Политика конфиденциальности

§ 1. Оператор персональных данных

Оператором персональных данных является ООО «СВЕТ» (ИНН 9703177463, ОГРН 1247700265010), 123112, г. Москва, вн.тер. г. Муниципальный округ Пресненский, наб. Пресненская, д. 12, пом. 3/82. Генеральный директор — Куликова Антонина Юрьевна.

ООО «СВЕТ» применяет все требуемые технические и организационные меры защиты ПДн в соответствии с 152-ФЗ. Персональные данные пользователей из РФ обрабатываются и хранятся на территории Российской Федерации (152-ФЗ ст. 18 ч. 5) — в Yandex Cloud (ru-central1) и Timeweb Cloud (ru-3).

По вопросам обработки персональных данных пиши на info@kodzavod.ru с темой [PRIVACY]. Ответим в течение 10 рабочих дней с получения запроса.

§ 2. Какие персональные данные мы обрабатываем

Мы обрабатываем только данные, необходимые для работы и развития Сервиса. Мы не собираем специальные категории ПДн (расовая или национальная принадлежность, политические взгляды, религия, состояние здоровья, сексуальная жизнь, биометрия, судимость).

• Идентификационные данные: адрес электронной почты, имя (если указано в профиле), хеш пароля (argon2id), аватар (если подключён через OAuth-провайдер), внутренний идентификатор пользователя.
• Технические данные аутентификации: IP-адрес и User-Agent при входе в аккаунт, метки времени входов, refresh-токены. Хранятся в YC Managed PostgreSQL ru-central1 (Россия) на нашем собственном сервисе auth.kodzavod.ru.
• Данные пользовательского контента: тексты промптов (запросов к AI), сгенерированный код, история версий проектов, названия и описания проектов, названия и заметки к версиям. Тексты промптов, названия и заметки к версиям могут содержать персональные данные третьих лиц, если Пользователь добровольно включает их в запрос, название или заметку. Компания не контролирует содержание промптов, названий и заметок. Промпты она обрабатывает исключительно для целей оказания услуги AI-генерации, названия и заметки к версиям — для их хранения и показа Пользователю в интерфейсе Сервиса. Идентификаторы Пользователя (email, имя, IP-адрес, внутренний id) к запросу поставщику языковой модели не прикладываются; кому и что передаётся за пределы РФ — § 6. Если Пользователь включает в промпт, название или заметку к версии персональные данные третьих лиц, он действует как самостоятельный оператор (152-ФЗ ст. 3 п. 2) в отношении этих данных и несёт ответственность за наличие правовых оснований их обработки.
• Технические журналы опубликованных приложений: при обращении посетителя к приложению, опубликованному на *.apps.kodzavod.ru, инфраструктура Сервиса фиксирует IP-адрес, время запроса, запрошенный адрес и код ответа. Эти данные ООО «СВЕТ» обрабатывает как самостоятельный оператор в целях обеспечения безопасности и диагностики сбоев инфраструктуры; владельцу приложения журналы не предоставляются. Персональные данные, которые посетитель вводит в само приложение, к этой категории не относятся и обрабатываются по правилам § 12.
• Статистика посещаемости сайтов пользователей. Когда посетитель открывает страницу сайта, опубликованного в kodzavod, наш сервер получает IP-адрес, User-Agent, адрес страницы без параметров, домен, с которого пришёл посетитель, метки UTM и ширину экрана. По IP-адресу в памяти сервера определяются страна и город. IP-адрес и User-Agent для статистики не сохраняются: уникальных посетителей за сутки считаем в обезличенном виде, следы подсчёта удаляются не позднее чем через сутки после окончания дня. Дальше хранятся только суточные счётчики просмотров, посетителей, страниц, источников, типа устройства, стран и городов — без IP-адреса, User-Agent и идентификатора посетителя. Cookie и хранилище браузера для этого не используются. Владелец сайта видит только эти счётчики.
• Данные платёжных операций: история операций по Личному счёту (суммы пополнений, суммы списаний, даты, типы операций, идентификаторы транзакций). При оплате тарифа или подписки Pro — токен привязанного способа оплаты — банковской карты или счёта СБП, передаваемый и хранимый у привлечённого платёжного сервиса (перечень — в § 5). Полные реквизиты счёта мы не получаем.
• Данные привязанного способа оплаты: идентификатор привязки у платёжного сервиса, дата привязки, а также отображаемые знаки банковской карты — последние четыре цифры номера и платёжная система. Эти знаки предоставляет платёжный сервис, и мы храним их для одной цели: чтобы Пользователь узнавал свой способ оплаты в личном кабинете и мог его отключить. Полный номер карты и код проверки подлинности к нам не поступают — карта вводится на стороне платёжного сервиса. Первые шесть и последние четыре цифры номера и срок действия карты платёжный сервис передаёт в уведомлении об оплате. Первые шесть цифр и срок мы не храним: один раз вычисляем по ним отпечаток средства платежа (§ 3, контроль однократности акций). Отображаемых знаков недостаточно для проведения платежа.
• Данные заявителя без аккаунта: отдельная категория субъектов — человек, который пишет нам без входа в аккаунт. Таких каналов два.
  • Канал жалоб. Человек жалуется на опубликованное приложение и аккаунта у нас не имеет. Обрабатываем то, что он сам указал в форме на /abuse: адрес почты для ответа, адрес страницы и текст обращения, а также момент и версию текста согласия, которое он дал перед отправкой (152-ФЗ ст. 9). Текст обращения пишет сам заявитель, и в нём могут оказаться данные третьих лиц: по обращениям о нарушении приватности это и есть предмет жалобы.
  • Обращение в поддержку без входа. Человек пишет в поддержку через форму на сайте, не входя в аккаунт: например, не может войти, его аккаунт заблокирован или аккаунта ещё нет. Обрабатываем то, что он сам указал в форме: адрес почты для ответа, тему, текст обращения, а также момент и версию текста согласия, которое он дал перед отправкой (152-ФЗ ст. 9), отметку о подтверждении адреса почты и нашу переписку с ним по этому обращению. Обращение не привязывается к аккаунту, даже если аккаунт с тем же адресом почты существует. IP-адрес отправителя в обращение не записывается. Для защиты от злоупотреблений — чтобы ограничить число обращений с одного адреса — он хранится в счётчике ограничения: лимит считается за час, а запись счётчика удаляется ежесуточной очисткой, не позднее суток после конца этого часа. Как и у любого запроса к API, он попадает в технические журналы (§ 2, § 4). Форму защищает проверка «я не робот» Yandex SmartCaptcha (§ 5). Пока страница /support открыта, виджет проверки передаёт Яндексу технические данные браузера и устройства и сведения о действиях на странице. Когда человек отправляет форму, мы передаём Яндексу одноразовый токен проверки и его IP-адрес. Почта, тема и текст обращения проверке не передаются. Токен мы не храним, в журнал пишется только итог проверки. Виджет загружается с адреса Яндекса и ставит в браузере cookie Яндекса — их перечень в Политике cookie. Чтобы не отправлять на один адрес больше трёх писем с подтверждением в сутки, в счётчике ограничения хранится SHA-256-хэш адреса почты: лимит считается за сутки, а запись счётчика удаляется ежесуточной очисткой, не позднее суток после конца этих суток.
  Цель одна — рассмотреть обращение и ответить. Срок хранения — 1 год после закрытия обращения, а для незакрытого обращения в поддержку с неподтверждённым адресом — 1 год после подачи (§ 4). Хранятся в YC Managed PostgreSQL ru-central1 (Россия).
