1. Оператор персональных данных

Оператором персональных данных является:

• ИП Яковлева Анастасия Вениаминовна
• ОГРНИП: 326774600377995
• ИНН: 772450113467
• Адрес: 115522, г. Москва, ул. Кантемировская, д. 22, корп. 2, кв. 694
• Электронная почта: disp.razmetka@yandex.ru

Обработка персональных данных осуществляется в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

2. Какие данные мы собираем

2.1 Данные, предоставляемые Пользователем напрямую

• Имя (или псевдоним) — для отображения в профиле и паре;
• Адрес электронной почты — для регистрации, подтверждения аккаунта, сброса пароля и служебных уведомлений;
• Пароль — хранится в хэшированном виде (bcrypt), в открытом виде не сохраняется и не передаётся;
• Фотография профиля (аватар) — загружается по желанию Пользователя, хранится на серверах Приложения;
• Данные привычек, стриков, прогресса — вводятся Пользователем в процессе использования Приложения.

2.2 Данные при входе через OAuth

При использовании входа через Google или Яндекс мы получаем от соответствующего сервиса:

• уникальный идентификатор аккаунта (Google ID / Яндекс ID);
• адрес электронной почты;
• отображаемое имя.

Мы не получаем пароли от Google или Яндекс. Объём передаваемых данных определяется политиками конфиденциальности соответствующих сервисов.

2.3 Технические данные

• Токены авторизации (JWT, refresh-токены) — хранятся на устройстве Пользователя;
• Локальная дата устройства — передаётся при каждом запросе для корректного учёта часового пояса;
• Идентификатор устройства и базовые параметры — собираются через сервис MyTracker (см. п. 5).

2.4 Данные платежей

При оплате Premium-подписки:

• Через ЮКасса: Правообладатель не получает и не хранит данные банковских карт. Все платёжные данные обрабатываются исключительно ООО НКО «ЮМани». Правообладатель получает только идентификатор транзакции и статус платежа через webhook.
• Через RuStore Pay: Правообладатель получает только токен подтверждения покупки, который проверяется через RuStore API. Платёжные реквизиты Пользователя не передаются.

3. Как мы используем данные

Собранные данные используются исключительно для:

• предоставления функций Приложения (синхронизация привычек, пара, чат, статистика);
• идентификации и аутентификации Пользователя;
• отправки служебных писем (подтверждение email, сброс пароля, уведомления об изменениях Соглашения);
• обеспечения работы Premium-подписки и проверки статуса оплаты;
• анализа агрегированной и обезличенной статистики использования для улучшения Приложения.

4. Хранение и защита данных

4.1 Место хранения

Данные хранятся на серверах, расположенных на территории Российской Федерации (Timeweb Cloud). Трансграничная передача персональных данных не осуществляется.

4.2 Защита данных

• Передача данных между устройством и сервером осуществляется по протоколу HTTPS (TLS 1.2/1.3);
• Пароли хранятся в виде хэшей (bcrypt) — исходный пароль не хранится;
• Данные аккаунта защищены JWT-авторизацией с ограниченным сроком действия токенов;
• Шифрование данных на стороне сервера — планируется к внедрению (AES-256).

4.3 Срок хранения

• Данные хранятся в течение всего срока использования Приложения Пользователем;
• После удаления аккаунта данные удаляются в течение 30 (тридцати) календарных дней;
• Резервные копии удаляются в течение 90 дней после удаления аккаунта;
• Аккаунты, неактивные более 2 лет, удаляются автоматически после предупреждения (см. Пользовательское соглашение п. 4.2).

5. Аналитика и сторонние сервисы

5.1 MyTracker (VK)

Приложение использует сервис аналитики MyTracker (ООО «ВКонтакте»). MyTracker собирает:

• данные об установках и удалениях Приложения;
• данные о сессиях (время запуска, длительность, версия Приложения);
• технические параметры устройства (модель, версия ОС, разрешение экрана);
• рекламный идентификатор устройства (GAID/IDFA) — при наличии разрешения;
• источник установки для оценки эффективности маркетинговых каналов.

