Sarafun
Telegram

Политика конфиденциальности

Последнее обновление: 16 октября 2026

Коротко о главном

Выжимка для тех, кто не хочет читать всё. Действует полный текст ниже; в каждом пункте указан раздел, где написано подробно.

  • Кто отвечает. Владислав Брезовский и Илья Фомин — двое, кто ведёт Sarafun; юридического лица у проекта нет. По любым вопросам о данных пишите на hello@sarafun.app (раздел 1).
  • Что храним. Имя, @username и фотографию из Telegram; то, что вы сами указываете в анкете и публикуете; ваши записи на события и действия в приложении (раздел 4). Если вы состоите в Telegram-группах, подключённых к приложению, но им не пользуетесь, — что мы о вас храним, сказано в разделе 8.
  • Зачем. Чтобы работал сервис: профиль, события, игротеки, Random Coffee, уведомления. А ещё — чтобы защищать его от злоупотреблений и понимать, какими функциями пользуются (раздел 5).
  • Кто видит. Ваш профиль видят все участники сообщества в приложении, а по ссылке на профиль имя, фото, профессию, город и начало рассказа о себе видит любой, у кого она есть. В настройках можно убрать себя из списка людей и подборок и скрыть свои интересы. Когда вы публикуете событие или садитесь за стол игротеки, ваше имя может появиться в постах бота в Telegram-чатах (раздел 6).
  • Кому передаём. Мы не продаём данные и не передаём их для рекламы, рекламных и трекинговых cookie у нас нет. Данные получают те, без кого сервис не работает: Telegram — вход, уведомления, посты — и хостинг в Европейской экономической зоне; ваш календарь, например Google, — если вы сами его подключили. Часть поставщиков — в США: тексты публичных анонсов афиши разбирает ИИ-модель Claude компании Anthropic, письма на hello@sarafun.app идут через Cloudflare в Gmail (разделы 7 и 13).
  • Сколько храним. Учётную запись — пока вы её не удалите, журнал действий — 365 дней, за немногими исключениями (раздел 9). Удалить учётную запись вы можете сами в настройках профиля. Часть данных при этом остаётся — например, комментарии и отзывы под подписью «Удалённый пользователь» и ваш идентификатор Telegram; полный список — в разделе 11.
  • Ваши права. Получить копию своих данных, исправить или удалить их, возразить против аналитики — для этого напишите на hello@sarafun.app. Пожаловаться можно в надзорный орган по защите данных — в Испании это AEPD (раздел 15).
  • Возраст. Сервис — только для тех, кому исполнилось 18 (раздел 2).

1. О чём этот документ и куда писать

Документ описывает, какие данные собирает и хранит проект Sarafun: Telegram Mini App «Sarafun», связанные с ним Telegram-боты, сайт sarafun.app и короткие ссылки вида sarafun.app/s/. Сообщество базируется в Валенсии, Испания. Данные обрабатываются в пределах Европейской экономической зоны, поэтому мы описываем обработку в терминах Общего регламента о защите данных (GDPR, Регламент (ЕС) 2016/679) и исполняем перечисленные ниже права.

За обработку ваших данных совместно отвечают два человека, которые ведут Sarafun: Владислав Брезовский (Uladzislau Brazouski) и Илья Фомин (Ilya Fomin). Юридического лица у проекта нет: мы частные лица и совместные ответственные за обработку в смысле статьи 26 GDPR. Решения о том, какие данные собирать и зачем, мы принимаем вместе. Владислав Брезовский отвечает за сервер, резервные копии и техническую защиту данных; об утечке данных надзорный орган уведомляет тот из нас, кто её обнаружил, а на обращения отвечает тот, кто прочёл их первым. Как бы ни были распределены обязанности между нами, свои права вы можете осуществить в отношении любого из нас.

Единственный способ связи по вопросам данных — адрес hello@sarafun.app. Пишите туда для реализации любого права из раздела 15, для жалобы на чужую публикацию о вас, для сообщения об ошибке в этом тексте. Отвечаем не дольше месяца с момента обращения. Отдельного должностного лица по защите данных у проекта нет; обращения читаем мы сами.

