Полный публичный текст политики приложения

Политика обработки персональных данных и конфиденциальности

Версия 2.38 · Дата вступления в силу: 24.08.2026

Обновление от 24.08.2026

В ТЭЙМ добавлены подтверждаемые семейные разрешения на просмотр и изменение финансов и на использование профиля питания; каждое разрешение можно отозвать. Дата рождения после первого сохранения не изменяется обычной синхронизацией. Для квалификации реферального участия обрабатываются только счётчики и даты действий без текстов сообщений. Ожидающее участие хранится до 30 дней, минимальный аудит выплаты — до 365 дней.

Для доставки нейтральных push-уведомлений ТЭЙМ может передавать Firebase Cloud Messaging технический токен устройства и служебный тип события без текста переписки, финансовых, медицинских данных и исходных AI-запросов. Токен хранится в зашифрованном виде, хеш используется для поиска; неактивный токен удаляется через 90 дней, служебная очередь доставки — через 30 дней, а выход и удаление аккаунта отзывают токен раньше. Тексты чужих сообщений могут использоваться личным AI-помощником только после отдельного высокочувствительного разрешения.

1. Общие положения

Настоящая Политика описывает, какие персональные данные обрабатывают мобильные приложения экосистемы «ТЭЙМ», включая основное приложение «ТЭЙМ» и отдельные игровые приложения «Мафия» и «Дурак», для каких целей данные используются, где они хранятся, кому могут передаваться и какие права есть у пользователя. Эти приложения используют одну учётную запись, общую серверную инфраструктуру, поддержку и баланс Лайфкоинов; состав доступных функций зависит от выбранного приложения.

Оператор персональных данных: самозанятая Доронина Тамара Ивановна, ИНН 560204946408. Место деятельности: Мурманская область, ЗАТО г. Североморск, н. п. Североморск‑3. Контакт для обращений субъектов персональных данных: sup@rentgen-app.ru.

Факт принятия обязательных юридических документов фиксируется сервером для конкретной учётной записи: сохраняются идентификатор пользователя, ключ и версия документа, серверные дата и время принятия и IP-адрес клиента. Локальная отметка на устройстве используется только для работы интерфейса и сама по себе не подтверждает согласие другого пользователя этого устройства.

Согласие на обработку персональных данных запрашивается отдельно от Пользовательского соглашения и иных документов. Сведения о здоровье обрабатываются только после ещё одного отдельного явного согласия в основном приложении; игровые приложения «Мафия» и «Дурак» такие сведения не запрашивают. Подтверждение выполняется после входа в учётную запись и сохраняется сервером как отдельный документ с его версией и временем принятия.

Обработка ведётся в соответствии с Федеральным законом № 152-ФЗ «О персональных данных», требованиями локализации баз данных граждан РФ и иными применимыми требованиями законодательства РФ.

2. Какие данные обрабатываются

Оператор может обрабатывать:

