Sarafun
Telegram

Политика конфиденциальности

Последнее обновление: 31 августа 2026

1. О чём этот документ и куда писать

Документ описывает, какие данные собирает и хранит проект Sarafun: Telegram Mini App «Sarafun», связанные с ним Telegram-боты, сайт sarafun.app и короткие ссылки вида sarafun.app/s/. Сообщество базируется в Валенсии, Испания. Данные обрабатываются в пределах Европейской экономической зоны, поэтому мы описываем обработку в терминах Общего регламента о защите данных (GDPR, Регламент (ЕС) 2016/679) и исполняем перечисленные ниже права.

Мы не публикуем имя владельца проекта, название юридического лица и почтовый адрес. Единственный способ связи по вопросам данных — адрес hello@sarafun.app. Пишите туда для реализации любого права из раздела 15, для жалобы на чужую публикацию о вас, для сообщения об ошибке в этом тексте. Отвечаем не дольше месяца с момента обращения. Отдельного должностного лица по защите данных у проекта нет; обращения читает владелец проекта.

Чтобы мы не выдали ваши данные постороннему, при обращении мы попросим подтвердить, что вы — это вы: написать с того же Telegram-аккаунта или иным доступным способом.

2. Возраст

Сервис предназначен для людей старше 18 лет. Регистрируясь, вы подтверждаете, что вам исполнилось 18.

Автоматической проверки возраста в приложении нет, и мы говорим об этом прямо. Telegram не передаёт нам дату рождения, а сами мы её нигде не спрашиваем. Значит, техническую преграду для несовершеннолетнего мы не ставим — есть только это условие. Если вы узнали, что аккаунтом пользуется человек младше 18, напишите на hello@sarafun.app: мы удалим учётную запись.

3. Где действует документ

Документ описывает данные, которые проходят через Mini App «Sarafun» — его открывают через любого из наших ботов. Он же описывает данные, которые идут через сами Telegram-боты: и личную переписку с ботом, и публикации, которые бот отправляет в группы сообщества. Сюда же входят данные сайта sarafun.app, включая публичные страницы-превью по коротким ссылкам. Отдельно документ описывает сведения об участниках Telegram-групп сообщества, подключённых к приложению: среди них есть люди, которые приложение никогда не открывали (раздел 8).

Сайт-лендинг не содержит форм, аналитических и рекламных скриптов. Одна cookie на нём всё же ставится: sarafun_lang со сроком год и атрибутом samesite=lax — она запоминает выбранный язык страницы. Рядом с ней в локальное хранилище браузера пишется та же настройка под ключом sarafun-lang-pref. Обе строго функциональны и служат только переключателю языка.

Обработку внутри самого Telegram — мессенджера, аккаунтов, чатов, платёжной системы Telegram Stars — ведёт компания Telegram по своим правилам. На неё мы не влияем, и этот документ её не регулирует.

4. Какие данные мы собираем

Идентификатор Telegram. При каждом входе Telegram передаёт нам числовой идентификатор вашего аккаунта, @username, имя, фамилию, ссылку на фотографию профиля и язык интерфейса. Числовой идентификатор — постоянная метка, по которой мы узнаём вас при каждом входе; он же связывает вашу учётную запись со всем остальным. Дальше в тексте мы называем его «идентификатор Telegram».

Фотография профиля. Мы не только показываем фотографию по ссылке Telegram, но и скачиваем её файлом на свой сервер, чтобы не зависеть от доступности их CDN.

Анкета. То, что вы вводите сами: описание, профессия, компания, «откуда родом», навыки, «кого ищу», ссылки на соцсети и сайт, интересы, текущий город. Имя и фамилию вы тоже правите сами — они фиксируются при регистрации и из Telegram больше не перезаписываются.

Настройки и служебные признаки учётной записи. Переключатели уведомлений, тихие часы, часовой пояс, тема оформления, последний использованный бот, признак того, что вы заблокировали бота, время последней активности, дата принятия этой политики, роль и причина блокировки, если она применялась.

Журнал действий. Мы записываем значимые действия: открытие страницы, старт сессии, просмотр события, запись на событие, создание контента. Рядом с действием сохраняется свободное текстовое пояснение — например, заголовок события или список изменённых полей профиля. Туда же попадают идентификатор клиентской сессии и метка источника перехода: из какого чата или по какой ссылке вы пришли. При старте сессии дополнительно записываются тип устройства, версия Telegram и выбранная тема.

Отдельно скажем о снимке чужого имени. Когда вы нажимаете «написать» другому участнику или открываете его внешнюю ссылку, в журнал попадает не только идентификатор этого человека, но и его имя на тот момент. Это осознанное решение, а не побочный эффект: без имени лента действий нечитаема. Что происходит с этими снимками, когда человек удаляет аккаунт, описано в разделе 11.