Чтобы мы не выдали ваши данные постороннему, при обращении мы попросим подтвердить, что вы — это вы: написать с того же Telegram-аккаунта или иным доступным способом.

2. Возраст

Сервис предназначен для людей старше 18 лет. Регистрируясь, вы подтверждаете, что вам исполнилось 18.

Автоматической проверки возраста в приложении нет, и мы говорим об этом прямо. Telegram не передаёт нам дату рождения, а сами мы её нигде не спрашиваем. Значит, техническую преграду для несовершеннолетнего мы не ставим — есть только это условие. Если вы узнали, что аккаунтом пользуется человек младше 18, напишите на hello@sarafun.app: мы удалим учётную запись.

3. Где действует документ

Документ описывает данные, которые проходят через Mini App «Sarafun» — его открывают через любого из наших ботов. Он же описывает данные, которые идут через сами Telegram-боты: и личную переписку с ботом, и публикации, которые бот отправляет в группы сообщества и в чаты, подключённые организаторами игротек. Сюда же входят данные сайта sarafun.app, включая публичные страницы-превью по коротким ссылкам. Отдельно документ описывает сведения об участниках Telegram-групп сообщества, подключённых к приложению: среди них есть люди, которые приложение никогда не открывали (раздел 8).

Сайт-лендинг не содержит форм, аналитических и рекламных скриптов. Одна cookie на нём всё же ставится: sarafun_lang со сроком год и атрибутом samesite=lax — она запоминает выбранный язык страницы. Рядом с ней в локальное хранилище браузера пишется та же настройка под ключом sarafun-lang-pref. Обе строго функциональны и служат только переключателю языка.

Обработку внутри самого Telegram — мессенджера, аккаунтов, чатов, платёжной системы Telegram Stars — ведёт компания Telegram по своим правилам. На неё мы не влияем, и этот документ её не регулирует.

4. Какие данные мы собираем

Идентификатор Telegram. При каждом входе Telegram передаёт нам числовой идентификатор вашего аккаунта, @username, имя, фамилию, ссылку на фотографию профиля и язык интерфейса. Числовой идентификатор — постоянная метка, по которой мы узнаём вас при каждом входе; он же связывает вашу учётную запись со всем остальным. Дальше в тексте мы называем его «идентификатор Telegram».

Фотография профиля. Мы не только показываем фотографию по ссылке Telegram, но и скачиваем её файлом на свой сервер, чтобы не зависеть от доступности их CDN.

Регистрация через бота. Если вы пришли по кнопке «Играю» под постом стола игротеки или по кнопке «Ищу стол» под постом самой игротеки в Telegram-чате впервые или после удаления учётной записи, учётную запись создаёт бот — по данным, которые Telegram передаёт боту вместе с вашим сообщением: идентификатор Telegram, @username, имя, фамилия и язык интерфейса; фотографию профиля бот скачивает через Telegram. Согласием с этой политикой считается нажатие «Запустить» (в английском интерфейсе — «Start») под описанием бота, где дана ссылка на политику, а если по нашим записям вы уже бывали в чате с ботом и описания могли не увидеть, — нажатие кнопки «Записаться» под текстом о политике. Городом учётной записи становится город игротеки, в интересы ставятся «Настольные игры», анкету можно заполнить позже; время такой быстрой регистрации мы отмечаем. Так же устроена запись, если вы открыли приложение по ссылке на игротеку или её стол и анкету ещё не заполняли: у кнопок «Играю», «Собрать стол» и «Ищу стол» (на одноимённой странице — «Записаться и искать стол») написано, что, записываясь, вы принимаете политику.

Анкета. То, что вы вводите сами: описание, профессия, компания, «откуда родом», навыки, «кого ищу», ссылки на соцсети и сайт, интересы, текущий город. Имя и фамилию вы тоже правите сами — они фиксируются при регистрации и из Telegram больше не перезаписываются.

