Політика конфіденційності

Мобільний додаток Carma Driver (iOS / Android)

Дата набрання чинності: 9 квітня 2026 р.  |  Версія: 1.0

Ця Політика конфіденційності (далі — «Політика») визначає порядок збирання, використання, зберігання, передачі та захисту персональних даних користувачів мобільного додатка Carma Driver (далі — «Додаток»).

Політика розроблена відповідно до Закону України «Про захист персональних даних» від 01.06.2010 № 2297-VI, Загального регламенту захисту даних ЄС (GDPR, Regulation (EU) 2016/679), а також вимог Apple App Store Review Guidelines та Google Play Developer Policy.

1. Контролер персональних даних

2. Категорії персональних даних, що збираються

Категорія даних	Конкретні дані	Мета обробки
Ідентифікаційні	Ім'я, прізвище, номер телефону, фото профілю	Реєстрація, ідентифікація водія, відображення пасажиру
Геолокація (точна)	GPS-координати у реальному часі, включаючи фоновий режим	Розподіл замовлень, навігація, відстеження поїздки, безпека
Документи	Фото водійського посвідчення, техпаспорту, страховки	Верифікація водія, відповідність вимогам законодавства
Транспортний засіб	Марка, модель, колір, реєстраційний номер, фотографії	Інформування пасажирів, якість сервісу
Фінансові	Маскований номер банківської картки, історія транзакцій, баланс	Нарахування комісій, виплати, поповнення балансу
Комунікаційні	Push-токени, журнали відеодзвінків (метадані, не зміст)	Сповіщення про замовлення, зв'язок з пасажиром
Аудіо / Мовлення	Голосові команди (обробляються локально на пристрої)	Голосове прийняття / відхилення замовлень
Технічні	Модель пристрою, версія ОС, ідентифікатор пристрою, IP-адреса, журнали збоїв	Технічна підтримка, діагностика, стабільність
Дані про використання	Час онлайн, статистика поїздок, рейтинг, реферальні коди	Аналітика, реферальна програма, мотиваційна система

3. Правова основа обробки

Ми обробляємо ваші персональні дані на підставі:

• Виконання договору (ст. 6(1)(b) GDPR; ст. 11 Закону України) — обробка необхідна для надання послуг таксі через Додаток.
• Згоди суб'єкта (ст. 6(1)(a) GDPR; ст. 6 Закону України) — для збору точної геолокації, доступу до камери, мікрофона та розпізнавання мовлення. Ви надаєте згоду через системний діалог дозволів пристрою.
• Законних інтересів (ст. 6(1)(f) GDPR) — для забезпечення безпеки, запобігання шахрайству, покращення сервісу.
• Юридичного обов'язку (ст. 6(1)(c) GDPR) — для виконання вимог податкового та транспортного законодавства.

4. Геолокація у фоновому режимі

Додаток збирає дані GPS у фоновому режимі (коли Додаток згорнуто або екран вимкнено) для:

• Коректного відстеження активної поїздки від початку до завершення.
• Оновлення вашого положення на карті для отримання нових замовлень.
• Забезпечення безпеки пасажирів та водіїв.

Фоновий збір геолокації здійснюється лише за вашою явною згодою (дозвіл «Завжди» в налаштуваннях пристрою). Ви можете змінити цей дозвіл у будь-який момент через Налаштування > Конфіденційність > Служби геолокації. Зміна дозволу може обмежити функціональність Додатка.