Поисковые запросы и фильтры. Их мы храним отдельно от журнала действий. Записываются: нормализованный текст запроса длиной до 60 символов, диапазон числа найденных результатов, применённые фильтры в виде коротких кодов, экран, на котором вёлся поиск, идентификатор клиентской сессии и ваш город на момент запроса. Личные разделы — «Мои», «Записан», собственные объявления — в этот сбор не попадают.

Обратная связь. Текст, отправленный через форму обратной связи, и выбранная категория.

Сессии. Мы храним идентификатор выданного токена, бот, через которого выполнен вход, тип устройства и язык. Рядом с ними — усечённый IP-адрес, по которому нельзя определить конкретное устройство. Дальше идут времена входа, последней активности, истечения и отзыва, а также причина отзыва, если сессию отзывали. Полный IP-адрес и полный User-Agent в базе приложения не хранятся — единственное исключение описано в разделе 14.

Журналы уведомлений. Для каждого отправленного уведомления: получатель, тип, статус доставки, код и текст ошибки Telegram, идентификатор сообщения и бот-отправитель. Текст уведомления мы не сохраняем.

Доступность ботов. Для каждой пары «пользователь — бот»: запускали ли вы бота командой /start, заблокирован ли он, когда это произошло, когда вас видели последний раз.

Участие в событиях. Здесь мы храним:

  • записи на события и статус участия;
  • заявки на участие со свободным сообщением организатору и причиной решения;
  • роль соорганизатора;
  • отметки о присутствии: кто, когда и кем отмечен, по QR-коду или вручную;
  • подписки на обсуждения и на записи.

Пользовательский контент. События, которые вы создаёте, вместе с изображениями. Комментарии, оценки от одной до пяти, текстовые отзывы, реакции. Запросы в разделе «Ищу» и ответы на чужие запросы. Объявления в разделе шеринга вещей — фотография, описание, район выдачи предмета. Заявки на займ со свободным сообщением. Рекомендации. Реферальные посты. Жалобы на контент со свободной причиной. Сообщества (тематические хабы), которые вы создаёте, — название, описание, обложка, аватар, город и ссылка на связанную Telegram-группу, — а также ваши подписки на сообщества и права модератора в них.

Random Coffee. В каком качестве вы участвуете (Парень, Девушка, Семья-пара) и кого хотите встретить — то есть сведения о поле и семейном положении. Снимок этих значений в каждом раунде, где вы регистрировались. Составленные пары и их статус. Ваши отзывы о встречах, включая свободный комментарий о конкретном человеке — партнёру он не показывается. Если у партнёра нет @username, вы можете попросить бота передать контакт: мы храним время такого запроса и то, кто из пары его отправил. Список «уже знакомы»: кого вы отметили, чтобы вас не сводили в пару. Он виден только вам — отмеченный человек об этом не узнаёт и уведомления не получает. Действует в обе стороны и только внутри вашего города.

Чаты сообщества и сообщения ботов в них. Для каждого подключённого чата храним название, @username и фотографию чата. Для каждой публикации и рассылки, отправленной ботом, храним полный текст сообщения, идентификатор сообщения в Telegram и служебные данные — заголовок события, подписи кнопок, а также имя администратора или модератора, чьё действие вызвало отправку.

Платежи. При донате через Telegram Stars сохраняются сумма, идентификатор платежа Telegram и бот, принявший платёж. Платёжные реквизиты нам не передаются и нами не обрабатываются.

Административные журналы. Действия администраторов над учётными записями и контентом с пояснениями в структурированном виде, включая причину блокировки и снимок стёртых записей на события. История изменений контента с фрагментами изменённого текста. Журнал тревог безопасности — его записи могут содержать имя, фамилию, @username и идентификатор Telegram, а в отдельных случаях ещё и сведения о браузере вместе с усечённым IP-адресом.

Сведения об участниках подключённых Telegram-групп. Описаны отдельно в разделе 8.

5. Зачем мы это обрабатываем и на каком основании

Ниже для каждой цели указано основание по статье 6 GDPR.

Ведение учётной записи, показ профиля, участие в событиях, публикация вашего контента, работа разделов «Ищу», шеринга, рекомендаций, сообществ и рефералов, транзакционные уведомления по вашим подпискам — исполнение договора с вами (статья 6(1)(b)). Принимая эту политику при регистрации, вы вступаете с нами в отношения по предоставлению сервиса. Без перечисленных данных сервис не работает.

Подбор участников для знакомства по интересам, навыкам, профессии и городу — исполнение договора (статья 6(1)(b)): это заявленная функция сервиса.

