Версия: romba-privacy-2026-10
Последнее обновление: 10 октября 2026 г.
Ваши данные. Кратко.
Собираем только то, что нужно для работы сервиса. Без сторонней рекламы, без продажи данных, без скрытых трекеров.
1. Кто мы
RomBa — платформа доверенной передачи товаров из duty-free от поверенного, который уже летит вашим маршрутом. Эта политика описывает, какие персональные данные мы обрабатываем, зачем и кому передаём.
Контролёр данных — компания, которая управляет RomBa:
Компания: ROMBA LLC («ՌՈՄԲԱ» ՍՊԸ)
Юридический адрес: 19 A. Khachatryan St., apt. 33, Arabkir, Yerevan 0033, Armenia
Фактический адрес: 19 A. Khachatryan St., apt. 33, Arabkir, Yerevan 0033, Armenia
Регистрационный номер: 999.110.1605034
ИНН (ՀՎՀՀ): 08332163
Контакт по вопросам приватности: [email protected].
2. Какие данные мы собираем
Аккаунт: имя пользователя, email, номер телефона и пароль (хранится только в виде необратимого хеша). Поверенные также сообщают нам полное имя, почтовый адрес и банковские реквизиты для выплат. Платёжные данные: номер карты, срок и CVC вводятся только на защищённой странице банка (Fast Bank, через платёжную систему ArCa) — ни приложение, ни наши серверы никогда не получают полный номер карты и CVC. Мы получаем результат: маскированный номер карты, имя держателя, срок действия, код авторизации и идентификатор транзакции. История заказов и выплат хранится у нас.
Государственное удостоверение: текст страницы паспорта с фотографией, включая машиночитаемую зону, распознаётся на устройстве по снимку. Если в паспорте есть чип, приложение считывает его по NFC (ICAO eMRTD): имя, номер документа, гражданство, дату рождения, пол, срок действия и, если доступно, фотографию из чипа. На наших серверах хранятся ваше имя, тип документа, эти данные чипа (без фото из чипа: оно используется только на вашем устройстве для сверки лица и никогда не передаётся на наши серверы), результаты проверок и хеш паспорта SHA-256 (как правило, от номера документа), который привязывает один паспорт к одному устройству.
Изображения лица (биометрические данные), только с вашего явного согласия: приложение делает живое селфи и сравнивает его на вашем телефоне с фотографией из чипа паспорта или со страницы с фото; мы получаем только оценку совпадения. Селфи удаляется с телефона сразу после проверки, фото паспорта — когда вы покидаете экран верификации. Автоматическое совпадение само по себе аккаунт не одобряет, поэтому фото страницы паспорта и селфи также передаются нам в зашифрованном виде, чтобы уполномоченные сотрудники их сравнили. Подтверждение через Face ID или отпечаток пальца использует блокировку самого телефона — мы узнаём только, успешно ли оно прошло. Фото профиля: селфи из проверки лица — ваше фото профиля, единственное ваше фото в приложении, — если вы согласились его сохранить; без него нельзя заказывать и доставлять. Вторая сторона ваших заказов видит его с момента, когда курьер берёт заказ, и до передачи; больше его никто не видит, и после этого оно не показывается. Селфи, сделанное позже, начинает использоваться сразу, если вы снова считали чип того же паспорта (тот же номер и имя) и селфи совпало на телефоне с фото паспорта; иначе перед использованием его сверяют с фото паспорта уполномоченные сотрудники. Оно хранится на наших серверах в зашифрованном виде.
Поведенческие проверки: во время верификации и перед заказом приложение измеряет длительность нажатий, ритм касаний и лёгкий тремор руки (датчик движения) и сравнивает их с профилем, хранящимся на вашем телефоне. Измерения и профиль остаются на телефоне; нам передаётся только результат (оценка, прошла/не прошла и, при оформлении заказа, число касаний и значение тремора). Проверку при оформлении заказа можно отключить в приложении. Местоположение: если вы разрешите, приложение использует геолокацию, чтобы показать, где вы находитесь, а для поверенных — чтобы подтвердить, что они в зоне аэропорта (радиус задаётся для каждого аэропорта, до 50 км). Когда поверенный принимает заказ, координаты передаются на наши серверы, которые повторяют проверку и сравнивают их с предыдущей позицией.
