Политика конфиденциальности

1. Общие положения

Настоящая Политика определяет порядок обработки персональных данных пользователей сервиса StashSyst (stashsyst.com) и составлена в соответствии с Федеральным законом № 152-ФЗ «О персональных данных». Оператором обработки данных является самозанятый Труханов Лев Романович (ИНН 531004782145). Базы данных Сервиса размещены на арендованных Оператором серверах в России (Санкт-Петербург).

Правовыми основаниями обработки являются: согласие Пользователя на обработку персональных данных, оформляемое отдельным документом при регистрации или при подтверждении его новой редакции в интерфейсе Сервиса (отметка проставляется Пользователем самостоятельно); Пользовательское соглашение, которое Пользователь принимает при регистрации, а в части платных услуг — при оплате; требования законодательства РФ (в том числе о налоге на профессиональный доход и формировании чеков).

2. Какие данные обрабатываются

• адрес электронной почты (для регистрации, входа и уведомлений), а также — по желанию Пользователя — дополнительный адрес для дублирования уведомлений о подписке;
• пароль — хранится только в виде необратимого хэша;
• данные, которые Пользователь самостоятельно вносит в Сервис: наименования позиций и групп, тип позиции, количества и единицы измерения, места хранения с описанием и кодом, категории, заметки, фотографии позиций и групп, штрихкоды, ссылки на внешние страницы вместе с подписями к ним, закупочную и желаемую цены и дату их фиксации, минимальный остаток, срок поставки, процент потерь, состояние позиции, отметки «в пути» и «ожидается» со сроком, резервы под проекты и резервы со сроком, признаки «избранное», «комплект» и «разобрать позже», наборы и шаблоны, записи о сборке комплектов, а также произвольные пользовательские поля, названия и содержимое которых Пользователь определяет сам;
• тексты команд и запросов и фотографии, которые Пользователь отправляет в ИИ-функции, и данные склада, которые эти функции прикладывают к запросу (состав по каждой функции — в разделе 5); содержимое, которое Пользователь сам сохраняет в помощнике (заголовок и текст проекта), и добровольный отзыв о качестве ответа. Перед отправкой фотография уменьшается и пересохраняется на устройстве Пользователя, поэтому метаданные снимка (в том числе геометка) в запрос не попадают;
• при голосовом вводе речь распознаёт браузер на самом устройстве Пользователя: запись голоса Оператору и третьим лицам не передаётся и не сохраняется, в Сервис поступает только распознанный текст команды. Языковой пакет для такого распознавания браузер один раз скачивает у своего разработчика; сведения о голосе при этом не передаются. В браузерах, которые не умеют распознавать речь на устройстве, голосовой ввод недоступен;
• при добровольной отправке обращения в поддержку — тема, описание и выбранные вложения; браузер/ОС, тип устройства, экран, размер окна, язык и плотность пикселей прикладываются только если Пользователь отдельно отметит необязательный флажок в форме обращения;
• календарный день и суммарное число складских действий за день — для личного графика активности;
• сведения о платежах: идентификатор, статус и сумма платежа, выбранный тариф и срок, адрес электронной почты для отправки чека; полный номер банковской карты, срок её действия и код безопасности Оператору не передаются — их обрабатывает платёжный сервис ЮKassa; если он сообщит последние четыре цифры номера карты, Оператор сохраняет их, чтобы показать Пользователю способ оплаты;
• технические данные, необходимые для работы и безопасности Сервиса: идентификаторы сессии, IP-адрес и сведения о браузере (User-Agent), которые система аутентификации сохраняет в записи сессии и хранит до выхода из аккаунта на этом устройстве или завершения сессии. IP-адрес и адрес запроса могут также попадать в технические журналы серверов, которые перезаписываются автоматически по мере заполнения;
• при заполнении форм входа, регистрации и восстановления пароля или запросе повторного письма — IP-адрес и технические сведения о браузере и устройстве, которые получает российский сервис проверки Yandex SmartCaptcha (раздел 4); без этой проверки вход в Сервис невозможен;
• только после отдельного выбора «Принять все» — псевдонимные данные продуктовой аналитики: SHA-256-хэш идентификатора с секретной солью, код действия, ограниченные счётчики/флаги, календарный день и серверное время события. Email, названия позиций, заметки, тексты команд и иные свободные тексты в события не включаются; события одного аккаунта технически связуемы между собой, а закрытый служебный контур позволяет сопоставить хэш с аккаунтом для исполнения отзыва и удаления. Поэтому это псевдонимизация, а не анонимизация; версия, состояние и серверное время выбора сохраняются как доказательство согласия/отзыва;
• служебные записи, создаваемые самим Сервисом: журнал действий с аккаунтом и складом (кто, что и когда изменил, в том числе ручные действия Оператора: выдача и снятие платного доступа, изменение баланса ИИ-кредитов, ограничение доступа), журнал событий безопасности, ответы платёжного сервиса на уведомления об оплате, квитанция об исполнении удаления аккаунта (время, этапы и необратимый хэш идентификатора удалённого аккаунта, без адреса и содержимого) — они используются для разбора инцидентов и подтверждения исполненных требований и хранятся ограниченный срок (раздел 7);
• служебная пометка Оператора об аккаунте и причина ограничения доступа, если оно применялось;
• сведения о данных согласиях: время, версия и контрольная сумма принятой редакции документа.

