Политика конфиденциальности

1. Кто отвечает за данные

Оператор персональных данных не назван: в поле стоит «не указан». Пока юрлицо и юрисдикция не определены, невозможно назвать ни контролёра данных, ни надзорный орган, которому можно подать жалобу. Это не формальность: без названного оператора политика описывает практику, но не создаёт юридически обязывающих обязанностей.

Технические вопросы и запросы по данным принимает поддержка. Почта и мессенджеры появятся после настройки каналов; до этого заявка создаётся в кабинете.

2. Какие данные собираем

Ниже — фактический инвентарь по коду и внутреннему аудиту, а не «может быть». Если практика изменится, политика обновится вместе с кодом.

Аккаунт

• Email (или идентификатор), режим аккаунта, язык интерфейса, дата создания, пригласительный код.
• Пароль хранится только как scrypt-хэш с солью. Сырого пароля нет ни в файлах состояния, ни в журналах.
• Токен сессии хранится как дайджест; сама cookie помечена HttpOnly и недоступна скриптам страницы.

Профиль и настройки

• Часовой пояс, тихие часы, удобное время, канал уведомлений, настройка подсказок.
• Часовой пояс браузер подставляет в поле заранее. Значение сохраняется в профиль и используется для тихих часов; посетителя об этом не спрашивают отдельно — это известное ограничение, зафиксированное во внутреннем аудите.
• Необязательная аналитика использования: отдельный переключатель, по умолчанию выключен. Сейчас внешней аналитики нет вообще.

Операции

• Позиции, начисления, заявки на пополнение и выплату, статусы, суммы, идентификаторы операций, адреса кошельков, обращения в поддержку.
• Записи журнала ведутся с хэш-цепочкой; персональные данные в журнал действий оператора не пишутся — только псевдонимы и коды.

Технические следы

• Сервер продукта не ведёт журнал доступа: метод, путь, User-Agent, Referer и сырой IP по визиту не сохраняются. В боевом nginx журнал доступа отключён; error_log может содержать адрес клиента только на ошибочных запросах.
• Для правила «цепочка регистраций с одного адреса» считается HMAC-SHA256 от адреса с ключом установки. Сырой адрес не хранится; отпечаток живёт 90 суток.
• Локальные записи браузера (язык, тема, черновики калькулятора, демо-портфель) остаются на устройстве. Полный список — на странице Cookie и локальное хранилище.

Чего мы не собираем

Сейчас нет биометрии, отпечатка канваса, списка шрифтов, параметров WebGL, данных о батарее и устройствах ввода. Нет покупки данных у третьих сторон. Нет продажи данных.

3. Зачем и на каком основании

Разметка оснований — рабочая, а не юридическое заключение. До запуска её должен подтвердить юрист выбранной юрисдикции.

4. Где храним

Данные лежат на сервере оператора в файлах состояния: state.json (леджер, пользователи, операции), state-auth.json (аккаунты, хэши паролей, сессии, аудит), state-ops.json и state-customer.json (очереди обращений). Ключ HMAC лежит отдельным файлом с правами 0600.

Хостинг, страна размещения и субпроцессоры не выбраны. Поэтому сейчас нельзя назвать страну хранения и механизм трансграничной передачи. До запуска это должно быть раскрыто здесь же, с перечнем субпроцессоров и договором обработки (DPA).

Внешних запросов со страниц нет: шрифты, скрипты и стили лежат локально, аналитики, капчи третьих сторон и CDN нет. Это проверено браузером, а не только декларацией.

5. Сколько храним

Сроки в последних четырёх строках — не обещание, а место, которое должно быть заполнено до live-режима. Внутренний аудит прямо фиксирует у части сроков verified: false.

6. Кому передаём

Сейчас — никому: внешних обработчиков, аналитики, CDN и рекламных сетей нет. Данные не продаются и не передаются для маркетинга.

После запуска появятся как минимум: KYC/AML-провайдер, провайдер санкционного скрининга, кастодиан или платёжный партнёр, хостинг и, возможно, почтовый сервис. Каждый должен быть назван в этой политике до подключения, с целью, страной обработки и договором. Список субпроцессоров будет отдельным разделом.

Раскрытие возможно по законному требованию уполномоченного органа. Если это не запрещено законом, пользователь будет уведомлён.

7. Ваши права

• Получить подтверждение обработки и копию своих данных.
• Исправить неточные данные.
• Удалить аккаунт и данные, если нет законного основания хранить их дальше.
• Ограничить обработку и возразить против обработки на основании законного интереса.
• Получить данные в машинном виде (переносимость).
• Отозвать согласие на необязательную аналитику в любой момент.
• Подать жалобу в надзорный орган — но только после того, как юрисдикция оператора будет названа.

Как реализовать: создайте заявку через страницу поддержки или раздел «Сопровождение» в кабинете. Мы можем попросить подтвердить личность, чтобы не отдать данные чужому человеку. Ориентир ответа — 30 дней; точный срок будет установлен после выбора юрисдикции и сейчас не гарантируется.

Удаление в интерфейсе пока не реализовано. Это известное ограничение: заявка обрабатывается оператором вручную. Часть записей (например, учётные проводки) может сохраняться по закону; тогда удаление будет ограничено, а не «полным».

8. Безопасность

Пароли — scrypt с солью; токены сессий — случайные 32 байта, в состояние попадает только дайджест; cookie — HttpOnly, SameSite=Lax, в production с Secure и префиксом __Host-; ключ HMAC хранится с правами 0600; доступ к документам KYC (после запуска) будет ограничен ролью.

Абсолютной безопасности не существует. При инциденте, затрагивающем персональные данные, оператор обязан уведомить пользователей и регулятора в сроки, которые будут установлены после выбора юрисдикции. Публичного статус-пейджа и процедуры уведомления пока нет.

9. Дети

Сервис предназначен только для лиц 18 лет и старше. Мы сознательно не собираем данные несовершеннолетних. Если такой аккаунт обнаружен, он блокируется, а данные удаляются, кроме записей, которые закон требует сохранить.

10. Изменения политики

У политики будет версия и дата. Существенные изменения не должны применяться задним числом. Канал уведомления (почта или кабинет) появится после настройки каналов; до этого актуальная версия публикуется здесь, а изменение фиксируется в журнале версий.

11. Контакты

Форма заявки — /support.html. Почта и мессенджеры появятся после настройки каналов. Не отправляйте пароли, коды 2FA, seed-фразы и сканы документов через публичную форму: для документов KYC будет отдельный защищённый канал.