• учётные данные: имя, email, хеш пароля, идентификатор пользователя, VK ID и Yandex ID при входе через соответствующий сервис, аватар, дата регистрации;
• профильные данные: возраст, пол, рост, вес, цели, привычки, настроение, параметры питания, дневник калорий, записи еды/напитков, предпочтения, ограничения и комментарии, пользовательские названия и папки сохранённых меню, выбранная пользователем обложка сохранённого меню, признак избранного и оценка меню от 1 до 5, а также отметки выполнения дней цели с плановой датой, самооценкой сложности, настроением и добровольной заметкой;
• специальные категории данных: сведения о здоровье, активности, питании, аллергенах, хронических состояниях, травмах, беременности, пульсе, давлении, шагах, калориях, тренировках, выбранных домашних тренажёрах, временных рядах активности, признаке оценочной дистанции и данных Health Connect/аналогичных источников;
• финансовые данные, введённые пользователем: доходы, расходы, обязательства, категории, лимиты, финансовые цели, кредиты, кредитные карты, счёта, справочные данные НИС и историю ИИ-аудитов кредитов/НИС;
• пользовательский контент: цели, заметки (заголовок, текст, календарная дата, дата и время напоминания, часовой пояс, ежегодное повторение и выбранный дополнительный срок раннего напоминания), рецепты, записи и комментарии в ленте, оценки от 1 до 5 и тексты отзывов о программах, сообщения в чатах, обращения в поддержку, историю обращений в рамках работы поддержки, игровые сообщения и действия;
• при добровольном включении облачной копии локальных игр — выбранное локальное игровое имя, сохранение незавершённой тренировочной партии Mafia/Дурака, агрегаты числа локальных игр, побед, поражений и ничьих и короткие идентификаторы уже учтённых локальных исходов. Эта копия не содержит баланс Лайфкоины, онлайн-рейтинг, награды, чат, медиа или токены и не используется как подтверждение результата онлайн-партии;
• локальный черновик, который пользователь явно отправил в ТЭЙМ через системное меню Android «Поделиться»: текст, содержащиеся в нём ссылки, включая возможный ключ доступа к закрытому видео, внутренний идентификатор владельца аккаунта и ключ выбранного семейного профиля. До явной публикации или передачи во внешнее приложение черновик остаётся в защищённом хранилище телефона и не отправляется Оператору, в облачную копию, аналитику или логи;
• русский голосовой поиск в основном приложении обрабатывает звук локально на устройстве только пока пользователь удерживает кнопку микрофона. Сырой звук находится только в оперативной памяти, не сохраняется, не журналируется и не передаётся Оператору либо третьим лицам. Если распознанная фраза не является локальной командой и пользователь отпусканием кнопки отправляет её в чат AI ТЭЙМ, сервер получает только текст фразы как обычное сообщение;
• социальные и игровые действия: отдельная отметка «Нравится», выбранная emoji-реакция, подписки, дружба, закрепления людей на планете, а также разрешённый идентификатор быстрой игровой эмоции, участник, партия и время такого события;
• социальные подарки: идентификаторы отправителя и получателя, вид подарка, количество, стоимость в Лайфкоинах, дата отправки и выбор показа автора. При анонимной отправке имя автора скрывается от получателя и других пользователей, но служебная связь сохраняется у Оператора для учёта, защиты от злоупотреблений и рассмотрения обращений;
• настройка видимости активности в социальной сети и серверная дата и время последней активности. Если пользователь скрывает собственный статус, он также не видит статус и время последней активности других пользователей;
• настройка доступности профиля в поиске по внутреннему ID и никнейму. При отключении профиль не показывается обычным пользователям в результатах поиска, но остаётся доступен по прямому переходу; это ограничение не применяется к уполномоченным администраторам при выполнении задач поддержки, безопасности и модерации;
• настройки интерфейса: порядок и видимость модулей главной, выбранный вручную город погоды, настройки/закрепления планеты и идентификаторы прочитанных встроенных подсказок без пользовательского текста;
• семейные профили: запросы на семейную связь между аккаунтами, статус подтверждения/отклонения, роль родственника, управляемые детские профили без отдельного email или VK ID, их отдельный внутренний пользовательский идентификатор, включение детского режима, разрешения по разделам, социальным действиям, личному общению и контактам в играх, время изменения политики и лимит бесплатных/доступных по подписке семейных профилей. Финансовые данные в семейный контур текущей версии не передаются;
• родительское согласование общения для подтверждённой семейной связи после отдельного принятия запроса детской учётной записью: идентификаторы родителя и ребёнка, идентификатор предполагаемого контакта, направление заявки, решение, статус и время решения. Родителю не передаются тексты и вложения переписки, список сообщений, число непрочитанных сообщений или содержимое игровых чатов. Дополнительно родитель может разрешать или запрещать ребёнку социальные разделы, лобби, комнаты, личные игровые сообщения и партии с реальными игроками. Обязательное обсуждение текущей партии Mafia остаётся частью правил игры и не раскрывается родителю. Подтверждение связи в приложении не является государственной проверкой родства или опеки;
• PIN-код выхода из детского режима обрабатывается только на устройстве в виде стойко вычисленного значения с солью. Биометрический шаблон обрабатывается операционной системой и не передаётся Оператору или серверу приложения;
• события безопасности пользовательского контента: идентификатор сообщения, автор, чат/раздел, время, категория риска, score, сработавшие правила, статус проверки и действия администратора. Сами тексты сообщений в административные VK-уведомления не передаются;
• жалобы на профиль или контент: идентификаторы заявителя, фактической цели и объекта жалобы, категория, комментарий пользователя, время, статус и число объединённых повторов. Отображаемый ник не используется как идентификатор цели жалобы;
• если в приложении будут включены голосовые или видеозвонки: минимальные call-метаданные (идентификатор звонка, участники, чат, тип аудио/видео, время начала и завершения, статус), временные signaling-события для соединения и технические показатели качества связи. Сырой аудио- и видеопоток не сохраняется по умолчанию;
• технические и защитные данные: IP-адрес, хеш устройства, платформа, способ авторизации, события входа, rate-limit события, журналы ошибок без секретов, идентификатор клиентского приложения (ТЭЙМ, Мафия или Дурак), внутренние ID аккаунтов, обнаруженных на общем устройстве, выбранная пользователем классификация связи и выбранный основной аккаунт при добровольном объединении, SHA-256 одноразового билета и статус такой операции, SHA-256 device-bound refresh-сессии и сроки её действия/отзыва; сам секрет долгой сессии хранится только в защищённом хранилище устройства и не записывается сервером, данные об использовании функций, beta-события качества функций (раздел/операция/статус/код ошибки/длительность, хеш запроса/результата, оценка и комментарий пользователя без сырого prompt/payload);
• при добровольном запуске рекламы с вознаграждением — технические события Yandex Mobile Ads: запрос, показ, закрытие, клик и подтверждение награды, версия приложения и ОС, модель/параметры устройства, IP и сетевые признаки, а также разрешённые платформой технические идентификаторы. Профиль, здоровье, финансы, чаты, точная геолокация и содержимое партии в рекламный запрос не передаются; Android Advertising ID исключён из манифеста;
• технический реестр приватных пользовательских медиа: идентификатор владельца, назначение файла, закрытая ссылка-путь провайдера, состояние загрузки/удаления, безопасный код последней ошибки и временные отметки. Назначение может включать пользовательскую обложку сохранённого меню. Закрытая ссылка не показывается другим пользователям и не включается в обычные логи, аналитику или административные уведомления;
• обезличенные промахи поиска дневника калорий: SHA-256 запроса, нормализованное название еды, классификация и количество повторений без идентификатора пользователя, IP, токена, профиля и записи дневника;
• данные платных функций: баланс Лайфкоинов, начисления, списания, покупки, подписки, игровые ставки Лайфкоинов, игровые предметы и косметика;
• данные бонусных программ: промокоды, скидочные ваучеры, реферальные коды, факты активации, сроки действия и лимиты использования.

