Политика конфиденциальности

1. Какие данные мы обрабатываем

Мы обрабатываем минимум данных, нужный для аккаунта, подписки и ответов поддержки. Ничего из перечисленного не используется для рекламы и не передаётся третьим лицам, кроме случаев, описанных в разделе 4.

Данные аккаунта на сервере SOVA

• Почта — по ней вы входите и по ней сервер узнаёт ваш аккаунт; на неё приходят письма о подтверждении почты и восстановлении пароля.
• Пароль — передаётся на сервер SOVA по защищённому соединению в момент регистрации, входа или смены пароля; сервер хранит только отпечаток пароля — из него пароль не восстановить. Ни сайт, ни приложение пароль не сохраняют.
• Вход — при каждом входе сервер выдаёт ключ входа. На сервере хранится только его отпечаток — по нему сам ключ не восстановить. Ещё сервер записывает, когда вход сделан, когда им последний раз пользовались и как назвал себя браузер или приложение: название, версию и систему устройства. Вход на сайте действует 30 дней, в приложении — 365 дней.
• Дата регистрации, пробный период и статус подписки — хранятся на сервере вместе с аккаунтом, как и история платежей.
• Отметка о согласии — при регистрации сервер записывает, когда вы дали согласие на обработку персональных данных, какую фразу рядом с галочкой вы отметили и к какой редакции политики конфиденциальности сайта sovatime.app она относится. Если аккаунт по вашей просьбе заводит владелец SOVA, записывается и то, что согласие получено им, а не галочкой.
• Записи о попытках — когда вы входите, регистрируетесь, восстанавливаете или меняете пароль, просите повторить письмо с подтверждением или просите шесть цифр для смены кода доступа, сервер записывает почту, время и IP-адрес — адрес, с которого ваше устройство вышло в интернет. Эти записи нужны только затем, чтобы нельзя было подбирать пароль или засыпать сервер мусором. Записи старше суток сервер удаляет сам, как только кто-нибудь снова отправит такой запрос.
• Журнал писем — какое письмо ушло вашему аккаунту (подтверждение почты, смена пароля или шесть цифр для смены кода доступа), когда и чем закончилась отправка. Ни текста письма, ни ссылки, ни цифр из него в журнале нет. Записи старше 30 дней сервер удаляет.
• Шесть цифр для смены кода доступа — если вы забыли код доступа к приложению, сервер присылает на почту аккаунта шесть цифр, чтобы убедиться, что аккаунт ваш. В базе остаётся только их отпечаток — по нему сами цифры не восстановить; он живёт 10 минут и гаснет, как только цифры введены. Пока письмо ждёт отправки, в очереди писем лежит строка о том, что такое письмо нужно отправить вашему аккаунту, — самих цифр там нет. Сам код доступа к приложению на сервер не попадает никогда: он хранится только на вашем телефоне.

Бесплатные дни даются один раз на один iPhone. Чтобы это проверить, приложение один раз берёт у Apple короткий одноразовый признак устройства и отправляет его на сервер SOVA; сервер спрашивает у Apple, были ли бесплатные дни на этом телефоне, и просит Apple отметить, что были. Сами отметки хранит Apple, а не мы. Apple не сообщает нам, что это за телефон: ни его номера, ни признака, по которому телефон можно узнать, на сервере не остаётся — остаётся только то, чем кончилась проверка для вашего аккаунта.

Подписку в приложении оформляют через App Store: платёж проводит Apple. Сервер хранит то, что о покупке сообщает Apple: номер покупки, тариф, срок, продлевается ли подписка и — если Apple их передаёт — сумму и валюту. Платёжных данных Apple нам не передаёт.

При оплате мы не получаем и не храним номер вашей карты. Платёж проводит платёжная служба, а нам возвращается только признак успешной операции, последние четыре цифры карты и тип платёжной системы.

Вход через Apple и через Google

Кроме почты и пароля, в приложение можно войти кнопкой «Продолжить с Apple» или «Продолжить с Google». Пароля от Apple или Google мы не видим никогда: его вы вводите в окне самой Apple или самого Google, а приложению и серверу достаётся только подписанный ими ответ.