5. Треті сторони та обробники даних

Ми передаємо персональні дані виключно в обсязі, необхідному для надання послуг:

Отримувач	Дані	Мета	Країна
Пасажири сервісу Carma	Ім'я, фото, рейтинг, геопозиція, дані авто	Забезпечення поїздки	Україна
Google LLC (Firebase Analytics, Crashlytics, Cloud Firestore, Cloud Messaging)	Анонімізовані дані використання, журнали збоїв, push-токени	Аналітика, стабільність, сповіщення	США / ЄС
Zendesk Inc.	Ідентифікатор користувача, повідомлення в чаті підтримки	Служба підтримки	США / ЄС
LiveKit Inc.	Метадані відеодзвінків (без запису змісту)	Відеозв'язок водій-пасажир	США / ЄС
Платіжний провайдер	Реквізити картки (через захищений шлюз, PCI DSS)	Фінансові операції	Україна / ЄС
Правоохоронні органи	За офіційним запитом	Виконання законодавства	Україна

Ми не продаємо, не здаємо в оренду та не передаємо ваші персональні дані для маркетингових цілей третіх осіб.

6. Міжнародна передача даних

Деякі наші обробники даних (Google, Zendesk, LiveKit) розташовані за межами України та ЄС. У таких випадках передача здійснюється на підставі:

• Стандартних договірних положень (Standard Contractual Clauses, SCC), затверджених Європейською Комісією.
• Сертифікації EU-US Data Privacy Framework (де застосовно).
• Наявності адекватного рівня захисту, визнаного відповідними органами.

7. Зберігання та захист даних

7.1. Строки зберігання

• Дані активного облікового запису: протягом усього періоду використання Додатка.
• Після видалення облікового запису: до 3 (трьох) років для фінансової та податкової звітності, відповідно до чинного законодавства.
• Журнали збоїв та аналітика: до 180 днів, потім автоматично видаляються.
• Дані геолокації поїздок: до 1 (одного) року після завершення поїздки.

7.2. Технічні заходи захисту

• Шифрування даних при передачі (TLS 1.2+) та зберіганні (AES-256).
• Автентифікація через одноразові SMS-коди (OTP).
• Контроль доступу та журналювання дій персоналу.
• Фінансові дані картки обробляються виключно платіжним провайдером, сертифікованим за стандартом PCI DSS. Повні реквізити карток не зберігаються на наших серверах.
• Регулярне тестування безпеки інфраструктури.

8. Права суб'єкта персональних даних

Відповідно до Закону України «Про захист персональних даних» та GDPR, ви маєте право:

Право	Опис
Право на доступ	Отримати копію ваших персональних даних, які ми обробляємо.
Право на виправлення	Вимагати виправлення неточних або неповних даних.
Право на видалення	Вимагати видалення ваших персональних даних («право бути забутим»).
Право на обмеження обробки	Вимагати обмеження обробки за певних обставин.
Право на перенесення даних	Отримати ваші дані у структурованому машинозчитуваному форматі.
Право на відкликання згоди	Відкликати згоду на обробку в будь-який момент (без впливу на законність попередньої обробки).
Право на оскарження	Подати скаргу до Уповноваженого Верховної Ради України з прав людини або відповідного наглядового органу ЄС.

Для реалізації ваших прав надішліть запит на admin@carma.taxi. Ми розглянемо запит протягом 30 календарних днів.

9. Видалення облікового запису

Ви можете видалити свій обліковий запис та всі пов'язані персональні дані:

• Через розділ «Налаштування» в Додатку.
• Надіславши запит на admin@carma.taxi.

Після запиту на видалення ми деактивуємо обліковий запис протягом 7 робочих днів та видалимо всі персональні дані протягом 30 днів, за винятком даних, збереження яких вимагається законодавством (див. п. 7.1).

10. Автоматизоване прийняття рішень

Додаток використовує автоматизовані алгоритми для:

• Розподілу замовлень: замовлення автоматично пропонуються водіям на основі геолокації, рейтингу та доступності.
• Розрахунку комісії: комісія розраховується автоматично за встановленими тарифами.

Ці рішення не мають значних правових наслідків. Ви маєте право оскаржити будь-яке автоматизоване рішення, звернувшись до служби підтримки.

