Политика конфиденциальности AquaPoint

Действует с: 14 октября 2026 года
Последнее изменение: 14 октября 2026 года
Приложение: AquaPoint (iOS, Android), идентификатор app.aquapoint.app
Оператор: ИП «АЛДАНАЗАР» (Алданазар Асылхан Айханулы), ИИН 980628300077, Республика Казахстан, г. Алматы, ул. Навои, д. 68/1, офис 18
Контакт по вопросам данных: support@aquacrm.app

Эта политика описывает, какие данные собирает приложение AquaPoint, зачем, кому они передаются и как их удалить. Политика написана по фактическому поведению приложения: каждый пункт ниже соответствует конкретному полю, которое приложение отправляет на сервер, и конкретной таблице, где оно хранится.

---

1. Что мы собираем

1.1. Данные, которые вы вводите сами

Данные	Обязательно	Зачем
Номер телефона	Да	Единственный способ входа. По нему же вас узнаёт автомойка.
Имя	Нет	Отображается в профиле и в обращении на главном экране. Можно не указывать и можно очистить.
Государственные номера автомобилей и марка	Да, хотя бы один номер	По номеру приложение находит ваши посещения, акции и записи в системах автомоек-партнёров.
Избранные автомойки	Нет	Список, который вы отмечаете сами.
Язык интерфейса	Нет	Запоминается, чтобы не выбирать заново; на нём же приходят уведомления.

1.2. Данные, которые приложение создаёт само

Данные	Зачем	Срок
Одноразовый код подтверждения	Вход по номеру телефона	Хранится только хеш кода. Код живёт минуты, затем стирается.
Токен сессии	Чтобы не вводить код при каждом запуске	В базе лежит только хеш токена (SHA-256). Сам токен есть лишь на вашем устройстве.
Отметка времени последней активности	Поддержка и защита от подбора кода	До удаления аккаунта
Токен push-уведомлений, платформа (iOS/Android) и версия приложения	Доставка уведомлений об акциях и записях	До выхода из аккаунта или отключения уведомлений
Уведомления и отметка «прочитано»	Чтобы список уведомлений был одинаков на всех ваших устройствах	До удаления аккаунта

1.3. Местоположение

Приложение запрашивает приблизительное местоположение, чтобы отсортировать автомойки по расстоянию и показать ближайшие на карте.

• Разрешение запрашивается только при открытии карты или списка моек.
• Координаты передаются на сервер в момент запроса — как параметр, по которому считается расстояние.
• Координаты не сохраняются. В базе нет ни истории перемещений, ни последней известной точки: расстояние вычисляется и возвращается в ответе, после чего координаты исчезают вместе с запросом.
• Отказ от доступа к местоположению не ломает приложение: мойки показываются без сортировки по расстоянию, город можно выбрать вручную.

1.4. Данные от автомоек-партнёров

История посещений, состав услуг, скидки, принятые суммы и прогресс по акциям — это записи, которые автомойка сделала в своей системе учёта при обслуживании вашего автомобиля. Приложение показывает их вам, сопоставляя по государственному номеру, и только по тем номерам, которые подтверждены как ваши. В отношении этих записей автомойка является самостоятельным оператором данных.

---

2. Чего мы НЕ собираем

Это закрытый список, и он важен:

• Платёжных данных нет. Приложение не принимает платежи. За мойку вы платите на месте, и номера карт в приложение не попадают.
• Рекламных идентификаторов нет. Ни IDFA, ни AAID приложение не читает.
• Аналитики и трекеров нет. В сборку не входит ни одна библиотека аналитики, рекламы или сбора падений. Профилей для рекламы мы не строим.
• Контактов, фотографий, календаря, микрофона, камеры приложение не запрашивает — соответствующих разрешений в сборке нет.
• Точной истории перемещений нет — см. 1.3.
• Данные не продаются и не передаются третьим лицам для рекламы.

---

3. Кому передаются данные

Данные передаются только тем, без кого соответствующая функция не работает, и только в объёме, который нужен для этой функции.

Получатель	Что получает	Зачем
Telegram Gateway (Telegram FZ-LLC)	Номер телефона и код подтверждения	Первая попытка доставки кода входа
WhatsApp Business Platform (Meta Platforms Ireland Ltd.)	Номер телефона и код подтверждения	Доставка кода, если Telegram недоступен
Firebase Cloud Messaging (Google LLC / Google Ireland Ltd.)	Токен устройства и текст уведомления	Доставка push-уведомлений
Yandex Maps API (ООО «Яндекс»)	IP-адрес устройства, технические данные запроса и область карты, которую вы смотрите	Отображение карты и тайлов
Автомойка-партнёр, которую вы выбрали	Номер телефона, имя, государственный номер автомобиля	Обслуживание, запись на мойку и начисление по акции
Хостинг-провайдер, размещающий серверы на территории Республики Казахстан	Размещение серверов и резервных копий	Работа сервиса

Каждый из этих получателей обрабатывает данные по своим условиям. Карта Яндекса загружается с серверов Яндекса в момент открытия экрана карты — это обычная загрузка внешнего ресурса, и Яндекс при этом видит IP-адрес устройства.

