Политика конфиденциальности Arca

Дата последнего обновления: [ЗАПОЛНИТЬ ПРИ ПУБЛИКАЦИИ] Версия: [ЗАПОЛНИТЬ]

1. Кто мы

Arca — приложение для пары и семьи: общие круги с календарём, делами, списками покупок, рецептами, поездками, деньгами, желаниями и документами.

Оператор персональных данных в значении Федерального закона № 152-ФЗ «О персональных данных» — [ЗАПОЛНИТЬ: ИП, ФИО, ИНН, ОГРНИП, адрес] (далее — «мы»). Сервис предназначен для пользователей в России.

Вопросы о ваших данных: [ЗАПОЛНИТЬ e-mail], [ЗАПОЛНИТЬ почтовый адрес].

2. Коротко

• Мы собираем то, без чего сервис не работает: почту для входа, дату рождения — и то, что вы сами кладёте в круги.
• То, что вы кладёте в круг, видят участники этого круга в пределах своей роли. Запись, помеченную «только я», видите только вы.
• Документы, общие пароли, гарантии, экстренная карточка, карты лояльности, билеты, абонементы и все прикреплённые файлы шифруются на вашем телефоне. Сервер хранит шифротекст, ключей у нас нет, прочитать это мы не можем.
• Остальное — события, дела, списки, рецепты, поездки, деньги, желания — хранится на сервере в читаемом виде. Из этого собираются напоминания, письма и общий расчёт. Мы не шифруем это на телефоне и не делаем вид, что шифруем.
• Участники круга видят, когда вы в последний раз открывали круг («смотрел N часов назад»).
• Мы не собираем местоположение, не подключаем стороннюю аналитику и рекламу, не продаём данные и не передаём их кому-либо для их собственных целей.
• Удалить учётную запись можно в приложении и на сайте, сразу и без «заморозки».

3. Что мы собираем

3.1. Учётная запись и вход

Пароля нет. Вход — только кодом из письма или через Apple, Google, Яндекс.

Дату рождения задают один раз, при первом согласии; ни повторное согласие, ни какое-либо другое действие в приложении её не меняет — это держит сама база данных. Если она неверна — её исправит поддержка по вашему обращению; в журнал сервера при этом попадают ваш служебный идентификатор и причина правки, но не сами даты.

3.2. Устройство и техника

• Push-токен телефона — чтобы присылать уведомления. На Android доставка уведомлений пока не подключена.
• Ключ устройства: открытый ключ, платформа и метка устройства — чтобы другие устройства круга могли передать вашему устройству ключ шифрования.
• Служебный идентификатор устройства в настройках оформления — чтобы правки с двух телефонов сливались без потерь.
• IP-адрес:
  • ключ счётчика частоты запросов — защита от перебора кодов и ссылок; живёт в пределах окна счётчика (минута или час);
  • хранится в записи о согласии (3.1);
  • на веб-странице удаления учётной записи — в записи сессии вместе со сведениями о браузере; сессия живёт 120 минут, сама строка удаляется периодической уборкой.
• Счётчик частоты чувствительных действий («мне нужна помощь», «я на месте», «буду дома в …») хранится только в памяти сервера, не в базе: ключ — необратимая свёртка вашего идентификатора на секрете сервера, значение — одно число, живёт час.
• Неотправленное письмо или уведомление (упавшее задание очереди) хранится 72 часа, чтобы разобрать сбой, затем удаляется. Письма с кодами входа и удаления лежат в очереди зашифрованными ключом сервера; у просьбы о помощи в задании — только служебный идентификатор её доставки, без имени, слов и круга.
• Журналы сервера: адрес запроса и время (журнал веб-сервера, вместе с IP-адресом), идентификатор push-токена и момент доставки уведомления (журнал приложения), момент выполнения фоновых задач, отметка об исправлении даты рождения поддержкой (ваш служебный идентификатор и причина). Для журнала приложения настроены последние 14 дневных файлов; лишние файлы удаляются при очередной ротации. Это ограничение числа файлов, а не возраста записей: при редких записях они остаются дольше 14 дней. Срок остальных журналов — [ЗАПОЛНИТЬ].

Мы не собираем: рекламный идентификатор, адресную книгу телефона, местоположение, биометрию. Отпечаток пальца и лицо проверяет сам телефон — приложение получает только ответ «подтверждено» или «нет».