Данные отключённых функций. На дату настоящей редакции перечисленные ниже функции отключены, и данные для них не собираются, если прямо не сказано иное. Если функция будет включена, обработка начнётся только при её использовании Пользователем и в описанном здесь составе:

• автоматическое продление подписки — токен сохранённого платёжного метода, напоминания о предстоящем списании, выбранная при отключении продления причина и необязательный комментарий;
• реферальная программа — временная cookie с кодом пригласившего и связь «кто кого пригласил», необходимая для начисления бонуса;
• совместный доступ к складу (тариф Studio) — адрес электронной почты другого человека, которого Пользователь приглашает. Такой адрес обрабатывается только для доставки приглашения и подтверждения доступа, хранится до принятия приглашения или истечения его срока и может быть удалён по требованию — как самим приглашённым, так и пригласившим. Ответственность за наличие оснований сообщать чужой адрес несёт Пользователь, который его вводит;
• общедоступная доска предложений — заголовок и описание идеи; они публикуются на сайте после проверки Оператором;
• публичный отзыв — введённые самим Пользователем публичная подпись, описание мастерской и текст отзыва, а также время согласия, модерации и его отзыва; только по отдельному согласию на распространение; email и данные склада в отзыв не включаются;
• публичные ссылки на склад — при открытии ссылки и разрешении аналитики солёный SHA-256-хэш сочетания IP + User-Agent, идентификатор ссылки, день и счётчик повторных открытий (исходные IP/User-Agent не записываются, хэш хранится до 90 дней), а по ссылке «на правку» — предложенное гостем изменение (название позиции и количество), которое хранится 90 дней после решения владельца ссылки;
• акция «Premium в подарок» — необратимый хэш нормализованного адреса электронной почты, чтобы подарок не получили дважды на один адрес; хранится, пока существует аккаунт;
• ИИ-разбор показателей Сервиса для Оператора — в языковую модель (тем же путём, что и запросы ИИ-функций, раздел 5) передаются только сводные показатели Сервиса в целом: числа и доли, за каждым из которых стоит не менее пяти аккаунтов, и суммы оплат, округлённые до ступеней, по базе не менее пяти человек. Адресов, идентификаторов, текстов пользователей и содержимого складов в них нет: это обезличенные данные, а не персональные.

Состав произвольных пользовательских полей Оператору заранее не известен: и название поля, и его содержимое определяет Пользователь. Вносить в них персональные данные третьих лиц, а также сведения, относящиеся к специальным категориям персональных данных, не следует; ответственность за правомерность внесённого несёт Пользователь. Специальные категории персональных данных и биометрические данные Оператор не обрабатывает.