---

4. Основания обработки

• Исполнение договора (пользовательского соглашения): вход по номеру, гараж, история, запись на мойку, избранное.
• Согласие: уведомления и доступ к местоположению. Согласие отзывается в любой момент — выключателем уведомлений в настройках приложения и отзывом разрешения на местоположение в настройках операционной системы.
• Законные интересы: защита от подбора кода, борьба со злоупотреблениями, техническая поддержка.

Для пользователей из Европейского союза это соответствует статье 6(1)(b), (a) и (f) GDPR. Для пользователей из Республики Казахстан — Закону «О персональных данных и их защите».

---

5. Сроки хранения

Данные	Срок
Одноразовый код	Минуты, до истечения срока действия; хранится только хеш
Токен сессии	До выхода из аккаунта, отзыва или истечения срока
Push-токен	До выхода из аккаунта, отключения уведомлений или удаления приложения
Телефон, имя, номера автомобилей, избранное, язык	До удаления аккаунта
Записи автомоек о посещениях	По срокам автомойки: это её учётные документы, и удаление вашего аккаунта их не стирает

---

6. Ваши права

Вы можете:

• получить копию своих данных;
• исправить имя и список автомобилей — прямо в приложении, в профиле;
• удалить отдельный автомобиль или избранную мойку — в приложении;
• отключить уведомления — в настройках приложения;
• отозвать доступ к местоположению — в настройках операционной системы;
• удалить аккаунт и все связанные с ним данные — порядок описан в отдельном документе: https://aquapoint.app/account-deletion;
• пожаловаться в надзорный орган по защите данных своей страны.

Запросы по правам: support@aquacrm.app. Отвечаем в течение 30 календарных дней. Чтобы не выдать ваши данные посторонним, мы подтверждаем личность через тот же номер телефона, на который зарегистрирован аккаунт.

---

7. Безопасность

• Весь обмен с сервером идёт по HTTPS.
• Токены сессий и коды подтверждения хранятся только в виде хешей — восстановить их из базы нельзя.
• История и акции выдаются только по подтверждённым государственным номерам: добавить чужой номер и увидеть чужие посещения нельзя.
• Число неудачных попыток ввода кода ограничено, после серии ошибок вход по номеру временно блокируется.

Ни одна система не защищена абсолютно, поэтому если вы заметили утечку или уязвимость — напишите на support@aquacrm.app.

---

8. Дети

Приложение предназначено для совершеннолетних владельцев автомобилей и водителей. Мы сознательно не собираем данные детей младше 16 лет. Если такие данные попали к нам, напишите нам, и мы их удалим.

---

9. Передача за пределы страны

Серверы приложения размещены в Республике Казахстан. Получатели из раздела 3 (Telegram, Meta, Google, Яндекс) обрабатывают данные на своей инфраструктуре, которая может находиться в других странах. Для пользователей из ЕС такая передача осуществляется на основании стандартных договорных условий соответствующих поставщиков.

---

10. Изменения политики

Мы можем менять эту политику. Дата последнего изменения указана в начале документа. О существенных изменениях — тех, что расширяют состав собираемых данных или круг получателей, — мы сообщаем в приложении до того, как изменения вступят в силу.

---

11. Контакты

ИП «АЛДАНАЗАР» (Алданазар Асылхан Айханулы)
Республика Казахстан, г. Алматы, ул. Навои, д. 68/1, офис 18
support@aquacrm.app

AquaPoint Privacy Policy

Effective: 14 October 2026
Last updated: 14 October 2026
App: AquaPoint (iOS, Android), bundle id app.aquapoint.app
Controller: Sole proprietor ALDANAZAR (Aldanazar Asylkhan Aikhanuly), IIN 980628300077, Office 18, 68/1 Navoi St., Almaty, Republic of Kazakhstan
Data contact: support@aquacrm.app

This policy describes what data AquaPoint collects, why, who receives it, and how to delete it. It is written from the app's actual behaviour: every item below corresponds to a specific field the app sends to the server and a specific table where it is stored.

---

1. What we collect

1.1. Data you enter yourself

Data	Required	Why
Phone number	Yes	The only way to sign in. It is also how the car wash recognises you.
Name	No	Shown in your profile and in the greeting on the home screen. You may leave it empty or clear it.
Licence plates and car makes	Yes, at least one plate	The plate is how the app finds your visits, promotions and bookings in partner car washes' systems.
Favourite car washes	No	A list you mark yourself.
Interface language	No	Remembered so you do not pick it again; notifications arrive in it.

1.2. Data the app creates itself

Data	Why	Retention
One-time verification code	Phone sign-in	Only the hash of the code is stored. The code lives for minutes, then is erased.
Session token	So you do not re-enter a code on every launch	The database holds only the hash (SHA-256). The token itself exists only on your device.
Last-seen timestamp	Support and protection against code guessing	Until the account is deleted
Push token, platform (iOS/Android) and app version	Delivering notifications about promotions and bookings	Until you sign out or turn notifications off
Notifications and read markers	So the notification list is the same on all your devices	Until the account is deleted

1.3. Location

The app requests approximate location to sort car washes by distance and show the nearest ones on the map.