11. Конфіденційність дітей

Додаток Carma Driver призначений для осіб, які досягли 18 років та мають діюче водійське посвідчення. Ми свідомо не збираємо персональні дані осіб, молодших за 18 років. Якщо ви вважаєте, що ми отримали дані неповнолітньої особи, негайно зв'яжіться з нами — ми видалимо такі дані.

12. Аналітика та відстеження

Ми використовуємо такі аналітичні сервіси:

• Firebase Analytics — анонімна аналітика використання Додатка (без ідентифікації конкретного користувача).
• Firebase Crashlytics — автоматичний збір звітів про збої для покращення стабільності.

Ви можете обмежити збір аналітичних даних, вимкнувши аналітику в налаштуваннях свого пристрою (Налаштування > Конфіденційність > Аналітика).

Ми не використовуємо відстеження між додатками та вебсайтами (App Tracking Transparency). Додаток не запитує дозвіл ATT.

13. Зміни до цієї Політики

Ми залишаємо за собою право оновлювати цю Політику. При суттєвих змінах ми:

• Повідомимо вас через Push-сповіщення та/або повідомлення в Додатку.
• Оновимо дату набрання чинності на початку цього документа.
• За необхідності запросимо повторну згоду.

Продовження використання Додатка після повідомлення про зміни означає вашу згоду з оновленою Політикою.

14. Контактна інформація

© 2024–2026 Carma. Усі права захищені.

Privacy Policy

Carma Driver Mobile Application (iOS / Android)

Effective date: April 9, 2026  |  Version: 1.0

This Privacy Policy ("Policy") describes how the Carma Driver mobile application ("App") collects, uses, stores, shares, and protects personal data of its users.

This Policy complies with the Law of Ukraine "On Personal Data Protection" No. 2297-VI dated 01.06.2010, the EU General Data Protection Regulation (GDPR, Regulation (EU) 2016/679), Apple App Store Review Guidelines, and Google Play Developer Policy.

1. Data Controller

2. Categories of Personal Data Collected

Category	Specific Data	Purpose
Identity	Name, phone number, profile photo	Registration, driver identification, display to passengers
Precise Location	Real-time GPS coordinates, including background mode	Order distribution, navigation, trip tracking, safety
Documents	Photos of driver's license, vehicle registration, insurance	Driver verification, legal compliance
Vehicle	Make, model, color, license plate, photos	Passenger information, service quality
Financial	Masked card number, transaction history, balance	Commission accrual, payouts, top-ups
Communications	Push tokens, video call metadata (not content)	Order notifications, driver-passenger communication
Audio / Speech	Voice commands (processed locally on device)	Voice-based order acceptance/rejection
Technical	Device model, OS version, device ID, IP address, crash logs	Technical support, diagnostics, stability
Usage	Time online, trip statistics, rating, referral codes	Analytics, referral program, motivation system

3. Legal Basis for Processing

We process your personal data based on:

• Performance of a contract (Art. 6(1)(b) GDPR; Art. 11 of the Ukrainian Law) — processing necessary to provide taxi services via the App.
• Consent (Art. 6(1)(a) GDPR; Art. 6 of the Ukrainian Law) — for precise location, camera, microphone, and speech recognition. You provide consent through your device's system permission dialogs.
• Legitimate interests (Art. 6(1)(f) GDPR) — for security, fraud prevention, and service improvement.
• Legal obligation (Art. 6(1)(c) GDPR) — to comply with tax and transportation regulations.

4. Background Location Data

The App collects GPS data in the background (when minimized or screen is off) for:

• Accurate trip tracking from start to finish.
• Updating your position on the map to receive new orders.
• Ensuring the safety of passengers and drivers.

Background location collection occurs only with your explicit consent ("Always Allow" permission in device settings). You may change this permission at any time via Settings > Privacy > Location Services. Changing this permission may limit the App's functionality.