3. Цели обработки

• предоставление доступа к функциональности Сервиса, включая ИИ-функции;
• обработка оплат, предоставление платного доступа и формирование чеков;
• направление сервисных и платёжных уведомлений: подтверждение адреса электронной почты, восстановление пароля, чеки, напоминания об окончании оплаченного периода;
• связь с Пользователем по вопросам работы Сервиса и рассмотрение обращений;
• направление новостей и рекламных предложений Сервиса — только при отдельном добровольном согласии Пользователя (необязательный чекбокс при регистрации или переключатель «Рассылка новостей» в настройках); согласие можно отозвать в любой момент в настройках Сервиса или по ссылке отписки в самом письме, на доступ к Сервису это не влияет; условия рассылки изложены в отдельном документе Согласие на получение рассылки;
• обеспечение безопасности Сервиса, в том числе защита форм входа и регистрации от автоматических злоупотреблений;
• анализ использования, воронок и удержания для улучшения Сервиса — только при отдельном добровольном разрешении продуктовой аналитики, которое не влияет на доступ к функциям.

4. Лица, которым поручена обработка

Персональные данные не продаются. Для работы Сервиса Оператор поручает обработку следующим лицам; каждому передаётся только необходимый минимум:

• ООО «ТАЙМВЭБ.КЛАУД» (ИНН 7810945525, 420500, Республика Татарстан, г. Иннополис, ул. Университетская, д. 7, офис 605) — аренда серверов и хранилища в дата-центре в Санкт-Петербурге: база данных, система аутентификации, файловое хранилище, само приложение, зашифрованные резервные копии и почтовый ящик поддержки;
• ООО «Яндекс.Облако» (ИНН 7704458262, г. Москва), сервис Yandex Cloud Postbox — отправка писем с серверов в России: адрес получателя и текст письма (сервисные и платёжные уведомления, письма входа и — при отдельном согласии — рассылка); сервис Yandex SmartCaptcha — проверка на формах входа, регистрации и восстановления пароля, которая отличает человека от программы: IP-адрес и технические сведения о браузере и устройстве;
• ООО НКО «ЮМани», сервис ЮKassa — приём оплаты: сумма, идентификаторы заказа и аккаунта, адрес электронной почты для чека; реквизиты карты обрабатывает только ЮKassa.

Запросы ИИ-функций проходят через российского технического посредника ООО «Интер» (сервис RouterAI), который не обрабатывает их по поручению Оператора, — путь запроса и его состав описаны в разделе 5.

Для формирования чеков, как того требует законодательство о налоге на профессиональный доход, сведения об оплате (сумма, дата, наименование услуги) передаются в ФНС России через приложение «Мой налог»; данные о покупателе в чек не включаются. Данные также могут быть переданы в случаях, прямо предусмотренных законодательством РФ.

5. Трансграничная передача

База данных, система аутентификации, файловое хранилище, резервные копии и само приложение размещены на арендованных Оператором серверах в России (Санкт-Петербург). Учётная запись, адрес электронной почты, загруженные файлы, сведения о платежах, IP-адрес и сведения о браузере и устройстве за пределы России не передаются.

За пределы России — в Соединённые Штаты Америки — передаются только данные ИИ-функций и только тогда, когда Пользователь сам запускает функцию:

• распознавание по фото — фотография;
• умный ввод и импорт текста — текст команды или вставленный текст, а также наименования позиций склада, среди которых модель ищет упомянутую (не больше 60);
• «Подобрать аналог» — наименование, тип и заметки выбранной позиции, наименования и количества позиций склада;
• «Прогноз расхода» — наименования позиций, остаток и единица измерения, минимальный остаток и расход в день;
• ИИ-проекты — наименования, тип, количество, минимальный остаток и заметки позиций, пожелания Пользователя и названия проектов, которые помощник предлагал раньше.

Иные персональные данные попадают в запрос, только если Пользователь сам вписал их в текст команды, заметку или наименование позиции либо снял на фотографию. Адрес электронной почты и идентификаторы аккаунта в запросы не включаются. Не указывайте в заметках, наименованиях позиций, текстах команд и на фотографиях, которые отправляете в ИИ-функции, персональные данные других людей.

Путь запроса: серверы Оператора в России → российский технический посредник ООО «Интер» (ИНН 7017351722, г. Томск, сервис RouterAI) → площадка исполнения языковой модели в США → ответ тем же путём. ООО «Интер» по своим условиям не является оператором содержимого запросов и не обрабатывает их по поручению Оператора: оно передаёт запрос площадке, которую выбирает для каждого запроса, и возвращает ответ. Получатели в США — компании, предоставляющие вычислительные мощности для языковых моделей; условия, на которых они обрабатывают запросы, определяют они сами.

