Datenschutz

[Имя и адрес — как в Impressum]. Контакт по вопросам защиты данных: [e-mail]. Отдельный уполномоченный по защите данных (Datenschutzbeauftragter) [подтвердить у юриста: нужен ли].

Данные аккаунта: адрес электронной почты, логин, хэш пароля (сам пароль не хранится), язык интерфейса, часовой пояс, отметка и версия принятых условий, отметка подтверждения адреса, даты создания и входов.

Содержимое, которое вы вносите сами: задачи, сроки и события, дневник, практики, документы и их сроки действия, люди и связи, бюджет и денежные операции, сканы чеков и фотографии, списки покупок, аффирмации, настройки напоминаний. Это может включать данные особых категорий (Art. 9 DSGVO) — например записи о здоровье или инвалидности, — если вы сами их вносите.

Технические данные: куки (см. ниже), а также журналы веб-сервера (IP-адрес, время запроса, адрес страницы), которые ведёт nginx для эксплуатации и защиты от злоупотреблений. [уточнить срок хранения журналов].

Обработка нужна для исполнения договора об оказании услуги — предоставления самого органайзера (Art. 6 Abs. 1 lit. b DSGVO). Отправка писем для входа и подтверждения адреса, защита от подбора пароля и злоупотреблений — законный интерес (Art. 6 Abs. 1 lit. f). Согласие с условиями и политикой фиксируется при регистрации вместе с датой и версией текста. Для содержимого особых категорий, если вы его вносите, основанием служит ваше согласие (Art. 9 Abs. 2 lit. a) [подтвердить формулировку у юриста].

Два пункта требуют решения до открытия регистрации. Первое: почта уходит через российского провайдера — это передача в третью страну, для которой нет решения Еврокомиссии об адекватности (Art. 45 DSGVO). До запуска беты почтовый канал следует перенести к провайдеру в ЕС либо оформить передачу по Art. 46 и раскрыть её здесь явно. Второе: запросы к AI сейчас идут на ключах владельца сервиса, то есть содержимое чужих записей ушло бы к третьей стороне от его имени — до закрытия этого вопроса (собственные ключи пользователя, локальная модель или отключение AI для чужих аккаунтов) публичная регистрация закрыта.

Данные не продаются и не передаются рекламным сетям. Аналитики, счётчиков посещаемости и трекеров в сервисе нет вообще.

Все куки — строго необходимые или функциональные, поэтому баннер согласия не показывается: спрашивать разрешение на куку, без которой не работает вход, было бы имитацией выбора. Рекламных и аналитических кук нет.

Содержимое хранится, пока существует аккаунт. Ссылки для входа живут 15 минут и гасятся после первого перехода. Сессия истекает через 30 дней. После удаления аккаунта данные стираются сразу и полностью — резервные копии базы перезаписываются в течение [указать срок ротации бэкапов].

У вас есть право на доступ (Art. 15), исправление (Art. 16), удаление (Art. 17), ограничение обработки (Art. 18), переносимость данных (Art. 20) и возражение (Art. 21), а также право отозвать согласие и подать жалобу в надзорный орган (Aufsichtsbehörde) по месту жительства.

Два из них работают прямо в приложении, без обращений и ожидания: Настройки → Данные → «Скачать всё (JSON)» — полная выгрузка ваших записей в машиночитаемом виде, и Настройки → Данные → «Удалить аккаунт» — необратимое удаление вместе с файлами. Бинарные вложения (сканы чеков, фотографии) в выгрузке перечислены метаданными, сами файлы скачиваются в соответствующих разделах.

Соединение шифруется (HTTPS). Пароли хранятся только в виде хэша (scrypt), токены входа и сессий — только в виде хэшей. Разделение данных между пользователями обеспечивается на уровне самой базы (row-level security): запрос одного человека физически не может вернуть строки другого. Владелец платформы видит в служебном разделе только операционные сведения (адреса, тарифы, количество пространств) и не имеет доступа к содержимому чужих записей.