• Сервер SOVA выдаёт приложению одноразовое слово, приложение передаёт его Apple или Google нетронутым, и они кладут его внутрь подписанного ответа. Сервер принимает ответ только со своим словом и только один раз.
• Из ответа сервер сохраняет постоянный номер, под которым вы известны Apple или Google, почту, которую они назвали, и сказали ли они, что она подтверждена. Это и есть ваш вход: по номеру сервер узнаёт, что это снова вы.
• Имя Apple отдаёт только в самый первый раз и больше никогда, Google — при каждом входе. Если оно пришло, сервер записывает его один раз и последующими входами не переписывает. Приложение подставляет его в поле «Имя» на первом шаге знакомства — вы можете его поменять.
• Никаких других сведений — ни списка контактов, ни фотографий, ни друзей, ни данных о других приложениях — мы у Apple и Google не запрашиваем и не получаем.

Скрытый адрес Apple. Если при входе вы выбрали «Скрыть мою почту», Apple выдаёт адрес вида что-то@privaterelay.appleid.com и пересылает письма на вашу настоящую почту, не называя её нам. Мы работаем с этим адресом как с обычной почтой аккаунта: на него уходят письма о подтверждении почты, о смене пароля и с шестью цифрами для смены кода доступа. Вашего настоящего адреса у нас нет и не появится.

Ключ для отзыва входа через Apple. Вместе с первым входом через Apple сервер получает и хранит ключ обновления Apple. Он нужен ровно для одного: при удалении аккаунта сервер сам обращается к Apple и отзывает вход — этого требует Apple от всех приложений, где её вход есть. Ни для чего другого этот ключ не используется. Строки входов через Apple и Google при удалении аккаунта стираются: вернувшись, вы заведёте новый аккаунт, а не попадёте в удалённый.

Переписка с поддержкой

Написать в поддержку можно письмом на sovatime.help@yandex.ru или в бот @sova_supports_bot в Telegram.

• Письма хранятся в ящике поддержки в Яндекс Почте (ООО «Яндекс»): ваш адрес, имя отправителя, если его ставит ваша почта, то, что вы написали, вложения и наши ответы. Если вы пишете из приложения («Ещё» → «Написать в поддержку»), оно само подставляет в письмо версию приложения, модель телефона и версию системы, а в письме о сбое или о входе — ещё время сбоя, что не получилось при входе, и сколько записей каждого вида на телефоне, без сумм, названий и имён. Перед отправкой всё это видно, и его можно стереть.
• Бот в Telegram спрашивает почту — ту, на которую зарегистрирован аккаунт SOVA, или любую, по которой с вами можно связаться, — тему и описание; приложить можно до пяти снимков экрана или файлов. На сервере SOVA бот хранит номер, под которым вас знает Telegram (по нему бот отвечает вам в тот же чат), названную почту, тему, текст обращения, его номер, статус и даты и то, кто из поддержки им занимается. Есть ли аккаунт SOVA с этой почтой, бот проверяет, но ответ видит только поддержка. Снимки и файлы остаются у Telegram: бот их не скачивает, а хранит только ссылку на них. Имени и ника в Telegram бот не спрашивает и не хранит. Недописанное обращение бот хранит, пока вы его пишете, и стирает, как только вы его отправили или отменили. Если бросить обращение недописанным, бот хранит его год с последней правки, потом удаляет. Сам чат с ботом хранится и у Telegram — по правилам Telegram; у себя вы можете очистить его в самом Telegram.

Переписку мы используем только затем, чтобы ответить вам и разобраться с вопросом. Храним её год после последнего сообщения в ней, потом удаляем; удаление аккаунта её не удаляет — у неё свой срок. Удалить её раньше можно по вашей просьбе: напишите об этом на почту или в бот. После удаления в журнале работы поддержки остаются отметки о самом обращении — когда оно было, какая у него тема и как менялся статус, — но без почты, текста и номера в Telegram. В ночные копии сервера переписка из бота не попадает.

Чего мы не делаем

• Не показываем рекламу и не встраиваем рекламные модули.
• Не встраиваем программы, которые следят за тем, как вы пользуетесь приложением и сайтом, и собирают об этом статистику (проверено по полному списку сторонних частей, из которых они собраны).
• Не отслеживаем вас между приложениями или сайтами.
• Не продаём ваши данные. Передаём их только тем, кто назван в этой политике, и только то, что нужно для их работы.
• Не синхронизируем смены, места, доплаты и данные раздела «Бригада» ни с одним сервером — они остаются на вашем устройстве.