• Данные доказательства согласия на автоматические списания: при включении согласия на регулярные списания (тарифный план, подписка Pro серверной части опубликованного приложения, подключение дополнительных опций, изменяющих сумму списания) фиксируются IP-адрес и User-Agent запроса, версия показанного текста согласия, согласованная сумма и периодичность, метка времени. Данные обрабатываются в целях доказательства волеизъявления на периодические платежи и условий, которые Пользователь принял до списания (63-ФЗ ст. 9, ГК РФ ст. 429.4, ЗоЗПП ст. 10). Хранятся в YC Managed PostgreSQL ru-central1 (Россия).
• Данные контроля однократности акционных предложений: адрес электронной почты в связке с признаком использования акции и отпечаток средства платежа — производное значение, по которому мы сверяем повторность обращения за скидкой. Полные реквизиты карты или счёта мы не получаем и не храним; сам отпечаток не позволяет провести платёж.
• Данные об использовании: сведения об опубликованных приложениях (адрес приложения, дата публикации), количество и стоимость операций в Сервисе, остаток Личного счёта, история начисления и использования Промо-средств.
• Технические данные использования Сервиса: события работы с Сервисом (например, создание проекта, запуск генерации и её исход, открытие превью, публикация), время события, внутренние идентификаторы учётной записи и проекта, технические сведения об исходе операции (например, код или краткий текст ошибки, имена затронутых файлов проекта, длительность), адрес превью проекта, причина удаления проекта или отмены подписки, если Пользователь её указал, в том числе своими словами, и укрупнённый класс устройства — «телефон», «планшет», «компьютер» или «не определён». Когда ты начинаешь оплату тарифа, к этому событию добавляется признак встроенного браузера приложения — «Telegram», «VK», «Instagram», «другое приложение», «нет» или «не определён»: он нужен, чтобы отличить оплату, оборванную встроенным браузером, от обычного отказа от оплаты; основание — как у остальных технических данных (законный интерес, 152-ФЗ ст. 6 ч. 1 п. 7). Строку User-Agent и другие подробности о браузере и устройстве (модель, версии операционной системы и браузера, разрешение экрана) в аналитике мы не сохраняем. Хранятся в YC Managed PostgreSQL ru-central1 (Россия).
• События вкладки «Копии»: в обновлённом интерфейсе предусмотрен сбор открытия вкладки, показа, нажатия и закрытия предложения тарифа, достижения предела ручных копий и запроса копии старше обычного срока хранения. Записываются вид и время события, внутренний id аккаунта, класс устройства и, для предложения тарифа, его причина: предел ручных копий или размер базы. Эти записи связаны с аккаунтом и не являются анонимной статистикой. В эти события не передаются адрес почты, содержимое базы, текст проекта или параметры адреса страницы. Цель — понять использование копий и предложений тарифа; сроки и удаление — как для технических данных использования Сервиса (§ 4). Локальные отметки показа и закрытия описаны отдельно в Политике cookie.
• Оценки и ответы о работе Сервиса: оценка ответа или результата генерации («подходит» или «не подходит»), выбранная причина и комментарий к причине «Другое», ответ на вопрос «Получилось?» после публикации («да» или «нет») и пояснение к ответу «нет», ответ о первой версии проекта («да», «почти» или «нет») — если ты их оставил, — а также время ответа. Хранятся в YC Managed PostgreSQL ru-central1 (Россия). В журнал качества генерации также записываются копии оценки и выбранной причины, ответа после публикации и ответа о первой версии. Свободные комментарии и пояснения в журнал не отправляются. Копии связаны с соответствующей генерацией через технический идентификатор её трейса, позволяющий связать запись с проектом и аккаунтом; эта связь не является анонимной. Журнал работает на инфраструктуре суб-обработчика ООО «ТАЙМВЭБ.КЛАУД» (Timeweb Cloud, регион ru-3, Россия). Исходные события журнала хранятся в объектном хранилище Yandex Cloud (§ 5). Целевое окно создания и обновления копий — 28 дней с начала соответствующей генерации; сроки их удаления — в § 4.
• Технические журналы (логи): IP-адреса API-запросов, временны́е метки, коды HTTP-ответов. Используются для обеспечения безопасности и диагностики сбоев.
• Данные опросов о качестве сервиса: выбранный вариант ответа, свободный комментарий (если Пользователь его оставил), IP-адрес и User-Agent перехода по ссылке из письма, факт и время перехода. Обрабатываются в обезличенном для целей анализа виде — публикуются и анализируются только агрегированные результаты.
• Данные согласия на рекламные и информационные письма: факт согласия или его отзыва, момент, версия и точный текст согласия, который был показан, источник (регистрация, настройки, повторный запрос в продукте или ссылка «отписаться» в письме), а также IP-адрес и User-Agent запроса. Согласие даётся отдельной галочкой, не зависит от регистрации и не требуется для пользования Сервисом.
• Данные для сообщений о падении приложения в Telegram (по желанию, тарифы «Работа» и «Студия»): твой Telegram id, токен твоего бота (хранится в зашифрованном виде, в интерфейсе видны только последние четыре символа), версия текста согласия и момент, когда ты его дал, а также журнал сообщений — о сбое какого приложения, дошло ли, сколько было попыток и вид отказа. Текст сообщений мы не храним.
• Данные webhook о падении приложения (по желанию, тариф «Студия»): адрес, который ты указал, и журнал отправок — по какому приложению и сбою, дошло ли, сколько было попыток, код ответа и вид отказа. Тела запросов и ответов мы не храним.
• Данные получателя уведомлений, указанного пользователем: отдельная категория субъектов — человек, чей адрес почты владелец аккаунта на тарифе «Работа» или «Студия» указал для писем о том, что его опубликованное приложение не отвечает. Владелец может указать один такой адрес, не совпадающий со своим. Данные мы получаем от владельца, а не от самого получателя. Обрабатываем адрес почты получателя и то, к какому аккаунту он привязан, хеш одноразовой ссылки подтверждения и её срок, момент подтверждения, момент, с которого у владельца нет тарифа «Работа» или «Студия», и журнал писем на этот адрес: когда отправлено, дошло ли, открыто ли, переходил ли получатель по ссылке в письме. Если получатель отказался от писем, сам адрес мы удаляем. Остаются HMAC адреса (по нему адрес нельзя прочитать, но можно узнать, если его укажут снова), момент последней попытки указать этот адрес, отбитой из-за отказа, и хеш адреса в журнале писем (§ 4). Чтобы не отправлять на один адрес больше трёх писем-подтверждений за 30-дневное окно, которое начинается с первого письма-подтверждения, HMAC адреса и число отправленных на него писем-подтверждений хранятся и в счётчике ограничения: он общий для всех владельцев, указавших этот адрес, а его запись хранится не дольше 30-дневного окна и суток после него (§ 4). Хранятся в YC Managed PostgreSQL ru-central1 (Россия).
• Данные совместной работы над проектом: участие (проект, роль, кто пригласил, когда), приглашение (хеш ссылки, проект, срок действия, кто его создал, кто и когда его принял), автор сообщений и версий проекта. Если владелец приглашает человека письмом — адрес почты приглашённого и запись об отправке письма-приглашения (адрес, когда отправлено, результат доставки, а также открытие письма и переходы по ссылке, если о них сообщил почтовый сервис); если письмо не дошло или на него пожаловались, адрес попадает в список адресов, на которые мы не пишем; если приглашённый нажал «Это не мне» — хеш SHA-256 его адреса, чтобы больше его не звать, а сам адрес стирается. Владелец проекта видит email и имя участника; участник видит имя владельца, переписку, версии и превью проекта. Хранятся в YC Managed PostgreSQL ru-central1 (Россия).

