Политика конфиденциальности

Кто обрабатывает данные

Астрелла — это Telegram-бот и сайт astrella.app. Обработку данных ведёт сам сервис. Как с ним связаться и что именно бот может сделать по вашему запросу — в конце этого документа.

Сам Telegram — отдельная компания. Всё, что происходит в мессенджере до того, как сообщение дошло до нашего бота, регулируется политикой Telegram, а не этой.

Какие данные мы собираем

Мы не спрашиваем ни паспорт, ни телефон, ни адрес. Всё, что у нас есть, вы либо сообщаете сами в разговоре с ботом, либо это приходит вместе с сообщением из Telegram.

Имя и фамилию из Telegram мы не сохраняем — они приходят вместе с сообщением, но в базу не попадают. Фотографии профиля, список контактов и номер телефона нам недоступны в принципе: Telegram их боту не передаёт.

Про место рождения — отдельно

Место рождения мы храним как две координаты и идентификатор часового пояса. Именно они нужны для расчёта, и именно они используются.

Название города хранится рядом отдельной строкой и существует ровно для одного: чтобы показать его вам в профиле. По этой строке не ведётся поиск, она не индексируется в базе и не используется, чтобы кого-то с кем-то сопоставить.

Города ищутся по справочнику, который лежит в нашей базе, а не во внешнем сервисе. Когда вы набираете «Ниж», подсказки приходят с нашего сервера — запрос никуда наружу не уходит. Справочник взят из открытого проекта GeoNames.

На каком основании мы это делаем

• Чтобы исполнить договор с вами. Без даты рождения нет карты, без Telegram ID нельзя понять, чей это доступ. Это данные, без которых услуги просто не существует.
• По вашему согласию. Тексты вопросов вы пишете сами, и в них может оказаться что угодно — о здоровье, отношениях, деньгах. Отдельное согласие на их обработку описано в документе «Согласие на обработку данных».
• По нашему законному интересу — защита сервиса от перебора запросов и злоупотреблений, и учёт того, откуда приходят пользователи.
• По требованию закона — хранить сведения о состоявшихся платежах.

Кому передаются данные

Мы не продаём данные, не передаём их рекламным сетям и не обмениваемся ими с другими сервисами. Но чтобы продукт работал, часть данных проходит через подрядчиков — это надо назвать прямо.

Все перечисленные подрядчики, кроме Яндекса, находятся за пределами России; наша инфраструктура тоже. Данные Метрики обрабатываются в России, на стороне Яндекса, данные Google Analytics — за её пределами. Пользуясь сервисом, вы понимаете, что ваши данные обрабатываются за границей.

Список моделей настраивается на нашей стороне и со временем может измениться. Смена подрядчика или модели — существенное изменение: мы выпустим новую версию этого документа, а не тихо поменяем строчку.

Что не уходит в языковую модель

Ни ваш Telegram ID, ни username, ни внутренний идентификатор в нашей базе в запрос к модели не попадают. Это не обещание на словах: запрос собирается из шести вещей — астрологических факторов карты, фрагментов справочника по астрологии, того, что бот о вас запомнил, нескольких последних реплик разговора, выбранной формы обращения и текста самого вопроса. Идентификаторов среди них нет.

Мы не передаём в модель и вашу дату рождения как таковую: она уже превращена в позиции планет, дома и аспекты. Модель видит «Солнце в Скорпионе в седьмом доме», а не «15 ноября 1993 года, 04:20, Казань».

Кроме них уходят короткие технические запросы на векторизацию — превращение текста в набор чисел для поиска по смыслу: текста вашего вопроса и каждого факта, который бот запоминает. Это тот же подрядчик и то же правило: идентификаторов в них нет.

Единственное место, где ваш Telegram ID участвует в работе с моделью, — выбор версии текста системной инструкции при сравнении их между собой. Он превращается в хеш и остаётся у нас; в запрос к модели этот хеш не отправляется.

