Политика конфиденциальности ПалКонт
Коротко
Данные нужны для работы сервиса, а не сами по себе. ПалКонт не продаёт персональные данные и не передаёт их рекламным сетям. Мы обрабатываем сведения, необходимые для регистрации, общения, безопасности, поддержки и исполнения закона.
Это политика для приложения ПалКонт, сайта palcont.ru и связанных серверных функций. Оригинал составлен на русском языке; переводы предназначены для удобства.
1. Оператор и контакты
Оператор персональных данных и правообладатель: Морокин Сергей Владимирович, ИНН 543241465060.
Обращения о персональных данных и поддержка в России: palcont@palcont.ru. Обращения на английском языке и из других стран: palcont@palcont.app.
2. Какие данные обрабатываются
- Аккаунт и профиль: PalCont ID, отображаемое имя, пол, подтверждённый номер телефона или электронная почта, аватар, настройки и сведения, которые пользователь добавляет сам.
- Данные аутентификации: стойкое производное пароля вместо самого пароля, данные подтверждения контакта, токены сеансов, идентификаторы подтверждённых устройств и история активных входов.
- Общение и материалы: сообщения, реакции, файлы, изображения, аудио, видео, контакты, истории, каналы, группы, жалобы и обращения, переданные через функции ПалКонт.
- Звонки: технические сигналы установления соединения, участники, тип и время звонка. ПалКонт не ведёт постоянную или штатную запись содержания голосовых и видеозвонков. Обязательный защитный модуль локально на устройстве анализирует речь обоих участников для выявления признаков мошенничества и непосредственной угрозы. Обычный разговор не отправляется для распознавания на сервер и не сохраняется. Если риск достигает установленного порога, в российский контур передаются относящиеся к срабатыванию расшифровка и короткий фрагмент звука из временного буфера для проверки человеком. При невозможности прямого соединения защищённый медиапоток может проходить через сервер ретрансляции.
- Устройство и сеть: IP-адрес, версия приложения и Android, модель и технические параметры устройства, идентификатор установки, сведения о защищённой сессии, время действий, события доставки и диагностические записи безопасности.
- Сигналы встроенной защиты: версия приложения и правил безопасности, состояние целостности приложения, маршрут RU или AT, время события, категория и оценка риска, технический отпечаток материала, идентификаторы аккаунта, подтверждённого устройства, диалога и объекта ПалКонт. Если материал внутри ПалКонт достигает порога риска, в российский контур передаются относящийся к сигналу текст, опрос или сведения о вложении и ограниченное окно соседних сообщений, необходимые для проверки контекста и исправления ложного срабатывания. Сплошная дополнительная копия всей переписки в журнал аналитики не создаётся. Пароли, коды подтверждения, токены, cookies и данные других приложений в такие сигналы не включаются.
- Телефонная книга: после разрешения Android контакты читаются на устройстве. Для поиска знакомых на сервер передаются односторонние хэши нормализованных номеров. Имена, заметки и фотографии телефонной книги целиком для такого поиска не загружаются. Контакт передаётся адресату полностью только если пользователь сам прикрепил его к сообщению.
- Сайт: стандартные технические журналы веб-сервера, включая IP-адрес, время, адрес запроса, тип браузера и результат ответа. На публичных страницах ПалКонт нет рекламных трекеров и аналитических cookies.
3. Как защищается переписка
ПалКонт использует защищённый транспорт только для собственного приложения. Он не является VPN для всего телефона и не перенаправляет трафик браузера, банковских программ или других приложений.
В текущей архитектуре сообщения защищаются при передаче и в серверной инфраструктуре, но не являются сквозно зашифрованными в строгом смысле. Сервер технически обрабатывает содержание для доставки, синхронизации, хранения, работы жалоб и выполнения законных обязанностей. Мы прямо сообщаем эту границу и не называем такую схему E2EE.
В приложение встроен обязательный модуль противодействия спаму, мошенничеству и опасным материалам. Он предварительно оценивает только материалы, создаваемые или получаемые внутри ПалКонт. Отдельного пользовательского выключателя у этого защитного компонента нет: без подтверждения его работоспособности актуальная версия приложения может быть ограничена в отправке материалов.
Во время звонка распознавание и первичная оценка речи выполняются локально на участвующем устройстве для обоих направлений разговора. Непрерывная запись разговора не создаётся. В оперативной памяти поддерживается короткий циклический буфер, который перезаписывается автоматически. Только при достижении порога возможного мошенничества или непосредственной угрозы связанная расшифровка и короткий звуковой фрагмент направляются в RU-контур, где доступны уполномоченному сотруднику вместе с причиной срабатывания. Алгоритм может ошибиться; сигнал сам по себе не является доказательством нарушения и не влечёт окончательной санкции без проверки человеком.
4. Цели и правовые основания
- создание и обслуживание аккаунта, подтверждение контакта, вход и восстановление доступа;
- доставка сообщений и файлов, звонки, синхронизация, контакты, каналы, группы, истории и другие выбранные функции;
- защита аккаунтов и инфраструктуры, ограничение спама, мошенничества, атак и иных злоупотреблений;
- рассмотрение жалоб, поддержка пользователей, разрешение споров и улучшение стабильности;
- исполнение обязанностей и законных требований, применимых к оператору.
Основаниями являются согласие пользователя, заключение и исполнение Пользовательского соглашения, законные интересы оператора при соблюдении прав пользователя, а также обязанности, установленные законом.