Участие в Random Coffee и обработка сведений о поле и семейном положении — ваше согласие (статья 6(1)(a)). Анкету вы заполняете добровольно и удаляете сами, не удаляя учётную запись. Два ограничения: пока идёт раунд, в котором вам уже подобрана пара, приложение удалить анкету не даст — это станет доступно после завершения раунда; снимок указанных значений остаётся в уже прошедших и текущих активных раундах.

Необязательные рассылки-подборки — новые события, новые запросы, новые объявления шеринга, новые рефералы — ваше согласие (статья 6(1)(a)). По умолчанию они выключены, вы включаете их вручную и тем же переключателем отзываете согласие.

Защита сервиса от злоупотреблений — законный интерес (статья 6(1)(f)). Сюда входят ограничение частоты запросов, выявление сканирования и перебора, журнал тревог, сессии с усечённым IP-адресом и журналы веб-сервера. Интерес состоит в доступности сервиса и сохранности данных участников.

Модерация контента, разбор жалоб, административный аудит и история изменений — законный интерес (статья 6(1)(f)) в поддержании безопасной среды и в возможности доказательно разобрать спорную ситуацию.

Продуктовая аналитика — журнал действий, поисковые запросы и фильтры, статистика доставки уведомлений — законный интерес (статья 6(1)(f)). Мы хотим понимать, какими функциями пользуются и какого содержания сообществу не хватает. Уточним честно: в статистике эти данные считаются агрегированно, но в админке есть и лента журнала по конкретному человеку — с фильтрами по действию и датам. Вы вправе возразить против такой обработки (раздел 15).

Снимок чужого имени в журнале при переходе к переписке или по внешней ссылке — законный интерес (статья 6(1)(f)) в разборе жалоб на навязчивые обращения и в оценке того, приводит ли сервис к реальным контактам.

Хранение текстов публикаций и рассылок в чатах — законный интерес (статья 6(1)(f)): по ним бот редактирует уже отправленное сообщение, повторяет неудавшуюся отправку и разбирает претензии к содержанию публикации.

Сведения об участниках подключённых Telegram-групп — законный интерес (статья 6(1)(f)), подробности в разделе 8.

Приём донатов — исполнение договора (статья 6(1)(b)); хранение записи о платеже — соблюдение правовой обязанности по учёту поступлений (статья 6(1)(c)).

Специальные категории данных по статье 9 GDPR — здоровье, вероисповедание, политические взгляды, биометрия и подобные — мы целенаправленно не собираем. При этом мы не контролируем, что вы напишете в свободных полях. Описание профиля, комментарий, запрос, рекомендация, сообщение обратной связи хранятся ровно в том виде, в каком вы их отправили.

6. Кто видит ваши данные

Профиль виден всем участникам сообщества, авторизованным в приложении. В этом цель сервиса: приложение существует для того, чтобы участники находили друг друга. Не указывайте в профиле то, что не готовы раскрывать.

В трёх случаях данные выходят за пределы приложения, и об этом стоит знать заранее.

Первый — короткие ссылки. Приложение выдаёт ссылки на профили, объявления, запросы и рекомендации. Страница по такой ссылке отдаёт имя, фотографию и краткое описание любому, у кого ссылка есть, — вход в приложение не нужен. Ссылка подписана, подобрать её перебором нельзя. Но переслать её может кто угодно.

Второй — файлы изображений. Загруженные картинки, включая фотографии профилей, отдаются по прямым адресам без авторизации.

Третий — публикации в группах. Публикуя событие, бот отправляет сообщение в Telegram-группы сообщества с именем организатора и ссылкой на его профиль. Эти сообщения видят все участники соответствующих групп, и хранятся они в Telegram.

Другим участникам не показываются: технические данные из раздела 4 — журнал действий, сессии, поисковые запросы, журналы уведомлений; настройки уведомлений; текст обратной связи; отзывы о встречах Random Coffee; поданные вами жалобы. Отзыв о встрече никогда не увидит тот, о ком он написан.

Администраторы приложения видят учётные записи, контент, журнал действий по конкретному человеку, административный аудит и статистику. Такой доступ нужен им для модерации и разбора обращений.

7. Кому мы передаём данные

Мы не продаём данные и не передаём их для рекламы или профилирования в чужих интересах. Но передача данных происходит, и вот в каких случаях.

Telegram Messenger. Telegram — наш инфраструктурный поставщик. Через него выполняется вход в приложение, уходят все уведомления в личных сообщениях, публикуются события в группах, хранится токен вашей сессии и проводятся платежи Telegram Stars. Всё, что уходит в Telegram — имя, текст публикации, содержание уведомления, — дальше обрабатывает Telegram по своей политике конфиденциальности.