3.3. Круги и участники

• Круг: название, вид (пара, семья, свой и т. п.), кто создал.
• Участник: имя, роль, цвет, когда пришёл, и когда в последний раз открывал круг. Последний момент видят другие участники — это договорённость между взрослыми, что никто не может сказать «я не видел». Хранится один последний момент, а не история. У несовершеннолетних момент не записывается вовсе.
• Приглашение: код, ссылка, кто пригласил, срок, принято ли, отозвано ли.
• Приглашение по номеру телефона (один из способов, по желанию): ваш номер и номер, который вы ввели для партнёра. Партнёр найдёт вас, только если сам введёт оба номера. Номера удаляются, когда приглашение состоялось, отклонено или истекло (срок — 7 дней).
• Настройки круга: какие разделы включены, ваш личный порядок разделов, оформление.
• Горизонт прошлого: приглашая человека, вы решаете по каждому разделу, видит ли он то, что было в круге до его прихода.

3.4. Содержимое кругов, которое хранится в читаемом виде

События календаря (название, время, место словами, повторы), дела (кто взял, когда, сделано ли и когда), списки покупок, рецепты, поездки, деньги (3.7), желания и подарки, подписки, карточки людей (3.10) — всё это хранится на сервере открытым текстом. Кто это видит — раздел 4.

Фотографии и другие прикреплённые файлы, наоборот, шифруются всегда (3.5).

3.5. Что шифруется на вашем телефоне и чего сервер не знает

Шифруются на телефоне название и содержимое документов, общих паролей, гарантий, экстренной карточки, карт лояльности, билетов и абонементов — и любые прикреплённые файлы (фото рецепта, скан паспорта, снимок в деле). На сервер уходит только шифротекст. Ключей у сервера нет: они живут на устройствах участников и передаются между ними завёрнутыми под ключи устройств. Сервер отклоняет попытку положить название или содержимое такого объекта открытым текстом.

Что сервер при этом знает — без этого не работают напоминания и интерфейс:

• что такой объект есть в круге и какого он вида;
• тип документа (например, «паспорт») и дату окончания срока — чтобы напомнить заранее;
• размер, тип и размеры файла (ширина и высота картинки), кто и когда его загрузил;
• режим хранения документа;
• просьбы о доступе: кто просил, кто решил, когда;
• журнал открытий документов сейфа: кто открыл и когда. Журнал видят участники с правом открывать сейф, хранится 90 дней. Открытия других файлов — фото рецепта, снимка в деле — не записываются.

Режимы хранения документа выбираете вы:

• «В сейфе круга» (по умолчанию) — шифротекст лежит в хранилище; открыть могут участники с правом открывать сейф.
• «Только на моём телефоне» — файл на сервер не уезжает. Остальные видят карточку «по запросу». Если вы одобрите просьбу, для просившего создаётся копия, зашифрованная для него, и она удаляется через 72 часа. Потеряете телефон — документ пропадёт.
• «По запросу» — ключ к файлу выдаётся только адресно, после вашего подтверждения; ссылку наружу на такой документ может выдать только его владелец.

Переключение в более закрытый режим действует назад, насколько это вообще возможно. С момента записи нового режима сервер перестаёт выдавать копию из сейфа круга и ссылку на неё — ещё до того, как уборка унесёт сами байты из хранилища; общий ключ круга к такому файлу стирается на сервере, и устройства, не скачавшие файл, выбрасывают свой. Но устройство, которое уже открыло документ, увиденного не забудет, — этого не отменит никто. Обратное правило тоже держится: сообщение сервера об удалении никогда не стирает единственный экземпляр документа «только на моём телефоне» с вашего телефона.

Мы не можем восстановить зашифрованное. Если потеряны все устройства, на которых есть ключ, содержимое пропадёт.

Копия документа для постороннего (например, для гостиницы): одноразовая ссылка живёт 60 минут; ключ к копии — в самой ссылке, после знака «#», и браузер не отправляет его на сервер; расшифровка идёт в браузере получателя. Открытие копии отмечается в журнале.

3.6. Экстренная карточка и сведения о здоровье

Экстренная карточка — четыре строки, которые вы пишете сами. Приложение подсказывает, что туда обычно кладут: телефон близкого, аллергию, группу крови, номер полиса. Карточка шифруется на телефоне, сервер хранит шифротекст. Она открывается без замка сейфа, но только на разблокированном телефоне.

Аллергия и группа крови — сведения о состоянии здоровья, особая категория персональных данных (ст. 10 152-ФЗ). Мы получаем их только шифротекстом, который не можем прочитать.

Лекарств по расписанию в приложении пока нет. Когда они появятся, название лекарства будет шифроваться на телефоне, а напоминание приходить без названия. Политика обновится до выхода функции.

Заметка в карточке человека (3.10) — свободный текст, хранится в читаемом виде. Не пишите туда диагнозы.