Настройки и служебные признаки учётной записи. Переключатели уведомлений, тихие часы, часовой пояс, тема оформления, последний использованный бот, признак того, что вы заблокировали бота, время последней активности, дата принятия этой политики, роль и причина блокировки, если она применялась. Часовой пояс приложение при каждом открытии сверяет с поясом телефона и, если тот изменился, записывает пояс телефона — по нему считаются тихие часы и время отправки уведомлений. Если вы выбрали пояс в настройках вручную, мы храним отметку об этом и пояс телефона больше не записываем, пока вы не включите «Определять по телефону». Автоматическая смена пояса попадает в журнал действий.

Журнал действий. Мы записываем значимые действия: открытие страницы, старт сессии, просмотр события, запись на событие, создание контента. Рядом с действием сохраняется свободное текстовое пояснение — например, заголовок события или список изменённых полей профиля. Туда же попадают идентификатор клиентской сессии и метка источника перехода: из какого чата или по какой ссылке вы пришли, а если ссылкой с вами поделился другой участник — кто именно. Когда вы делитесь ссылкой из приложения, в неё добавляется метка, по которой мы видим, кто ей поделился: так мы знаем, сколько людей пришло по вашим ссылкам. Сама метка не раскрывает ни вашего имени, ни номера. Откуда вы пришли при регистрации — метку ссылки и, если ссылкой поделился участник, кто именно, — мы храним ещё и в вашей учётной записи: запись журнала удаляется через год, а этот источник нужен, пока существует аккаунт. Если вы пришли в бота по ссылке кампании, но приложение ещё не открывали, мы до 7 дней храним ваш Telegram ID вместе с меткой кампании, чтобы учесть её при регистрации. При старте сессии дополнительно записываются тип устройства, версия Telegram и выбранная тема.

В игротеках журнал фиксирует, что вы собрали, изменили или отменили стол, записались за него, встали в очередь, ушли или были убраны, добавили гостя (в строку журнала имя гостя не записывается — только отметка, указан ли его @username; администраторы видят имя в журнале из самого места за столом, пока оно не обезличено через 365 дней после игротеки), а также открытие страницы стола — с меткой чата, если вы пришли кнопкой «Подробнее» под постом. Действия, которые сервис выполняет за вас, — посадка из очереди, одобрение заявки, снятие со стола при отмене — записываются как служебные.

Отдельно скажем о снимке чужого имени. Когда вы нажимаете «написать» другому участнику или открываете его внешнюю ссылку, в журнал попадает не только идентификатор этого человека, но и его имя на тот момент. Это осознанное решение, а не побочный эффект: без имени лента действий нечитаема. Что происходит с этими снимками, когда человек удаляет аккаунт, описано в разделе 11.

Поисковые запросы и фильтры. Их мы храним отдельно от журнала действий. Записываются: нормализованный текст запроса длиной до 60 символов, диапазон числа найденных результатов, применённые фильтры в виде коротких кодов, экран, на котором вёлся поиск, идентификатор клиентской сессии и ваш город на момент запроса. Личные разделы — «Мои», «Записан», собственные объявления — в этот сбор не попадают.

Обратная связь. Текст, отправленный через форму обратной связи, и выбранная категория.

Сессии. Мы храним идентификатор выданного токена, бот, через которого выполнен вход, тип устройства, платформу Telegram и язык. Рядом с ними — усечённый IP-адрес, по которому нельзя определить конкретное устройство. Дальше идут времена входа, последней активности, истечения и отзыва, а также причина отзыва, если сессию отзывали. Полный IP-адрес и полный User-Agent в базе приложения не хранятся — единственное исключение описано в разделе 14. Платформу Telegram, с которой вы последний раз открывали приложение (iPhone, Android, компьютер или веб-версия), мы храним и в учётной записи — чтобы знать, на каких устройствах пользуются приложением; при удалении учётной записи она стирается.

