказов), а при удалении аккаунта память удаляется полностью.
• Документы к завершённым поездкам остаются доступными вам в Приложении, пока вы не удалите аккаунт.
• Аудио и фото для учёта расходов и переводчика на наших серверах не хранятся; сами записи о расходах хранятся только на вашем устройстве.
• Данные об активности из «Здоровья» хранятся только на вашем устройстве и удаляются вместе с Приложением; на наш сервер они не передаются.
• SMS-коды удаляются после входа или вскоре после истечения срока действия; сведения о запросах кода и неудачных попытках входа (номер телефона и время) нужны для защиты от злоупотреблений и регулярно удаляются через несколько суток.
• Технические журналы сервера хранятся ограниченное время и не содержат SMS-кодов, содержимого переписки и координат.
• Сведения, которые мы обязаны хранить по закону (например, для бухгалтерского и налогового учёта по договору), хранятся установленный законом срок; в журнале аудита после удаления аккаунта ваших контактных данных не остаётся.

7. Ваши права

• Получить сведения о том, какие данные о вас хранятся.
• Исправить неточные данные — через менеджера или в настройках Приложения.
• Удалить аккаунт и данные прямо в Приложении: Настройки → Конфиденциальность → Удалить аккаунт. Аккаунт и связанные данные удаляются сразу; сведения, которые мы обязаны хранить по закону, сохраняются на установленный срок с ограниченным доступом.
• Отозвать согласие на AI-функции: Меню → Настройки → Конфиденциальность → «AI-функции: согласие на обработку».
• Посмотреть, удалить или выключить память Calypso: экран Calypso, меню, «Что Calypso знает обо мне».
• Отключить доступ к геолокации, камере, микрофону, данным «Здоровья» и уведомления в настройках устройства или Приложения.
• Отозвать согласие на обработку остальных данных, прекратив использование Приложения и удалив аккаунт.

Обращения принимаются по email millenniumtravel.uzb@gmail.com, по телефону +998 90 888 00 00 и в офисе по адресу г. Ташкент, ул. Заргар, 3.

8. Дети

Приложение предназначено для лиц старше 18 лет. Данные несовершеннолетних путешественников вносятся только их родителями или законными представителями в рамках оформленной поездки.

9. Изменения Политики

Мы можем обновлять Политику. Актуальная версия всегда доступна по этому адресу; дата обновления указана вверху. О существенных изменениях мы уведомим в Приложении.