Политика конфиденциальности

Эта политика объясняет, какие персональные данные собирает Sisterra, зачем, кто обрабатывает их по нашему поручению, сколько мы их храним и какие у тебя права. Она охватывает приложение Sisterra внутри Telegram, бота Sisterra и этот сайт (sisterra.app).

Мы писали её, чтобы её читали, а не пролистывали. Если что-то непонятно — напиши нам: [email protected].

1. Кто отвечает за твои данные

Оператор (контролёр) данных — Individual Entrepreneur Galina Litvinova (ID 304783045), Tbilisi, Krtsanisi district, Nino and Ilia Nakashidze Street N 1 (ex Avlevi), Building N 3l, Apartment N 3, Грузия (в этой политике — «мы»).

Контакт по всем вопросам о данных: [email protected].

2. Что мы собираем

Данные аккаунта. Твой Telegram ID, юзернейм и отображаемое имя — их передаёт Telegram при входе. Если ты привяжешь вход через Google или Apple, мы дополнительно храним идентификатор аккаунта у провайдера и e-mail, который он сообщает.

Анкета, которую заполняешь ты. Имя, дата рождения, страна и город, цели, интересы, текст «о себе», фотографии анкеты и публичный @хэндл. Что попадёт в анкету, решаешь ты; всё, кроме обязательного минимума, — по желанию. Если в том, что ты решишь написать, раскрываются чувствительные сведения о тебе, мы обрабатываем их только потому, что ты сама решила ими поделиться (см. раздел 3).

Фотографии анкеты раздаются через сеть доставки контента (CDN), чтобы они быстро открывались, где бы ты ни была. У каждой фотографии свой длинный случайный адрес — угадать его нельзя, и нигде он не перечислен, — но чтобы открыть этот адрес, вход в приложение не нужен: любая, кому ты его отправишь, увидит фотографию. Адрес работает ровно столько, сколько существует сама фотография: удалишь фото или аккаунт — файл удаляется вместе с ним (копия, уже осевшая в сети доставки, может отвечать ещё какое-то время). Верификационное селфи так не раздаётся — см. раздел 4.

Верификационное селфи. Одно селфи, снятое при верификации, — что с ним происходит, по шагам описано в разделе 4.

Активность. Лайки, мэтчи и переписки: после мэтча, по подписке или по принятому запросу на переписку - сообщения мы храним, чтобы доставлять переписку вам обеим; запрос виден получательнице до принятия и удаляется вместе с аккаунтом любой из сторон. А ещё - настройки уведомлений и язык интерфейса.

Лента. Твои посты, ответы, репосты и цитаты, вложенные к ним картинки, закладки, подписки на других участниц и подписки на тебя, блокировки, просмотры постов, жалобы на посты и отметки «спам». Посты и подписки видны участницам по правилам ленты; закладки, просмотры, жалобы, отметки спама и блокировки видны только тебе (жалобы и спам - ещё модерации). К просмотру поста мы отмечаем, задержалась ли ты на нём - половина поста на экране полсекунды - и когда: такие просмотры показывают, как часто откликаются на посты, которые действительно разглядели, - это нужно, чтобы упорядочивать «Ленту». Эта отметка видна только нам и удаляется вместе с аккаунтом. Ещё мы записываем, что вкладка «Лента» (не «Подписки») отдала в приложение, даже если пост не успел появиться на экране: какой пост, на какой позиции и когда. Запись хранит и то, как была упорядочена твоя «Лента» - нашим расчётом или по времени (в том числе когда расчёт не успел), - и видела ли ты пост раньше: по твоим просмотрам то, чего ты ещё не видела, идёт выше. Порядок «Ленты» зависит и от того, насколько автор поста тебе близка: подписка на неё, твой лайк её анкеты или мэтч с ней, похожие интересы и цели, расстояние между вашими городами из анкет - его мы считаем по центрам городов из справочника, а не по твоему местоположению. Запись хранит, насколько эта близость подняла пост и почему. Эта запись видна только нам, хранится 30 дней и удаляется вместе с аккаунтом. Если ты подписалась на участницу с её поста, мы храним, с какого именно: это видно только нам и удаляется вместе с подпиской и с аккаунтом. Если на твой пост подана жалоба, его картинки и картинка карточки его ссылки хранятся до решения модератора - даже если ты убрала их из поста или удалила сам пост.