3.7. Деньги

Траты: сумма, валюта, название, категория, кто платил, доли участников и день оплаты — не момент. «Рассчитались» — тоже день. Копилки, подписки, строки чека (название, количество, сумма). Всё это хранится в читаемом виде: из этого считается, кто сколько внёс и сколько вернуть.

Мы не подключаемся к банкам, не читаем СМС и не принимаем платежей.

3.8. Поездки и почтовый адрес круга

• Поездка: маршрут по дням, точки маршрута — город и страна, без координат; сборы; кошелёк поездки; счётчик дней в Шенгене — это оценка по записям круга, а не справка.
• Почтовый адрес круга: вы можете завести адрес, на который пересылаете письма с бронями. Письма принимаются только от отправителей, которых вы разрешили. Письмо сохраняется целиком, как пришло, в читаемом виде — чтобы бронь не потерялась при ошибке разбора, — и удаляется после разбора и [ЗАПОЛНИТЬ: срок] на повторную попытку. В таком письме могут быть сведения о других людях — например, о попутчиках.

3.9. Захват: фото, скриншоты, диктовка, «Поделиться»

• Текст на фото и скриншоте распознаётся на телефоне. Результат не уходит на сервер, пока вы не подтвердите объект.
• Речь распознаётся на телефоне: приложение требует распознавания без сети. Микрофон включается только на время диктовки.
• «Поделиться» из другого приложения и фраза, набранная текстом, уходят на сервер черновиком; оригинал хранится так же, как письмо в 3.8.

3.10. Сведения о людях, которые не пользуются приложением

Вы можете внести сведения о других людях. Их видят участники круга:

• Карточка человека (ребёнок без учётной записи, пожилой родитель): имя, дата рождения, заметка.
• Кому разрешено забирать ребёнка: имя и заметка. Это право, а не история: у записи нет ни даты, ни ссылки на конкретный день.
• Наряд «кто забирает сегодня»: кто взял наряд, имя словами («сегодня бабушка»), кто его завёл. Следующая ежедневная уборка после двух суток от назначенного начала наряда стирает эти сведения и моменты взятия, независимо от отметки выполнения. Уборка назначена на 03:30 по времени сервера; при её штатной работе сведения могут оставаться почти трое суток от начала наряда. Остаётся факт наряда, без людей и моментов взятия.
• Получатель без установки: имя для показа, почта, язык. Ему приходят письма с повесткой круга, у него есть личная ссылка; участники видят, когда он последний раз её открывал. Отписаться можно по ссылке в письме. Когда ссылку отзывают, его почта удаляется.
• Номер партнёра при приглашении по телефону (3.3).
• Разрешённые отправители для почтового адреса круга (3.8).
• Содержимое пересланных писем (3.8).

Вносите сведения о другом человеке, только если у вас есть на это основание.

3.11. Календарь телефона и внешние календари

• Календарь iPhone — только с вашего разрешения. Вы выбираете, какие календари читать и в какой записывать. События выбранных календарей становятся событиями круга (название, время, место) и хранятся на сервере, как любое событие. В ваш Календарь уходят название, время и место событий круга — без имён участников.
• Google Календарь и Outlook: сервер умеет двусторонний обмен, но экрана подключения в приложении пока нет. Если такой календарь будет подключён, мы будем хранить адрес этой учётной записи и ключи доступа (зашифрованными ключом приложения), события круга будут уходить в Google или Microsoft, а их события — к нам. При удалении учётной записи доступ отзывается.

3.12. Что можно открыть по ссылке без учётной записи

• Ссылка-приглашение. Любой, у кого она есть, видит название и вид круга, число участников и их цвета, а в календаре круга — какие промежутки заняты, без названий. Имён превью не показывает.
• Список желаний по ссылке. Видно имя для показа, которое вы задали, и желания: название, ссылка на магазин, цена и дата, когда цена записана. Фамилии, фото, круга и участников там нет. Страница не ставит куки, мы не записываем, кто её открывал. Друг бронирует подарок без учётной записи, бронь хранится без имени, а вы не видите ни кто забронировал, ни что. У ссылки нет срока, закрывает её только ваш отзыв. Сервер по ссылкам на магазины не ходит.
• Личная ссылка получателя без установки и лента календаря для него (3.10).
• Копия документа (3.5).