2. Что остаётся на вашем устройстве

Всё перечисленное ниже хранится в памяти самого телефона и никогда не передаётся ни на один сервер — мы проверили это по коду, а не предполагаем:

• имя, город, роли, валюта, часовой пояс, настройки уведомлений;
• смены: место работы, время начала и конца, ставка, вычеты, заметки, статус оплаты;
• доплаты (чаевые, бонусы и т.п.);
• места работы: название, адрес, ставка по умолчанию, а также имя и контакт координатора площадки, если вы его сохранили;
• код доступа к приложению и настройки замка: сами четыре цифры, через сколько запирать после выхода и включён ли вход по лицу;
• список уже показанных напоминаний — только затем, чтобы не присылать одно и то же напоминание дважды;
• сведения о том, какие смены вы загрузили разом, из расписания или истории.

По вашему нажатию «Маршрут» приложение открывает выбранное вами приложение для маршрутов и передаёт ему адрес места; дальше с адресом работает это приложение по своим правилам. Само SOVA адрес никуда не отправляет.

Приложение может подготовить сообщение — напоминание о долге или приглашение на смену. Отправляете его вы сами, через меню «Поделиться» или копируя текст, тому, кому решите. Само приложение сообщение никуда не отправляет.

Текст сообщения, который вы вставляете для разбора расписания, разбирается прямо на телефоне, без интернета, и не сохраняется: остаются только смены, которые вы выбрали.

Если вы нажмёте «Скопировать промт и текст» или «Не получилось — отправить в помощник», приложение положит в буфер обмена вашего телефона подсказку и текст сообщения — например, чтобы вставить их в чат-бот. Куда вставить, решаете вы; в сообщении могут быть чужие имена и телефоны. Само приложение текст никуда не отправляет.

Синхронизации между устройствами нет: если телефон потерян или приложение удалено без резервной копии, записи восстановить неоткуда.

Записи приложения на телефоне попадают и в резервные копии самого iPhone — в iCloud или на компьютере, если вы делаете такие копии. Этими копиями распоряжаетесь вы: SOVA ими не управляет и их не видит. Удаление записей в приложении не стирает их из копий iPhone, сделанных раньше.

Резервная копия

Резервную копию — файл со сменами, местами, доплатами и записями «Бригады» вашего аккаунта — приложение создаёт на самом телефоне; куда её сохранить или отправить, решаете только вы через меню «Поделиться». Само приложение копию никуда не отправляет. В файле есть и данные других людей из «Бригады» — храните его так же бережно, как их контакты.

Данные о других людях (раздел «Бригада»)

Если вы пользуетесь разделом «Бригада» — учётом привлечённого персонала на мероприятиях — вы можете сохранить имя, номер телефона и Telegram других людей: тех, кого вы приглашаете на смены, а также контакты агентств или организаторов, через которых вы их находите.

Это данные третьих лиц, а не только ваши собственные. Мы должны сказать об этом прямо, а не прятать за формулировкой «ваши данные»:

• эти данные вводите вы сами, о людях, которые сами приложением не пользуются;
• они хранятся только на вашем телефоне, как и всё остальное в этом разделе;
• они никогда никуда не передаются — ни на наш сервер, ни кому-либо ещё. По вашему нажатию на сохранённый номер, ник в Telegram или почту — координатора места или человека из «Бригады» — открывается «Телефон», «Сообщения», Telegram или «Почта», чтобы вы связались с ним напрямую. Само приложение контакт никуда не отправляет.
• удаляя такого человека или все записи своего аккаунта на телефоне («Ещё → Настройки → Удалить данные этого устройства» или «Удалить аккаунт»), вы удаляете и эти данные — безвозвратно, если у вас нет своей резервной копии: у нас копии нет.

Если вы вносите данные другого человека, убедитесь, что у вас есть на это основания в рамках вашего трудового или делового взаимодействия с ним.

Уведомления

Приложение запрашивает разрешение на уведомления, чтобы напоминать о скорой смене и неоплаченных долгах. Все уведомления назначаются прямо на телефоне; приложение не подключает телефон ни к одной службе рассылки уведомлений и не отправляет данные на сервер, чтобы показать уведомление.

Выгрузка в CSV и PDF

Вы можете выгрузить свои смены в файл CSV или PDF. Файл создаётся на самом телефоне; куда его отправить (почта, мессенджер, облачное хранилище) — решаете только вы через меню «Поделиться». Само приложение файл никуда не отправляет.