Отчёты о сбоях приложения. Если в приложении происходит ошибка, оно присылает нам отчёт: адрес экрана, где она случилась (в нём бывают номера событий и других объектов), текст и техническое описание ошибки, в какой части приложения она произошла, платформу и версию Telegram, а если вы вошли — ещё и идентификатор вашей учётной записи. IP-адрес и User-Agent вместе с отчётом не сохраняются.

Привязанный аккаунт Google. Если вы подключили Google Календарь, мы храним постоянный идентификатор вашего аккаунта Google, его адрес электронной почты (чтобы показать, какой аккаунт подключён), список выданных разрешений и ключ доступа (refresh-токен) — в зашифрованном виде. Пароль от Google к нам не попадает: вход идёт на странице Google. Для календаря — идентификатор созданного нами календаря «Sarafun», ваши настройки (записи «Возможно», напоминание), время последнего обновления и для каждого отправленного мероприятия — его идентификатор в Google и отпечаток содержимого, по которому мы понимаем, что событие пора обновить. Пока идёт подключение, действует одноразовая попытка входа (несколько минут; запись о ней хранится не дольше суток), а браузер получает на 15 минут две служебные cookie: они связывают вход в Google с этим браузером и с подтверждением, что подключаете именно вы, — без них подключение не завершить.

Журналы уведомлений. Для каждого отправленного уведомления: получатель, тип, статус доставки, код и текст ошибки Telegram, идентификатор сообщения и бот-отправитель. Текст уведомления мы не сохраняем.

Доступность ботов. Для каждой пары «пользователь — бот»: запускали ли вы бота командой /start, заблокирован ли он, когда это произошло, когда вас видели последний раз.

Участие в событиях. Здесь мы храним:

  • записи на события и статус участия;
  • заявки на участие со свободным сообщением организатору и причиной решения;
  • роль соорганизатора;
  • отметки о присутствии: кто, когда и кем отмечен, по QR-коду или вручную;
  • подписки на обсуждения и на записи.

Игротеки и столы. Столы, которые вы собираете: игра, время, число мест, продолжительность партии, описание, изображение, язык, сложность, ссылки на правила и видео, а также играет ли собравший сам. Места за столами: кто сидит, кто стоит в очереди, кто ждёт одобрения организатора; когда человек записался, сел и ушёл; кто посадил или убрал его; как пришла запись — из приложения, кнопкой под постом в чате, через бота, по приглашению или по подсказке бота — и из какого чата. Когда человек уходит со стола, строка места не удаляется, а помечается ушедшей: по ней считается статистика игротек. Для гостей без учётной записи — имя и, если его указали, @username в Telegram (раздел 8). Для чатов, куда публикуются столы, — кто из организаторов подключил чат и что он его администратор, выбранные чаты и темы форума для каждой игротеки. Для постов, которые бот публикует по этим настройкам (посты столов и пост самой игротеки), текст мы не храним — только идентификатор сообщения и отпечаток содержимого, по которому бот понимает, что пост пора поправить.

«Ищу стол». На игротеку можно записаться без стола — кнопкой «Ищу стол» в приложении или под постом игротеки в чате; пока вы записаны и не сидите ни за одним столом, вы в списке «Ищут стол» этой игротеки. Отдельно этот список не хранится — он складывается из записей на игротеку и мест за столами. В вашей записи на игротеку хранятся пожелания к столу, если вы их отметили на отдельной странице «Ищу стол» в приложении: сложность игры, «я новичок», язык, — и до трёх игр, в которые вы хотите сыграть, в том виде, в каком вы их ввели. Приглашения за стол: кого и за какой стол позвали, кто позвал, когда и принято ли приглашение.

