Политика конфиденциальности и обработки персональных данных

1. Общие положения

1.1. Настоящая Политика определяет порядок обработки и защиты персональных данных пользователей сервиса SynapseAI (далее — «Сервис», «мы», «Оператор») и разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ), иными нормативными актами Российской Федерации.

1.2. Политика действует в отношении всех персональных данных, которые Оператор получает от пользователей при использовании Сервиса через сайт и связанные функции (регистрация, вход, синхронизация прогресса, настройки профиля, сервисные письма).

1.3. Используя Сервис без регистрации, вы можете проходить уроки с сохранением прогресса локально в браузере; такие данные до момента регистрации не передаются Оператору.

1.4. Регистрируя аккаунт и отмечая согласие с настоящей Политикой, вы подтверждаете, что ознакомились с её условиями. Если вы не согласны с Политикой — не регистрируйтесь и не передавайте нам персональные данные.

2. Сведения об операторе персональных данных

2.1. Оператором персональных данных является лицо, осуществляющее деятельность по предоставлению Сервиса SynapseAI.

2.2. Реквизиты оператора:

2.3. Обращения по персональным данным: ranford22@yandex.ru. Юридическая информация: /legal.

• Оператор: Орлов Александр Николаевич (самозанятый, налог на профессиональный доход)
• ИНН: 711814006217
• Адрес: Российская Федерация, деятельность дистанционно (отдельный юридический адрес офиса не используется)
• Сайт: https://gotocase.ru
• Email (персональные данные и юридические обращения): ranford22@yandex.ru
• Telegram (владелец продукта): @ranf0rd

3. Категории субъектов и персональных данных

3.1. Субъекты персональных данных: пользователи Сервиса (физические лица).

• идентификационные и контактные данные: адрес электронной почты, имя пользователя (username), отображаемое имя (при указании);
• данные для аутентификации: хеш пароля (пароль в открытом виде не хранится), данные сессии (идентификатор сессии, срок действия);
• технические данные сессии: IP-адрес, сведения о браузере (User-Agent) — при входе в аккаунт;
• игровые и учебные данные: XP, сердца, streak, дата последней активности, пройденные уроки, текущий урок, настройки внешнего вида профиля, язык интерфейса;
• данные подписки: тариф (free/premium), источник и срок действия Premium (при наличии);
• служебные данные верификации email и восстановления пароля (одноразовые коды/токены с ограниченным сроком действия);
• тексты промптов пользователя — только если включён режим проверки упражнений через внешний LLM (см. раздел 8); в режиме по умолчанию обработка выполняется локально без передачи третьим лицам.

4. Цели обработки персональных данных

• регистрация, аутентификация и управление аккаунтом;
• предоставление доступа к урокам, сохранение и синхронизация учебного прогресса между устройствами;
• отправка сервисных сообщений (подтверждение email, восстановление пароля);
• предоставление функций Premium и учёт entitlements;
• обеспечение безопасности Сервиса, предотвращение злоупотреблений и спама;
• исполнение требований законодательства РФ;
• улучшение качества и функциональности Сервиса на агрегированных, технических и обезличенных данных (в том числе через инструменты продуктовой аналитики и мониторинга ошибок — PostHog, Sentry — при их подключении; см. раздел 7.2), без идентификации личности где это применимо;

5. Правовые основания обработки

5.1. Обработка персональных данных осуществляется на следующих основаниях (ст. 6 152-ФЗ):

• согласие субъекта персональных данных (при регистрации и при отдельных действиях, где это требуется);
• необходимость исполнения договора (пользовательского соглашения) и оказания услуг Сервиса;
• необходимость соблюдения обязанностей Оператора, установленных законом;
• законные интересы Оператора — в части обеспечения безопасности и работоспособности Сервиса, при условии что права субъекта не нарушаются.

6. Способы, условия и сроки обработки

6.1. Обработка осуществляется с использованием средств автоматизации и без них, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование и удаление персональных данных.

6.2. Персональные данные хранятся в базе данных PostgreSQL на серверной инфраструктуре Оператора. В текущей конфигурации Сервиса используется локальная (самостоятельно размещённая) база PostgreSQL на территории Российской Федерации, что соответствует требованию локализации первичных операций с персональными данными граждан РФ (ч. 5 ст. 18 152-ФЗ). При переходе на облачный хостинг Оператор обязан обеспечить первичное размещение БД в РФ. Передача между клиентом и сервером — по HTTPS.

6.3. До регистрации прогресс может храниться локально в браузере (localStorage) на устройстве пользователя; при создании аккаунта данные прогресса могут быть объединены (merge) с данными на сервере.

6.4. Персональные данные хранятся до достижения целей обработки или до отзыва согласия / удаления аккаунта, если иной срок не установлен законом. Сессии и одноразовые коды верификации удаляются по истечении срока действия.

6.5. По истечении сроков хранения персональные данные подлежат уничтожению или обезличиванию, если иное не требуется законом.

7. Cookies, localStorage и аналогичные технологии

7.1. Сервис использует необходимые cookies и localStorage для работы приложения, в том числе:

7.2. Рекламные и поведенческие системы (Google Analytics, Яндекс.Метрика, Meta Pixel и аналоги) не используются. При наличии настроенных переменных окружения NEXT_PUBLIC_POSTHOG_KEY и/или SENTRY_DSN Сервис может использовать следующие инструменты (только при их фактическом подключении): PostHog (PostHog, Inc.) — продуктовая аналитика; по умолчанию EU cloud; автоматический сбор кликов (autocapture) отключён; запись сессий (session replay) отключена; идентификация пользователей — только для авторизованных (identified_only); адрес электронной почты и пароли не передаются в аналитику. Sentry (Functional Software, Inc.) — мониторинг ошибок приложения; передача персональных данных по умолчанию отключена (sendDefaultPii: false); обрабатываются технические сведения об ошибках (stack traces, URL страницы, метаданные браузера).

