Политика конфиденциальности (Privacy Policy) · EU/US/IL

Оператор персональных данных (controller): ⟦РЕШЕНИЕ: IL-юрлицо / название / реквизиты — владелец продукта⟧ Применимое право: GDPR (пользователи EU) · US: законы штатов о приватности/биометрии (BIPA-подобные для биометрии; CCPA/CPRA и аналоги для общих ПДн ⟦охват — юрист⟧) · IL Privacy Protection Law (+ Privacy Protection Regulations по безопасности данных). Контакт по вопросам ПДн / DPO: ⟦РЕШЕНИЕ: e-mail + ответственное лицо / нужен ли формальный DPO по GDPR ст. 37 — юрист⟧ Дата вступления в силу: ⟦РЕШЕНИЕ: дата публикации⟧

1. Какие данные мы обрабатываем

1а. Что остаётся в вашем браузере

Пока вы оформляете съёмку и ещё не вошли в аккаунт, ваши ответы (рост, размер одежды, тип фигуры, пол, выбранная съёмка и образы) сохраняются в вашем же браузере, на вашем устройстве — чтобы вы могли отойти и вернуться, не заполняя всё заново. На наши серверы эти ответы уезжают только вместе с заказом, когда вы его оформляете.

Эти данные не отправляются никуда автоматически и видны только вам. Они стираются, когда съёмка выдана, когда вы выходите из аккаунта, а также если вы очистите данные сайта средствами браузера. Там же хранятся мелочи вроде выбранного языка.

⚠️ Если вы оформляете съёмку на чужом или общем устройстве, выйдите из аккаунта по окончании — так ответы не останутся следующему, кто откроет сайт.

_(Уточнение для юриста: раздел описывает клиентское хранилище браузера и добавлен вместе с правкой, которая продлила жизнь этих данных со «вкладки» до «устройства». Вопрос о cookie-баннере и об основании для аналитики — по-прежнему открытый пункт 3.3, здесь он не решается.)_

Оплата: платежи обрабатывает Lemon Squeezy (Merchant of Record) — он выступает продавцом и самостоятельно обрабатывает платёжные данные (номер карты до нас не доходит) и налоги (EU VAT / US sales tax). Мы получаем статус платежа и учётные метаданные заказа.

1б. Две правки минимизации, внесённые в S26 (2026-08-14)

① Вес больше не спрашиваем. Анкета собирала рост и вес; теперь — рост, размер одежды (XXS…3XL) и тип фигуры (выбор из шести, включая «затрудняюсь ответить»). Основание не юридическое, а фактическое, и потому надёжнее: вес не переводится в фигуру — одна и та же масса даёт разные силуэты, то есть данные собирались без пользы для результата. Меньше данных при том же качестве услуги — прямое следование принципу минимизации, а не жест.

② Почта для ожидания запуска — только в ◨ вебе и только по отдельной галочке. Мужская съёмка пока недоступна (готовится); желающим предлагается оставить адрес, чтобы получить письмо о запуске. Условия: галочка не предвыбрана, почта необязательна, отказ не мешает пользоваться сервисом. В ◧ боте почта не собирается вовсе — там уже есть открытый канал связи, и заводить ради уведомления новый класс данных не требуется. Это осознанная асимметрия поверхностей: процесс один (заявить интерес), способ разный. ⟦НА РЕВЬЮ ЮРИСТУ ПЕРЕД ПРОДОМ: срок хранения адреса ожидания и порядок отписки — отдельной строкой в §6, либо привязать к «удалить после отправки письма о запуске»⟧

1a. Журнал согласий (как мы фиксируем акцепт)

Перед загрузкой фото Пользователь отмечает три согласия: совершеннолетие (18+), принятие Соглашения и настоящей Политики, обработка биометрии. Каждое сохраняется отдельной записью с указанием версии документа, даты-времени и IP-адреса в момент акцепта.

• Согласия «18+» и «биометрия» относятся к личности Пользователя и фиксируются один раз — они действуют для всех его съёмок.
• Принятие Соглашения и Политики фиксируется на каждый заказ: редакция документа может измениться между съёмками, и мы должны знать, с какой именно редакцией Пользователь согласился.