5. Действия с данными
В зависимости от функции ПалКонт может собирать, записывать, систематизировать, хранить, уточнять, извлекать, использовать, передавать определённым получателям, блокировать, обезличивать и удалять данные. Автоматическая оценка используется для приоритизации сигналов, временных технических мер защиты и передачи случая уполномоченному модератору. Модератор видит отмеченный материал и необходимый контекст; доступ предоставляется по роли, а просмотр фиксируется в журнале действий. Окончательное решение о существенном ограничении аккаунта не принимается только на основании оценки алгоритма без проверки человеком, кроме немедленной временной меры, необходимой для пресечения технической атаки или непосредственной угрозы.
6. Разрешения Android
Разрешения запрашиваются системой Android в момент, когда они нужны для выбранного действия. Отказ не лишает доступа к функциям, которым это разрешение не требуется.
- Контакты — телефонная книга, поиск знакомых и отправка выбранного контакта.
- Камера и микрофон — фото, видео, голосовые сообщения, аудио- и видеозвонки.
- Фото, видео, аудио и файлы — выбор, отправка и сохранение материалов.
- Местоположение — отправка выбранной пользователем геопозиции.
- Уведомления, фоновая работа и экран входящего звонка — своевременная доставка событий и показ входящего вызова.
Разрешение можно отозвать в настройках Android. ПалКонт не получает доступ к данным других приложений через собственный защищённый транспорт.
7. Получатели и порученная обработка
Пользователи и администраторы пространств видят данные, которыми пользователь делится с ними согласно типу чата, канала, группы и настройкам.
Для работы отдельных функций привлекаются поставщики серверной инфраструктуры и резервного хранения, электронной почты, телефонного или SMS-подтверждения и сетевой связи. Они получают только сведения, необходимые для конкретной задачи, и обязаны обеспечивать конфиденциальность и безопасность в пределах применимых договоров и закона.
Государственным органам данные предоставляются не по постоянному доступу, а только при наличии законного основания и в установленном порядке.
8. Территория обработки
Основной контур аккаунтов, сообщений и файлов ПалКонт расположен в Российской Федерации. При сборе персональных данных граждан Российской Федерации ПалКонт обеспечивает их первичную запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз данных в Российской Федерации.
Российские клиенты подключаются только к контуру RU: иностранный узел не используется для них даже как резерв. Иностранный клиент может войти через транспортный узел AT, но прикладное шифрованное соединение завершается только в RU. На AT не размещаются база аккаунтов, сообщения, файлы, сигналы встроенной защиты, очередь модерации, кэш пользовательских сессий, прикладные журналы или резервные копии ПалКонт.
Как любой принимающий сетевой узел, AT технически видит IP-адрес источника, время и объём соединения. Эти минимальные сетевые сведения не связываются на AT с профилем и не сохраняются в прикладных журналах. Их обработка, а также работа явно выбранных международных интеграций допускаются только при соблюдении применимых требований к трансграничной передаче и после отдельного информирования пользователя, когда оно требуется.
9. Сроки хранения и удаление
- данные аккаунта хранятся, пока существует аккаунт и это необходимо для выбранных функций;
- сообщения и материалы хранятся до удаления пользователем, окончания работы соответствующей функции или иного события, описанного в интерфейсе и соглашении;
- данные сеанса — до выхода, отзыва, истечения срока или удаления аккаунта;
- жалобы, решения и необходимые доказательства — на время рассмотрения и далее в пределах срока, необходимого для защиты прав и исполнения закона;
- обычный звук звонка не сохраняется; временный локальный буфер автоматически перезаписывается, а переданный после риск-сигнала короткий фрагмент хранится по сроку соответствующего случая модерации;
- не подтверждённые модератором исходные сигналы встроенной защиты — как правило, до 90 дней; сведения о работоспособности модуля на неактивном устройстве — до 30 дней; если сигнал включён в случай модерации, скопированные в него доказательства хранятся по сроку такого случая;
- технические журналы — не дольше, чем требуется для безопасности, диагностики и обязательных требований;
- коды подтверждения и незавершённые загрузки удаляются или становятся непригодными после короткого технического срока действия.
При удалении аккаунта профиль, подтверждённые контакты, сеансы, устройства, аватары и личные файлы удаляются из основной системы. Сообщения в общих диалогах сразу теряют связь с профилем и в обычном контуре ПалКонт могут храниться до 30 дней, чтобы не разрушать историю собеседников, затем удаляются. Копия удалённых данных может оставаться в закрытых зашифрованных резервных копиях не более 7 дней и недоступна через приложение. Отдельные сведения могут храниться дольше только тогда и в том объёме, в котором это прямо требуется применимым законом; в таком случае они изолируются от обычного использования.
Подробнее: порядок удаления аккаунта.
10. Права пользователя
Пользователь вправе получать сведения об обработке, уточнять данные, требовать блокирования или удаления при отсутствии законного основания, отзывать согласие, завершать сеансы, выгружать данные аккаунта и обжаловать действия оператора.
Для безопасного выполнения запроса может потребоваться подтвердить владение аккаунтом или подтверждённым контактом. Напишите на palcont@palcont.ru. Обращение не ограничивает право обратиться в Роскомнадзор или суд.
11. Защита данных
Применяются разграничение доступа, аутентификация устройств и сеансов, защищённая передача, шифрование чувствительных идентификаторов, контроль квот и частоты действий, журналы безопасности, резервное копирование и проверка восстановления. Ни одна цифровая система не может честно обещать абсолютную неуязвимость.
Не сообщайте никому пароль и коды подтверждения, защищайте устройство и сообщайте о подозрительной активности в поддержку.
12. Изменения политики
Новая редакция получает дату и номер. О существенных изменениях сообщается в приложении или на сайте до их применения, если немедленное изменение не требуется законом или для устранения угрозы безопасности.