3. Цели обработки

Данные используются для:

• регистрации, авторизации, восстановления доступа и защиты аккаунта;
• безопасного объединения принадлежащих одному человеку аккаунтов после отдельной авторизации в каждом из них. Профиль, финансы, активность, игры, социальные данные и настройки сохраняются только от выбранного основного аккаунта; из вторичного переносятся способы входа, баланс Лайфкоинов и оставшийся оплаченный срок Подписки, после чего остальные данные вторичного аккаунта удаляются по общему контуру удаления;
• предоставления функций здоровья, питания, финансов, целей, игр, чатов, голосовых/видеозвонков при их включении, друзей, поддержки, маркетплейса и Лайфкоинов;
• передачи по явному действию пользователя выбранному подтверждённому другу одноразовой копии бесплатного рецепта, бесплатной цели или финансового среза. Финансовый импорт выполняется только после отдельного предупреждения о полной замене данных получателя;
• отображения статуса «В сети» или времени последней активности в социальной сети с учётом взаимной настройки приватности участников;
• подготовки по явному действию пользователя редактируемого локального черновика из Android «Поделиться» и его последующей публикации либо передачи выбранному пользователем внешнему приложению;
• облачного восстановления настроек главной, заметок и будущих напоминаний, календарного отображения заметок и подготовки локальных уведомлений, включая обязательное напоминание накануне ежегодной даты и выбранное подписчиком дополнительное раннее напоминание;
• отправки и отображения социальных подарков, проверки баланса и прав на передаваемый цифровой объект, показа указанного автора либо сохранения выбранной отправителем анонимности для других пользователей;
• добровольного сохранения и явного восстановления локального игрового имени, незавершённых тренировочных партий Mafia/Дурака и их локальной статистики между установками без переноса в онлайн-рейтинг, награды или Лайфкоины;
• персонализации рекомендаций, целей, меню, рецептов и ИИ-ответов;
• загрузки и показа выбранной пользователем обложки только в его личной библиотеке сохранённых меню;
• работы семейного контура: отправки и подтверждения запросов связи, создания и выбора управляемого детского профиля с самостоятельным контуром данных, выбора подтверждённого семейного профиля для питания/целей/рецептов/здоровья в пределах выданных разрешений, а также управления детской политикой родителем и выдачи ограниченной детской сессии без предоставления родителю доступа к переписке ребёнка;
• анализа тренировок, сохранения истории активности и корректировки следующих дней целей по фактической нагрузке;
• формирования добровольного рейтинга активности по агрегированным шагам и калориям, а также рейтинга verified бега/дорожки по сессиям с реальной дистанцией устройства, если пользователь не отключил участие в настройках приватности; ручной ввод и оценочная дистанция в verified рейтинг не входят, а публичные рейтинги могут быть временно выключены до серверной проверки источника результата;
• модерации пользовательского контента и предотвращения злоупотреблений;
• подтверждения принадлежности приватного медиа конкретному аккаунту, безопасного повтора удаления у провайдера и недопущения сохранения файла после удаления аккаунта;
• учёта платных операций, антифрода и технической поддержки;
• показа по явному действию пользователя рекламы с вознаграждением и выдачи конкретного игрового расходника после callback рекламного SDK;
• предоставления промокодов, реферальных бонусов, компенсаций и скидок;
• улучшения beta-функций по безопасным событиям качества, ошибкам, добровольным оценкам и комментариям без автоматической передачи сырых запросов/ответов во внешние ИИ-сервисы;
• расширения проверенного каталога продуктов по агрегированным нулевым результатам поиска без автоматической публикации внешних КБЖУ;
• обеспечения безопасности, расследования инцидентов и выполнения требований законодательства РФ;
• предупреждения пользователя о входе с нового устройства.