Журнал согласий хранится, пока это необходимо для защиты прав сторон. При удалении аккаунта сами записи журнала удаляются, но обезличенный снимок факта согласия (тип, версия документа, дата — без IP и иной PII) сохраняется в записи об удалении как доказательство правомерности обработки (см. §6a–§6c). ⟦РЕШЕНИЕ: срок хранения снимка согласий после удаления аккаунта — юрист⟧

2. Биометрия — отдельно

Обработка изображения лица регулируется отдельным согласием — Согласие на обработку биометрии. Настоящая Политика описывает общий контур; в части биометрии приоритет имеет согласие.

3. Аналитика (PostHog) и Telegram-идентификатор

3.1. Для продуктовой аналитики используется PostHog (проект FromFrame, US-регион). Собираются события использования Сервиса и технические свойства.

3.2. ⚠️ Открытый вопрос приватности (privacy-триггер, backlog E10): сейчас tg_user_id передаётся в PostHog как person-property. Telegram-id — это идентификатор личности. ⟦РЕШЕНИЕ: передавать ли tg_user_id (и email из OAuth) в PostHog вообще; варианты — (а) не передавать, (б) передавать хеш/псевдоним, (в) передавать только при отдельном согласии на аналитику. — владелец продукта + юрист⟧

⚠️ GOVERNANCE-флаг: до принятия решения по п. 3.2 передача сырого tg_user_id в сторонний сервис аналитики — потенциальное расхождение с принципом минимизации данных. Свести с consent-политикой перед проды (см. backlog «Приватность»). Реализацию (хеш/отключение) НЕ кодим здесь — фиксируем требование.

3.3. ⟦РЕШЕНИЕ: cookie-баннер / consent на аналитику и cookie для веб-канала (GDPR + ePrivacy; для US-штатов — opt-out-механики) — юрист⟧

4. Кому передаём (получатели / суб-обработчики)

• Внешний провайдер обучения Модели личности (Higgsfield, юрисдикция ⟦уточнить — юрист⟧, вероятно US) — суб-обработчик БИОМЕТРИИ: Исходные материалы (изображение лица) передаются ему, чтобы обучить Модель личности (soul_id) и генерировать Результат. Провайдер обрабатывает данные по нашему поручению, обязан не использовать их для собственных целей и не передавать третьим лицам, а также удалять по нашему запросу с подтверждением. ⟦НА РЕВЬЮ ЮРИСТУ ПЕРЕД ПРОДОМ: эти гарантии подлежат закреплению в DPA с провайдером и НЕ декларируются как факт до его подписания (задача DPA — backlog)⟧
• ИИ-провайдеры генерации (NanoBanana, GPT Image, Seedream и др., преимущественно US) — обработка изображения для генерации.
• «Переодевание» (второй ИИ-проход, Spec 004) — NanoBanana через Higgsfield: сгенерированные кадры (несут лицо Пользователя) вместе с изображением одежды передаются повторно для оформления итогового образа. Новых получателей не вводит (Higgsfield/NanoBanana выше), но это второй факт передачи лица тем же провайдерам. ⟦НА РЕВЬЮ ЮРИСТУ ПЕРЕД ПРОДОМ: раскрыть двухпроходность; отразить в DPA/SCC (см. Согласие на обработку биометрии, §2.4/§4.1a)⟧
• Облачное хранилище — Cloudflare R2 (S3-совместимое, бакет в EU-юрисдикции) + CDN; персональные объекты выдаются только по подписанным ссылкам (публичный CDN отвергнут).
• Lemon Squeezy — Merchant of Record: платежи, налоги, чеки.
• Google — OAuth-аутентификация на сайте (получаем verified email; пароль нам не передаётся).
• Email-сервис (SES / Postmark — ⟦РЕШЕНИЕ: финальный провайдер — при реализации E4/E10⟧) — коды выдачи, напоминания.
• PostHog — продуктовая аналитика (US).
• ⟦РЕШЕНИЕ: полный перечень суб-обработчиков + их юрисдикции + DPA/условия передачи — юрист⟧

5. Трансграничная передача

5.1. Оператор — IL-юрлицо: Израиль имеет решение об адекватности ЕС — передача EU → IL без доп. механизмов ⟦подтвердить актуальность — юрист⟧.