§ 3. Цели обработки и правовые основания

• Регистрация и аутентификация — исполнение договора (Пользовательского соглашения). Правовое основание: 152-ФЗ ст. 6 ч. 1 п. 5.
• Оказание услуг AI-генерации кода, хранение проектов и их версий, включая названия и заметки к версиям — исполнение договора. Правовое основание: 152-ФЗ ст. 6 ч. 1 п. 5.
• Хостинг опубликованных приложений — исполнение договора. Правовое основание: 152-ФЗ ст. 6 ч. 1 п. 5.
• Совместная работа над проектом — участие в проекте и приглашение по ссылке, автор сообщений и версий — исполнение договора (Пользовательского соглашения, § 8а). Правовое основание: 152-ФЗ ст. 6 ч. 1 п. 5. Письмо приглашённому по адресу, который указал владелец проекта, — законный интерес владельца проекта и оператора. Правовое основание: 152-ФЗ ст. 6 ч. 1 п. 7.
• Учёт платежей, проведение согласованных автоматических списаний и формирование кассовых чеков — исполнение договора, соблюдение требований налогового законодательства и обязанности, возложенной Федеральным законом № 54-ФЗ «О применении контрольно-кассовой техники» (направление кассового чека плательщику в электронной форме). Правовое основание: 152-ФЗ ст. 6 ч. 1 п. 5 и п. 2.
• Доказательство согласия на автоматические списания — исполнение договора и защита прав при споре о периодических платежах. Правовое основание: 152-ФЗ ст. 6 ч. 1 п. 5 и законный интерес оператора (п. 7).
• Сервисные уведомления по электронной почте — письма о состоянии аккаунта, платежах и проектах: подтверждение оплаты, предупреждение о предстоящем списании, изменения безопасности аккаунта, события проектов (например, приостановка неактивного превью), сбои опубликованных приложений, в том числе когда письма приложения не доходят. Уведомления о платежах, безопасности и сбоях опубликованных приложений отключить нельзя; остальные категории настраиваются в личном кабинете. Правовое основание: исполнение договора (152-ФЗ ст. 6 ч. 1 п. 5) и законный интерес оператора (п. 7).
• Обеспечение безопасности и предотвращение мошенничества — законный интерес оператора (152-ФЗ ст. 6 ч. 1 п. 7). Сюда же относятся технические журналы обращений к опубликованным приложениям (см. § 2).
• Проверка приложений на запрещённую информацию — мы проверяем тексты, изображения и документы приложения на признаки информации, распространение которой запрещено законом: например, наркотики, экстремизм, фишинг, сексуализированные материалы с участием несовершеннолетних. Проверяются файлы версии, которую ты публикуешь, и общедоступные страницы уже опубликованного приложения — в том виде, в каком их видит любой посетитель. Базу данных приложения проверка не читает. Если в этих материалах есть персональные данные — твои или других людей, — они обрабатываются в ходе проверки. Сроки хранения результатов — в § 4, участвующие сервисы — в § 5. Правовое основание: законный интерес оператора (152-ФЗ ст. 6 ч. 1 п. 7).
• Хранение данных, собираемых приложениями Пользователей — обработка по поручению Пользователя как оператора этих данных (152-ФЗ ст. 6 ч. 3). Условия — в Поручении на обработку персональных данных; см. также § 12.
• Аналитика посещаемости и удобства сайта — Яндекс.Метрика (счётчик 109403672). Вебвизор активен на kodzavod.ru и app.kodzavod.ru; на страницах входа и регистрации он отключён. На страницах приложений, опубликованных пользователями платформы (*.kdzd.ru), работает отдельный счётчик — без Вебвизора и без объединения с данными личного кабинета. Правовое основание: законный интерес оператора (152-ФЗ ст. 6 ч. 1 п. 7). Подробности см. § 5, § 8 и Политику cookie.
• Продуктовая аналитика и улучшение Сервиса — оценка того, как Пользователи проходят путь от создания проекта до публикации, где возникают ошибки и сбои, с каких устройств работают с Сервисом и как оценивают его ответы и результат публикации, чтобы исправлять ошибки и развивать Сервис. Используются две категории из § 2: технические данные использования Сервиса, а также оценки и ответы о работе Сервиса. Обработка ведётся средствами самого Сервиса. Технические данные использования и оценки в базе данных Сервиса хранятся на инфраструктуре Yandex Cloud (§ 5). Копии оценок и ответов в журнале качества генерации обрабатываются суб-обработчиком ООО «ТАЙМВЭБ.КЛАУД» (Timeweb Cloud, регион ru-3), исходные события — в объектном хранилище Yandex Cloud (§ 2 и § 5). Иным третьим лицам события, оценки и ответы не передаются. Правовое основание: законный интерес оператора (152-ФЗ ст. 6 ч. 1 п. 7).
• Статистика посещаемости сайтов пользователей — обработка в статистических целях при условии обязательного обезличивания (152-ФЗ ст. 6 ч. 1 п. 9). Здесь ООО «СВЕТ» — самостоятельный оператор; владельцу сайта передаются только обезличенные суммарные показатели.
• Начисление и учёт Промо-средств (приветственный бонус, бонус за пополнение, иные акции) — исполнение договора и обязательств по условиям объявленных акций. Правовое основание: 152-ФЗ ст. 6 ч. 1 п. 5.
• Контроль однократности акционных предложений — проверка того, что предложение, объявленное как разовое (например, первый месяц тарифа за половину цены), предоставляется один раз. Сверяются адрес электронной почты и отпечаток средства платежа. Для иных целей — рекламных, аналитических, профилирования — эти данные не используются. Правовое основание: 152-ФЗ ст. 6 ч. 1 п. 5 (исполнение договора, условия которого объявлены в Прейскуранте и Пользовательском соглашении).
• Предотвращение злоупотреблений промо-предложениями — проверка того, что приветственный грант не получают повторно, удаляя аккаунт и регистрируясь заново или заводя несколько аккаунтов. Для этого адрес электронной почты новой регистрации сверяется с записями об удалённых аккаунтах и с ключами адресов почты действующих аккаунтов, а при регистрации ведётся журнал с ключами адреса почты и сетевого адреса (сроки и состав — в § 4). Если грант придержан до первой оплаты, сохраняются коды признаков, по которым это решено. Ни записи, ни журнал, ни ключи аккаунтов не содержат самих адресов — только ключи, вычисленные из них с секретным ключом. По ключу нельзя прочитать адрес, но можно проверить, совпадает ли с ним адрес новой регистрации; поэтому ключи остаются персональными данными. Данные используются только для этой цели, включая подсчёт числа повторных регистраций; для рекламы и профилирования они не используются. Правовое основание: законный интерес оператора (152-ФЗ ст. 6 ч. 1 п. 7).
• Опциональная трансграничная передача в США (GitHub Sync) — явное согласие Пользователя в окне согласия на вкладке «Git» проекта (152-ФЗ ст. 6 ч. 1 п. 1, ст. 9; см. § 6). Опциональная функция; условия доступа указаны в Прейскуранте на kodzavod.ru/pricing.
• Сообщения о падении приложения в Telegram — по желанию, на тарифах «Работа» и «Студия»: когда твоё опубликованное приложение не отвечает, мы отправляем через твоего бота сообщение тебе в Telegram. Для этого Telegram получает твой Telegram id, токен твоего бота, имя приложения, причину сбоя, время и ссылку на проект в панели (см. § 6). Правовое основание: отдельное согласие, которое ты даёшь при включении в настройках уведомлений (152-ФЗ ст. 6 ч. 1 п. 1, ст. 9), в том числе на трансграничную передачу. Без согласия функция не включается; письмо о сбое на почту приходит и без неё.
• Webhook о падении приложения — по желанию, на тарифе «Студия»: когда твоё опубликованное приложение не отвечает, мы отправляем на указанный тобой адрес имя и адрес приложения, id сбоя, класс причины и время. Твою почту и имя не отправляем. Куда ведёт адрес и где стоит его сервер, решаешь ты. Правовое основание: исполнение договора (152-ФЗ ст. 6 ч. 1 п. 5).
• Письма о сбое приложения получателю, указанному пользователем — по желанию владельца, на тарифах «Работа» и «Студия» (§ 2): отправлять на указанный им адрес то же письмо о том, что его опубликованное приложение не отвечает, какое получает сам владелец. Сначала на адрес уходит письмо-подтверждение: в нём указаны почта владельца, который сообщил адрес, оператор, цель, состав данных и ссылка на эту Политику, кнопки «Подтвердить» и «Это не мне». Писем-подтверждений — не больше трёх на один адрес за 30-дневное окно, которое начинается с первого письма-подтверждения, считая письма от всех владельцев вместе, и не больше пяти в сутки от одного владельца. Если получатель не ответил («Подтвердить» или «Это не мне»), то после третьего письма новые письма-подтверждения на этот адрес не отправляются до конца 30-дневного окна, которое начинается с первого письма; ответ получателя снимает счёт. Пока адрес не подтверждён, писем о сбое на него нет. Правовое основание писем о сбое — согласие получателя, которое он даёт, подтверждая адрес (152-ФЗ ст. 6 ч. 1 п. 1, ст. 9). Письмо-подтверждение отправляем до согласия, по запросу владельца — на основании законного интереса владельца (152-ФЗ ст. 6 ч. 1 п. 7). В каждом письме о сбое есть ссылка «Отписаться»: отписка — это отзыв согласия. После отписки или «Это не мне» мы храним только HMAC адреса, чтобы на него больше не уходили запросы — от этого владельца после отписки и ни от кого после «Это не мне», пока хранится отказ (§ 4); основание — законный интерес оператора: соблюдать отказ получателя и не присылать ему новых запросов (152-ФЗ ст. 6 ч. 1 п. 7). На том же основании мы храним HMAC адреса в счётчике писем-подтверждений: чтобы не присылать получателю без его ответа больше трёх запросов за 30-дневное окно, которое начинается с первого письма-подтверждения. Владелец видит, подтверждён ли адрес. Если получатель отказался от писем, владелец узнает об этом, когда попробует указать адрес снова. Если получатель не ответил на три письма-подтверждения, владелец при такой попытке увидит только, что отправить письмо-подтверждение на этот адрес сейчас нельзя; сколько писем ушло на адрес и от кого, не показываем. Если на адрес не доставляются письма (жалоба получателя, постоянный отказ почтового сервера), письма на него не отправляются, а указать его нельзя: владелец увидит только, что письма на этот адрес не доставляются, — жалоба это или отказ почтового сервера, не сообщаем. Журнал писем на этот адрес владельцу не показываем. В письмах получателю есть почта владельца и адрес его приложения: так получатель знает, кто и зачем ему пишет. Основание — исполнение договора с владельцем: он сторона договора и сам включил эту функцию (152-ФЗ ст. 6 ч. 1 п. 5). В письме-подтверждении почта владельца есть ещё и потому, что мы обязаны сообщить получателю, откуда у нас его адрес (152-ФЗ ст. 18 ч. 3). Рекламы в этих письмах нет, для рассылок адрес не используется.
• Учёт себестоимости обращений и сверка со счётом провайдера модели — на каждое обращение к модели при генерации мы записываем, чьё оно и сколько стоило, чтобы считать, во что нам обходится сервис, и сверять свои записи со счётом провайдера модели. Состав записи и срок хранения — в § 4. Правовое основание: исполнение договора (152-ФЗ ст. 6 ч. 1 п. 5) и законный интерес оператора в учёте расходов на оказание услуги (152-ФЗ ст. 6 ч. 1 п. 7).
• Улучшение качества сервиса и обратная связь — направление зарегистрированным Пользователям писем и опросов об опыте использования сервиса в рамках исполнения Пользовательского соглашения. Такие письма носят исследовательский, а не рекламный характер. Пользователь в любой момент может отказаться от их получения (ссылка «отписаться» в письме). Письма доставляются через сервис Yandex Cloud Postbox (Российская Федерация), который применяет технические средства учёта доставки, открытий писем и переходов по ссылкам. Правовое основание: 152-ФЗ ст. 6 ч. 1 п. 5 (исполнение договора) и п. 7 (законный интерес оператора).
• Рекламные и информационные письма — советы по проектам и новости о новых возможностях Сервиса по электронной почте, только если ты дал на это отдельное согласие. Отписаться можно в любой момент: ссылка есть в каждом письме. Отдельно мы храним доказательство самого согласия (§ 2, § 4). Правовое основание: согласие субъекта (152-ФЗ ст. 6 ч. 1 п. 1, ст. 9, ст. 15 ч. 1) и 38-ФЗ «О рекламе», ст. 18 (реклама по электронной почте — только с предварительного согласия адресата). Запись о согласии мы храним отдельно — для защиты при споре, в том числе после отзыва согласия и удаления аккаунта; основание — законный интерес оператора (152-ФЗ ст. 6 ч. 1 п. 7).
• Рассмотрение обращений без аккаунта — жалобы на опубликованные приложения через /abuse и обращения в поддержку без входа в аккаунт (§ 2): разобрать обращение и ответить заявителю на указанный им адрес почты. Для рекламы и рассылок эти данные не используются. Правовое основание: согласие субъекта, которое заявитель даёт отдельной отметкой в форме перед отправкой (152-ФЗ ст. 6 ч. 1 п. 1, ст. 9); по жалобам на опубликованные приложения Компания, кроме того, исполняет обязанность реагировать на сведения о нарушениях (149-ФЗ ст. 15.1). Отозвать согласие можно письмом на info@kodzavod.ru с темой [PRIVACY]. После отзыва обращение в поддержку закрываем и удаляем, а жалобу рассматриваем по обезличенным данным или закрываем.
• Защита формы обращения от автоматических отправок — проверка «я не робот» на странице /support (§ 2, § 5): отличить человека от программы и не пустить в поддержку автоматические отправки. Для рекламы, рассылок и аналитики мы эти данные не используем. Правовое основание: законный интерес оператора — защита формы от злоупотреблений (152-ФЗ ст. 6 ч. 1 п. 7). Не хочешь проходить проверку — напиши на info@kodzavod.ru, обращение примем и так.