История игротек и чатов. Отдельно ведётся история каждой игротеки и каждого чата, где есть наш бот: кто и когда добавил или удалил бота, дал или снял права администратора, подключил чат к игротеке, какие темы появились в чате, куда публикуются столы, какие посты событий и столов бот опубликовал, изменил или удалил (чат, тема, номер сообщения, ошибка отправки), что администраторы Sarafun сделали с чатом (включили или отключили, сменили город или название, запустили синхронизацию участников, выбрали чат для публикации события, разослали в него сообщение — первые 100 знаков текста и результат отправки), какие письма об игротеке и её столах отправлены и дошли ли они (об отмене и изменении игротеки, подъёме из листа ожидания, снятии участника, заявках, подключении чата, приглашениях за стол, подсказках бота о свободных столах), а также записи на игротеку (в том числе без стола) и за столы, приглашения за стол и их принятие, отметки на входе, решения по заявкам и правки игротеки с указанием, кто действовал и откуда пришла запись. Обычные входы и выходы участников чата в эту историю не пишутся. Имена гостей в историю не пишутся — они берутся из строки места.

Пользовательский контент. События, которые вы создаёте, вместе с изображениями. Комментарии, оценки от одной до пяти, текстовые отзывы, реакции. Запросы в разделе «Ищу» и ответы на чужие запросы. Объявления в разделе шеринга вещей — фотография, описание, район выдачи предмета. Заявки на займ со свободным сообщением. Рекомендации. Реферальные посты. Жалобы на контент со свободной причиной. Предложения для афиши — ссылка на страницу чужого мероприятия и, по желанию, ваш комментарий к ней. Сообщества (тематические хабы), которые вы создаёте, — название, описание, обложка, аватар, город и ссылка на связанную Telegram-группу, — а также ваши подписки на сообщества и права модератора в них.

Random Coffee. В каком качестве вы участвуете (Парень, Девушка, Семья-пара) и кого хотите встретить — то есть сведения о поле и семейном положении. Снимок этих значений в каждом раунде, где вы регистрировались. Составленные пары и их статус. Ваши отзывы о встречах, включая свободный комментарий о конкретном человеке — партнёру он не показывается. Если у партнёра нет @username, вы можете попросить бота передать контакт: мы храним время такого запроса и то, кто из пары его отправил. Список «уже знакомы»: кого вы отметили, чтобы вас не сводили в пару. Он виден только вам — отмеченный человек об этом не узнаёт и уведомления не получает. Действует в обе стороны и только внутри вашего города. Кроме того, отмеченных вами людей и тех, с кем вы встретились в Random Coffee, приложение считает вашими знакомыми в блоке «Подходит вам» и в списке записавшихся на мероприятие (раздел 15); отмеченный человек этого по-прежнему не видит.

Чаты сообщества и сообщения ботов в них. Для каждого подключённого чата храним название, @username и фотографию чата. Для каждой публикации и рассылки, отправленной ботом, храним полный текст сообщения, идентификатор сообщения в Telegram и служебные данные — заголовок события, подписи кнопок, а также имя администратора или модератора, чьё действие вызвало отправку.

Платежи. При донате через Telegram Stars сохраняются сумма, идентификатор платежа Telegram и бот, принявший платёж. Платёжные реквизиты нам не передаются и нами не обрабатываются.

Административные журналы. Действия администраторов над учётными записями и контентом с пояснениями в структурированном виде, включая причину блокировки и снимок стёртых записей на события. История изменений контента с фрагментами изменённого текста. Журнал тревог — тревоги безопасности и служебные уведомления модерации (например, о мероприятиях, у которых не осталось организатора). Его записи могут содержать имя, фамилию, @username, идентификатор Telegram и внутренний номер учётной записи — в уведомлениях модерации это организаторы и соорганизаторы мероприятий, — а в отдельных случаях ещё и сведения о браузере вместе с усечённым IP-адресом.

Сведения об участниках подключённых Telegram-групп. Описаны отдельно в разделе 8.

5. Зачем мы это обрабатываем и на каком основании

Ниже для каждой цели указано основание по статье 6 GDPR.