4. ИИ-обработка

Для генерации персональных рекомендаций приложение использует YandexGPT и YandexART в Yandex Cloud. В ИИ-запросы передаётся минимальный профильный контекст, нужный для ответа: цели, параметры здоровья/питания, ограничения, выбранное пользователем оборудование для тренировки, текст пользовательского запроса и технические параметры генерации. Для ИИ-меню это может включать КБЖУ, тип диеты, бюджет, число приёмов пищи, флаг десерта, активность, вегетарианство/веганство, blacklist/allergens и пользовательский комментарий о питании, а также короткий список недавних ИИ-названий блюд для исключения повторов; ответ сохраняется как план питания и может содержать структуру сервировки приёмов пищи. Если пользователь сам выбрал подтверждённый семейный профиль, в ИИ-запрос может добавляться только минимальный контекст этого профиля: отображаемое имя, роль и разрешение использовать питание; pending-запросы и финансовые данные туда не передаются. Для ИИ-рекомендаций профиля здоровья и ИИ-аудита тренировки это может включать профиль здоровья, профиль питания, активные цели, краткие бытовые факторы, агрегаты последних дней активности, питания и тренировок, самооценку, заметку пользователя и компактную сводку точек завершённой тренировки, включая cadence/темп шагов, если устройство передало такой стандартный показатель. Сырые BLE/Health Connect payloads, координаты, scan time-series, токены, email и полные финансовые выгрузки для этих функций не передаются. Уведомление активной тренировки на Android показывает только статус занятия, время и пульс при наличии данных. Для ИИ-аудита кредита или НИС приложение перед запуском спрашивает, учитывать ли все текущие финансы. Если пользователь выбирает разбор только выбранного объекта, в ИИ-запрос передаются только данные этого кредита или справочного НИС-расчёта и история прошлых аудитов по нему; остальные балансы, операции и кредиты не передаются. При выборе категории цели «Финансы» само действие запуска генерации означает запрос персонального финансового плана. В YandexGPT передаются только агрегаты текущего периода: суммы доходов и расходов, общий баланс и остаток на счетах, крупнейшие категории, совокупная кредитная нагрузка и количество операций. Названия и описания отдельных операций, реквизиты, номера счетов и полная финансовая выгрузка в такой запрос не входят.

В ИИ-запросы не должны передаваться пароли, коды подтверждения, токены доступа, VK-токены, SMTP/DB-секреты, платёжные секреты и полные финансовые выгрузки, если они не нужны для конкретной функции и не описаны отдельным согласием.

ИИ-рекомендации носят информационный характер и не заменяют врача, диетолога, тренера, юриста или финансового консультанта.

5. Передача третьим лицам и порученная обработка

Оператор может поручать обработку данных поставщикам, необходимым для работы приложения:

• Selectel/VPS и почтовые сервисы Selectel — размещение backend и отправка служебных email;
• Yandex Cloud, YandexGPT, YandexART, Yandex Object Storage/Disk — ИИ-функции, генерация изображений, хранение резервных копий и медиа;
• VK ID и VK API — авторизация через VK ID, получение имени/email/аватара, административные уведомления;
• Yandex ID — авторизация пользователя и получение минимального профиля для входа: идентификатор, имя, email при наличии разрешения и аватар;
• Yandex Mobile Ads — добровольный показ рекламы с вознаграждением и обработка технических событий запроса, показа, клика, закрытия и награды. ТЭЙМ отключает передачу точной геолокации и не добавляет профильные, медицинские, финансовые или разговорные данные в рекламный запрос;
• системные health-провайдеры устройства, например Health Connect, — только после разрешения пользователя на устройстве. Локальное подключение привязывается к текущему TAYM-аккаунту и не наследуется другим аккаунтом на том же устройстве;
• ООО «РОБОКАССА» — при добровольной покупке Подписки: номер и сумма заказа, описание услуги и технические параметры платежа для приёма оплаты, формирования чека, возврата и противодействия мошенничеству. ТЭЙМ не получает и не хранит номер карты, CVC/CVV, банковский пароль или код из SMS;
• Open Food Facts — публичный источник данных о продуктах; только фоновый серверный поиск по распознанным пищевым словам/процентам, отделённым от пользователя, без JWT, идентификатора, профиля и истории дневника. Полученный кандидат проходит проверку и не показывается пользователю автоматически. База Open Food Facts распространяется по Open Database License (ODbL); источник сохраняется у импортированных строк каталога.
• MET Norway — источник прогноза погоды через серверный proxy. Передаются только координаты города из локального справочника и идентифицируемый User-Agent сервера; геолокация устройства, JWT, имя, заметки и профиль пользователя не передаются. Показывается реальный прогноз provider; при краткой недоступности может использоваться последний ответ с указанием времени обновления. Данные прогноза используются по условиям Norwegian Licence for Open Government Data/Creative Commons Attribution;
• GeoNames — источник локального справочника из 2 755 российских населённых пунктов и часовых поясов по лицензии CC BY 4.0. Поиск выполняется внутри TAYM; GeoNames не получает поисковые запросы, IP клиента или идентификатор пользователя;