Обращений к подрядчику на один ваш вопрос уходит три, а если тема требует осторожности — четыре. Перед основным идёт короткий служебный запрос, определяющий тему вопроса и признаки риска. Основной — сам ответ; на осторожных темах он может быть переспрошен один раз, если первая версия получилась слишком директивной. После того как вы получили ответ, уходит последний: он выделяет из вашего сообщения факты, которые стоит запомнить, и получает текст вашего сообщения, список уже запомненных фактов и служебную инструкцию.

Сколько данные хранятся

• Переписка с ботом — 365 дней. Дальше сообщения удаляются, даже если вы продолжаете пользоваться сервисом: для ответа боту нужны только несколько последних реплик, а разговор о здоровье, деньгах и отношениях — самое чувствительное, что у нас есть.
• Факты, которые бот о вас запомнил, — пока вы пользуетесь сервисом. Срока в днях у них нет намеренно: память, которая стирается через год, перестаёт быть памятью, а «есть дочь» через год не становится менее верным. Вместо срока их держат три других ограничения: их не больше ста пятидесяти на человека и самые старые вытесняются новыми; факт, который вы опровергли новым сообщением, перестаёт использоваться в тот же день; и всё это исчезает по вашей просьбе об удалении и при обезличивании неактивного аккаунта.
• Профиль, данные рождения и рассчитанные карты — пока вы пользуетесь сервисом. Аккаунт, в котором три года не было ни одного сообщения, ни покупки, ни движения баланса, обезличивается целиком — ровно так же, как если бы вы сами попросили удалить данные.
• Незавершённое знакомство с ботом (то, что вы уже ввели, но ещё не довели до карты) — 24 часа, после чего стирается само.
• IP-адрес, по которому считается ограничение частоты запросов к сайту, — 60 секунд.
• Записи об оплатах — столько, сколько требуют правила бухгалтерского и налогового учёта.
• Отметки о принятии документов — пока мы обрабатываем ваши данные и разумный срок после, потому что это доказательство того, на каких условиях мы работали.

Сроки настраиваются на нашей стороне, и выше указаны те, что действуют на момент этой редакции. Если мы их изменим, выйдет новая версия документа.

Удаление по сроку происходит не в ту же секунду, когда срок истёк: данные вычищает отдельный регулярный прогон по базе. Между истечением срока и фактическим удалением проходит время.

Обезличивание аккаунта по трёхлетнему сроку устроено точно так же, как удаление по вашей просьбе, и имеет те же последствия — включая то, что происходит с оплаченным доступом. Оно не касается тех, у кого подписка жива: аккаунт с действующим автопродлением спящим не считается. Об этом дальше, в разделе «Ваши права».

Калькулятор на сайте

Карту можно посчитать прямо на сайте, не заходя в бот. В этом случае дата, время и координаты уходят на наш сервер, карта считается и возвращается вам — и на этом всё. Ничего из введённого в базу не записывается, профиль не создаётся, узнать вас в следующий раз мы не сможем.

Единственное, что при этом сохраняется, — счётчик запросов с вашего IP-адреса на 60 секунд, чтобы калькулятор нельзя было использовать как бесплатную вычислительную мощность.

Ваши права

Вы можете запросить копию своих данных, их исправление или удаление, отозвать согласие и возразить против обработки.

Две из этих вещей бот делает сам и мгновенно: /data — выгрузка всего, что мы о вас храним, /delete — удаление. Ни очереди, ни ожидания, ни человека посередине: команда выполняется в тот момент, когда вы её отправили.

Остальные обращения — исправление данных, возражение против обработки, жалоба, вопрос по счётчикам посещаемости — принимает почта support@astrella.app. Не пишите их боту: свободное сообщение он считает платным вопросом к астрологу, оно спишет вопрос с баланса, и ответит вам языковая модель, а не сотрудник.