§ 4. Сроки хранения персональных данных

• Обычные данные аккаунта и пользовательский контент — email, имя, данные входа, проекты, промпты, код, история генераций, вложения и обращения в поддержку из аккаунта — хранятся, пока действует аккаунт или соответствующий проект. После удаления аккаунта они физически стираются со всех носителей не позднее 30 дней. Неподелённые объекты удалённого проекта проходят 28-дневное окно безопасного удаления, которое входит в эту границу.
• Изображения страниц проекта для обложки — снимки страниц проекта, сделанные по включённой тобой обложке проекта, и их история — хранятся, пока обложка включена и действует тарифный план, в пределах глубины истории тарифа; после перехода на тариф ниже лишние старые снимки удаляются при следующем обновлении обложки. После окончания тарифного плана или выключения обложки — не позднее 30 дней, затем удаляются; остаётся кадр проекта. При удалении проекта или аккаунта удаляются вместе с ним, в границе 30 дней, общей для пользовательского контента.
• Данные привязанного способа оплаты — до отключения способа Пользователем либо до прекращения подписки; отображаемые знаки карты удаляются вместе с самой привязкой.
• Бухгалтерские и фискальные документы — минимальные реквизиты платежа, возврата и кассового чека (идентификаторы платежа и чека у платёжного сервиса, сумма, вид покупки, дата и время, месяц регистрации аккаунта) без проектов, промптов и кода — хранятся не менее 5 лет после отчётного года (402-ФЗ ст. 29). При удалении аккаунта платёж и возврат остаются в нашем учёте без почты, имени и идентификатора аккаунта: вместо них случайный ключ, который связывает платежи одного удалённого аккаунта. Запись о кассовом чеке (фискальная) сохраняет внутренний идентификатор аккаунта на тот же срок; почты и имени в ней нет. Цели — бухгалтерский учёт и подсчёт выручки.
• Журнал подтверждённых событий платёжного сервиса — 180 дней с момента события для безопасной обработки платежа и разбора неоднозначного исхода. Реквизиты карты, кроме отображаемых последних четырёх цифр и платёжной системы, удаляются до записи события.
• Данные контроля однократности акционных предложений (адрес электронной почты в связке с признаком использования акции, отпечаток средства платежа) — в течение срока действия акции и ещё не более 3 лет после её окончания, но только пока существует аккаунт. При удалении аккаунта эти данные удаляются вместе с ним и не являются отдельным долгосрочным исключением.
• Данные доказательства согласия на автоматические списания (IP-адрес, User-Agent и другие признаки из § 2) — не более трёх календарных лет с момента прекращения использования соответствующей подписки (отношений по ней), а не с даты самого согласия: улика фиксируется при оформлении, а подписка может продлеваться годами. Пока подписка активна или недавно завершилась, записи сохраняются; после прекращения отношений — ещё три календарных года, затем уничтожаются (152-ФЗ ст. 5 ч. 7).
• Записи акцепта условий, административных действий по безопасности и удаления аккаунта — не более 3 лет с момента события; акт об удалении аккаунта — 3 года с окончательного стирания данных аккаунта, то есть до 3 лет и 30 дней с удаления. Сохраняется минимальная запись действия (для удаления аккаунта — акт о нём с временем удаления); пользовательский контент в неё не включается.
• Данные согласия на рекламные и информационные письма — пока действует аккаунт, хранятся полностью (§ 2). После удаления аккаунта остаются только хеш внутреннего идентификатора учётной записи входа, момент согласия или отзыва согласия и версия текста согласия — без почты, имени, IP-адреса и User-Agent. Эти записи хранятся три календарных года с момента удаления аккаунта (а не с момента согласия), затем уничтожаются (152-ФЗ ст. 5 ч. 7). Тексты показанных редакций согласия хранятся в неизменяемом архиве не меньше срока записей, которые на них ссылаются. Цель — доказать согласие при споре или проверке (38-ФЗ ст. 18).
• Технический запрет восстановления удалённого аккаунта — после удаления сохраняются только внутренний идентификатор учётной записи входа и время удаления. Такая запись не содержит email, имени, проектов, промптов или кода и не даёт старому токену создать аккаунт заново. Она хранится 60 дней с момента удаления аккаунта; если к этому сроку удаление учётной записи входа не подтверждено — до подтверждения.
• Запись об удалённом аккаунте для предотвращения повторного получения приветственного гранта (§ 3) — после удаления аккаунта сохраняются ключ адреса электронной почты, приведённого к единому виду (вычисляется с секретным ключом: по ключу нельзя прочитать адрес, но можно проверить, совпадает ли с ним адрес новой регистрации, поэтому это остаются персональные данные), домен почты, внутренний идентификатор аккаунта, способ входа, моменты создания и удаления аккаунта и код причины удаления, если ты её указал. Имени, самого адреса почты, проектов, промптов и кода в записи нет. Если у аккаунта нет адреса почты, запись не создаётся. Запись хранится 12 месяцев с момента удаления аккаунта, затем удаляется автоматически (152-ФЗ ст. 5 ч. 7). Если по ней регистрация определена как повторная, метка об этом и укрупнённая давность удаления прежнего аккаунта сохраняются в событиях продуктовой аналитики новой регистрации на срок хранения этих событий (см. «Технические данные использования Сервиса» ниже).
• Журнал регистраций (§ 3) — ключи адреса электронной почты и сетевого адреса, с которых прошла регистрация (вычисляются с секретным ключом так же, как выше), домен почты, признак подтверждения почты и результат проверки (коды сработавших признаков и решение о приветственном гранте) хранятся 12 месяцев с момента регистрации, затем удаляются автоматически. Ключ сетевого адреса хранится короче — 30 дней с момента регистрации, затем стирается из записи журнала. Удаление аккаунта не сокращает эти сроки: из записи журнала стирается только внутренний идентификатор аккаунта, иначе повторную регистрацию с той же почты нельзя было бы распознать.
• Ключ адреса электронной почты действующего аккаунта (§ 3) — вычисляется с секретным ключом из адреса, приведённого к единому виду, так же, как выше; хранится, пока действует аккаунт, и пересчитывается при смене адреса. Удаляется вместе с аккаунтом.
• Сведения о придержанном приветственном гранте (§ 3) — коды признаков, по которым грант придержан, моменты придержания и снятия хранятся, пока действует аккаунт, и удаляются вместе с ним.
• Технические журналы запросов — не более 1 года с момента создания записи.
• Журнал вызовов модели (§ 3) — идентификаторы аккаунта, проекта и прогона, идентификатор ответа у провайдера модели, модель, время вызова, числа токенов и стоимость вызова; текстов запросов, ответов и кода в нём нет. Хранится 365 дней с момента записи, затем запись удаляется. При удалении аккаунта идентификаторы аккаунта, проекта и прогона в записях обнуляются в границе тех же 30 дней; остаются числа токенов и стоимость без связи с аккаунтом. При удалении одного проекта идентификатор проекта в записях остаётся до удаления аккаунта.
• Следы подсчёта уникальных посетителей сайтов — не позднее чем через сутки после окончания дня; суточные счётчики — 1 год, при удалении проекта удаляются вместе с ним.
• Данные опросов о качестве сервиса — 1 год с момента ответа. По истечении срока связка ответа с Пользователем уничтожается; в дальнейшем хранятся только обезличенные агрегированные результаты (152-ФЗ ст. 5 ч. 7).
• Обращения в канал жалоб — адрес почты заявителя и текст обращения хранятся 1 год после закрытия обращения, затем удаляются (152-ФЗ ст. 5 ч. 7). Срок считается от решения по обращению, а не от его подачи: до решения данные нужны для самого разбора. Запись о самом разборе без почты и текста — категория, адрес сайта, сроки, решение и запись о согласии — хранится до 3 лет после решения, затем удаляется.
• Обращения в поддержку без входа — адрес почты, тема, текст обращения, переписка по нему и запись о согласии хранятся 1 год после закрытия обращения, затем удаляются (152-ФЗ ст. 5 ч. 7). Обращение, которое не закрыто и в котором адрес почты так и не подтвердили, удаляется через 1 год после подачи. Такое обращение не связано с аккаунтом: удаление аккаунта с тем же адресом почты его не удаляет и срок не меняет. Удалить обращение раньше можно по запросу (§ 7).
• Результаты проверки приложений на запрещённую информацию (§ 3) — найденный класс нарушения, оценка уверенности классификатора, путь к файлу или адрес страницы и, если есть, фрагмент текста до 200 символов вокруг найденного. Хранятся, пока по находке не принято решение. Фрагмент удаляется через 1 год после решения. Остальная запись о находке хранится для разбора повторных нарушений 3 года после решения, затем удаляется (152-ФЗ ст. 5 ч. 7). Удаление проекта или аккаунта эти сроки не сокращает и не продлевает: запись сохраняется, но не дольше 3 лет после решения, а ссылка на проект в ней обнуляется. Сами проверенные тексты, изображения и документы мы отдельно не сохраняем: для повторной проверки хранятся только хеш содержимого и найденные классы, без привязки к проекту и аккаунту.
• Технические данные использования Сервиса (события продуктовой аналитики, § 2) — не более 36 месяцев с момента события; более старые записи ежедневно удаляются автоматически. При удалении аккаунта из событий сразу удаляются ссылка на учётную запись, тексты ошибок, имена файлов, адрес превью и причины удаления проекта и отмены подписки. До конца 36-месячного срока остаются вид и время события, коды исхода, числовые показатели, класс устройства и внутренние технические идентификаторы проекта, версии и запуска генерации.
• Оценки и ответы о работе Сервиса (§ 2) — оценки и ответы после публикации в базе данных Сервиса хранятся, пока существует проект, к которому они относятся, и удаляются вместе с проектом или аккаунтом. Ответ о первой версии в базе данных Сервиса хранится как событие продуктовой аналитики по сроку и правилам предыдущего пункта. Для копий оценок и ответов в журнале качества генерации действует целевой срок: создание и обновление — только в течение 28 дней с начала соответствующей генерации; физическое стирание копии, её исходных событий в хранилище Yandex Cloud и связанных технических записей сверки — не позднее 30 дней с начала генерации. При снятии оценки, удалении проекта или аккаунта копия ставится в асинхронное удаление. Для сверки удаления и защиты от повторного появления копии временно сохраняются её технические идентификаторы и состояние удаления; они не анонимны и входят в тот же целевой 30-дневный срок. При сбое удаление повторяется, просрочка срока становится инцидентом и требует разбора дежурным; целевой срок не означает, что удаление уже подтверждено на всех носителях. Эти правила вводятся вместе с механизмом ограничения срока и сверки удаления копий. Для прежних записей о генерациях до 14 сентября 2026 г. и копий оценок для генераций до 20 сентября 2026 г. нет связи с проектом и аккаунтом: удаление по проекту или аккаунту их не находит. Общие сроки журнала и известные ограничения описаны в § 5.
• Данные для сообщений о падении приложения в Telegram (§ 2) — Telegram id, токен бота и запись о согласии хранятся, пока сообщения включены. Выключение в настройках уведомлений — это отзыв согласия: токен и Telegram id удаляются сразу. Журнал сообщений хранится 30 дней, а запись о ещё не закрытом сбое — до его закрытия. При удалении аккаунта всё это удаляется вместе с ним.
• Данные webhook о падении приложения (§ 2) — адрес хранится, пока ты его не удалишь; журнал — 30 дней, а запись о ещё не закрытом сбое — до его закрытия. При удалении аккаунта всё это удаляется вместе с ним.
• Данные получателя уведомлений, указанного пользователем (§ 2) — подтверждённый адрес хранится, пока его не удалит владелец или пока получатель не отпишется. Ссылка подтверждения одноразовая и действует не дольше суток. Неподтверждённый адрес удаляет ежесуточная очистка после того, как ссылка перестала действовать, — не позже чем через 3 суток после последнего письма-подтверждения. Отписка — отзыв согласия: адрес удаляется сразу. Если у владельца нет тарифа «Работа» или «Студия», писем на адрес нет, а не позже чем через 32 дня после окончания тарифа адрес удаляется. При удалении аккаунта владельца адрес удаляется вместе с ним. Журнал писем на этот адрес хранится, пока существует аккаунт владельца; после удаления адреса вместо него в журнале остаётся хеш. HMAC адреса после отписки («от этого владельца») хранится, пока существует аккаунт владельца. После «Это не мне» (от всех владельцев) он хранится 3 года с момента отказа или, если позже, с последней попытки указать этот адрес, отбитой из-за отказа; каждая такая попытка начинает срок заново, по его окончании HMAC удаляет ежесуточная очистка. Счётчик писем-подтверждений с HMAC адреса удаляется сразу, когда получатель ответил («Подтвердить», «Это не мне») или отписался, а без ответа — ежесуточной очисткой, не позднее суток после конца 30-дневного окна. Получатель вправе попросить удалить HMAC раньше. После удаления HMAC адрес снова можно указать, и на него снова сможет прийти письмо-подтверждение.
• Данные совместной работы над проектом (§ 2) — невостребованное приглашение удаляется не позднее 30 дней после истечения срока, отозванное — при отзыве; принятое приглашение хранится вместе с участием и удаляется вместе с ним. Адрес приглашённого в приглашении стирается сразу, когда ссылку приняли или нажали «Это не мне», а после истечения срока ссылки — в течение суток; запись об отправке письма-приглашения с адресом удаляется не позднее 31 дня после истечения срока ссылки, а после «Это не мне» адрес в ней сразу заменяется хешем. Хеш адреса после «Это не мне» хранится 3 года с последнего такого отказа, по окончании его удаляет ежесуточная очистка; получатель вправе попросить удалить его раньше, и тогда его снова смогут позвать. Если письмо-приглашение не дошло (постоянный отказ почтового сервера) или получатель пожаловался на него, адрес попадает в список адресов, на которые мы не пишем; он хранится, пока получатель не попросит снять его, написав на info@kodzavod.ru с темой [PRIVACY]. Участие хранится, пока существуют аккаунты владельца и участника и сам проект. Если участник выходит из проекта или удаляет аккаунт, запись об участии удаляется, а его сообщения и версии остаются в проекте владельца без связи с аккаунтом участника — до удаления проекта, в интересах владельца проекта (152-ФЗ ст. 6 ч. 1 п. 7). По просьбе участника его сообщение удаляется.
• Физическое стирание при удалении аккаунта — обычные данные аккаунта и пользовательский контент безвозвратно удаляются со всех носителей не позднее 30 дней (152-ФЗ ст. 21). Дольше остаются только минимальные категории, для которых выше прямо названы отдельная цель и срок либо событие прекращения хранения. Резервная копия сама по себе не продлевает этот срок.