3. Зачем нам нужна почта

По почте сервер узнаёт ваш аккаунт. Она нужна, чтобы вы могли войти в приложение и в личный кабинет на сайте, получить письмо о подтверждении почты или восстановлении пароля, связать оплату с аккаунтом и получить чек. Рекламных рассылок мы не отправляем и почту партнёрам не передаём.

4. Кому мы передаём данные

Мы привлекаем ограниченный круг обработчиков, без которых подписка не может работать. Каждый получает только те данные, которые нужны для его задачи.

Мы можем раскрыть данные по мотивированному требованию уполномоченного органа, если это прямо предусмотрено законом. В таком случае мы передаём только тот объём сведений, который указан в требовании.

Где хранятся и обрабатываются данные

Сервер SOVA арендован у Timeweb Cloud и находится в России, в Санкт-Петербурге. На нём хранится и обрабатывается всё, что эта политика называет данными на сервере, — данные аккаунта и обращения из бота поддержки. Ночные резервные копии базы лежат на этом же сервере, а в зашифрованном виде — ещё и в хранилище S3 у Timeweb Cloud, тоже в Санкт-Петербурге. Apple, Google и Telegram обрабатывают то, что получают, на своих серверах, в том числе за пределами России. Письма в поддержку лежат в ящике Яндекс Почты у российской компании ООО «Яндекс»; по политике конфиденциальности Яндекса персональные данные граждан России записываются и хранятся в базах данных на территории России. Письма, которые приходят на прежний адрес поддержки в Gmail, хранит Google — на своих серверах за пределами России; там мы их удаляем так же, через год после последнего письма в цепочке.

Если вы пользуетесь SOVA не в России, ваши данные, которые уходят на сервер SOVA, передаются в Россию и обрабатываются там — с теми же целями и так же, как описано в этой политике. Давая согласие на обработку персональных данных, когда заводите аккаунт, вы соглашаетесь и на эту передачу. Без неё аккаунт SOVA не работает: сервер, который хранит аккаунт и проверяет покупки, есть только в России.

5. Как удалить аккаунт

Удалить аккаунт можно самостоятельно в приложении: «Ещё» → «Настройки» → «Удалить аккаунт». Обращаться в поддержку для этого не нужно. Подробный порядок описан на отдельной странице.

Аккаунт на сервере сразу помечается удалённым: войти этой почтой нельзя, все входы аккаунта закрываются — и в приложении, и на сайте. Зарегистрироваться на ту же почту снова можно через час. Через 30 дней после удаления профиль и статус подписки стираются: сервер проверяет это каждый час, поэтому стирание происходит в течение часа после того, как 30 дней пройдут. Данные, которые мы обязаны хранить по требованиям налогового учёта, сохраняются в установленные законом сроки в обезличенном виде.

Каждую ночь сервер делает резервную копию базы аккаунтов, чтобы аккаунты не пропали при поломке. Копии хранятся на самом сервере, в зашифрованном виде — ещё и в хранилище S3 у Timeweb Cloud, а когда владелец SOVA проверяет, что копию можно открыть, — и у него на компьютере; везде не дольше 14 дней, потом удаляются. Пока копия не удалена, в ней остаётся и стёртый аккаунт.

В приложении есть два разных действия, и они отличаются объёмом:

• «Удалить данные этого устройства» (Ещё → Настройки) удаляет смены, места, доплаты и данные «Бригады» вашего аккаунта на этом телефоне. Аккаунт при этом сохраняется — вы сможете снова войти, но эти данные не восстановятся без резервной копии, которую вы сохранили сами: на сервере их нет и не было.
• «Удалить аккаунт» (Ещё → Настройки) удаляет и аккаунт, и все его записи на этом телефоне. Этой почтой больше нельзя будет войти в тот же аккаунт, но можно будет зарегистрироваться заново.

Оба действия необратимы. Перед удалением аккаунта приложение предлагает выгрузить смены в CSV, чтобы записи остались у вас.

6. Как с нами связаться

По любому вопросу об обработке данных, включая запрос на доступ, исправление или удаление, напишите нам. Мы отвечаем в течение двух рабочих дней и не просим присылать документы, если запрос приходит с адреса, указанного в аккаунте.