Владелец проекта. Текст, отправленный через форму обратной связи, бот дублирует личным сообщением главному администратору, и он остаётся в его переписке в Telegram. Удаление вашей учётной записи эту копию в Telegram не затрагивает.

Хостинг. Приложение и база данных работают на арендованном сервере в пределах Европейской экономической зоны. Мы арендуем машину у хостинг-провайдера и не заявляем о каких-либо его сертификациях.

Резервные копии. Автоматические копии базы мы храним 30 дней; одна копия хранится отдельно от основного сервера. Отсюда следствие для права на удаление: до тридцати дней после удаления учётной записи ваши данные ещё лежат в этих копиях. Отдельно оговорим две вещи, которые под тридцатидневный срок не подпадают. Первая — единичные ручные снимки базы, которые мы делаем перед крупными изменениями; они хранятся дольше. Вторая — отдельная копия загруженных файлов: она пополняется, но не повторяет удаления, поэтому изображение, стёртое у нас, может остаться в ней.

Список городов взят из открытого набора данных GeoNames (раздел 17). Никакие ваши данные в GeoNames не уходят.

Самостоятельно за пределы Европейской экономической зоны мы данные не передаём. Такая передача возможна внутри инфраструктуры Telegram, которая находится вне нашего контроля.

8. Данные людей, которые приложением не пользуются

Приложение обрабатывает данные людей, которые сами им не пользовались и эту политику не принимали. У них есть права на эти данные, поэтому мы прямо раскрываем, что именно о них хранится и как это удалить.

Участники подключённых Telegram-групп. Для каждой группы сообщества, подключённой к приложению, мы храним список участников: идентификатор Telegram, имя, фамилию, @username, признак подписки Telegram Premium, язык интерфейса и статус в группе. Данные собираются через интерфейсы Telegram — служебным аккаунтом, состоящим в группе, и событиями об изменении состава. Значительная часть этих записей не связана ни с одной действующей учётной записью. Это и люди, которые приложением никогда не пользовались, и те, чья учётная запись удалена или заблокирована. Основание — законный интерес (статья 6(1)(f)) в понимании охвата сообщества, в том, кому уже доставлено объявление, и в модерации.

Администратор может выгрузить список участников чата файлом — идентификатор Telegram, имя, фамилия и @username. Выгрузка нужна для модерации и учёта охвата; каждая такая операция попадает в административный журнал.

Сразу оговорим ограничение, чтобы не давать невыполнимого обещания. Служебный аккаунт регулярно заново сканирует состав активных чатов. Если мы удалим запись по вашему обращению, а вы продолжаете состоять в группе, при ближайшем сканировании она появится снова. Удалить её насовсем можно только после того, как вы покинете группу; до этого мы можем удалить её лишь временно.

Объекты рекомендаций. Участник может опубликовать рекомендацию о человеке вне приложения или о компании, создав карточку с именем, фотографией, городом, категорией и контактами: сайт, Telegram, WhatsApp, Instagram, телефон, электронная почта, адрес, ссылка на карту. Эти сведения вносит автор рекомендации, а не сам объект. Основание — законный интерес (статья 6(1)(f)) в обмене проверенными контактами внутри сообщества. Если рекомендация касается вас и вы этого не хотите, напишите на hello@sarafun.app — карточку скроем или удалим.

Имена в чужих журналах. Как сказано в разделе 4, при переходе к переписке или по внешней ссылке в журнал попадает имя того, к кому обращались. Если этот человек удалит учётную запись, мы сотрём его имя и из чужих записей тоже — как именно, описано в разделе 11.

Тексты о третьих лицах. Комментарии, запросы, отзывы о встречах, снимки контента в жалобах и пояснения к административным действиям могут содержать сведения о других людях. Заранее мы их не редактируем и реагируем по обращению или по жалобе.

9. Сколько мы храним каждую категорию

Учётная запись, анкета и настройки хранятся, пока вы не удалите учётную запись. С вашим контентом сложнее: часть его переживает удаление аккаунта под подписью «Удалённый пользователь», часть скрывается, часть стирается — точный разбор в разделе 11. Неактивные учётные записи автоматически не удаляются: если вы не удалите аккаунт сами, эти данные будут храниться бессрочно.

Поля, которые переживают удаление учётной записи. Идентификатор Telegram — на нём держатся повторная регистрация и защита от обхода блокировок. Вместе с ним нетронутыми остаются город, часовой пояс, тихие часы, тема оформления, роль, дата регистрации, время последней активности и последний использованный бот. Всё остальное в учётной записи обезличивается (раздел 11).