Оператор не продаёт персональные данные. Передача государственным органам возможна только в случаях, предусмотренных законом.

Оператор оформляет или принимает условия порученной обработки/обработки данных с ключевыми поставщиками, а их перечень поддерживается в актуальном состоянии в этой Политике.

6. Хранение, локализация и сроки

Первичная запись, систематизация, накопление и хранение персональных данных пользователей РФ выполняются в базах данных на территории РФ.

Базовые сроки хранения:

• локальный Android Share-черновик — до успешной публикации, явного удаления, удаления аккаунта или очистки данных приложения. Выход из аккаунта сам по себе не раскрывает и не удаляет черновик: owner ID и ключ семейного профиля не позволяют показать его другому account/profile на общем устройстве. Черновик не входит в серверный backup;
• аккаунт, профиль, цели, финансы, здоровье, Лайфкоины и пользовательский контент — до удаления аккаунта, отзыва согласия или истечения срока, нужного для цели обработки;
• оценка и текст отзыва о программе — до удаления отзыва пользователем, удаления программы/аккаунта либо более раннего прекращения цели обработки;
• минимальные записи заказов Robokassa (идентификатор пользователя и заказа, сумма, вид услуги, статус и даты) — незавершённые и неуспешные не более 90 дней, подтверждённые — до удаления аккаунта; карточные реквизиты, email покупателя и полные callback-запросы в ТЭЙМ не сохраняются;
• одноразовый пакет рецепта, цели или финансов — не более 7 дней. Пакет доступен только выбранному получателю; при использовании содержимое стирается сразу, техническая строка удаляется не позднее суток. При удалении аккаунта отправителя или получателя пакет удаляется раньше;
• одноразовый challenge рекламной награды игры «Башня» — в памяти backend не более пяти минут, до использования или истечения; техническая запись одной rewarded-жизни в активной попытке — до удаления аккаунта. Отдельный предмет в inventory не создаётся. Сроки событий рекламного SDK определяются документами Yandex Mobile Ads;
• заметки — до удаления пользователем или удаления аккаунта. При удалении заголовок, текст, календарная дата, напоминание и timezone стираются сразу; обезличенный tombstone для синхронизации удаления хранится не более настроенного технического срока, по умолчанию 30 дней;
• настройки главной, города, планеты и отметки прочитанных встроенных подсказок — до изменения пользователем или удаления аккаунта;
• резервные копии локальных данных приложения для восстановления после переустановки или сбоя обновления могут включать профильные анкеты, цели и прогресс, включая календарные отметки дней цели, черновики/оффлайн-рецепты, сохранённые планы питания, дневник калорий с пользовательскими записями еды/напитков, КБЖУ и настройками дневного лимита, а также финансовый раздел с операциями, счетами, кредитами, картами, категориями и расписаниями; они хранятся в базе backend до удаления аккаунта или обновления пользователем соответствующих данных, а приложение может показывать пользователю дату последнего обновления его серверной профильной копии и после авторизации спрашивать, восстановить серверную копию или оставить локальные данные, если локальные и серверные срезы отличаются. При выборе локальных данных соответствующие серверные срезы обновляются, а отсутствующий локально срез может быть удалён из профильной копии после авторизованного подтверждения и контрольного чтения. Отдельная копия локальных Mafia/Дурака создаётся только после явного включения пользователем, хранит локальное имя, незавершённые тренировочные сохранения, агрегированную учебную статистику и локальный опыт/уровень до её явной замены или удаления аккаунта. Отключение будущего резервирования не удаляет ранее сохранённую копию автоматически;
• локальная account-scoped очередь изменения библиотеки меню и минимальный tombstone с plan_key удалённого меню хранятся без состава меню до подтверждения синхронизации, удаления аккаунта либо очистки данных приложения; другой аккаунт/семейный профиль на устройстве эту очередь не читает. Закрытый путь новой обложки может временно находиться в этой очереди до подтверждения сервера; после подтверждения локально остаётся только признак наличия обложки;
• обложка сохранённого меню хранится до её замены, удаления пользователем, удаления самого меню или аккаунта. Заменённый/отвязанный файл удаляется у провайдера через общий retry-контур приватных медиа, если на него больше не ссылается другой объект этого владельца;
• дневные агрегаты активности хранятся до удаления аккаунта. После возврата сети приложение может повторно передать до 180 последних дней, а после переустановки — восстановить их при отсутствии локальной истории;
• история тренировок, прореженные точки графиков и ИИ-рекомендации по тренировкам — до удаления аккаунта, удаления конкретной тренировки или очистки соответствующей локальной/серверной истории функции; локальный черновик активной тренировки хранится до 12 часов или до успешного завершения занятия;
• beta-события качества функций — до удаления аккаунта или до истечения срока, необходимого для анализа качества и исправления ошибок; raw prompt, provider response, токены, email, телефон, чаты и полные пользовательские payloads в эти события не сохраняются;
• известные нормализованные названия еды/GTIN в агрегированной очереди промахов поиска — до 180 дней без связи с аккаунтом; unknown possible-food, URL, контактные, разговорные, медицинские и бессмысленные строки — только как SHA-256 и причина до 7 дней;
• закрытые технические файлы проверки кандидатов каталога питания — до 30 дней; они не содержат идентификатор пользователя, IP, токен, профиль или запись дневника и не публикуются автоматически;
• личные и групповые чаты — до удаления аккаунта или до внедрения отдельной политики автоочистки чатов; отметки "удалить у себя" хранятся как технические настройки видимости сообщения для конкретного пользователя;
• настройка видимости активности и время последней активности в социальной сети хранятся в основной записи аккаунта до изменения настройки или удаления аккаунта. Время обновляется с ограниченной частотой только при активном использовании приложения и показывается другим с точностью до минуты; отдельный журнал перемещений или история сеансов не создаются;
