Как мы обращаемся с вашими данными

1. Оператор и область действия

Настоящая Политика конфиденциальности описывает, какие персональные данные мы — команда сервиса Sferify (далее «Sferify», «мы») — собираем, с какими целями обрабатываем и как защищаем при работе с платформой sferify.ru, её документацией и формой запроса доступа.

Оператором персональных данных является: TODO: requires project owner confirmation (полное наименование, ОГРН/ИНН, юридический адрес, контактное лицо, ответственное за обработку персональных данных).

Обработка персональных данных осуществляется в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

Используя сайт или сервис, вы подтверждаете, что ознакомились с настоящей Политикой и даёте согласие на обработку данных в описанных в ней пределах.

2. Какие данные мы собираем

Мы собираем минимально необходимый объём данных. Условно их можно разделить на четыре категории.

• Данные формы запроса доступа — email (обязательно), домен сайта и роль (опционально). Используются для связи и оценки приоритета приглашения. Вместе с заявкой автоматически фиксируются IP-адрес и тип браузера (User-Agent) отправителя — для защиты от спама и злоупотреблений.
• Данные аккаунта — email и зашифрованный (хешированный) пароль. Дополнительно мы храним технические признаки аккаунта: уровень доступа (является ли пользователь администратором), даты создания, обновления и последнего входа. Имя, организация и телефон сервисом не запрашиваются и не хранятся.
• Данные проектов — домен, страницы, ключевые запросы, конфигурация проекта, история запусков аудита и результаты отчётов. Принадлежат вам.
• Технические данные — IP-адрес и User-Agent сессий и событий аутентификации (вход, регистрация, выход), служебные журналы обращений к серверу (метод, путь, код ответа, длительность запроса).

3. Цели и правовые основания обработки

Каждое использование данных привязано к конкретной цели и правовому основанию в соответствии с законодательством Российской Федерации.

• Предоставление сервиса — создание и поддержка аккаунта, аутентификация, обработка проектов и формирование отчётов. Основание — исполнение соглашения с пользователем.
• Связь с пользователем — ответ на запрос доступа, обращения через форму обратной связи, сообщения о значимых изменениях и инцидентах. Основание — согласие пользователя и наш законный интерес.
• Безопасность — защита от несанкционированного доступа, ограничение частоты запросов (rate limiting), фильтрация спама и злоупотреблений. Основание — наш законный интерес.
• Соблюдение требований закона — выполнение применимых требований законодательства. Основание — исполнение обязанностей оператора.

4. Запросы к AI и поисковым системам

Для модулей AI Visibility и Search Visibility мы выполняем запросы к внешним сервисам: к поисковым системам (через сторонний сервис обработки поисковых данных) и к языковым моделям (AI-сервисам).

В эти запросы передаются только данные проекта, необходимые для анализа: ключевые запросы и проверяемые домены/страницы. Мы не передаём в них персональные данные пользователя — email, пароль или иное содержимое вашего аккаунта.

Кроме того, для технического анализа сайта наш краулер обращается к публичным страницам указанных вами доменов.

5. Cookies и локальное хранилище

Мы используем строго необходимые (технические) cookies. Это файлы аутентификации (access_token и refresh_token, недоступные для JavaScript), а также cookie защиты от подделки запросов (csrf_token). Без них работа в личном кабинете невозможна.

Дополнительно в локальном хранилище браузера (localStorage) сохраняется выбранная вами тема оформления (светлая или тёмная). Эти данные остаются в вашем браузере и на сервер не передаются.

Мы не используем рекламные, аналитические или маркетинговые cookies, а также сторонние системы веб-аналитики и трекинга.

6. Передача данных третьим лицам

Мы не продаём ваши данные и не передаём их рекламодателям.

Мы можем привлекать подрядчиков (обработчиков) в объёме, необходимом для работы сервиса: провайдеров серверной инфраструктуры, на которой размещаются базы данных приложения, а также сторонние сервисы обработки поисковых запросов и AI-сервисы (см. раздел 4). Им передаётся только тот объём данных, который требуется для выполнения их функции.

Мы можем раскрывать данные уполномоченным государственным органам по их обоснованному и законному запросу в рамках применимого законодательства.

7. Трансграничная передача данных

Часть привлекаемых AI-сервисов может находиться за пределами Российской Федерации. В таких сервисах обрабатываются только обезличенные данные проектов (ключевые запросы и адреса страниц); персональные данные пользователей за рубеж не передаются.

TODO: requires project owner confirmation — финальный перечень используемых обработчиков и стран их размещения для корректного описания трансграничной передачи.

8. Хранение и защита данных

• Данные передаются между браузером и сервером по защищённому каналу (TLS).
• Пароли не хранятся в открытом виде — сохраняется только их криптографический хеш (Argon2id).
• Доступ к данным имеют только участники команды Sferify, которым он необходим для работы.
• Персональные и проектные данные хранятся в базе данных PostgreSQL. TODO: requires project owner confirmation — применяется ли шифрование данных и резервных копий «в покое» на уровне инфраструктуры.

9. Сроки хранения

Данные аккаунта и проектов хранятся, пока существует аккаунт и пока это необходимо для предоставления сервиса.

Технические данные (журналы событий аутентификации, IP-адреса сессий) хранятся в течение срока, необходимого для обеспечения безопасности, после чего могут быть удалены.

После удаления аккаунта связанные с ним данные удаляются в течение 30 дней, за исключением сведений, которые мы обязаны хранить по закону.

10. Ваши права

В отношении своих персональных данных вы вправе в любой момент:

• получить информацию об обработке ваших данных и запросить их копию;
• потребовать уточнения или исправления неточных данных;
• потребовать удаления вашего аккаунта и связанных персональных данных;
• отозвать ранее данное согласие на обработку персональных данных;
• обратиться с жалобой в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор).

11. Удаление данных

Удаление аккаунта производится по вашему запросу на kirill.danilchuk01@gmail.com. После подтверждения мы удаляем аккаунт и связанные с ним персональные данные в срок, указанный в разделе 9.

Отдельные проекты вы можете удалить самостоятельно в интерфейсе сервиса.

12. Несовершеннолетние

Sferify — продукт для профессионального использования. Сервис не предназначен для лиц младше 18 лет, и мы сознательно не запрашиваем у них данные.

Если вы считаете, что несовершеннолетний предоставил нам данные, напишите на kirill.danilchuk01@gmail.com — мы удалим их.

13. Изменения политики

Мы можем обновлять настоящую Политику. О существенных изменениях мы сообщим, разместив уведомление в интерфейсе сервиса; зарегистрированным пользователям мы также можем направить уведомление по указанному ими адресу email.

Дата последнего обновления указана в начале документа. Продолжение использования сервиса после вступления изменений в силу означает согласие с новой редакцией.

14. Связаться с нами

По любым вопросам, связанным с обработкой персональных данных, пишите на kirill.danilchuk01@gmail.com.