5.2. Передачи в US (внешний провайдер обучения Модели личности, PostHog, ИИ-провайдеры, email-сервис): ⟦РЕШЕНИЕ: EU-US Data Privacy Framework (для сертифицированных) / SCC — по каждому получателю — юрист⟧. Передача БИОМЕТРИИ (изображения лица) внешнему провайдеру обучения — трансграничная передача особой категории данных: механизм передачи + DPA критичны. ⟦НА РЕВЬЮ ЮРИСТУ ПЕРЕД ПРОДОМ⟧

5.3. Хранилище фото — EU-юрисдикция (R2), см. §4.

6. Сроки хранения и удаление

6.1. Личные данные — Модель личности (soul_id у внешнего провайдера), Исходные фотографии (у нас, включая уменьшенную копию для разбора) и анкета (рост, размер одежды, тип фигуры, пол) ⟦исправлено 2026-10-08, сверка канона B-TXT-01; юрист смотрит после⟧ хранятся 30 дней после последнего действия Пользователя с ними (загрузка фото, правка анкеты, оплата съёмки, сообщение в переписке; со стороны Сервиса — выдача заказа или просьба Пользователю). Пока у Пользователя есть заказ, по которому следующий шаг за Сервисом (оплачен, в работе, на проверке, правка), срок не идёт. По истечении — удаление у провайдера с подтверждением удаления (лог + проброс запроса провайдеру) и удаление у нас; учётная запись и список заказов сохраняются. Данные заказа — готовые Результаты и переписка по заказу хранятся 30 дней после последнего действия по заказу (выдача; просьба Сервиса прислать фото; отмена; для неоплаченного черновика — последнее сообщение). Пока заказ оплачен и в работе, на проверке или в правке (в т.ч. по открытой просьбе о правке), срок не идёт. Затем удаление из хранилища с инвалидацией CDN-кэша и логом факта удаления; сам заказ и оплата сохраняются. Напоминания — за 7 дней, за 3 дня и в день удаления (бот / email, а также в личном кабинете). Пользователь может продлить хранение на 30 дней явным действием (клик = опт-ин, срок прибавляется к дате удаления, число продлений не ограничено) или удалить данные сразу. При замене Модели личности новой — прежняя отвязывается и удаляется по истечении окна восстановления ~5 дней. ⚠️ Изменено 2026-10-06 (решение владельца, S56): прежде — четыре отдельных срока с разными точками отсчёта (обучение · выдача · загрузка) и одно напоминание за 3–5 дней. Формулировка приведена к факту нами и ЖДЁТ ПРОВЕРКИ ЮРИСТОМ. Детали — Политика хранения и удаления. ⟦НА РЕВЬЮ ЮРИСТУ ПЕРЕД ПРОДОМ: два срока от последнего действия + доказательство удаления у суб-обработчика⟧

6.2. Прочие категории при обычном жизненном цикле (пока аккаунт активен): записи заказов и статусы платежей хранятся, пока это необходимо для оказания услуги и исполнения налоговых/ бухгалтерских обязанностей IL-юрлица; аналитика — по сроку продуктовой аналитики; журнал согласий — как доказательство правомерности обработки. ⟦РЕШЕНИЕ: конкретные сроки по каждой категории — юрист⟧

6a. Удаление аккаунта («право на забвение»)

По запросу Пользователя (◨ кнопка в веб-ЛК; оператор поддержки может выполнить тот же запрос) аккаунт удаляется по следующей механике (реализовано — spec 002):

• (a) Стирание сразу, без окна отмены. После того как Пользователь подтвердил удаление, вход и доступ к данным прекращаются сразу и сразу начинается стирание; отменить удаление и вернуть аккаунт нельзя. Единственное ожидание: если в этот момент идёт шаг съёмки (платный вызов провайдеру уже отправлен), ему дают завершиться (минуты), новые шаги не запускаются, и после этого стирается всё.
• (b) Что стирается полностью: исходные фото; Модель личности (soul_id) — с пробросом запроса на удаление внешнему провайдеру (Higgsfield) и подтверждением; сессии; коды подтверждения (OTP); идентифицирующие поля профиля (email, Google-идентификатор, Telegram-идентификатор, анкета). Удаление затрагивает оба канала — бот и веб (единая личность). Готовые Результаты в хранилище удаляются тем же каскадом.
• (c) Платёжные записи — НЕ удаляются, а обезличиваются (см. §6b): это законное исключение.
• (d) Журнал согласий: сами записи удаляются, но доказательство факта согласия сохраняется в обезличенном виде в записи об удалении (см. §6c) — тип согласия, версия документа и дата, без PII.
• (e) Deletion receipt. Факт удаления фиксируется обезличенной записью (§6c) как доказательство соблюдения политики; из неё нельзя восстановить личность. ⟦НА РЕВЬЮ ЮРИСТУ ПЕРЕД ПРОДОМ: отсутствие окна отмены при удалении аккаунта; достаточность обезличивания платежей и снимка согласий вместо полного удаления; текст уведомления Пользователю о том, что именно сохраняется после удаления⟧