• события автоматической проверки безопасности сообщений и контента — до удаления аккаунта или до истечения срока, необходимого для разбора инцидента, выполнения законных требований и защиты пользователей;
• голосовые и видеозвонки, если функция включена: signaling-события хранятся короткий технический срок, call-метаданные — минимально необходимый срок для безопасности, диагностики и споров. Запись разговора не выполняется по умолчанию и может быть включена только при явном согласии участников и отдельной индикации записи;
• записи в ленте и их медиа после удаления автором сразу перестают быть доступными и очищаются от текста/медиа в рабочей базе. Минимальный tombstone без текста и медиа (ID записи и автора, время и причина удаления) хранится не более 30 дней для синхронизации удаления и защиты от повторного показа; отметки «Нравится» и реакции на удалённую запись удаляются вместе с ней;
• открытая запись технического реестра приватного медиа хранится до подтверждённого удаления файла у провайдера. После подтверждения остаётся только минимальный tombstone без пользовательского содержимого: закрытая ссылка-путь, состояние и время удаления — не более 30 дней для защиты от повторной загрузки; удаление аккаунта удаляет эту запись раньше после успешной очистки;
• подписки, дружба и закрепления людей — до отмены действия или удаления аккаунта;
• активная настройка родительского согласования и одобренные контакты — до отключения контроля, отзыва решения, удаления подтверждённой семейной связи или аккаунта. Непринятый запрос на включение действует не более 14 дней. Завершённые запросы на включение, а также отклонённые, отменённые и отозванные решения хранятся не более 30 дней для синхронизации состояния и защиты от повторных запросов, затем удаляются;
• политика детского режима семейного профиля — до её отключения, удаления зависимого профиля, отвязки подтверждённого аккаунта или удаления аккаунта. При отвязке относящаяся к профилю политика удаляется транзакционно;
• внутренний идентификатор и самостоятельные данные управляемого детского профиля — пока существует этот профиль. При его удалении запускается то же удаление пользовательских данных, что и для обычного аккаунта; отдельно оговорённые сроки для удалённого контента, обращений, платежей и защиты от злоупотреблений сохраняются только в минимально необходимом объёме;
• PIN-код родительского выхода и счётчик неудачных попыток хранятся только в защищённом хранилище устройства до сброса PIN-кода или удаления данных приложения; биометрические данные приложение не хранит;
• события ограничения частоты и объединения одинаковых жалоб — до 30 дней. Минимальная карточка закрытой жалобы без лишнего пользовательского контента хранится до 365 дней после закрытия для разбора повторных злоупотреблений и защиты прав сторон, затем удаляется или обезличивается;
• игровые чаты Мафии и Дурака — сохраняются в базе вместе с историей партии; события long-poll очищаются автоматически; lobby/room-чаты очищаются по короткому игровому retention, game chat/history — по отдельному retention истории партии;
• краткая история событий Мафии обезличивается при записи: сохраняются только фаза, итог, количества ролей и агрегаты ночных исходов без идентификаторов участников, имён, чата и исходного payload. Она удаляется через 180 дней по умолчанию (настраиваемый предел 30–365 дней) либо раньше при удалении аккаунта любого участника затронутой партии;
• временная запись завершения Mafia хранит снимок партии и финальный текст только до подтверждения наград, предметов, рейтинга и сообщения. После завершения эти поля немедленно очищаются; оставшиеся технические отметки этапов живут не дольше истории партии и удаляются вместе с ней или аккаунтом;
• системное сообщение об отмене проверки готовности в комнате Дурака может кратко содержать отображаемое имя и технический идентификатор неответившего участника. Оно хранится как часть room-чата; при удалении любого упомянутого аккаунта сообщение удаляется целиком, а связанное уведомление комнаты очищается;
• события быстрой эмоции в Дураке не содержат произвольного текста и очищаются вместе с остальными событиями партии не позднее чем через 24 часа;
• email-коды и неподтверждённые регистрации — технические записи с коротким сроком действия кода, но требуется отдельная серверная автоочистка старых строк;
• обращения в поддержку, ответы поддержки, промокоды внутри обращения и вложения к ним — до закрытия обращения и далее в срок, необходимый для защиты прав Оператора; при удалении аккаунта вложения обращения удаляются из рабочего хранилища вместе с записью обращения;
• промокоды, реферальные начисления и скидочные ваучеры — до удаления аккаунта, истечения срока действия или срока, необходимого для учёта операций и антифрода;
• журналы безопасности и технические логи — минимально необходимый срок для расследования инцидентов;
• технические запросы объединения аккаунтов — до 30 дней; одноразовый билет действует 15 минут и хранится сервером только как SHA-256, без паролей, OAuth-токенов, email и содержимого профиля. После подтверждённого объединения вторичный аккаунт немедленно теряет способы входа, а его оставшиеся данные удаляются общим контуром; при временном сбое очистка остаётся заблокированной для входа и автоматически повторяется;
• активная device-bound owner-сессия — не более 90 дней по умолчанию; сервер хранит только SHA-256 секрета, а истёкший или отозванный технический след — ещё до 30 дней для безопасного отзыва и разбора повторного использования. Сырой refresh-секрет остаётся только в защищённом хранилище устройства до выхода, отзыва, истечения, удаления аккаунта или данных приложения;
• журналы административных выгрузок данных — хранят дату, администратора, основание, целевой аккаунт и количество выгруженных записей; сама выгрузка в этом журнале не сохраняется;
• локальные уведомления и будильники не являются облачной копией заметки. Уведомление содержит общий текст без содержимого заметки; системный будильник создаётся пользователем в приложении Часы и остаётся только на конкретном устройстве;
• резервные копии PostgreSQL: ежедневные копии хранятся локально до 7 дней, еженедельные — до 30 дней, ежемесячные и внешние копии — до 90 дней; данные удалённого аккаунта могут физически сохраняться в закрытой резервной копии до истечения её срока хранения и не возвращаются в рабочую базу иначе чем при аварийном восстановлении с последующим повторным применением удалений.