Журнал действий. 365 дней с момента каждой записи. Два вида записей из чистки исключены и хранятся бессрочно. Первый — сообщения через форму обратной связи: это ваш текст, а не телеметрия, и в приложении он хранится только здесь; про копию, ушедшую в Telegram главному администратору, сказано в разделах 7 и 11. Второй — служебные отметки о том, что напоминание о заполнении профиля уже отправлялось.

Поисковые запросы и фильтры. 365 дней с момента записи.

Сессии. Удаляются, когда с момента истечения токена прошло больше 90 дней. Кроме того, они удаляются сразу — и при удалении учётной записи, и при блокировке.

Журналы уведомлений. Напоминания о событиях и записи о проблемной доставке (ошибка, бот заблокирован, отправка отложена) — 400 дней. Остальные — 90 дней. Удаление учётной записи эти записи не затрагивает.

Признаки доступности ботов. Хранятся, пока существует учётная запись, и удаляются вместе с ней. Блокировка их не затрагивает.

Заявки на участие в событиях. Решённые заявки — одобренные, отклонённые, отозванные, просроченные и снятые из-за отмены события — удаляются через 90 дней после начала события. Заявка, по которой организатор так и не принял решения, автоматически помечается просроченной через четыре часа после окончания события и дальше удаляется по тому же правилу.

Записи на события, роли соорганизаторов, подписки и отметки о присутствии. Автоматически не удаляются.

Сообщества и подписки на них. Автоматической чистки нет. Подписки и права модератора удаляются вместе с учётной записью; сообщество, ожидавшее модерации, отклоняется, а уже опубликованное — остаётся.

Отзывы и пары Random Coffee. Хранятся бессрочно, включая свободный текст отзыва, — независимо от того, удалил ли учётную запись автор или его партнёр.

Жалобы на контент и административный аудит. Бессрочно.

История изменений контента и журнал тревог безопасности. 400 дней. Запись об авторе изменения сохраняется и после того, как его учётная запись удалена.

Чаты сообщества и тексты отправленных в них публикаций и рассылок. Бессрочно; автоматической чистки нет. Записи о неудавшихся публикациях удаляются, когда со дня создания события прошло больше 7 дней.

Сведения об участниках подключённых Telegram-групп. Бессрочно; автоматической чистки нет.

Записи о донатах. Бессрочно, и они не удаляются даже по требованию: обязанность хранить сведения о поступивших платежах в этой части ограничивает право на удаление.

Журналы служебных фоновых задач. 30 дней.

Загруженные изображения. Хранятся, пока существует связанная запись. Файлы, не связанные ни с одной записью, удаляются через 24 часа.

Журналы веб-сервера. 15 суток. Журналы приложения — около месяца, журнал ошибок дольше.

Резервные копии базы. 30 дней для автоматических копий; ручные снимки и отдельная копия загруженных файлов живут дольше (раздел 7).

10. Что мы делаем с данными, полученными из Telegram

При входе Telegram передаёт нам имя, фамилию, @username, ссылку на фотографию и язык интерфейса. Дальше судьба этих полей различается, и это важно для права на исправление.

Имя и фамилия фиксируются при регистрации. При последующих входах мы их не перезаписываем — вы могли поменять их в приложении под себя, и затирать вашу правку данными из Telegram было бы неверно. Менять имя и фамилию можно прямо в профиле приложения.

@username, фотография профиля и язык интерфейса обновляются из Telegram при каждом входе. Изменить их в приложении нельзя — поменяйте в Telegram, и при следующем входе значение подтянется.

11. Удаление учётной записи

Удалить учётную запись можно самостоятельно в настройках профиля. Ниже — точное описание последствий.

Обезличивается. Имя заменяется на «Удалённый пользователь». Стираются:

  • фамилия и @username;
  • обе ссылки на фотографию, сам файл фотографии на сервере и служебные признаки её синхронизации;
  • язык интерфейса;
  • описание, профессия, компания, «откуда родом», навыки, «кого ищу»;
  • ссылки на соцсети;
  • отметка о принятии политики.

Учётная запись помечается неактивной, а все выданные токены становятся недействительными. Отметка о прохождении знакомства с приложением снимается, необязательные рассылки выключаются. Карточка объекта рекомендаций о вас переименовывается в «Удалённый пользователь» — этим удаление отличается от блокировки, где имя сохраняется.

Что происходит с журналом действий. В ваших собственных записях стирается свободное пояснение — пути с параметрами, снимки чужих имён, тексты обращений через форму обратной связи. Сами строки остаются: они указывают на уже обезличенную учётную запись и нужны для агрегатов вроде «сколько человек смотрело события в этот день». Удалятся они по общему сроку — 365 дней с момента каждой записи.