MyTracker работает в соответствии с политикой конфиденциальности VK: vk.com/privacy. Данные обрабатываются в обезличенном виде и не позволяют идентифицировать конкретного Пользователя.

5.2 Google OAuth / Яндекс OAuth

При входе через Google или Яндекс применяются политики конфиденциальности соответствующих платформ. Правообладатель не контролирует сбор данных этими сервисами на их стороне.

5.3 ЮКасса

Платёжный сервис ЮКасса (ООО НКО «ЮМани») обрабатывает платёжные данные в соответствии со своей политикой конфиденциальности и требованиями PCI DSS. Правообладатель не имеет доступа к платёжным данным Пользователя.

6. Права Пользователя

В соответствии с Федеральным законом № 152-ФЗ Пользователь имеет право:

• получить информацию о составе обрабатываемых персональных данных;
• потребовать исправления неточных или неполных данных;
• потребовать удаления персональных данных («право на забвение»);
• отозвать согласие на обработку персональных данных;
• подать жалобу в Роскомнадзор.

Для реализации любого из перечисленных прав направьте запрос на disp.razmetka@yandex.ru. Срок ответа — не более 30 календарных дней.

7. Файлы cookie и локальное хранилище

Приложение не использует cookie. Для работы используется локальное хранилище устройства (SharedPreferences, DataStore, Room) для кэширования данных пользователя. Эти данные не передаются третьим лицам и удаляются при удалении Приложения с устройства.

8. Данные несовершеннолетних

Приложение предназначено для лиц, достигших 18 лет. Правообладатель сознательно не собирает данные несовершеннолетних. Если нам станет известно о регистрации лица моложе 18 лет, такой аккаунт будет удалён. При обнаружении подобного случая просим сообщить на disp.razmetka@yandex.ru.

9. Дополнительные сведения об обработке данных

9.1 Данные при разрыве пары

При отключении партнёра (по инициативе любого из участников):

• каждый Пользователь сохраняет в своём аккаунте историю выполнения своих привычек за весь период — эти данные не удаляются;
• данные о совместных привычках остаются в аккаунте каждого участника, но флаг совместности снимается;
• сообщения мини-чата сохраняются в аккаунте отправителя, у второго участника становятся недоступны после разрыва пары;
• Правообладатель не передаёт данные одного партнёра другому после разрыва пары.

9.2 Журналы событий (логи)

В целях обеспечения безопасности, диагностики и исполнения законодательства серверы Приложения автоматически фиксируют:

• IP-адрес устройства при каждом обращении к серверу;
• время, дату и тип запроса (endpoint API);
• версию Приложения и операционной системы;
• статус ответа сервера (успех или ошибка).

Журналы не содержат содержимого сообщений чата или данных привычек. Срок хранения журналов — 90 дней, после чего они удаляются автоматически. Журналы могут быть предоставлены уполномоченным органам в соответствии с п. 12 Пользовательского соглашения.

9.3 Фоновые обращения к серверу

Для обеспечения актуальности данных (прогресс партнёра, уведомления о событиях) Приложение периодически обращается к серверу в фоновом режиме — не чаще одного раза в 10 секунд при активном использовании и не чаще одного раза в 15 минут в фоновом режиме. Эти обращения:

• не являются слежкой за Пользователем;
• передают только токен авторизации и локальную дату устройства;
• не передают геолокацию, контакты или иные чувствительные данные устройства.

10. Изменения Политики

Правообладатель вправе вносить изменения в настоящую Политику. Об изменениях Пользователь уведомляется через Приложение или по электронной почте не позднее чем за 7 дней до вступления изменений в силу. Актуальная версия Политики всегда доступна в разделе «Профиль» → «О приложении».

11. Контактная информация