Политика конфиденциальности

Здесь без юридического тумана написано: что мы храним, зачем, сколько времени, кому это уходит и как всё удалить. Если что-то в документе расходится с тем, что вы видите в продукте, — расхождение считаем ошибкой документа, напишите нам.

1. Кто оператор

Оператор персональных данных — Пантель В.О., самозанятый. Обработка ведётся по Федеральному закону от 27.07.2006 №152-ФЗ. Связаться — через форму на странице Контакты.

Платформа self-hosted: она работает на нашем собственном оборудовании, а не в чужом облаке. Внешних подрядчиков по обработке данных у нас нет.

2. Два разных случая

Вы просто посетитель сайта. Мы не знаем, кто вы. Про вас есть только обезличенная статистика посещений (см. п. 6).

У вас есть личный кабинет. Тогда платформа — это ваше рабочее место, и в нём лежит ровно то, что вы туда положили. Полный перечень — ниже.

3. Что хранится в личном кабинете

Аккаунт

Email — нужен для входа и уведомлений, хранится открыто.
Пароль — только необратимый bcrypt-хеш. Восстановить из него исходный пароль нельзя, в том числе нам.
Имя, аватар, выбранное направление, настройки оформления.
Ключ восстановления (если вы его настроили): на сервере лежит публичный ключ открыто и приватный — зашифрованным вашей фразой из 12 слов. Саму фразу мы не храним и не видим никогда.

Пароли и учётные данные

Хранилище паролей и учётки проектов шифруются прямо в вашем браузере вашим мастер-паролем (AES-256-GCM, ключ выводится из мастер-пароля). На сервер попадает уже зашифрованный блок. Мастер-пароль к нам не уходит — значит, ни мы, ни тот, кто украдёт дамп базы, содержимое не прочитает. Обратная сторона честная: забыли мастер-пароль — данные потеряны навсегда, запасного ключа у нас нет.
Секреты 2FA (встроенный генератор одноразовых кодов) шифруются на сервере алгоритмом AES-256-GCM ключом из окружения приложения. В базе они лежат шифротекстом. Расшифровываются только для того, чтобы отдать их вам же — код одноразового пароля считается у вас в браузере.
API-токены для десктоп-приложения и интеграций — хранятся, чтобы приложение могло к нам подключаться; вы можете отозвать любой токен в любой момент в разделе «Доступы».

Рабочее содержимое

Проекты, задачи, заметки, схемы, сохранённые расчёты конструкторов — хранятся в открытом виде. Это осознанный компромисс: по ним работает поиск, отчёты и помощник. Доступ разграничен, но при компрометации сервера они читаемы. Сквозное шифрование содержимого — в планах, и пока его нет, мы об этом говорим прямо, а не обещаем задним числом.
Файлы проектов (документы, чертежи, вложения) — в объектном хранилище на том же сервере, в открытом виде. Наружу не отдаются, доступ — по вашей авторизации.
Учётные записи мессенджеров — мы храним только метаданные: платформу, ваше название аккаунта и логин/телефон. Пароли и сессии мессенджеров живут в десктоп-приложении на вашей машине (в системном защищённом хранилище) и на наш сервер не передаются.
Устройства и удалённые подключения — имя устройства, сетевые адреса, история подключений. Нужны, чтобы вы видели свой парк и могли отозвать доступ.

4. Обращения через форму обратной связи

Имя, email, телефон, компания, текст сообщения — если вы их указали. Плюс технические поля: хеш IP-адреса (сам адрес не сохраняется), user-agent браузера, страница-источник. Основание — ваше согласие, отмеченное в форме (п. 1 ч. 1 ст. 6 152-ФЗ). Цель — ответить вам и не утонуть в спаме.

5. Искусственный интеллект: где он выполняется

Помощник платформы работает на локальной языковой модели — она крутится на нашем же сервере. Ваши проекты, файлы и переписка для ответа никуда наружу не уходят.

Есть отдельная кнопка «спросить внешние ИИ». Она срабатывает только по вашему явному нажатию, и наружу уходит текст вопроса — без содержимого проектов; секреты из текста вырезаются перед отправкой. Не нажимаете — ничего не отправляется.

6. Статистика и телеметрия

/api/track — собственный счётчик посещений: адрес страницы, откуда пришли, user-agent, время на странице, хеш IP. Разделы админки не считаются. Сырой IP-адрес не сохраняется.
/api/rum — метрики отзывчивости интерфейса: класс устройства (слабое/среднее/сильное), тип (десктоп/мобильный/планшет), маршрут и частота кадров в конструкторах. Нужны, чтобы тяжёлые 3D-сцены не превращались в слайд-шоу на слабых машинах. Персональных данных здесь нет.
Ошибки клиента и сервера — текст ошибки, маршрут, версия сборки. Нужны, чтобы чинить поломки, о которых иначе никто не сообщит.
Журнал действий в аккаунте и админке (кто и что изменил) — для безопасности и разбора инцидентов.
Сторонних рекламных и трекинговых счётчиков на сайте нет. В коде есть возможность подключить Яндекс Метрику, но на боевом сайте она не включена; если включим — обновим этот пункт.

7. Кому передаются данные

Никому. Данные лежат на нашем оборудовании на территории Российской Федерации, доступ к серверу есть только у оператора. Мы не продаём данные, не отдаём их рекламным сетям и не подключаем сторонние аналитические сервисы. Исключения ровно два: требования законодательства РФ и ваш собственный явный запрос (кнопка «спросить внешние ИИ», п. 5).

Письма (подтверждения, magic-link) отправляются через почтового провайдера — ему уходит только адрес получателя и текст самого письма.

8. Сколько храним

Данные аккаунта и рабочее содержимое — пока существует аккаунт.
Резервные копии базы — 14 последних суточных копий плюс журнал изменений для восстановления на точку во времени. Удалённые данные исчезают из копий по мере их ротации, то есть в пределах двух недель.
Обращения через форму — не дольше трёх лет с момента обращения.
Статистика посещений и метрики отзывчивости — в обезличенном виде, бессрочно.

9. Как удалить свои данные

Проекты, файлы, заметки, записи хранилища, секреты 2FA, аккаунты мессенджеров и устройства удаляются вами самостоятельно в соответствующих разделах личного кабинета. Удаление окончательное.
API-токены отзываются в разделе «Доступы» — сразу и без нашего участия.
Удаление аккаунта целиком — по запросу через Контакты. Удаляем аккаунт и все связанные с ним записи; ответ и выполнение — в течение 10 рабочих дней. Из резервных копий данные уходят по мере ротации (п. 8).

10. Ваши права

Вы вправе запросить сведения об обработке ваших данных, потребовать их уточнения, блокирования или уничтожения, отозвать согласие. Запрос — через форму на странице Контакты, срок рассмотрения — 10 рабочих дней.

11. Чего мы не обещаем

Не обещаем, что содержимое проектов защищено от нас самих: оно хранится открыто, и админ технически может его прочитать. Не обещаем восстановить зашифрованное хранилище или ключ восстановления — без вашего мастер-пароля и фразы это невозможно математически. Не обещаем защиты от заражённого устройства: вредоносное расширение или вирус в вашем браузере увидит данные ровно так же, как видите их вы.

Технические подробности того, что и как шифруется, — на странице Архитектура конфиденциальности.

12. Изменения

Мы вправе менять эту политику. Новая редакция действует с момента публикации; дата редакции указана вверху страницы.