В чужих записях, где остался снимок вашего имени, мы стираем именно имя. Там, где кто-то нажал «написать вам», пояснение обнуляется целиком. Там, где открывали вашу соцссылку, остаётся только название платформы: «LinkedIn». Дальше приложение подставляет «Удалённый пользователь», и лента остаётся читаемой, не называя вас.

Одно исключение назовём прямо. Сразу после удаления в журнал дописывается запись о самом удалении, и в ней сохраняется снимок ваших стёртых записей на события. Эта запись живёт год.

Поисковые запросы. Текст запроса и применённые фильтры обнуляются во всех ваших строках. Сами строки — тип сигнала, экран, диапазон числа результатов, город и идентификатор клиентской сессии — остаются до общего срока в 365 дней.

Обратная связь. Текст обращения стирается вместе с остальными пояснениями журнала; строка о самом факте обращения остаётся бессрочно. Важно: копия текста, которую бот отправил главному администратору в Telegram, остаётся в его переписке — удалить её из Telegram мы не можем.

Удаляется полностью:

  • сессии;
  • записи о доступности ботов;
  • все записи на события — при этом первый участник из листа ожидания автоматически повышается;
  • заявки на участие вместе со свободным текстом сообщения;
  • роли соорганизатора;
  • ваши интересы;
  • все подписки: на обсуждения, на записи, на запросы, на организаторов в обе стороны, на сообщества, а также права модератора сообществ;
  • анкета Random Coffee и регистрации в раундах, которые ещё не стартовали;
  • список «уже знакомы» — и ваши отметки, и чужие отметки о вас;
  • все реферальные посты;
  • файл вашей фотографии профиля.

Скрывается, но остаётся в базе. Ваши запросы в разделе «Ищу» и ответы на чужие запросы получают отметку об удалении — текст сохраняется, чтобы не снести чужие ответы под вашими запросами. Черновики и отклонённые события получают отметку об удалении и пропадают из приложения; их текст остаётся в базе, а загруженные к ним изображения удаляются с диска. Объявления шеринга деактивируются, но их описание, фотография и район выдачи остаются; активные займы закрываются, ожидающие заявки отклоняются. Рекомендации, ожидавшие модерации, скрываются. Сообщества, ожидавшие модерации, отклоняются.

Остаётся без изменений. Идентификатор Telegram и служебные поля из раздела 9. Комментарии, оценки и текстовые отзывы к событиям — под подписью «Удалённый пользователь». Опубликованные и отменённые события вместе с изображениями. Опубликованные рекомендации и ваши отметки «тоже рекомендую». Опубликованные сообщества, которые вы создали. Поданные вами жалобы. Отметки о присутствии на событиях. Отзывы о встречах Random Coffee, включая свободный текст. Регистрации в раундах, которые уже стартовали или завершились, вместе со снимком указанных пола и состава. Журналы уведомлений. Записи о донатах. Административный аудит. История изменений контента. Журнал тревог безопасности — он может содержать ваше имя, @username и идентификатор Telegram.

В записях об участниках Telegram-групп обнуляется только связь с вашей учётной записью. Имя, фамилия, @username и идентификатор Telegram в этих записях остаются.

На устройстве приложение стирает черновики форм, метки закрытых подсказок, сохранённые фильтры и служебные флажки, очищает временное хранилище вкладки и удаляет токен из облачного хранилища Telegram.

В резервных копиях базы удалённые данные ещё существуют и исчезают по мере ротации — в пределах тридцати дней. Две оговорки из раздела 7 действуют и здесь: единичные ручные снимки базы хранятся дольше, а отдельная копия загруженных файлов не повторяет удаления, поэтому изображение, стёртое у нас, может остаться в ней.

Повторная регистрация возможна. Она создаёт новый профиль, требует заново пройти знакомство с приложением и принять политику; роль сбрасывается до обычного участника.

Учётную запись главного администратора удалить через интерфейс нельзя — это защита от потери контроля над сервисом.

12. Блокировка учётной записи

Блокировку применяет администратор при нарушении правил сообщества. По последствиям для данных она устроена принципиально иначе, чем удаление.

При блокировке не обезличивается ничего. Учётная запись помечается неактивной, выданные токены становятся недействительными, сохраняется причина блокировки. Имя, фамилия, @username, фотография и вся анкета остаются в базе как есть, файл фотографии не удаляется, имя остаётся видимым в административном поиске и в карточке объекта рекомендаций. Это осознанное решение: разблокировка должна возвращать профиль в прежнем виде.

Но часть данных при этом удаляется безвозвратно, и разблокировка их не вернёт. Удаляются:

  • сессии;
  • все записи на события — с повышением первого из листа ожидания;
  • заявки на участие вместе со свободным текстом;
  • роли соорганизатора;
  • все подписки: на обсуждения, записи, запросы, организаторов, сообщества, включая права модератора;
  • анкета Random Coffee и регистрации в раундах, которые ещё не стартовали.