3.13. Подростки и записи «только я»

• Запись «только я» может завести взрослый и подросток. Её видит только автор — ни второй взрослый, ни владелец круга; её удаление тоже не оставляет кругу следа. Общую запись нельзя сделать личной, личную можно сделать общей — при этом моменты, когда вы её заводили и правили для себя, заменяются моментом, когда вы ею поделились.
• «Я на месте» — отметка словом или местом круга («Школа»), без координат; сервер отвергает запись, похожую на координаты. Время — с точностью до минуты. Её видят участники, которые были в круге в момент отметки. Через 24 часа отметка удаляется; слово, названное при отметке, уходит вместе с ней и в список мест круга не попадает.
• «Буду дома в …» — предложение времени, подтверждает взрослый. Кто и когда подтвердил, не хранится. Удаляется через 24 часа после названного часа.
• «Мне нужна помощь» — уходит уведомлением взрослым круга (если их нет — остальным участникам). Место не спрашивается. Просьба не хранится: на время доставки (не дольше получаса) у сервера лежит запись с вашим именем и словами, зашифрованная ключом сервера, и удаляется по доставке или по сроку. Ваше имя и слова уходят в тексте уведомления через Apple (раздел 6).
• Подросток может узнать, что о нём видят взрослые: сервер отдаёт перечень видов записей, которые круг видит о нём.

4. Кто что видит

Приложение не показывает и не рассылает, кто чего не сделал. Напоминания приходят от имени приложения, а не человека.

5. Чего продукт не делает

• Не собирает местоположение. Приложение не просит доступа к геолокации ни на iPhone, ни на Android. Точки маршрута и места событий — словами, без координат; «я на месте» — слово или место круга, а не точка на карте.
• Геолокации партнёра нет и не будет. Это запрет самого продукта, а не отложенная функция.
• Нет сторонней аналитики и рекламы. В приложении нет чужих SDK аналитики, рекламы и сбора сбоев. В письмах нет пикселей отслеживания, на публичных страницах — внешних счётчиков и шрифтов.
• Не продаём данные и не передаём их кому-либо для их собственных целей.
• Нет мессенджера и переписки между участниками.
• Не читаем адресную книгу, СМС, банковские данные.
• Не распознаём лица и не обрабатываем биометрию.
• Не отслеживаем, открыли ли письмо.

6. Где хранятся данные и кому они передаются

В России:

• сервер и база данных — [ЗАПОЛНИТЬ: поставщик, адрес];
• шифротексты файлов — объектное хранилище [ЗАПОЛНИТЬ: поставщик];
• отправка писем — [ЗАПОЛНИТЬ: поставщик];
• приём писем на адрес круга — [ЗАПОЛНИТЬ: поставщик].

С каждым, кто обрабатывает данные по нашему поручению, заключён договор, запрещающий использовать их для своих целей.

Сервисы за пределами России, к которым обращается приложение или сервер:

Уведомления на Android сейчас не отправляются вовсе. Яндекс ID — российский сервис.

Государственным органам — только по законному требованию и в объёме, который закон обязывает раскрыть.

7. Сколько мы храним

8. Удаление

Как удалить. В приложении — удаление учётной записи. Без приложения — страница /account-deletion на сайте: код на почту, подтверждение. Отказ от согласия — это тоже удаление. Промежуточной «заморозки» нет: подтвердили — удалено.

Что удаляется. Профиль, способы входа, записи о согласии, выгрузки, заявки на приглашение по телефону, сессии, push-токены, ключи устройств; круги, где вы были последним участником, — целиком, со всем содержимым и файлами; ваши записи «только я» — вместе с их файлами; ваши отметки «я на месте» и «буду дома в …»; временные копии документов по вашим просьбам; ваши документы «только на моём телефоне» и «по запросу» — на сервере от них остаётся отметка «удалено», ключ к ним был только у вас, а открытые просьбы о них закрываются. Ваши приглашения отзываются. Доступ, выданный нам Apple, Google или Microsoft, отзывается.

Что остаётся. В общих кругах остаётся то, что вы делали для круга: события, дела, записи денег, фото, записи журнала открытий сейфа. Остаётся без вашего имени и идентификатора — вместо вас безымянная отметка, своя в каждом круге и не связанная с вашим прежним идентификатором. Открытое дело, которое вы взяли и не сделали, освобождается; ваше личное время в календаре круга не раскрывается. Общий почтовый адрес круга продолжает принимать разрешённые письма для оставшихся участников; его автор заменяется безымянной отметкой. Удаление аккаунта автора не закрывает общий адрес.

Чего удаление не отменяет — говорим прямо:

• копии, которые уже лежат на телефонах других участников, могут остаться там;
• то, что другие участники уже увидели, прочитали или сохранили;
• ваш прежний служебный идентификатор внутри зашифрованного содержимого сейфа, которое сервер прочитать и переписать не может: его видят только устройства участников круга, которые вас и так знали;
• резервные копии базы — до истечения их срока [ЗАПОЛНИТЬ]; журнал сервера — до истечения его срока (3.2).

