Приватность и GDPR

appmetrica.online собирает минимум данных, нужный для отчётов: технический контекст сессии и непрозрачные идентификаторы. Ни рекламных идентификаторов, ни IP-адресов, ни персональных данных в явном виде система не хранит.

Что хранитсяСкопировать ссылку на раздел

Данные лежат в собственных ClickHouse и Postgres на выделенном сервере в ЕС и не передаются третьим лицам.

Чего нетСкопировать ссылку на раздел

• IP-адреса. IP используется только в памяти, чтобы определить страну и город, и сразу отбрасывается. Его нет в базах, логах, метриках и отклонённых событиях.
• Email и телефоны. Сервер отклоняет user_id, похожий на email или телефон, с кодом user_id_looks_like_pii.
• Рекламные идентификаторы (IDFA, GAID), отпечатки браузера, cookie сторонних доменов.

Ответственность клиента — не передавать в user_id публичные идентификаторы, по которым легко найти человека. Внутренний ID аккаунта подходит, Telegram ID — только в виде HMAC (см. Боты и бэкенды).

Сроки храненияСкопировать ссылку на раздел

Если установка молчит 25 месяцев, её история удаляется целиком, и вернувшийся пользователь считается новым.

Удаление по запросуСкопировать ссылку на раздел

Право на удаление выполняется по install_id, по user_id или для всего приложения. Удаление по user_id стирает события этого пользователя и всех установок, привязанных к нему. Прошлые дни, в которые он был активен, пересчитывает ближайшее закрытие дней после завершения удаления; оно идёт раз в 15 минут.

Запустить удаление можно двумя способами:

• в дашборде — из профиля человека, кнопка «Удалить данные»;
• через Read API ключом со scope delete:

curl -sS -X POST "https://api.analytics.example.com/v1/apps/$APP_ID/deletion-requests" \
  -H "Authorization: Bearer $AM_SK" \
  -H "Content-Type: application/json" \
  -d '{"subject_type": "user", "subject_value": "a3f9c2d1-77b4-4e0a-9c1e-2b5d8f6e1a90"}'

Ответ 202 возвращает запрос со статусом pending. Удаление выполняется в фоне. Повтор с теми же параметрами, пока запрос не завершён, вернёт тот же запрос. Статус проверяется так:

curl -sS "https://api.analytics.example.com/v1/apps/$APP_ID/deletion-requests/$REQUEST_ID" \
  -H "Authorization: Bearer $AM_SK"

Статус done означает, что данные удалены из всех таблиц. Если удаление не удалось после нескольких попыток, статус станет failed, а владелец получит уведомление в Telegram.

Слияние приложенийСкопировать ссылку на раздел

Если одно приложение подключено как два — например, iOS и Android отдельно, — их можно объединить: «Настройки → Опасная зона → Объединить…» в приложении, которое останется. События, отклонённые события и ключи записи переносятся в него, приложение-источник удаляется, а люди с одним user_id в двух приложениях становятся одним человеком. Ключи источника продолжают работать, поэтому выпущенные версии приложений обновлять не нужно.

Слияние не меняет состав данных: переносятся только события владельца между его же приложениями, IP по-прежнему не хранится. Перенесённые события сохраняют свою дату, поэтому срок хранения 25 месяцев считается от неё, а не от даты слияния.

Пока по любому из двух приложений выполняется удаление по запросу, начать слияние нельзя: сначала дождитесь статуса done. После слияния удаление данных пользователя запрашивается в приложении, которое осталось. Слияние не отменяется — перед ним стоит сделать бэкап.

Выгрузка данных пользователяСкопировать ссылку на раздел

Для запроса на доступ к данным откройте профиль человека в дашборде или запросите getProfile через Read API: там первое и последнее появление, установки, устройства и лента сессий.

АтрибуцияСкопировать ссылку на раздел

Геолокация по IP — база IP Geolocation by DB-IP (лицензия CC BY 4.0).