Посадочный талон (поверенные): штрихкод распознаётся на телефоне; фото талона проверяет наш ИИ-провайдер, чтобы прочитать данные рейса и выявить подделку. Мы храним содержимое штрихкода (имя, код бронирования, маршрут, рейс, дату, место), привязанное к устройству и паспорту поверенного, чтобы один талон нельзя было использовать на двух телефонах. Контент: фото товаров и чеков, сделанные во время заказа (OCULAR); фото чека хранится вместе с заказом. Ультразвуковой сигнал ECHO, подтверждающий встречу двух телефонов, обрабатывается только на телефонах — аудио к нам не попадает.
Идентификаторы: случайный device_id, привязанный к аппаратно-защищённому ключу, ID транзакции, хеш вашего IP-адреса в записях о согласии и верификации. История покупок: заказы, маршруты, статусы, чаевые. Использование и диагностика: анонимизированные метрики, отчёты о падениях через системные сервисы Apple/Google.
3. Зачем мы это собираем
Чтобы сервис работал: подобрать поверенного на ваш маршрут, оформить заказ и оплату, поручить поверенному покупку ваших товаров в duty-free, передать товар по OCULAR-протоколу.
Чтобы обеспечить безопасность: KYC обеих сторон, антифрод-проверки, эскроу платежа, неоспоримый журнал передачи. Чтобы соответствовать закону: налоговые и таможенные обязательства, AML-проверки, ответы на запросы регуляторов. Чтобы улучшать продукт: агрегированная аналитика и отчёты о падениях — всегда на обезличенных данных.
Правовые основания: договор с вами (аккаунт, заказы, платежи, передача); обязанности по закону (верификация личности по правилам противодействия отмыванию денег и KYC, хранение платёжных записей и договоров, налоговые и таможенные требования); законный интерес в предотвращении мошенничества (проверки местоположения, посадочного талона, устройства и поведения, ИИ-проверки фото); и ваше явное согласие — для изображений лица и сравнения лиц, которые являются биометрическими данными по законодательству Армении и GDPR. Приложение запрашивает это согласие отдельно перед шагом с лицом. Вы можете отозвать его, написав нам или удалив аккаунт, но тогда верификация, без которой пользоваться сервисом нельзя, станет невозможной.
4. С кем мы делимся данными
Fast Bank — платежи картой и возвраты через платёжную систему ArCa. Fast Bank — независимый контролёр данных для платёжных операций: fastbank.am. Telegram — когда вы просите в чате поддержки связать вас с человеком, разговор (ваши сообщения, отправленные фото и видео, ответы ассистента, ваше имя пользователя, язык приложения и экран или заказ, откуда вы пишете) передаётся через него нашей команде поддержки, и она отвечает вам в приложении. Stripe — только для платежей, которые идут не через ArCa: оплата картой на страницах Stripe и, для поверенных, счета для выплат и одноразовые карты для покупки; мы видим только тип карты, последние четыре цифры и срок действия. Apple и Google — системные сервисы (отчёты о падениях, названия мест по геолокации, загрузка шрифтов). Cloudflare — передаёт и защищает трафик между приложением и нашими серверами.
OpenAI — наш ИИ-провайдер. Через наш сервер он получает: фото товаров и чеков, фото, которые вы делаете для поиска по каталогу, а также номер, товары, маршрут и суммы заказа. Перед отправкой из данных заказа удаляется всё, что идентифицирует человека: имена, паспортные данные и хеш паспорта, идентификаторы устройств, оценки проверок личности и биометрии, местоположение, контактные и платёжные данные, а также запись о принятии вами условий. Для проверки посадочного талона он также получает фото талона поверенного — с напечатанными на нём именем и данными рейса — и фамилию, которая должна быть на талоне. Ему же передаются сообщения и фото, которые вы отправляете в чат поддержки в приложении. Фото паспорта, селфи и данные карт ему никогда не передаются. Наши сотрудники — уполномоченные сотрудники видят идентификационные данные при проверке аккаунта; фото для проверки открываются только администраторским учётным записям, и каждый просмотр журналируется. Другая сторона заказа — имя из вашего паспорта указывается в договоре передачи; заказчик также видит отображаемое имя, фото и данные рейса поверенного. Юридические органы — мы передадим данные только по обоснованному правовому запросу и, где это разрешено, уведомим вас. Мы никогда не продаём ваши данные рекламным сетям, брокерам данных или третьим лицам для маркетинговой профилировки.