Что видит модерация. В панели модерации модератор видит данные твоего аккаунта, анкету и онлайн-статус (в сети ли ты сейчас и когда была в последний раз); твои посты, ответы, репосты и цитаты с вложенными картинками, в том числе скрытые модерацией; подписки в обе стороны; жалобы, поданные тобой и на тебя, и твои отметки «спам»; историю решений модерации по твоему аккаунту. Модератор не видит твои закладки, просмотры и блокировки, не видит, кого и что ты лайкала (в карточке есть только число лайков и мэтчей), и не читает твои переписки с другими участницами - кроме сообщения, на которое пожаловались. Каждое открытие твоей карточки и профиля в панели модерации записывается в журнал просмотров (раздел 6).

Переписка с поддержкой. Если ты пишешь нам — вопрос, жалоба или обжалование решения модерации, — мы храним эту переписку и всё, что ты к ней приложила, чтобы ответить тебе и разобрать спор, если он возникнет. Сколько она живёт после удаления аккаунта — в разделе 6.

Технические данные. Серверные логи (могут содержать IP-адреса и базовые сведения об устройстве), онлайн-статус (признак «в сети» держится, пока открыто приложение, а время последнего визита хранится, пока существует аккаунт) и события просмотров/кликов по карточкам партнёрского каталога внутри приложения, привязанные к ID аккаунта.

Чего мы не делаем. Никаких рекламных трекеров и сторонних рекламных SDK. Никакой продажи или передачи данных для рекламы. Никакой точной геолокации. Никакого доступа к твоим контактам. Этот сайт не ставит cookie: выбор темы и языка остаётся в твоём браузере (localStorage), а аналитика сайта (Cloudflare Web Analytics) работает без cookie и не идентифицирует посетительниц.

3. Зачем мы это обрабатываем (правовые основания по GDPR)

• Работа сервиса — аккаунт, анкета, лента, лайки, мэтчи, чат, уведомления: необходимо для исполнения договора с тобой (ст. 6(1)(b) GDPR).
• Верификация и безопасность — чтобы Sisterra оставалась проверенным пространством только для женщин: исполнение договора, описанного в Условиях, и наш законный интерес в защите сообщества (ст. 6(1)(f)).
• Модерация - разбор жалоб и апелляций, скрытие постов и блокировка аккаунтов по правилам из Условий: исполнение договора, описанного в Условиях, и наш законный интерес в защите сообщества (ст. 6(1)(f)). Разбирая новую жалобу, модератор видит историю прошлых решений по твоему аккаунту - сколько твоих постов скрыто и не возвращено, блокировала ли модерация твой аккаунт, по скольким жалобам на тебя приняты меры, есть ли открытая апелляция, - чтобы отличить случайную ошибку от повторных нарушений. Решение всегда принимает человек: история только показывается модератору и сама ничего не решает.
• Необязательные детали анкеты — интересы, цели, «о себе», дополнительные фото: твоё согласие (ст. 6(1)(a)), которое ты даёшь, заполняя их. Если что-то из того, чем ты делишься, относится к особым категориям данных, мы опираемся на твоё явное согласие (ст. 9(2)(a)) — делиться таким всегда твой выбор, а не требование.
• Запись того, что вкладка «Лента» отдала в приложение - сравнение способов упорядочить ленту и объяснение, почему пост стоит на своём месте: наш законный интерес (ст. 6(1)(f)).
• Отметка, что ты задержалась на посте - понять, как часто откликаются на посты, которые действительно разглядели, чтобы упорядочить «Ленту»: наш законный интерес (ст. 6(1)(f)).
• Порядок «Ленты» - выше идут посты участниц, которые тебе ближе. Подписки, лайки анкет, мэтчи и город из анкеты: наш законный интерес (ст. 6(1)(f)). Интересы и цели - в рамках согласия, которое ты даёшь, заполняя их (см. «Необязательные детали анкеты»); отозвать его можно, очистив их.
• Технические логи и телеметрия — эксплуатация, отладка и защита сервиса: наш законный интерес (ст. 6(1)(f)).