ИИ-функции необязательны: не пользуясь ими, Пользователь не порождает такой передачи. Согласие на неё Пользователь даёт в отдельном согласии на обработку персональных данных; до подтверждения его действующей редакции ИИ-функции недоступны.

6. Cookies и локальное хранилище

Без отдельного разрешения Сервис использует first-party cookies, необходимые для работы и выбранных Пользователем функций:

• cookies аутентификации сессии — без них вход в аккаунт и работа Сервиса невозможны;
• cookies языка, темы, активного рабочего пространства и защищённого сценария восстановления доступа;
• cookies выбора и версии cookie-согласия (до 1 года) — сохраняют решение и позволяют запросить его заново при изменении состава необязательной обработки;
• cookie реферальной ссылки — временная (до 30 дней) метка при переходе по приглашению другого пользователя, для начисления бонуса пригласившему; ставится только при работающей реферальной программе, а на дату настоящей редакции программа отключена.

Посетителю без аккаунта запрос cookie-согласия не показывается: до регистрации необязательная аналитика не ведётся. Если переход был по размеченной ссылке, метка канала (одно значение из закрытого списка, например «telegram») до 30 дней хранится только в локальном хранилище браузера и как сведения о посетителе в Сервис не передаётся; после регистрации и выбора «Принять все» она становится источником регистрации в продуктовой аналитике.

Кроме того, Сервис ведёт обезличенные дневные счётчики шагов до регистрации: открыта главная страница, открыта демо-мастерская, добавлена позиция в демо, открыта и отправлена форма регистрации — с меткой канала из того же списка. В такую запись не попадают ни cookie, ни идентификатор, ни IP-адрес, ни User-Agent, поэтому связать её с посетителем нельзя; повтор шага в той же вкладке браузера не учитывается (отметка в хранилище вкладки). Счётчики хранятся до 90 дней.

Только после выбора «Принять все» создаются `stash_utm` (источник размеченного перехода, до 30 дней) и `stash_niche` (посещённая нишевая страница для настройки первого онбординга, до 30 дней). Они first-party, очищаются сразу при выборе «Только необходимые» вместе с меткой канала в локальном хранилище и не являются рекламными пикселями.

Рекламные и сторонние аналитические трекеры (Google Analytics, Яндекс.Метрика, пиксели соцсетей и т.п.) не используются. Собственная серверная аналитика псевдонимна и включается только после versioned opt-in: текущий cookie-выбор на устройстве и durable-отметка аккаунта проверяются перед записью (для событий, которые присылает платёжный сервис, — только отметка аккаунта: браузера у таких событий нет). Сырые события хранятся до 90 дней; затем остаются только дневные агрегаты без пользовательского хэша, которые хранятся до 24 месяцев. При отзыве новый сбор прекращается, UTM/нишевая метка очищаются, а сохранившиеся сырые события этого аккаунта удаляются. Уже агрегированные итоги нельзя связать с Пользователем и выборочно удалить.

Единственное стороннее содержимое на страницах Сервиса — виджет проверки Yandex SmartCaptcha на формах входа, регистрации и восстановления пароля. Он загружается с серверов ООО «Яндекс.Облако» в России только после того, как Пользователь начал заполнять форму (на регистрации — после отметок согласия), и работает в собственном фрейме; какие сведения он получает, описано в разделах 2 и 4.

Для согласованного счётчика открытий публичной share-ссылки хранится visitor-day хэш IP + User-Agent до 90 дней. У него нет привязки к аккаунту посетителя, поэтому отзыв cookie-выбора прекращает будущие записи, но не позволяет надёжно найти и выборочно удалить уже сохранённый visitor hash; он удаляется по сроку хранения. На дату настоящей редакции публичные ссылки отключены, и такие записи не создаются.

localStorage хранит устройство-локальные настройки и флаги интерфейса. IndexedDB хранит локальный снимок склада и профиля (в том числе email), очередь офлайн-правок и ещё не отправленные офлайн-фото. Часть настроек (например, тема) также синхронизируется с профилем аккаунта на сервере. При явном выходе Сервис удаляет локальный снимок, очередь, ожидающие отправки фото и связанные с аккаунтом данные browser storage; если в очереди есть несинхронизированные правки, перед удалением запрашивается подтверждение. Если браузер не подтвердил очистку IndexedDB, Сервис предупреждает об этом — на общем устройстве тогда необходимо удалить данные сайта через настройки браузера. Кэш навигационного HTML и холодная offline-оболочка отключены, чтобы страница одного аккаунта не показывалась другому.