5. Где и как долго мы храним
Где. Наши серверы находятся в Республике Армения — там ваши данные в основном обрабатываются и хранятся. На транспорте — TLS; фото для проверки личности дополнительно зашифрованы при хранении (AES-256). Fast Bank и ArCa также находятся в Армении. Данные получают следующие поставщики за пределами Армении: Cloudflare — через его сеть проходит весь трафик между приложением и нашими серверами; OpenAI — то, что перечислено в разделе 4 (фото, данные заказа без идентифицирующих полей, фото посадочного талона и ожидаемая фамилия, сообщения в чат поддержки); Telegram — разговор в поддержке, который вы передали человеку; Stripe — только для платежей не через ArCa, нужные для них платёжные данные и данные для выплат; Apple и Google — отчёты о падениях, местоположение, которое телефон превращает в название места, загрузка шрифтов. Это американские компании, поэтому переданные им данные могут обрабатываться в США. Мы передаём данные за рубеж, только когда это необходимо для работы сервиса или функции, которой вы пользуетесь, либо с вашего согласия, когда основанием служит оно. Договора об обработке данных с OpenAI у нас пока нет, мы работаем над заключением договоров.
Как долго. Мы храним данные не дольше, чем нужно для указанных выше целей или чем требует закон, — в соответствии с Законом Республики Армения «О защите персональных данных» и, где он применим, GDPR:
- Аккаунт и данные профиля (включая контакты и реквизиты для выплат поверенного): пока аккаунт активен; удаляются в течение 30 дней после удаления аккаунта, кроме записей ниже, которые мы обязаны хранить по закону. Удалить аккаунт в приложении можно, когда ни по одному заказу нет незавершённых расчётов.
- Записи о проверке личности (паспортные данные, результаты проверок, хеш паспорта): до удаления аккаунта, затем 5 лет после окончания отношений с вами — для учёта в целях противодействия отмыванию денег и предотвращения мошенничества.
- Изображения лица, загруженные для ручной проверки (селфи и фото страницы паспорта): удаляются, как только по проверке принято решение, и не позднее чем через 48 часов.
- Фото профиля (проверенное селфи): пока вы не удалите аккаунт или не сделаете новое, которое его заменяет.
- Заказы, платежи, чеки, записи о передаче (включая подписанный договор) и принятие Условий продажи: 5 лет после заказа — для бухгалтерских и налоговых обязательств и для рассмотрения споров и чарджбэков. Брошенные неоплаченные заказы удаляются примерно через 30 минут; фото товаров OCULAR после проверки не хранятся.
- Данные посадочного талона: 90 дней после рейса.
- Местоположение: позиция для проверки в аэропорту удаляется через 12 часов; местоположение, привязанное к принятию заказа, — через 90 дней после заказа.
- Переписка с поддержкой: 1 год после последнего сообщения.
- Технические логи: 12 месяцев.
- Резервные копии: ротируются, каждая копия удаляется через 30 дней, поэтому удалённые данные исчезают и из них.
6. Ваши права
Для пользователей ЕС, Великобритании, Швейцарии — права по GDPR: доступ, исправление, удаление, ограничение, переносимость, возражение, отзыв согласия. Для пользователей Калифорнии — права по CCPA/CPRA: знать, удалить, исправить, не получать дискриминацию за их использование. Мы не продаём и не передаём данные для целевой рекламы — см. privacy choices.
Чтобы воспользоваться правом — напишите на [email protected]; удалить аккаунт можно и самостоятельно в приложении, в разделе «Профиль». Большинство запросов выполняем в течение 30 дней. Если ответ вас не устроит — вы вправе подать жалобу в орган защиты данных вашей страны.
7. Как мы защищаем данные
Эскроу платежа: деньги заказчика лежат в Fast Bank до подписи передачи. Поверенный не имеет доступа к балансу клиента. Ваша карта остаётся в банке: ни поверенный, ни приложение никогда не видят данных вашей карты.
OCULAR ультразвук: подтверждение встречи по физическому сигналу — удалённый «развод» математически невозможен. KYC обеих сторон: паспорт (NFC или OCR), сравнение с живым лицом, Face ID, поведенческие проверки; сравнение лиц выполняется на вашем телефоне. Аппаратно-защищённые ключи — Secure Enclave / StrongBox.
8. Возраст, изменения, контакты
Сервис для пользователей от 18 лет — в каталоге есть алкоголь и табак. Данные несовершеннолетних мы сознательно не собираем; если такие данные попали к нам — сообщите, удалим в течение 7 дней.
Существенные изменения политики мы анонсируем в приложении не позднее чем за 30 дней до их вступления в силу. Дата последнего обновления — в шапке. Продолжение использования после изменения = согласие с новой редакцией.
Политика доступна на всех языках приложения. При расхождении между языковыми версиями преимущество имеет армянская версия.
Вопросы по приватности
Напишите нам — мы отвечаем в течение 5 рабочих дней. Для срочных вопросов о ваших данных — пометьте письмо тегом \[URGENT\].