• The permission is requested only when you open the map or the list of washes.
• Coordinates are sent to the server with the request — as a parameter used to compute distance.
• Coordinates are not stored. There is no location history and no last-known position in the database: the distance is computed, returned in the response, and the coordinates disappear with the request.
• Denying location does not break the app: washes are shown without distance sorting, and you can pick your city manually.

1.4. Data from partner car washes

Visit history, services, discounts, amounts paid and promotion progress are records the car wash made in its own system while servicing your car. The app shows them to you by matching the licence plate, and only for plates confirmed as yours. For those records the car wash is an independent controller.

---

2. What we do NOT collect

This is a closed list, and it matters:

• No payment data. The app takes no payments. You pay the wash on site, and card numbers never reach the app.
• No advertising identifiers. The app reads neither IDFA nor AAID.
• No analytics, no trackers. The build contains no analytics, advertising or crash-reporting library. We build no advertising profiles.
• No contacts, photos, calendar, microphone or camera — the app does not request those permissions; they are not in the build.
• No precise location history — see 1.3.
• We do not sell data and do not share it for advertising.

---

3. Who receives data

Data goes only to parties without whom the corresponding feature cannot work, and only to the extent that feature needs.

Recipient	What it receives	Why
Telegram Gateway (Telegram FZ-LLC)	Phone number and verification code	First attempt at delivering the sign-in code
WhatsApp Business Platform (Meta Platforms Ireland Ltd.)	Phone number and verification code	Code delivery when Telegram is unavailable
Firebase Cloud Messaging (Google LLC / Google Ireland Ltd.)	Device token and notification text	Push notification delivery
Yandex Maps API (Yandex LLC)	Device IP address, technical request data and the map area you view	Rendering the map and its tiles
The partner car wash you choose	Phone number, name, licence plate	Servicing, booking and promotion credit
Hosting provider with servers in the Republic of Kazakhstan	Server and backup hosting	Running the service

Each recipient processes data under its own terms. The Yandex map loads from Yandex servers when you open the map screen — an ordinary external resource load, during which Yandex sees your device's IP address.

---

4. Legal bases

• Performance of a contract (the Terms of Use): phone sign-in, garage, history, booking, favourites.
• Consent: notifications and location access. Consent can be withdrawn at any time — with the notifications switch in the app's settings and by revoking the location permission in your operating system settings.
• Legitimate interests: protection against code guessing, abuse prevention, technical support.

For users in the European Union this corresponds to Article 6(1)(b), (a) and (f) GDPR. For users in the Republic of Kazakhstan — to the Law on Personal Data and Its Protection.

---

5. Retention

Data	Retention
One-time code	Minutes, until it expires; only the hash is stored
Session token	Until sign-out, revocation or expiry
Push token	Until sign-out, notifications off, or app removal
Phone, name, plates, favourites, language	Until the account is deleted
Car washes' visit records	Per the wash's own retention: these are its accounting records, and deleting your account does not erase them

---

6. Your rights

You can:

• obtain a copy of your data;
• correct your name and car list — in the app, in your profile;
• remove an individual car or favourite wash — in the app;
• turn notifications off — in the app's settings;
• revoke location access — in your operating system settings;
• delete your account and all data tied to it — the procedure is in a separate document: https://aquapoint.app/account-deletion;
• lodge a complaint with your country's data protection authority.

Rights requests: support@aquacrm.app. We reply within 30 calendar days. To avoid handing your data to someone else, we verify identity through the same phone number the account is registered to.

---

7. Security

• All exchange with the server runs over HTTPS.
• Session tokens and verification codes are stored as hashes only — they cannot be recovered from the database.
• History and promotions are served only for confirmed licence plates: you cannot add someone else's plate and see their visits.
• The number of failed code attempts is limited; after a run of errors, sign-in for that number is temporarily blocked.

No system is perfectly secure, so if you notice a leak or a vulnerability, write to support@aquacrm.app.

---

8. Children

The app is intended for adult car owners and drivers. We do not knowingly collect data from children under 16. If such data has reached us, write to us and we will delete it.

---

9. International transfers

The app's servers are located in the Republic of Kazakhstan. The recipients in section 3 (Telegram, Meta, Google, Yandex) process data on their own infrastructure, which may be in other countries. For EU users such transfers rely on the standard contractual clauses of the respective providers.

---

10. Changes

We may change this policy. The date of the last change is at the top of this document. We announce material changes — those that widen the data collected or the set of recipients — in the app before they take effect.

---

11. Contact

Sole proprietor ALDANAZAR (Aldanazar Asylkhan Aikhanuly)
Office 18, 68/1 Navoi St., Almaty, Republic of Kazakhstan
support@aquacrm.app