§ 5. Суб-обработчики (третьи лица)

Для функционирования Сервиса мы привлекаем следующих суб-обработчиков. С каждым из них у нас есть договорные обязательства по защите данных.

• Yandex Cloud, ООО «Яндекс.Облако» (ru-central1, Россия) — основная инфраструктура: Managed PostgreSQL (хранение ПДн пользователей платформы, проекты, версии, подписки), YC Lockbox (секреты), YC Serverless Containers (api/dashboard/bot/cp/landing/auth/router/miniapp), Object Storage (в том числе резервные копии баз данных опубликованных приложений). Yandex Cloud также является хостинг-провайдером для размещения опубликованных пользователями приложений. Для проверки приложений на запрещённую информацию (§ 3) используются ещё два сервиса Yandex Cloud: AI Studio — классификация текста и Vision OCR — распознавание текста на изображениях и в PDF-документах. Им передаются только проверяемые тексты, изображения и документы приложения; для других целей мы эти сервисы не используем. Локализация ПДн граждан РФ — 152-ФЗ ст. 18 ч. 5. Политика Яндекса: yandex.ru/legal/confidential.
• ООО «ТАЙМВЭБ.КЛАУД» (Timeweb Cloud, регион ru-3, Россия) — Kubernetes-кластер, в котором работают превью и опубликованные приложения пользователей; базы данных опубликованных приложений в самостоятельно управляемом PostgreSQL (данные посетителей этих приложений мы обрабатываем по поручению пользователя — § 12); хранилище исходного кода проектов (git-store). Локализация ПДн граждан РФ — 152-ФЗ ст. 18 ч. 5. Резервные копии баз данных опубликованных приложений и исходного кода проектов хранятся не в Timeweb, а в объектном хранилище Yandex Cloud.
• Langfuse — наш экземпляр журнала качества генерации на инфраструктуре суб-обработчика ООО «ТАЙМВЭБ.КЛАУД» (Timeweb Cloud, регион ru-3, Россия). Журнал качества генерации: вызовы модели и инструментов, токены, оценки, id пользователя и проекта, фрагменты результатов инструментов (до 2000 символов); промпты — только хеш и длина. Трейсы хранятся до 28 дней, исходные события в хранилище YC — до 90 дней. Отдельный целевой срок копий оценок и ответов, их исходных событий и технических записей сверки — не позднее 30 дней с начала генерации (§ 4); он не сокращает общий 90-дневный срок остальных исходных событий. Применение общего срока трейсов и удаления прежних записей на всех носителях пока не подтверждено; это известное ограничение, а не гарантия уже выполненного стирания.
• Яндекс (Яндекс.Метрика) — аналитика посещаемости и удобства сайта (Вебвизор) для kodzavod.ru и app.kodzavod.ru, а также статистика посещений приложений, опубликованных пользователями платформы (*.kdzd.ru), — там отдельный счётчик и Вебвизор выключен. Данные обрабатываются в Российской Федерации. Правовое основание: законный интерес оператора (152-ФЗ ст. 6 ч. 1 п. 7). Политика Яндекса: yandex.ru/legal/confidential.
• Yandex SmartCaptcha (ООО «Яндекс.Облако») — проверка «я не робот» на форме обращения в поддержку без входа (/support). Пока ты на этой странице, виджет проверки передаёт Яндексу технические данные браузера и устройства, цифровой отпечаток браузера и сведения о действиях на странице. Когда ты отправляешь форму, мы передаём Яндексу одноразовый токен проверки и твой IP-адрес. Почта, тема и текст обращения проверке не передаются. Эти данные Яндекс обрабатывает по нашему поручению в Российской Федерации и хранит 60 дней с момента сбора; использовать их для развития и обучения своих алгоритмов мы Яндексу запретили. Виджет загружается с адреса smartcaptcha.cloud.yandex.ru и сам подключает сервисы Яндекса: счётчик Яндекс.Метрики самого Яндекса (не наш) и cookie на домене yandex.ru, среди них cookie рекламной системы Яндекса. Их ставит и обрабатывает Яндекс по своей политике конфиденциальности; доступа к этим данным мы не получаем и ими не управляем. Правовое основание проверки: законный интерес оператора (152-ФЗ ст. 6 ч. 1 п. 7). Условия обработки: yandex.ru/legal/smartcaptcha_notice/ru; политика Яндекса: yandex.ru/legal/confidential.
• ЮKassa (ООО НКО «ЮМани») — приём платежей банковской картой и через СБП, хранение привязанной банковской карты для автосписаний и формирование кассовых чеков в соответствии с Федеральным законом № 54-ФЗ. Передаются сумма операции и адрес электронной почты плательщика — для направления кассового чека. Данные кассового чека далее передаются оператору фискальных данных и в Федеральную налоговую службу в порядке, установленном 54-ФЗ. Данные обрабатываются в Российской Федерации. Политика: yoomoney.ru/page?id=527708.
• Oplatum — приём платежей через СБП и хранение привязки СБП для автосписаний (российский платёжный оператор). Данные обрабатываются в Российской Федерации.
• Yandex Cloud Postbox (ООО «Яндекс.Облако») — отправка транзакционных и сервисных писем (подтверждение email, восстановление пароля, чеки об оплате, сервисные уведомления, ответы на обращения в поддержку и жалобы, письма о сбое приложения получателю, указанному пользователем, — см. § 3). Передаётся email-адрес и текст сообщения; данные обрабатываются в Российской Федерации. Политика Яндекса: yandex.ru/legal/confidential.
• Собственный DNS (PowerDNS на Yandex Cloud) — DNS-резолюция для домена kodzavod.ru (серверы ns1/ns2/ns3.kodzavod.ru в Российской Федерации). Пользовательские данные через DNS не передаются — только ответы на запросы имён.
• Google Cloud (Нидерланды, регион europe-west4) — вычислительная инфраструктура сервиса ИИ-генерации. На время генерации обрабатывает текст сообщения, вложения, переписку проекта и текущие файлы проекта и передаёт их Anthropic, а OpenAI — только описания изображений и хода работы агента (§ 6).
• Anthropic PBC (США) — языковая модель агента, который генерирует и правит проекты. При каждой генерации получает текст сообщения, вложения, переписку проекта и текущие файлы проекта. При синхронизации с GitHub получает ещё файлы, которые изменились и в kodzavod, и на GitHub; подробнее — § 6.
• OpenAI, L.L.C. (США) — генерация изображений для проекта и перевод на русский кратких описаний хода работы агента, которые видны в чате. Получает текстовое описание изображения, которое составляет агент, и текст этих описаний; в них могут попасть слова и фрагменты из твоего сообщения, вложений и файлов проекта. Сами вложения и файлы проекта целиком OpenAI не передаются; подробнее — § 6.
• Unsplash (США) — подбор картинок для сайта. Получает поисковые слова, которые агент составил по твоему запросу; email, имя и id учётной записи не передаются.
• Soniox (США) — распознавание речи при голосовом вводе, только когда ты нажимаешь кнопку микрофона. Браузер передаёт звук с микрофона напрямую Soniox, поэтому Soniox получает и твой IP-адрес. Выдавая браузеру ключ доступа, мы сообщаем Soniox внутренний id твоей учётной записи. Мы запись голоса не получаем и не храним; распознанный текст попадает в поле сообщения.
• GitHub Inc. (США) — только при использовании опциональной функции GitHub Sync. Доступность функции определяется текущей конфигурацией Сервиса; условия указаны в Прейскуранте на kodzavod.ru/pricing. Передаются метаданные репозиториев, коммиты и история версий. Активация требует отдельного явного согласия в окне на вкладке «Git» проекта (152-ФЗ ст. 9). Политика: docs.github.com/privacy.
• Telegram (Telegram FZ-LLC, ОАЭ; Telegram Group Inc., Британские Виргинские острова) — только если ты включил сообщения о падении приложения в Telegram. Получает твой Telegram id, токен твоего бота, имя приложения, причину сбоя, время и ссылку на проект в панели, чтобы доставить сообщение от твоего бота тебе. Включение требует отдельного согласия; подробнее — § 6. Политика: telegram.org/privacy.
• Clerk Inc. — используется исключительно для аутентификации администраторов платформы (внутренний доступ к cp.kodzavod.ru сотрудниками ООО «СВЕТ»). Через Clerk не проходят персональные данные пользователей платформы — для них применяется собственный сервис auth.kodzavod.ru (YC ru-central1, Россия).