6b. Платёжные записи после удаления — обезличивание, а не удаление

Данные платежей (сумма, валюта, дата, идентификатор транзакции провайдера, провайдер) сохраняются и после удаления аккаунта, но отвязываются от Пользователя и заказа (обезличиваются) и более не связаны с личностью. Основание — GDPR ст. 17(3)(b) (обработка необходима для соблюдения юридической обязанности — налоговый/бухгалтерский учёт IL-юрлица; учёт продаж на стороне Lemon Squeezy как Merchant of Record). Право на удаление в этой части ограничено законом; мы минимизируем данные, удаляя связь с личностью, но сохраняя обезличенную финансовую запись. ⟦НА РЕВЬЮ ЮРИСТУ ПЕРЕД ПРОДОМ: корректность опоры на ст. 17(3)(b) и достаточность обезличивания для EU/US/IL⟧

6c. Запись об удалении (deletion receipt) — доказательство без PII

Каждое удаление фиксируется обезличенной записью: необратимый хэш идентификатора аккаунта, даты запроса и стирания, счётчики удалённого (модели/фото/обезличенные платежи) и снимок согласий (тип, версия документа, дата — БЕЗ IP, подписи и любой PII). Назначение — доказать регулятору, что удаление произошло и что обработка (в т.ч. биометрии) была правомерной; восстановить личность из записи невозможно. ⟦НА РЕВЬЮ ЮРИСТУ ПЕРЕД ПРОДОМ: состав записи об удалении и срок её хранения⟧

7. Права субъекта данных

Пользователь вправе: получить доступ к данным; потребовать исправления/удаления; отозвать согласие; ограничить/возразить против обработки; на переносимость (GDPR); подать жалобу в надзорный орган (EU DPA / IL Privacy Protection Authority; для US-штатов — механизмы соответствующего закона, включая частный иск по Illinois BIPA).

• Как реализовать запрос: по каналу личности — ◧ команда в боте / ◨ ЛК (Google OAuth) / e-mail поддержки ⟦РЕШЕНИЕ: финальный канал + срок ответа (GDPR — 1 месяц) — владелец продукта⟧
• Удаление аккаунта выполняется по механике §6a (стирание сразу, без окна отмены → необратимое стирание PII, фото и Модели личности во всех каналах). Важно: право на удаление не распространяется на платёжные записи — они сохраняются в обезличенном виде по налоговому основанию (§6b). Факт удаления фиксируется обезличенной записью (§6c).

8. Безопасность

Применяются организационные и технические меры защиты: серверный доступ к хранилищу по ключу, изоляция заказов по сессии (S1), выдача только по короткоживущим подписанным URL, обязательный 2-й фактор (код из письма) на первое скачивание биометрических результатов на сайте. ⟦РЕШЕНИЕ: детализация мер под IL Privacy Protection Regulations (уровни безопасности БД) — юрист⟧

9. Дети

Сервис не предназначен для лиц младше 18 лет; данные несовершеннолетних не обрабатываются осознанно.

10. Изменения

Актуальная редакция публикуется в Сервисе. ⟦РЕШЕНИЕ: порядок уведомления — юрист⟧

Открытые решения (сводка)

• Оператор (IL-юрлицо), контакты, нужен ли формальный DPO (GDPR ст. 37), дата.
• Основание обработки аналитики; cookie-consent (EU) / opt-out (US) для веба.
• `tg_user_id`/email → PostHog: передавать ли / хешировать / только по согласию (privacy-триггер).
• Полный список суб-обработчиков + трансграничные механизмы (DPF/SCC; EU→IL adequacy).
• Сроки хранения не-биометрических категорий; канал и срок ответа на запросы субъекта.
• Охват US-права общих ПДн (CCPA/CPRA-аналоги) помимо биометрии.