7.3. Вы можете удалить локальные данные через настройки браузера; это может сбросить прогресс на устройстве без аккаунта и сбросить идентификаторы аналитики PostHog (ph_*).

• cookies/токены сессии Better Auth — для поддержания входа в аккаунт;
• localStorage «synapse-state-v3» — игровой прогресс (в том числе до синхронизации с облаком);
• localStorage «synapse-plan-v1» — тариф до синхронизации с сервером;
• localStorage «synapse-lang-v1» — выбранный язык интерфейса;
• localStorage PostHog (ключи ph_*) — идентификатор аналитики при подключённом PostHog (см. п. 7.2).

8. Передача данных третьим лицам и поручение обработки

8.1. Оператор не продаёт персональные данные. Передача возможна следующим получателям (обработчикам) исключительно для целей, указанных в Политике:

8.2. С каждым обработчиком обеспечивается договорная или иная правовая защита конфиденциальности и безопасности данных в пределах применимого права.

8.3. Персональные данные могут быть предоставлены государственным органам РФ только на основании закона и в установленном порядке.

• провайдер облачной БД PostgreSQL — только при переходе с локальной инфраструктуры; первичное размещение для граждан РФ — на территории РФ;
• Resend, Inc. — отправка транзакционных email (подтверждение почты, сброс пароля);
• OpenAI, Inc. — только при включённом администратором режиме SYNAPSE_PROMPT_EVAL_MODE=openai: передаются тексты промптов пользователя и параметры упражнения для автоматической проверки; по умолчанию используется локальная проверка без передачи OpenAI;
• PostHog, Inc. (EU hosting при соответствующей конфигурации) — события использования Сервиса (просмотры страниц, явные funnel-события: регистрация, прохождение урока); адрес email и пароль не передаются; только при наличии NEXT_PUBLIC_POSTHOG_KEY;
• Functional Software, Inc. (Sentry) — технические данные об ошибках (stack traces, URL страницы, метаданные браузера) при сбоях приложения; только при наличии SENTRY_DSN;
• провайдер хостинга веб-приложения (инфраструктура размещения серверного кода) — в объёме, необходимом для работы Сервиса.

9. Трансграничная передача персональных данных

9.1. В связи с использованием иностранной инфраструктуры (Resend — США; OpenAI — США при соответствующем режиме; PostHog — EU cloud при соответствующей конфигурации; Sentry — США и/или EU в зависимости от конфигурации; возможное размещение серверного кода за пределами РФ) персональные данные могут передаваться за пределы Российской Федерации.

9.2. Трансграничная передача осуществляется в соответствии со ст. 12 152-ФЗ, в том числе на основании вашего согласия при регистрации, а также при условии обеспечения надлежащей защиты прав субъектов договорами с получателями и техническими мерами безопасности.

9.3. Первичная база данных пользователей размещается на территории РФ (локальный PostgreSQL). Трансграничная передача может осуществляться при использовании сервисов из раздела 8 (email, опционально OpenAI, PostHog при подключении, Sentry при подключении).

10. Меры по защите персональных данных

• шифрование трафика (TLS/HTTPS);
• хранение паролей в виде криптографического хеша, а не в открытом виде;
• разграничение доступа к серверной инфраструктуре и секретам (ключи API только на сервере);
• регулярное обновление зависимостей и мониторинг инцидентов безопасности;
• минимизация собираемых данных — только необходимое для работы Сервиса.

11. Права субъекта персональных данных

11.1. Вы вправе (ст. 14, 15, 21, 22 152-ФЗ):

11.2. Запрос направляйте на ranford22@yandex.ru с темой «Персональные данные». Укажите email аккаунта и суть обращения. Срок ответа — до 30 (тридцати) дней, если иной срок не установлен законом.

11.3. Для удаления аккаунта и связанных данных направьте запрос на тот же адрес; мы удалим или обезличим данные, кроме случаев, когда хранение обязательно по закону.

• получать сведения об обработке ваших персональных данных;
• требовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие или обрабатываются незаконно;
• отозвать согласие на обработку — направив запрос на email Оператора; при этом использование аккаунта может стать невозможным;
• обжаловать действия Оператора в Роскомнадзор (rkn.gov.ru) или в суд.

12. Данные несовершеннолетних

12.1. Сервис предназначен для пользователей от 14 лет. Если вам менее 14 лет, использование Сервиса и передача персональных данных допускаются только с согласия родителя или иного законного представителя (ч. 1 ст. 9 152-ФЗ).

12.2. Если Оператор узнает о сборе данных лица младше 14 лет без согласия представителя, такие данные будут удалены по обращению.

13. Изменение Политики

13.1. Оператор вправе обновлять Политику. Новая редакция вступает в силу с момента публикации на данной странице, если иное не указано в тексте.

13.2. При существенных изменениях мы можем дополнительно уведомить вас через Сервис или email. Продолжение использования Сервиса после публикации изменений означает согласие с обновлённой Политикой, если иное не предусмотрено законом.

14. Уведомление Роскомнадзора

14.1. Оператор исполняет обязанности, предусмотренные 152-ФЗ, включая подачу уведомления об обработке персональных данных в Роскомнадзор до начала обработки (если применимо к статусу Оператора).

14.2. Информация об обработке также доводится до сведения субъектов настоящей Политикой.