Любое согласие можно отозвать в любой момент — отредактировав или удалив данные в приложении либо написав нам.

4. Верификация — честно и по шагам

Каждая анкета проходит верификацию до того, как её увидит кто-либо ещё. Вот весь процесс, без прикрас:

• Ты делаешь селфи в приложении.
• Живой модератор сравнивает селфи с фотографиями анкеты и подтверждает либо отклоняет её. При отказе ты видишь причину и можешь отправить новое селфи.
• Автоматического распознавания лиц нет. Ни биометрических алгоритмов, ни face-matching-софта, ни сторонних вендоров идентификации. По GDPR фотография, которую анализирует человек, а не специальные технические средства, не является биометрическими данными в смысле ст. 9. Мы всё равно обращаемся с селфи с повышенной осторожностью: оно лежит в хранилище с ограниченным доступом, используется только для верификации и никогда не показывается другим пользовательницам.
• Каждое решение по верификации принимает человек. Автоматизированных решений с юридическими последствиями (ст. 22 GDPR) нет.
• Модераторы смотрят селфи в закрытом модераторском канале в Telegram — значит, по пути к модератору селфи проходит через инфраструктуру Telegram. Копия в канале удаляется сразу после решения модератора; независимо от исхода каждая копия дополнительно удаляется плановой автоматической очисткой (обычно в течение суток).

Если мы когда-нибудь введём автоматическое сравнение лиц, мы сначала обновим эту политику и спросим твоё явное согласие — до того, как это коснётся тебя.

5. Кто обрабатывает данные по нашему поручению

Мы не продаём твои данные и не передаём их для рекламы. Для нас данные обрабатывают следующие провайдеры — по их соглашениям об обработке данных, включающим Стандартные договорные положения ЕС там, где данные покидают ЕЭЗ:

Если ты привязываешь вход через Google или Apple, Google LLC или Apple Inc. выступают самостоятельными провайдерами этого входа по их собственным политикам конфиденциальности.

Гифки в Sisterra предоставляет KLIPY (KIKLIKO, Inc., США) - самостоятельный провайдер, который действует по собственной политике конфиденциальности. Гифки грузятся с серверов KLIPY: твоё устройство запрашивает каждую напрямую у KLIPY, и KLIPY видит IP-адрес и браузер, но не твой аккаунт - его мы KLIPY не передаём. Когда ты ищешь гифку или открываешь популярные, устройство тоже обращается к KLIPY напрямую, и KLIPY видит ещё твой запрос и то, какую гифку ты выбрала, а также может видеть страну из твоей анкеты или язык интерфейса.

6. Сколько мы храним данные и как работает удаление

Мы храним данные, пока существует твой аккаунт. Никакого «остывания», льготных периодов и «мягкого удаления» нет:

• Удалить аккаунт можно в приложении в любой момент (Настройки → Удалить аккаунт) или написав на [email protected].
• Удаление начинается сразу. Анкета, фотографии (включая верификационное селфи), лайки, мэтчи, переписки (удаляются у обеих участниц), записи верификации, данные уведомлений и всё из раздела «Лента» - посты с картинками, ответы, репосты, цитаты, закладки, подписки в обе стороны, блокировки, просмотры, запись того, что вкладка «Лента» отдала в приложение, поданные тобой жалобы и отметки спама - стираются автоматическим процессом, который стартует в момент подтверждения. Ответы других участниц под твоими постами остаются у их авторов, но теряют родителя; жалобы на тебя удаляются вместе с их записью в панели модерации, в журнале модераторов остаются только числовые id (см. ниже). Файлы фотографий и картинок постов удаляются из медиахранилища тем же процессом; плановая очистка добирает возможные остатки в течение нескольких часов.
• Блокировка аккаунта модерацией - не удаление: анкета, посты и переписки временно скрыты от других участниц и возвращаются, если блокировку снимают; удалить аккаунт можно и во время блокировки.