Отклоняются без возможности вернуть: события, ожидавшие модерации; сообщества, ожидавшие модерации; реферальные посты, ожидавшие модерации.

Скрывается, но сохраняется: ваши запросы и ответы получают отметку об удалении; опубликованные реферальные посты скрываются; рекомендации, ожидавшие модерации, скрываются; объявления шеринга деактивируются, активные займы закрываются, ожидающие заявки отклоняются. Активные пары Random Coffee помечаются как несостоявшиеся, партнёрам уходит уведомление об отмене. Связь с записями об участниках чатов обнуляется.

Комментарии и оценки не затрагиваются и остаются подписанными вашим настоящим именем.

Журнал действий и поисковые запросы при блокировке не обезличиваются — в отличие от удаления. Они удаляются по общему годовому сроку, с теми же двумя исключениями, что названы в разделе 9: текст обратной связи и служебные отметки о напоминаниях остаются, и блокировка их не обезличивает.

В административный аудит добавляется запись с причиной блокировки и снимком ваших записей на события и заявок. Она хранится бессрочно.

Черновики форм на вашем устройстве при блокировке остаются — приложение их не очищает.

Если вы считаете блокировку необоснованной либо хотите, чтобы после неё данные были удалены, а не сохранены, напишите на hello@sarafun.app.

13. Данные на вашем устройстве и в хранилище Telegram

Приложение не использует рекламные и трекинговые cookie и не отслеживает вас между сайтами. Про единственную cookie на сайте-лендинге сказано в разделе 3.

Токен сессии. После входа токен сохраняется в облачном хранилище Telegram и привязан к паре «вы — конкретный бот». Это нужно, чтобы при следующем открытии приложения не входить заново. Токен переживает закрытие приложения; он стирается при удалении учётной записи и становится недействительным при блокировке и при смене роли.

Локальное хранилище устройства. Приложение хранит там черновики форм с введённым вами текстом:

  • событие;
  • объявление шеринга;
  • запрос;
  • рекомендация;
  • реферальный пост;
  • знакомство с приложением;
  • обратная связь.

Рядом с черновиками лежат метки закрытых подсказок, выбранные фильтры городов и сообществ и несколько служебных флажков. Эти данные хранятся на вашем устройстве и на сервер не уходят: они попадают к нам только тогда, когда вы сами отправляете форму. При удалении учётной записи приложение очищает всё перечисленное, включая черновик реферального поста и ключи фильтров.

Идентификатор клиентской сессии. При каждом запуске приложения генерируется случайный идентификатор. Он сопровождает записи журнала действий и поисковых запросов в пределах одного визита и позволяет увидеть последовательность действий внутри него. Между разными визитами он не общий: при следующем запуске генерируется новый.

14. Технические журналы вне базы данных

Журналы веб-сервера. Для домена приложения app.sarafun.app и для страниц сайта-лендинга веб-сервер записывает полный IP-адрес, полный User-Agent, путь и метод запроса и код ответа. Мы используем эти записи для защиты от сканирования и автоматических атак. Срок хранения — 15 суток. Основание — законный интерес (статья 6(1)(f)).

Журналы приложения. Ведутся в структурированном виде и содержат идентификатор пользователя и тип действия. IP-адрес, User-Agent, заголовки авторизации и секреты в эти файлы не попадают.

Исключение по User-Agent. При явных признаках автоматической атаки в журнал тревог в базе данных записывается полный User-Agent и усечённый IP-адрес. Такие записи редки и хранятся 400 дней.

15. Ваши права

Вам принадлежат права по статьям 15–22 GDPR. Чтобы воспользоваться любым из них, напишите на hello@sarafun.app. Чтобы не выдать ваши данные постороннему, мы попросим подтвердить, что это вы, — например, ответить с того же Telegram-аккаунта, под которым вы пользуетесь приложением.

Право на доступ (ст. 15). Вы вправе получить подтверждение обработки и копию своих данных. Автоматической выгрузки в приложении нет — выборку мы готовим вручную, поэтому ответ может занять до месяца.

Право на исправление (ст. 16). Анкету, имя, фамилию и настройки вы меняете сами в любой момент. @username, фотографию и язык интерфейса поменяйте в Telegram — при следующем входе они обновятся у нас (раздел 10).

Право на удаление (ст. 17). Удалите учётную запись в настройках или напишите нам. Раздел 11 описывает, что при этом стирается, а что остаётся. Право ограничено — вот где именно.