Если конкретная запись или жалоба нужна для исполнения обязательного требования закона, официального запроса либо уже начатого спора, только необходимый объём блокируется от обычного использования и хранится отдельно до окончания соответствующего срока. Такое основание не используется для бессрочного хранения всех удалённых публикаций.

7. Защита данных

Оператор применяет организационные и технические меры защиты:

• HTTPS/TLS между приложением и сервером;
• автоматическую серверную проверку текстов чатов, комментариев, ленты и игровых сообщений по закрытым правилам безопасности;
• VK-алерты администраторам только в виде безопасных маркеров без текста сообщений, email-кодов, токенов, дампов и иных персональных данных;
• доступ администраторов к содержимому приватных сообщений только при наличии основания: жалоба, срабатывание безопасности, официальный запрос или расследование инцидента; такие просмотры и выгрузки аудитируются;
• история обращений пользователя и создание промокода из чата поддержки доступны только администраторам, проверенным сервером по закрытому списку;
• для будущих звонков — WebRTC с защищённым транспортом и режимом без серверного хранения аудио/видео по умолчанию;
• хеширование паролей;
• хранение секретов вне репозитория и ограничение прав доступа к .env;
• PostgreSQL, Redis и RabbitMQ доступны только с localhost/VPS;
• параметризованные SQL-запросы и серверная проверка прав доступа;
• rate-limit и антиспам-защита для email и критичных действий;
• резервное копирование PostgreSQL;
• административные VK-уведомления о критичных сбоях и атаках.

Текущее ограничение: прозрачное шифрование PostgreSQL «на диске» и прикладное шифрование отдельных чувствительных полей должны быть отдельно проверены и включены до релиза, если этого требует модель угроз и выбранный уровень защищённости.