§ 6. Трансграничная передача персональных данных

Персональные данные пользователей хранятся на территории Российской Федерации (Yandex Cloud ru-central1 и Timeweb Cloud ru-3) в соответствии с 152-ФЗ ст. 18 ч. 5. Сервис ИИ-генерации работает в Google Cloud в Нидерландах (регион europe-west4): на время генерации туда передаются текст твоего сообщения, вложения, переписка проекта и текущие файлы проекта. Оттуда данные уходят поставщикам моделей в США:

• Anthropic PBC (США) — языковая модель агента. При каждой генерации модели передаются текст твоего сообщения (промпт), вложения к нему, переписка проекта и текущие файлы проекта. Без этого агент не может собрать или изменить проект.
• OpenAI (США) — изображения и перевод хода работы агента. Когда агент создаёт изображение для проекта, OpenAI получает его текстовое описание, которое агент составляет по твоему запросу. Краткое описание хода работы агента, которое показывается в чате, переводится на русский моделью OpenAI. В оба текста могут попасть слова и фрагменты из твоего сообщения, вложений и файлов проекта; сами вложения, переписка и файлы проекта целиком в OpenAI не передаются.

Для подбора картинок запрос из того же сервиса уходит в фотобанк в США:

• Unsplash (США) — подбор картинок для сайта. Получает поисковые слова, которые агент составил по твоему запросу; email, имя и id учётной записи не передаются.

Ещё один получатель в США — для голосового ввода:

• Soniox (США) — распознавание речи при голосовом вводе, только когда ты нажимаешь кнопку микрофона. Браузер передаёт звук с микрофона напрямую Soniox, поэтому Soniox получает и твой IP-адрес. Выдавая браузеру ключ доступа, мы сообщаем Soniox внутренний id твоей учётной записи. Мы запись голоса не получаем и не храним; распознанный текст попадает в поле сообщения.

Цель передачи — оказание услуги ИИ-генерации по договору. Первое сообщение проекта Anthropic получает ещё и для того, чтобы определить тематику проекта для внутренней статистики Сервиса; правовое основание — законный интерес оператора (152-ФЗ ст. 6 ч. 1 п. 7). Email, имя, IP-адрес и внутренний id учётной записи к запросам Anthropic и OpenAI мы не прикладываем. Всё, что ты сам впишешь в сообщение, вложение или файлы проекта, уходит поставщику вместе с ними. Если там есть персональные данные других людей, в отношении этих данных ты действуешь как самостоятельный оператор (152-ФЗ ст. 3 п. 2) и отвечаешь за наличие правовых оснований их обработки и передачи.

Соединённые Штаты Америки (GitHub Inc.) — опциональная функция. Только при добровольном подключении функции GitHub Sync. Передаются метаданные репозиториев и коммитов на личный GitHub-аккаунт Пользователя. Активация требует явного согласия в окне на вкладке «Git» проекта — оно появляется перед первой отправкой копии на GitHub (152-ФЗ ст. 6 ч. 1 п. 1, ст. 9). По умолчанию выключена. Доступность функции и её условия указаны в Прейскуранте на kodzavod.ru/pricing.

Объединение правок при GitHub Sync — Anthropic PBC (США). Если один и тот же файл изменился и в kodzavod, и в твоём репозитории на GitHub, Сервис отправляет Anthropic путь к файлу и три его версии — последнюю общую, версию kodzavod и твою правку на GitHub, — чтобы модель объединила изменения. Этот запрос уходит напрямую из нашей инфраструктуры в Yandex Cloud (Россия), без сервиса генерации в Google Cloud. Email, имя, IP-адрес и id учётной записи к нему не прикладываются. Цель — выполнить синхронизацию, которую ты включил; правовое основание — исполнение договора (152-ФЗ ст. 6 ч. 1 п. 5).

Объединённые Арабские Эмираты и Британские Виргинские острова (Telegram) — опциональная функция. Только если ты включил сообщения о падении приложения в Telegram (тарифы «Работа» и «Студия»). Когда опубликованное приложение не отвечает, мы вызываем Telegram Bot API от имени твоего бота и передаём Telegram твой Telegram id, токен твоего бота и текст сообщения: имя приложения, причину сбоя, время и ссылку на проект в панели. Email, имя и другие данные учётной записи не передаются. Эти страны не входят в перечень государств, обеспечивающих адекватную защиту прав субъектов персональных данных. Цель — доставить тебе сообщение о сбое; правовое основание — твоё отдельное согласие (152-ФЗ ст. 6 ч. 1 п. 1, ст. 9), которое ты даёшь при включении. По умолчанию выключено; выключение — отзыв согласия, токен и Telegram id удаляются сразу.

§ 7. Твои права как субъекта персональных данных

В соответствии с главой 3 Федерального закона 152-ФЗ тебе гарантированы следующие права:

• Право знать об обработке (ст. 14 ч. 7). Ты вправе узнать, обрабатываем ли мы твои данные, и получить исчерпывающую информацию об условиях обработки.
• Право на доступ (ст. 14 ч. 1). Ты вправе получить копию персональных данных, которые мы о тебе храним.
• Право на уточнение и исправление (ст. 15 ч. 1 п. 1). Ты вправе потребовать исправления неточных, устаревших или неполных данных. Многие данные ты можешь исправить самостоятельно в разделе «Настройки → Профиль».
• Право на блокирование (ст. 15 ч. 1 п. 2). Ты вправе потребовать временного прекращения обработки при проверке точности данных.
• Право на удаление (ст. 21). Ты вправе потребовать удаления своих персональных данных. Самый быстрый путь — «Настройки → Профиль → Удалить аккаунт». Физическое стирание — в течение 30 дней; что и на какой срок остаётся после удаления, перечислено в § 4. Обращения, отправленные без входа в аккаунт, с аккаунтом не связаны и вместе с ним не удаляются. Чтобы удалить свои данные из такого обращения (почту, текст и переписку), напиши на info@kodzavod.ru с темой [PRIVACY]. Перед удалением убедимся, что почта из обращения — твоя. По жалобам на приложения запись о самом разборе без почты и текста остаётся до 3 лет после решения (§ 4).
• Право отозвать согласие (ст. 9 ч. 2). Ты вправе в любой момент отозвать согласие на обработку — в том числе согласие на опциональную передачу данных через GitHub Sync и на сообщения о падении приложения в Telegram. Отзыв согласия не влечёт обратной силы и не затрагивает законность обработки до его отзыва. Отзыв согласия на GitHub Sync приводит к отключению функции; остальные функции Сервиса остаются доступны. Согласие на сообщения в Telegram отзывается кнопкой «Выключить» в настройках уведомлений: токен бота и Telegram id удаляются сразу.
• Права получателя уведомлений, указанного пользователем. Если твой адрес указал для писем о сбое владелец приложения (§ 2), все права этого раздела есть и у тебя (152-ФЗ ст. 14–21), даже без аккаунта на kodzavod. Согласие отзывается ссылкой «Отписаться» в любом письме о сбое: адрес удаляется сразу. Пока ты не ответил на письма-подтверждения, мы отправим не больше трёх за 30 дней с первого письма, после третьего новых не будет до конца этого срока. Не ждёшь таких писем — нажми «Это не мне» в письме-подтверждении, и запросов на этот адрес не будет ни от кого. Отказ храним 3 года с момента, когда ты его дал, а если кто-то потом пытался указать адрес — 3 года с последней такой попытки (§ 4). Когда срок кончится, на адрес снова может прийти письмо-подтверждение. Для остальных запросов напиши на info@kodzavod.ru с темой [PRIVACY] с того адреса, о котором идёт речь, — так мы убедимся, что адрес твой. Попросишь удалить и HMAC адреса (§ 4) — адрес снова можно будет указать, и на него снова сможет прийти письмо-подтверждение.
• Право на возмещение убытков (ст. 17). Если обработка ПДн причинила тебе ущерб, ты вправе требовать его возмещения в судебном порядке.
• Право на жалобу в Роскомнадзор (ст. 17 ч. 1). Ты вправе обратиться с жалобой в Роскомнадзор (РКН) по адресу: rkn.gov.ru.

Для реализации любого из прав направь запрос на info@kodzavod.ru с темой [PRIVACY]. Мы ответим в течение 10 рабочих дней с получения запроса (152-ФЗ ст. 14 ч. 3, ст. 20 ч. 1). Если понадобится больше времени, до истечения срока напишем почему и продлим не более чем на 5 рабочих дней. Неточные данные исправим, а незаконно полученные уничтожим в течение 7 рабочих дней с получения подтверждающих сведений (152-ФЗ ст. 20 ч. 3).