  • Запись о донате мы обязаны хранить.
  • Административный аудит, история изменений и журнал тревог остаются как доказательная база по законному интересу и удаляются по своим срокам.
  • Идентификатор Telegram сохраняется для защиты от обхода блокировок.
  • Данные ещё до тридцати дней живут в автоматических резервных копиях; ручные снимки базы и отдельная копия загруженных файлов живут дольше (раздел 7).
  • Записи об участниках подключённых Telegram-групп сохраняют ваше имя и @username, пока вы состоите в группе (раздел 8).
  • Отзывы о встречах Random Coffee, включая свободный текст, остаются бессрочно.
  • Журналы уведомлений и отметки о присутствии удалению не подлежат.
  • Опубликованный контент остаётся под подписью «Удалённый пользователь».

Полный разбор — раздел 11. По отдельному обращению мы рассмотрим удаление конкретных записей сверх стандартной процедуры.

Право на ограничение обработки (ст. 18). Отдельного режима приостановки в приложении нет — скажем прямо, чтобы не описывать несуществующий механизм. Ближайшее к этому состояние — блокировка, но она часть данных удаляет, то есть приостановкой не является. Если вы потребуете ограничить обработку, мы прекратим использовать ваши данные вручную и сообщим, что именно сделали.

Право на возражение (ст. 21). Против обработки на основании законного интереса вы вправе возразить в любой момент. Это прежде всего продуктовая аналитика — журнал действий и поисковые запросы, — снимок вашего имени в чужих записях и хранение сведений об участниках подключённых групп. Против рассылок можно возразить безусловно: выключите соответствующие переключатели в настройках. Транзакционные уведомления, без которых сервис не работает — например, о вашей записи на событие, — продолжат приходить.

Право на переносимость (ст. 20). Вы вправе получить предоставленные вами данные в машиночитаемом формате. Автоматического механизма выгрузки нет, готовим вручную по обращению.

Отзыв согласия (ст. 7(3)). Согласия из раздела 5 отзываются в настройках: анкету Random Coffee вы удаляете в разделе Random Coffee, необязательные рассылки выключаете переключателями. Ограничение по анкете: пока идёт раунд, где вам подобрана пара, удалить её приложение не даст — дождитесь завершения раунда либо напишите нам. Отзыв не влияет на законность обработки, которая состоялась до него.

Право на жалобу (ст. 77). Вы вправе пожаловаться в надзорный орган по защите данных — по месту жительства, работы или предполагаемого нарушения. В Испании это Agencia Española de Protección de Datos (aepd.es).

Автоматизированных решений с юридическими последствиями (ст. 22) в приложении нет. Алгоритм подбора участников формирует рекомендательный список и влияет только на порядок карточек.

16. Безопасность

Мы принимаем технические и организационные меры, соразмерные рискам. Соединение с приложением защищено TLS. Данные, которые Telegram передаёт при входе, мы проверяем криптографической подписью с ограничением по времени. Права доступа проверяются при каждом запросе, поэтому их изменение действует немедленно. Служебный доступ к данным есть только у администраторов, и их действия фиксируются в журнале аудита. Устройство защитных механизмов мы не раскрываем: их публикация облегчила бы атаку.

Секреты и токены в журналы не попадают. Полный IP-адрес и сведения о браузере вычищаются из журналов приложения.

Ни одна из мер не даёт абсолютной гарантии. Если произойдёт инцидент, создающий риск для ваших прав, мы уведомим надзорный орган, а при высоком риске — и вас, в сроки, предусмотренные статьями 33 и 34 GDPR.

17. Источники данных

Список городов и их характеристик взят из открытого набора данных GeoNames (geonames.org), который распространяется по лицензии Creative Commons Attribution 4.0.

18. Изменения политики

Мы обновляем политику по мере развития сервиса. Дата последней редакции указана в начале документа.

Действующей считается редакция, опубликованная в приложении. Та же редакция публикуется на сайте sarafun.app по-русски и в английском переводе; при расхождении преимущество у русской редакции в приложении.

О существенных изменениях — новых категориях данных, новых целях обработки, увеличении сроков хранения — мы сообщаем в Telegram-сообществе и в приложении. Если вы продолжаете пользоваться сервисом после вступления изменений в силу, обновлённая редакция действует для той обработки, которая опирается на договор и законный интерес. Обработку, которая требует согласия, мы возобновим только после того, как получим его.

19. Статус документа

Формулировки о правовых основаниях, сроках хранения и ограничениях прав описывают, как сервис устроен фактически.

Если вы заметили расхождение между написанным здесь и тем, как сервис ведёт себя на самом деле, напишите на hello@sarafun.app. Мы исправим либо текст, либо само поведение сервиса.

См. также: Условия использования.