7. Хранение и защита

Данные хранятся не дольше, чем это необходимо для цели обработки или требуется законом. Действующие сроки соблюдаются автоматически:

• учётная запись и всё, что Пользователь внёс в Сервис сам (позиции склада, фотографии, обращения в поддержку, сохранённые проекты помощника), — пока существует аккаунт или пока Пользователь сам это не удалит; по расписанию такое содержимое не удаляется;
• удалённые позиции склада — 30 дней, затем стираются окончательно;
• журнал изменений количества — последние 100 записей по каждой позиции;
• сырые события продуктовой аналитики — до 90 дней, дневные агрегаты без пользовательского хэша — до 24 месяцев;
• журнал событий безопасности и ответы платёжного сервиса — до 180 дней;
• календарные дни складской активности — до 400 дней;
• IP-адрес и сведения о браузере в записи сессии — до выхода из аккаунта на этом устройстве или завершения сессии; технические журналы серверов — до автоматической перезаписи по мере заполнения;
• квитанция об исполнении удаления аккаунта — 3 года с завершения удаления, затем стирается окончательно;
• обезличенные факты оплат после удаления аккаунта — 5 лет с даты оплаты;
• резервные копии шифруются (AES-256), хранятся на серверах в России и удаляются через 30 дней; поэтому удалённые данные исчезают из резервных копий не позднее чем через 30 дней.

Удаление аккаунта. Пользователь может удалить аккаунт самостоятельно: Настройки → Аккаунт → «Удалить аккаунт», с подтверждением адреса электронной почты и текущего пароля. Удаление выполняется сразу, без отсрочки: удаляются учётная запись, данные склада, файлы, сведения о согласиях и события продуктовой аналитики, связанные с аккаунтом. Факты оплат (сумма, дата, номер платежа и чека) обезличиваются — теряют связь с аккаунтом, адресом электронной почты и платёжным методом — и хранятся для налогового учёта 5 лет с даты оплаты. Если Пользователь владеет складом с другими участниками или его записи есть в чужом складе, Сервис называет причину и не выполняет удаление, пока эта связь не устранена. Требование об удалении можно также направить Оператору по электронной почте.

Применяемые меры защиты: шифрование данных при передаче (TLS), разграничение доступа на уровне строк базы данных (каждый Пользователь имеет доступ только к своим данным), закрытое хранилище фотографий с временными подписанными ссылками, шифрование резервных копий, псевдонимизация аналитики, защита форм входа и регистрации от автоматических злоупотреблений, ограничение доступа к служебным ключам.

8. Права пользователя

Пользователь вправе получить сведения об обработке своих данных, потребовать их уточнения, блокирования или уничтожения, а также отозвать согласие, направив обращение на электронную почту Оператора; ответ направляется в течение 10 рабочих дней с момента получения обращения. Аккаунт можно удалить самостоятельно, как описано в разделе 7. Разрешение продуктовой аналитики можно пересмотреть на этой странице или в настройках аккаунта, согласие на рассылку — в настройках или по ссылке отписки в письме. Пользователь вправе обжаловать действия Оператора в Роскомнадзоре или в суде.

9. Изменения политики

Актуальная редакция Политики опубликована на этой странице; дата редакции указана вверху. Если меняется состав необязательной аналитики или cookies, Сервис запрашивает новый versioned opt-in; одно лишь продолжение использования не считается таким разрешением. Если меняется документ согласия на обработку персональных данных, Сервис просит подтвердить его новую редакцию; до подтверждения ИИ-функции недоступны, потому что передача за пределы России идёт только по согласию в действующей редакции.

10. Контакты

Труханов Лев Романович

ИНН: 531004782145

E-mail: support@stashsyst.com