Выгрузка приходит текстовым файлом на русском языке: учётная запись, данные рождения, рассчитанные карты, переписка, платежи, движения баланса, подписка, принятые документы, переходы по ссылке и действия сотрудников с вашим аккаунтом.

Двух вещей в этом файле пока нет, и это недоделка выгрузки, а не умолчание. Первое — тексты фактов, которые бот запомнил о вас из разговора: в файл попадают их тип и дата, но не сами формулировки, потому что хранятся они в отдельной поисковой базе. Второе — партнёрские начисления и выплаты, если вы участвовали в партнёрской программе.

Удаление устроено как обезличивание. Уничтожаются данные рождения и рассчитанные по ним карты, вся переписка, всё, что бот о вас запомнил, ваш Telegram ID, имя пользователя, форма обращения и реферальный код. Остаются суммы и даты платежей, движения баланса и отметки о принятии документов: первое требует закон, второе — доказательство того, на каких условиях мы работали. Ни даты рождения, ни текстов вопросов в них нет, и Telegram ID в них тоже не остаётся: после удаления эти записи уже не показывают, чей это был аккаунт.

Удаление необратимо и уносит с собой оплаченный доступ. Он сгорает, а автопродление мы отменяем — новых списаний не будет. Вернуть Stars после удаления невозможно даже по нашей инициативе: Telegram возвращает платёж в конкретный аккаунт, а связь с ним уничтожена. Поэтому если вы рассчитываете на возврат — сначала возврат, потом удаление. Выгрузку /data тоже имеет смысл забрать до, а не после.

Если ответ вас не устроил, вы вправе пожаловаться в надзорный орган по защите данных по месту вашего жительства.

Как мы это защищаем

• Соединение вашего браузера и вашего Telegram с нами идёт по HTTPS. Внутри нашей инфраструктуры, между входным узлом и приложением, участок сейчас не шифруется — это сеть, которую мы контролируем, но честнее сказать об этом, чем обещать шифрование на всём пути.
• Доступ сотрудников к данным идёт через отдельную закрытую панель: у каждого своя роль, и каждое действие с аккаунтом пишется в журнал — видно, кто и что открывал.
• Двухфакторный вход обязателен для ролей с полными правами — владельца и администратора. Для поддержки и аналитика он возможен, но обязательным пока не сделан: они входят по паролю. Мы называем это прямо, потому что сотрудник поддержки может выгрузить всё, что мы о вас храним, включая переписку.
• Аналитик видит карточку пользователя вместе с данными рождения, но скачать выгрузку не может.
• Секреты двухфакторной аутентификации сотрудников хранятся в базе в зашифрованном виде.
• Ключи доступа к подрядчикам хранятся в защищённом хранилище, а не в коде.

Абсолютной защиты не бывает, и обещать её было бы нечестно. Если утечка всё-таки произойдёт и она может вам навредить, мы сообщим вам и надзорному органу в установленные сроки.

Возраст

Сервис рассчитан на совершеннолетних: 18+. Мы сознательно не собираем данные детей. Если выяснится, что аккаунтом пользуется несовершеннолетний, мы удалим данные по обращению родителя или опекуна.

Изменения этого документа

У документа есть номер версии и дата — они указаны под заголовком. Когда меняется существо (что мы собираем, кому передаём, сколько храним), выходит новая версия, и она показывается вам заново. Исправление опечатки новой версией не считается: иначе каждая запятая обнуляла бы все ранее принятые согласия.

Когда вы принимаете документ, мы записываем три вещи: какой это документ, его номер версии и момент, когда вы нажали кнопку. Этого достаточно, чтобы и вы, и мы могли впоследствии понять, о какой именно редакции шла речь.

IP-адрес при этом не записывается, и это не пропуск. Документы принимаются в боте, а до бота доходит адрес серверов Telegram, а не ваш: записать его значило бы выдать чужой адрес за доказательство о вас.