7.1. Защита регистрации и бесплатных ИИ-запросов

Для предотвращения массового создания аккаунтов и финансовых злоупотреблений Оператор обрабатывает технические признаки регистрации: HMAC-хэши IP/подсети, установки и внешнего способа входа, риск-оценку, причины решения и client app. Сырые IP в журнале риска и административных VK-уведомлениях не сохраняются. События риска хранятся до 30 дней, после чего удаляются; при удалении аккаунта пользовательская связь удаляется или анонимизируется.

Сырой IP может кратковременно сохраняться в закрытых технических журналах входа, согласий и защиты сервиса, когда это необходимо для подтверждения действия или расследования сбоя. Доступ к таким журналам ограничен, обычный срок хранения не превышает 30 дней. Для долговременного сопоставления рисков используются HMAC-маркеры, а не открытый IP-адрес.

При повышенном риске бесплатные ИИ-функции могут потребовать второй подтверждённый способ входа или проверку поддержки, а новая регистрация может быть временно ограничена автоматически. IP не используется как единственное основание решения.

Если Оператор отдельно включил Yandex SmartCaptcha, одноразовый token и IP передаются Yandex Cloud только для проверки «человек/автоматизация». SmartCaptcha показывается не всем, а только при риске; приложение не хранит IP в captcha budget. Месячный агрегат числа проверок без user id может храниться до 13 месяцев для контроля расходов.

7.2. Личный AI-помощник и мессенджеры

Личный AI-помощник является отдельной добровольно подключаемой услугой. Пользователь сам выбирает, разрешить ли помощнику учитывать профиль, погоду, здоровье, сон, питание, цели и планы на сегодня, заметки, агрегированную финансовую сводку, число непрочитанных сообщений и имена их отправителей. Тексты чужих сообщений и отдельные финансовые операции в этот контекст не входят. Профиль включён по умолчанию; заметки, финансы и социальная сводка изначально выключены. В семейной группе сообщения, память и профильные данные одного участника не становятся доступны другим участникам.

История личного помощника хранится не более 365 дней. Факты в памяти хранятся до их удаления пользователем или удаления аккаунта. Для личного диалога в MAX пользователь отдельно подтверждает актуальный текст в авторизованной учётной записи вводом контрольного слова. Сервер фиксирует версию и хеш текста, идентификатор учётной записи, дату и время. Для здоровья и сна требуются действующее согласие на обработку этой категории в ТЭЙМ и отдельная отметка в этом подтверждении. После этого обрабатывается минимальный идентификатор MAX и только разрешённый пользователем контекст. Запрос и разрешённый контекст передаются Yandex Cloud для генерации ответа. Связь с MAX, согласие и записи памяти можно отозвать или удалить в настройках.

После удаления аккаунта сообщения, память, расписания, настройки и идентификаторы мессенджера удаляются. Минимальная запись заказа услуги без связи с аккаунтом и исходного идентификатора запроса может храниться до пяти лет для финансового учёта и рассмотрения споров.

8. Права пользователя

Пользователь вправе:

• получить информацию об обработке своих данных;
• запросить выгрузку данных;
• потребовать исправления неточных данных;
• отозвать согласие;
• удалить аккаунт и связанные данные;
• ограничить отдельные разрешения, например доступ к Health Connect.
• отключить участие в рейтинге активности в настройках приватности.
• скрыть свой статус активности; после этого статусы других пользователей также становятся недоступны до повторного включения настройки.

Запросы направляются на sup@rentgen-app.ru или через доступные функции приложения. Ответ предоставляется в срок, установленный законодательством РФ.

9. Удаление аккаунта

Пользователь может удалить аккаунт в настройках приложения. После удаления основная запись пользователя и связанные данные должны быть удалены из рабочей базы. Серверная процедура удаления должна охватывать все актуальные таблицы приложения, включая социальные чаты, Мафию, внутренний каталог, устройства, feedback, уведомления, health metrics, игры «Башня», Дурака и иные новые модули. Для служебных игровых сообщений удаляются также записи технического отправителя, если их metadata или текст связаны с удаляемым участником. Технические tombstone публикаций также удаляются при удалении аккаунта, кроме минимального объёма, который на этот момент обязан храниться по конкретному закону, официальному запросу или уже начатому спору.

10. Инциденты безопасности

При признаках утечки, неправомерного доступа, потери или изменения персональных данных Оператор должен зафиксировать событие, ограничить ущерб, уведомить ответственных лиц через административный канал и выполнить обязательные уведомления в Роскомнадзор в установленные сроки.

11. Изменение Политики

Оператор может обновлять Политику. При существенных изменениях приложение запрашивает повторное принятие актуальной версии документов.