§ 8. Файлы cookie и локальное хранилище

Мы используем минимальный набор технических инструментов. Подробная информация — в Политике cookie.

Cookies аутентификации (строго необходимые): __Host-kz_session и __Host-kz_refresh_session (httpOnly cookie) обеспечивают вход в аккаунт и продление сессии. Они ставятся только на адрес auth.kodzavod.ru: браузер не отправляет их ни на другие адреса kodzavod.ru, ни на превью, ни на опубликованные приложения. Токены сессии также хранятся в браузерном sessionStorage (`kz_access_token`, `kz_refresh_token`) — это не cookies, они не передаются между вкладками. Без них Сервис недоступен. Согласие пользователя для строго необходимых cookie не требуется.

Cookies для администраторов платформы: cp.kodzavod.ru использует cookies Clerk (`__session`, `__client_uat`, `__clerk_db_jwt`) для внутреннего доступа сотрудников ООО «СВЕТ». Пользователи платформы не используют cp.kodzavod.ru и не сталкиваются с этими cookies.

Аналитика — Яндекс.Метрика. Мы используем Яндекс.Метрику (счётчик 109403672) на kodzavod.ru, app.kodzavod.ru и auth.kodzavod.ru для сбора агрегированной статистики посещаемости и анализа воронки. На kodzavod.ru и app.kodzavod.ru Яндекс.Метрика работает с активным Вебвизором — записывает анонимизированные действия пользователей на страницах (движения мыши, клики, прокрутку). На страницах входа и регистрации (auth.kodzavod.ru) Вебвизор и карта кликов отключены: там фиксируются только шаги — открытие формы, выбор способа входа, возврат с ошибкой.

Счётчик на опубликованных приложениях. На страницах приложений, которые пользователи платформы публикуют по адресам вида *.kdzd.ru, мы размещаем отдельный счётчик Яндекс.Метрики и собираем обезличенную статистику посещений: количество визитов, источники переходов, тип устройства. Вебвизор на этих страницах выключен — содержимое страниц приложения и то, что посетители вводят в его формы, не записывается и Яндексу не передаётся. Эти данные не объединяются со статистикой личного кабинета и не используются для профилирования. Домены *.kdzd.ru принадлежат ООО «СВЕТ», счётчик размещаем мы — поэтому в отношении посетителей опубликованных приложений оператором персональных данных, собираемых этим счётчиком, выступаем мы, а не опубликовавший приложение пользователь. Правовое основание то же: законный интерес оператора (152-ФЗ ст. 6 ч. 1 п. 7); способ отказа тот же, что описан ниже.

Яндекс.Метрика устанавливает собственные cookie (см. Политику cookie). Данные передаются Яндексу в соответствии с его политикой конфиденциальности: yandex.ru/legal/confidential. Правовое основание обработки: законный интерес оператора (152-ФЗ ст. 6 ч. 1 п. 7). Если ты возражаешь против обработки данных посредством Яндекс.Метрики, ты можешь установить специальное расширение Яндекса для отказа (metrica.yandex.ru/add-ext) или настроить блокировщик в браузере.

Google Analytics и рекламные трекеры (Facebook Pixel, ВКонтакте Пиксель и аналогичные) мы сами не подключаем. Исключение — страница /support: виджет проверки «я не робот» Yandex SmartCaptcha (§ 5) загружает сервисы Яндекса, и Яндекс ставит свои cookie на домене yandex.ru, в том числе cookie своей рекламной системы. На других страницах виджета нет. Перечень — в Политике cookie, раздел «Проверка «я не робот» на /support».

Локальное хранилище (localStorage и sessionStorage) применяется для хранения пользовательских настроек интерфейса (свёрнутые панели, выбранный режим окна ввода, уровень модели ИИ и т.п.) и токенов текущей сессии. Полный перечень ключей и их назначение — в Политике cookie, раздел «Локальное хранилище браузера». Эти данные хранятся только в твоём браузере, на сервер не передаются и персональными данными не являются.

§ 9. Безопасность данных

Мы применяем следующие технические и организационные меры защиты:

• Шифрование данных при передаче: HTTPS / TLS 1.3 на всех соединениях с Сервисом.
• Шифрование данных в покое: YC Managed PostgreSQL (AES-256, шифрование ru-central1 кластера), YC Lockbox (HSM-backed key storage), YC Object Storage (AES-256). Для баз опубликованных приложений в Timeweb Cloud шифрование диска не заявляется: только TLS, у каждой базы своя учётная запись с паролем, адрес базы доступен из Интернета; копии — в YC Object Storage.
• Изолированная инфраструктура для каждого опубликованного приложения: отдельная база данных (в YC PostgreSQL или в PostgreSQL в Timeweb Cloud) + отдельный пароль в YC Lockbox (per-tenant isolation, 152-ФЗ ст. 19).
• Ролевой доступ к базе данных: роль kodzavod_app может только читать и записывать данные, но не может менять устройство самой базы данных.
• Пароли пользователей хранятся в виде argon2id-хешей (с salt) в кластере kodzavod-auth-ru (YC ru-central1). Открытые пароли не сохраняются — мы не имеем к ним доступа.
• Ограниченный доступ к рабочим (боевым) системам: только с заранее разрешённых IP-адресов и с многофакторным входом администраторов по email.

В случае утечки данных мы уведомим Роскомнадзор в течение 24 часов о факте утечки и в течение 72 часов — о причинах и принятых мерах (152-ФЗ ст. 21 ч. 3.1). Пользователей, чьи данные пострадали, уведомим по email в течение 24 часов с момента установления факта утечки.

§ 10. Несовершеннолетние

Сервис предназначен для лиц от 18 лет. Мы намеренно не собираем персональные данные лиц младше 18 лет. Если нам станет известно, что аккаунт принадлежит несовершеннолетнему, мы удалим его данные в течение 30 дней.

Если ты — законный представитель ребёнка и считаешь, что он зарегистрировался без твоего ведома, напиши на info@kodzavod.ru с темой [PRIVACY].

§ 11. Изменения Политики

При существенных изменениях этой Политики мы уведомим зарегистрированных пользователей по email не менее чем за 14 дней до вступления изменений в силу. Дата редакции указана в заголовке документа. Актуальная версия всегда доступна на kodzavod.ru/legal/privacy.

Редакция от 2 ноября 2026 г. раскрывает в § 2–5 копии ответов после публикации и о первой версии в журнале качества генерации, связь копий с генерацией без свободных комментариев и целевые сроки: окно записи не более 28 дней, удаление копий, их исходных событий и технических записей сверки — не позднее 30 дней с начала генерации. Общий срок остальных исходных событий журнала не меняется.

Редакция от 1 ноября 2026 г. открывает совместную работу над проектом пользователям и уточняет её данные: в § 2 — запись об отправке письма-приглашения, список адресов, на которые мы не пишем, после недоставки или жалобы и хеш адреса после «Это не мне», в § 4 — их сроки и когда стирается адрес приглашённого. Для действующих пользователей изменение не существенное: их данные обрабатываются по-новому, когда они сами зовут редактора или принимают приглашение, а ещё когда другой владелец зовёт их письмом. В письме сказано, откуда у нас адрес, и есть кнопка «Это не мне» (§ 2, § 4). Цели и основания прежние (§ 3), поэтому отдельного письма нет, и редакция действует с даты публикации.

Редакция от 29 октября 2026 г. добавляет совместную работу над проектом: в § 2 — данные участия, приглашения и автора сообщений и версий, кто их видит; в § 3 — цель и основания (ст. 6 ч. 1 п. 5, для письма приглашённому — п. 7); в § 4 — сроки. На дату той редакции совместная работа была закрыта для пользователей, и эти данные не собирались; открыта редакцией от 1 ноября 2026 г. Остальные цели и состав данных прежние. Для действующих пользователей изменение не существенное: обработка их данных сейчас не меняется, поэтому отдельного письма о нём нет, и редакция действует с даты публикации.

Редакция от 26 октября 2026 г., редакция 3, приводит место журнала качества генерации в § 2 и § 3 к уже названному в § 5: журнал работает на инфраструктуре ООО «ТАЙМВЭБ.КЛАУД» (Timeweb Cloud, регион ru-3). Правка не меняет целей и состава обрабатываемых данных; основание обработки прежнее.

Редакция от 19 октября 2026 г. добавляет в § 5 Timeweb Cloud. Правка не меняет целей и состава обрабатываемых данных; основание обработки прежнее.

Редакция от 22 октября 2026 г. уточняет § 12: вход через Яндекс ID на сайтах пользователей работает, через VK ID — пока нет; имени и фамилии у Яндекса мы не запрашиваем. Цели и состав сохраняемых данных прежние.

Редакция от 23 октября 2026 г. добавляет в § 4 срок хранения изображений обложки проекта, в § 12 — нашу роль обработчика по снимку страницы, а также Telegram (ОАЭ, Британские Виргинские острова) получателем по отдельному согласию — для сообщений о падении приложения на тарифах «Работа» и «Студия» (§ 2–7); основание согласия на GitHub Sync указано как ст. 6 ч. 1 п. 1 и ст. 9. Остальные цели и состав данных прежние.

Редакция 2 от 23 октября 2026 г. приводит § 2, § 3 и § 5 в соответствие с практикой: ЮKassa принимает карту и СБП и хранит привязанную карту для автосписаний, Oplatum хранит привязку СБП. Цели, состав и основание прежние.

Редакция 3 от 23 октября 2026 г. уточняет § 12: наша роль зависит от того, есть ли у приложения серверная часть, а не от тарифа. Цели, состав и основание прежние.

Редакция от 25 октября 2026 г. добавляет проверку «я не робот» на форме обращения в поддержку без входа: что при ней обрабатывается, на каком основании и кому передаётся — в § 2, § 3, § 5 и § 8.

Редакция от 26 октября 2026 г. дополняет в § 2 технические данные использования Сервиса: при начале оплаты тарифа сохраняется признак встроенного браузера приложения (закрытый список значений, без строки User-Agent). Цель — продуктовая аналитика — и основание прежние.