Детская учётная запись сама себя не удаляет. Представитель может отозвать согласие, но это не удаление детских данных: вход прекращается, а учётная запись, имя, дата рождения, участие в круге, дела, баллы и запись о согласии остаются. Автоматического пути удаления детской учётной записи сейчас нет. Отзыв согласия представителя не равнозначен удалению собственной учётной записи взрослого (раздел 9).

9. Дети и возраст

• Своя учётная запись — с 14 лет. Возраст считается по дате рождения, которую вы вводите на экране согласия. Если по дате вам меньше 14, учётная запись и всё введённое удаляются сразу.
• От 14 до 18 человек регистрируется и даёт согласие сам. Несовершеннолетие определяется по дате рождения и одинаково для всех правил: момент последнего открытия круга у несовершеннолетнего не записывается, подписать согласие законного представителя он не может.
• Младше 14 — детская учётная запись.
  • Её заводит совершеннолетний участник круга, дав отдельное согласие законного представителя. Текст согласия и его версия сохраняются вместе с согласием; текст опубликованной версии не меняется.
  • Детская запись заводится только на ребёнка младше 14 лет. Согласие на запись, чей человек уже достиг 14 лет, не принимается.
  • У детской записи нет почты, телефона и пароля: приложение их не спрашивает, а присланные отвергает. Ребёнок входит кодом, который выдаёт взрослый, — у каждого ребёнка свой. Новый вход гасит прежнюю сессию, перевыдача кода гасит все.
  • Детская запись не вступает в другие круги по приглашению, не заводит приглашений по телефону, не даёт согласия от своего имени и существует только в круге, где её завели.
  • О ребёнке хранится: имя, дата рождения, признак детской записи, участие в круге и роль, его дела и баллы (день начисления, а не момент), одна действующая сессия с моментом последнего запроса; согласие представителя — имя и дата рождения ребёнка, версия документа, моменты согласия и отзыва, кто из взрослых его дал.
  • О ребёнке не хранится: почта, телефон, пароль, местоположение, момент последнего открытия круга.
  • Отзыв согласия представителя сразу гасит вход ребёнка, но не удаляет его данные и семейную историю (раздел 8).
  • Перечень сведений о ребёнке ведётся отдельным документом (docs/legal/child-account-rating.md) и дополняется вместе с кодом.
• Возрастной переход (ребёнок → подросток → взрослый) происходит сам, по дате рождения; о нём предупреждают заранее — и самого человека, и взрослых круга. Детская запись, чей человек достиг 14 лет, остаётся заведённой представителем, пока не появится переход в собственную учётную запись; новое согласие представителя на неё уже не принимается.

10. Ваши права

По 152-ФЗ вы вправе:

• узнать, какие данные о вас у нас есть, и получить их;
• потребовать исправить неточные — имя вы меняете сами, дату рождения исправляет поддержка;
• потребовать удалить данные (раздел 8);
• отозвать согласие — это удаление учётной записи;
• обратиться в Роскомнадзор.

Выгрузка данных. По вашему запросу мы собираем архив: профиль, способы входа, историю согласий (версии и моменты), участие в кругах и то содержимое кругов, которое видите вы, ваши отметки «я на месте» и «буду дома в …»; у детской записи — основание обработки (документ, версия и день согласия представителя, без его имени). Ссылка на архив живёт 24 часа. В архив не входят IP-адрес из записи о согласии, номера из приглашения по телефону, push-токены и ключи устройств — их мы выдадим по запросу на [ЗАПОЛНИТЬ e-mail]. Экрана выгрузки в приложении пока нет: запрос — на тот же адрес.

Ответ на запрос — [ЗАПОЛНИТЬ срок].

11. Как мы защищаем данные

• Содержимое из 3.5 шифруется на телефоне; ключей у сервера нет.
• Приложения для iPhone и Android соединяются с сервером только по защищённому соединению.
• Токены сессий хранятся на сервере хэшем, ключи доступа к Apple и внешним календарям — зашифрованными ключом приложения.
• Код входа гаснет после пяти неверных попыток; частота запросов ограничена.
• Сейф на телефоне закрыт биометрией или своим кодом и скрыт в переключателе приложений.

12. Изменения политики

При существенном изменении мы меняем версию политики, и приложение показывает экран согласия заново: согласие с прежней версией новую не покрывает. Задним числом и через «продолжая пользоваться, вы соглашаетесь» — не спрашиваем.

13. Контакты

[ЗАПОЛНИТЬ e-mail], [ЗАПОЛНИТЬ адрес]. Роскомнадзор: pd.rkn.gov.ru.