5. Third Parties and Data Processors

We share personal data strictly to the extent necessary for providing services:

Recipient	Data	Purpose	Country
Carma Passengers	Name, photo, rating, location, vehicle data	Trip facilitation	Ukraine
Google LLC (Firebase Analytics, Crashlytics, Cloud Firestore, Cloud Messaging)	Anonymized usage data, crash logs, push tokens	Analytics, stability, notifications	USA / EU
Zendesk Inc.	User ID, support chat messages	Customer support	USA / EU
LiveKit Inc.	Video call metadata (no content recording)	Driver-passenger video communication	USA / EU
Payment Provider	Card details (via secure PCI DSS gateway)	Financial transactions	Ukraine / EU
Law Enforcement	Upon official legal request	Legal compliance	Ukraine

We do not sell, rent, or share your personal data for third-party marketing purposes.

6. International Data Transfers

Some of our data processors (Google, Zendesk, LiveKit) are located outside Ukraine and the EU. In such cases, transfers are conducted based on:

• Standard Contractual Clauses (SCCs) approved by the European Commission.
• EU-US Data Privacy Framework certification (where applicable).
• Adequate level of protection recognized by the relevant authorities.

7. Data Storage and Security

7.1. Retention Periods

• Active account data: for the entire period of App usage.
• After account deletion: up to 3 (three) years for financial and tax reporting as required by law.
• Crash logs and analytics: up to 180 days, then automatically deleted.
• Trip location data: up to 1 (one) year after trip completion.

7.2. Technical Security Measures

• Data encryption in transit (TLS 1.2+) and at rest (AES-256).
• Authentication via one-time SMS codes (OTP).
• Access controls and staff activity logging.
• Card payment data processed exclusively by a PCI DSS-certified payment provider. Full card details are never stored on our servers.
• Regular security testing of infrastructure.

8. Data Subject Rights

Under the Law of Ukraine "On Personal Data Protection" and GDPR, you have the right to:

Right	Description
Access	Obtain a copy of your personal data that we process.
Rectification	Request correction of inaccurate or incomplete data.
Erasure	Request deletion of your personal data ("right to be forgotten").
Restriction	Request restriction of processing under certain circumstances.
Portability	Receive your data in a structured, machine-readable format.
Withdraw consent	Withdraw consent at any time (without affecting lawfulness of prior processing).
Complaint	Lodge a complaint with the Ukrainian Parliament Commissioner for Human Rights or relevant EU supervisory authority.

To exercise your rights, send a request to admin@carma.taxi. We will respond within 30 calendar days.

9. Account Deletion

You may delete your account and all associated personal data:

• Through the "Settings" section in the App.
• By sending a request to admin@carma.taxi.

Upon deletion request, we will deactivate your account within 7 business days and delete all personal data within 30 days, except data whose retention is required by law (see section 7.1).

10. Automated Decision-Making

The App uses automated algorithms for:

• Order distribution: orders are automatically offered to drivers based on location, rating, and availability.
• Commission calculation: commission is calculated automatically based on established rates.

These decisions do not produce significant legal effects. You have the right to contest any automated decision by contacting support.

11. Children's Privacy

The Carma Driver App is intended for individuals aged 18 and older who hold a valid driver's license. We do not knowingly collect personal data from anyone under 18. If you believe we have received data from a minor, please contact us immediately — we will delete such data.

12. Analytics and Tracking

We use the following analytics services:

• Firebase Analytics — anonymous App usage analytics (without identifying specific users).
• Firebase Crashlytics — automatic crash reports to improve stability.

You can limit analytics data collection by disabling analytics in your device settings (Settings > Privacy > Analytics).

We do not use cross-app or cross-site tracking (App Tracking Transparency). The App does not request ATT permission.

13. Changes to This Policy

We reserve the right to update this Policy. For material changes, we will:

• Notify you via push notification and/or in-App message.
• Update the effective date at the top of this document.
• Request renewed consent where necessary.

Continued use of the App after being notified of changes constitutes acceptance of the updated Policy.

14. Contact Information

© 2024–2026 Carma. All rights reserved.