Редакция 2 от 26 октября 2026 г. добавляет получателя уведомлений, указанного пользователем: на тарифах «Работа» и «Студия» владелец может указать ещё один адрес для писем о сбое приложения, и после подтверждения туда уходят те же письма. Состав данных, источник, цель, основание, сроки и права получателя — в § 2, § 3, § 4, § 5 и § 7. Функция включается только по желанию владельца. Для тех, кто функцию не включает, обработка не меняется, поэтому это изменение не существенное и отдельного письма о нём нет.

Редакция 4 от 26 октября 2026 г. добавляет в § 2, § 3 и § 4 webhook о падении приложения на тарифе «Студия»: что мы отправляем на твой адрес, что храним и сколько. В § 3 уточнено, на каком основании получатель уведомлений видит почту владельца: это исполнение договора с владельцем, а в письме-подтверждении — ещё и наша обязанность сообщить, откуда у нас адрес. В § 4 уточнены сроки: без тарифа «Работа» или «Студия» адрес получателя удаляется не позже чем через 32 дня после окончания тарифа, а журнал писем на него хранится, пока существует аккаунт владельца. Цели и основания остальной обработки прежние.

Редакция от 27 октября 2026 г. меняет в § 2, § 3, § 4 и § 7 порядок писем-подтверждений получателю уведомлений, указанному пользователем, и сроки хранения. Появилась пауза: не больше трёх писем-подтверждений на один адрес за 30-дневное окно, которое начинается с первого письма, от всех владельцев вместе; после третьего без ответа новые письма на адрес не отправляются до конца окна, ответ получателя снимает счёт. Появились хранимые данные: число отправленных писем-подтверждений в счётчике и момент последней попытки указать адрес, отбитой из-за отказа. Появился срок отказа «Это не мне»: 3 года с момента отказа или, если позже, с последней попытки указать этот адрес, отбитой из-за отказа (раньше он хранился, пока получатель не попросит удалить); отказ «от этого владельца» хранится, пока существует аккаунт владельца. На адрес, на который письма не доставляются, письма не отправляются, причину владельцу мы не называем. Для владельцев, которые функцию не включают, обработка не меняется; цели и основания прежние.

Редакция от 2 ноября 2026 г., редакция 2, добавляет в § 2 описание событий вкладки «Копии»: открытие вкладки, действия с предложением тарифа, достижение предела ручных копий и запрос копии старше обычного срока. События связаны с внутренним id аккаунта; почта и содержимое базы в них не передаются. Цель, сроки хранения и удаление описаны в § 2 и § 4; локальные отметки показа и закрытия — в Политике cookie. Остальной текст редакции от 2 ноября 2026 г. сохранён.

Редакция от 9 ноября 2026 г. добавляет в § 3 цель «учёт себестоимости обращений и сверка со счётом провайдера модели», а в § 4 — журнал вызовов модели: его состав (идентификаторы и числа, без текстов), срок хранения 365 дней и обнуление идентификаторов при удалении аккаунта. Остальной текст редакции от 2 ноября 2026 г., редакция 2, сохранён.

Уведомлением можно обойтись только там, где обработка ведётся без твоего согласия — по договору или законному интересу. Если изменение затрагивает цели обработки или состав данных, на которые бралось твоё согласие, мы запросим новое согласие, а не ограничимся уведомлением: прежнее согласие на новые цели не распространяется (152-ФЗ ст. 9 ч. 4).

§ 12. Опубликованные приложения и роль пользователя

Платформа kodzavod.ru является инструментом разработки (код за пользователя пишет искусственный интеллект, без ручного программирования). Приложения, опубликованные пользователем на *.kdzd.ru, совместимых адресах *.apps.kodzavod.ru или развёрнутые в виде Telegram-ботов, эксплуатируются от имени Пользователя. Пользователь является самостоятельным оператором персональных данных (152-ФЗ ст. 3 п. 2), обрабатываемых внутри его приложения или бота: он определяет цели обработки и состав обрабатываемых данных и несёт ответственность перед их субъектами.

Роль ООО «СВЕТ» зависит от того, есть ли у приложения серверная часть, а не от тарифа. Для приложения без серверной части платформа не создаёт формы, которая собирает данные посетителей. Такая форма работает только с серверной частью (сайты, опубликованные до 03.08.2026, могут содержать форму прежнего вида, которая открывает почтовый клиент посетителя, — её данные мы не принимаем): данные посетителей хранятся в отдельной базе данных приложения на нашей инфраструктуре — и здесь ООО «СВЕТ» выступает лицом, осуществляющим обработку персональных данных по поручению Пользователя (152-ФЗ ст. 6 ч. 3). Перечень действий, цели, меры защиты и порядок уничтожения данных установлены Поручением на обработку персональных данных.

Если ты включишь обложку проекта, снимок страницы приложения может содержать данные посетителей. У приложения с серверной частью по этим данным ООО «СВЕТ» действует как обработчик по Поручению (§ 4–5 Поручения).

Вход через VK ID и Яндекс ID на сайтах пользователей. Вход через Яндекс ID работает на сайтах, где владелец поставил такую кнопку. Вход через VK ID пока не работает ни на одном сайте — для него этот раздел описывает, как вход будет устроен, когда мы его включим. Кнопка работает через приложение ООО «СВЕТ», поэтому на экране Яндекса или VK ты видишь наше название, а не название сайта.

В ответ сервис передаёт не только идентификатор твоей учётной записи и адрес почты. Яндекс ID передаёт ещё логин на Яндексе, второй идентификатор учётной записи и список адресов твоей почты на Яндексе; имени и фамилии мы у Яндекса не запрашиваем. VK ID по базовому разрешению отдаёт ещё имя, фамилию, фотографию, пол и дату рождения. Из всего этого мы сохраняем ровно два поля: идентификатор у сервиса и один адрес почты. Остальное отбрасываем сразу. Токены доступа VK и Яндекса мы не храним.

Эти два поля хранятся в базе данных сайта, на который ты входишь, и обрабатываются по поручению его владельца — оператором этих данных является он, а не мы. На этот адрес сайт может присылать тебе служебные письма: подтверждение адреса и сброс пароля. Почту, полученную от сервиса, подтверждённой мы не считаем: узнаём тебя по паре «сервис плюс идентификатор у сервиса», а не по адресу.

Чтобы удалить учётную запись на сайте, обратись к его владельцу — по закону на такие обращения отвечает он, а мы выполняем его команду. Отозвать у сервиса выданное разрешение можно в настройках Яндекс ID или VK ID: при следующем входе сервис спросит согласие заново, а учётную запись на сайте это не удалит.

Ответственность перед субъектами этих данных несёт Пользователь как оператор; ООО «СВЕТ» отвечает перед Пользователем (152-ФЗ ст. 6 ч. 5). Настоящая Политика описывает обработку, которую ООО «СВЕТ» осуществляет как оператор, — она не распространяется на данные, обрабатываемые по поручению Пользователя.

Проверка приложений на запрещённую информацию (§ 3) — наша собственная обработка как оператора, а не обработка по поручению Пользователя: её описывает эта Политика, а не Поручение.

Хостинг-провайдером (149-ФЗ ст. 2 п. 18) для размещаемых пользователями приложений выступают Yandex Cloud, зарегистрированный в реестре провайдеров хостинга РКН, и ООО «ТАЙМВЭБ.КЛАУД» (Timeweb Cloud). ООО «СВЕТ» использует их инфраструктуру как техническую основу для работы Сервиса.

ООО «СВЕТ» не является организатором распространения информации (149-ФЗ ст. 10.6), поскольку Сервис не предоставляет функции обмена сообщениями между пользователями платформы.

Посетителям сайтов, сделанных в кодзавод

Этот раздел — для посетителей сайтов с подписью «Сделано в кодзавод» внизу страницы. Данные, которые ты вводишь в сам сайт — формы, учётная запись, заказы, — обрабатывает его владелец, и вопросы о них задавай ему. Если введённое тобой видно на общедоступной странице сайта, оно может попасть в нашу проверку на запрещённую информацию, подробнее — в § 3 и § 4. Статистику посещаемости считаем мы, ООО «СВЕТ». По ней оператор персональных данных — мы, а не владелец сайта.

• Что получаем. Когда страница загружается, наш сервер получает IP-адрес, User-Agent браузера, адрес страницы без параметров запроса, кроме меток UTM, домен, с которого был переход, и ширину экрана. Страну и город определяем по IP-адресу в памяти сервера.
• Что храним. IP-адрес и сведения о браузере не сохраняем, уникальных посетителей считаем в обезличенном виде. Кроме следов для подсчёта уникальных посетителей (они удаляются не позже суток после конца дня) хранятся только суточные счётчики просмотров, посетителей, страниц, источников, типа устройства, стран и городов — без IP-адреса, User-Agent и идентификатора посетителя. Владелец сайта видит только эти счётчики.
• Зачем и на каком основании. Чтобы владелец сайта видел, сколько людей к нему заходит. Это обработка в статистических целях при обязательном обезличивании (152-ФЗ ст. 6 ч. 1 п. 9), согласие для неё не требуется.
• Сколько храним. Следы, по которым считаем уникальных посетителей, удаляем не позже суток после конца дня. Суточные счётчики — 1 год; если владелец удалит проект сайта, они удаляются вместе с ним.
• Cookie. Для статистики посещаемости мы не ставим cookie и не пишем в хранилище браузера. На сайтах по адресам *.kdzd.ru может работать наш счётчик Яндекс.Метрики, у него свои cookie — условия и способ отказа описаны в § 8 и в Политике cookie.
• Как отключить отправку. Статистику отправляет скрипт на странице. Выключи JavaScript — запрос статистики не уйдёт, и посещение в неё не попадёт.
• Как связаться. Пиши на info@kodzavod.ru с темой [PRIVACY] — ответим в течение 10 рабочих дней; срок можно продлить ещё на 5 рабочих дней, если мы заранее сообщим причину. Твои права описаны в § 7. Учти: в суточных счётчиках нет данных о конкретных людях, поэтому найти в них твои посещения нельзя.

§ 13. Контакт и жалобы