Пережить удаление может только то, что перечислено ниже. Список закрытый:

• Ротируемые серверные логи и зашифрованные резервные копии баз. Они истекают автоматически в течение 30 дней и никогда не используются для восстановления удалённого аккаунта.
• Записи вкладки «Лента» других участниц - до 30 дней. Запись того, что вкладка «Лента» отдала в приложение другой участнице, может называть твои посты голыми числовыми идентификаторами - без текста, картинок и автора. Такие строки истекают вместе с записью, в течение 30 дней.
• Переписка с поддержкой — 90 дней. Это дольше тридцати дней выше, и намеренно: если ты вернёшься к нам после удаления со спором или обжалованием, разобрать его будет попросту нечем — анкеты уже нет. Поэтому вместе с аккаунтом сразу стираются имя, @хэндл, аватар и все вложения переписки, включая фотографии, которые ты нам присылала, — остаётся только текст, привязанный к обезличенному идентификатору, который больше ни на что не указывает. Восстановить по нему аккаунт нельзя, и ни для чего, кроме разбора спора, мы его не используем. Основание — ст. 17(3)(e) GDPR (защита правовых требований). Через 90 дней переписка удаляется окончательно.
• Журнал действий модераторов — бессрочно. Это единственная запись о том, что модерация делала и почему, и она не стирается вместе с аккаунтом. В записи — внутренний числовой идентификатор аккаунта, действие, время и причина решения, которую модератор пишет своими словами: это свободный текст, и что в нём окажется, зависит от того, как модератор сформулировал. Анкеты и фотографий в журнале нет. Пока аккаунт существует, модерация учитывает записи о нём при разборе новых жалоб на него - чтобы оценить, повторяется ли нарушение (раздел 3); после удаления аккаунта мы используем журнал только для разбора действий самой модерации и споров о них. Основание то же — ст. 17(3)(e) GDPR.
• Журнал просмотров модерации - бессрочно. Когда модератор открывает в панели модерации твою карточку или профиль, твои фотографии и селфи при верификации и проверке фото или твою переписку с поддержкой, мы записываем, кто открыл, что именно и когда. В записи - внутренний числовой идентификатор твоего аккаунта (для переписки с поддержкой после удаления аккаунта - её обезличенный идентификатор), модератор, вид просмотра и время; анкеты, постов, фотографий и текста переписки в журнале нет. Он переживает удаление аккаунта намеренно: иначе удаление стирало бы и след того, как с твоими данными обращались. Используем его только для проверки доступа модерации к данным и разбора споров. Основание то же - ст. 17(3)(e) GDPR.

7. Твои права

По GDPR ты в любой момент можешь:

• получить доступ к данным о тебе и их копию (переносимость данных);
• исправить неточные данные — большую часть анкеты ты правишь прямо в приложении;
• удалить аккаунт и данные (см. раздел 6);
• ограничить обработку или возразить против обработки на основании законного интереса;
• отозвать согласие на всё, что основано на согласии;
• пожаловаться в свой надзорный орган по защите данных.

Пиши на [email protected] — мы отвечаем в течение 30 дней. Чтобы защитить твои данные, мы можем попросить подтвердить запрос из того Telegram-аккаунта, которому принадлежит аккаунт Sisterra.

8. Возраст

Sisterra — для взрослых. Тебе должно быть не меньше 18 лет; приложение проверяет это при создании анкеты. Мы сознательно не обрабатываем данные никого младше 18 — если ты считаешь, что такое произошло, сообщи нам, и аккаунт будет удалён.

9. Изменения этой политики

Когда политика меняется, мы объявляем об этом в приложении или через бота до вступления изменений в силу и обновляем дату «последнего обновления» наверху. Если изменение требует нового согласия, мы его спрашиваем — молчание согласием не считается.

10. Контакты

Individual Entrepreneur Galina Litvinova (ID 304783045), Tbilisi, Krtsanisi district, Nino and Ilia Nakashidze Street N 1 (ex Avlevi), Building N 3l, Apartment N 3, Грузия [email protected] — запросы о данных и эта политика [email protected] — всё остальное