Ведение учётной записи, показ профиля, участие в событиях, публикация вашего контента, работа разделов «Ищу», шеринга, рекомендаций, сообществ и рефералов, транзакционные уведомления по вашим подпискам — исполнение договора с вами (статья 6(1)(b)). Принимая эту политику при регистрации, вы вступаете с нами в отношения по предоставлению сервиса. Без перечисленных данных сервис не работает.

Подбор участников для знакомства по интересам, навыкам, профессии и городу — исполнение договора (статья 6(1)(b)): это заявленная функция сервиса.

Синхронизация записей с Google Календарём — согласие (статья 6(1)(a)): вы включаете её сами на странице Google и можете отключить в любой момент в «Настройках» → «Мои записи в календаре» или в настройках аккаунта Google.

Игротеки — запись за стол, показ вашего имени за столом в приложении и в постах бота в чатах, уведомления о столах — исполнение договора (статья 6(1)(b)): стол существует, чтобы собрать игроков, а пост в чате — способ их найти. Бот пишет собравшему стол сводку — кто записался, встал в очередь, вышел; организаторам — о новых столах и на следующий день после игротеки короткий итог: сколько человек записалось, сколько было столов и игроков за ними и, если вы отмечали гостей, сколько пришло; игрокам — что их посадили за стол, подняли из очереди или убрали, что стол отменён, скрыт или перенесён, и напоминает о столе перед началом; новичку, записавшемуся быстрой регистрацией, если профиль остался пустым, — один раз на следующий день после игротеки: «Как поиграли? Расскажите о себе». Всё это отключается переключателями уведомлений о событиях, кроме служебных сообщений, которые меняют ваши планы («освободилось место — вы за столом», «вас убрали из-за стола», «стол отменён, скрыт или перенесён»), и напоминания о профиле. Сообщение «вас посадили за стол» отключается переключателем «Напоминания», как приглашения и подсказки.

«Ищу стол» — список записавшихся без стола, показ вашего имени и пожеланий тем, кто собрал столы этой игротеки, и её организаторам, число ищущих стол в приложении и в постах бота, приглашения за стол и подсказки бота о столах — тоже исполнение договора (статья 6(1)(b)): кнопкой «Ищу стол» вы просите помочь найти стол, а без этих сведений собравший стол не узнает, кого позвать. Пожелания и игры необязательны, вы меняете и снимаете их сами. Собравший стол или организатор может позвать вас за стол — бот пришлёт приглашение, а сядете вы, только если сами его примете. Бот подсказывает, когда открылся подходящий вам стол или стол с игрой, которую вы назвали, а за два часа до начала присылает список столов со свободными местами — не больше двух подсказок за игротеку. Подсказки и приглашения за стол отключаются переключателем «Напоминания» в настройках уведомлений о событиях.

Статистика игротек для организатора и сведения о гостях — законный интерес (статья 6(1)(f)): организатор планирует столы — видит, какие игры собирают людей, кого из новичков встретить и сколько гостей приходит; участники чата видят, кто уже за столом; сообщество — сколько людей приходит через игротеки.

Участие в Random Coffee и обработка сведений о поле и семейном положении — ваше согласие (статья 6(1)(a)). Анкету вы заполняете добровольно и удаляете сами, не удаляя учётную запись. Два ограничения: пока идёт раунд, в котором вам уже подобрана пара, приложение удалить анкету не даст — это станет доступно после завершения раунда; снимок указанных значений остаётся в уже прошедших и текущих активных раундах.

Необязательные рассылки-подборки «всё новое» — все новые события, все новые запросы, новые объявления шеринга, новые рефералы — ваше согласие (статья 6(1)(a)). По умолчанию они выключены, вы включаете их вручную и тем же переключателем отзываете согласие.

Подборки по вашим интересам — новые события и запросы, совпавшие с интересами из вашей анкеты, — и афиша города блоком вечерней сводки — законный интерес (статья 6(1)(f)): интересы вы указываете сами, чтобы узнавать о подходящем, а мы хотим, чтобы о таком событии вы узнали вовремя. Поэтому они включены по умолчанию. При быстрой регистрации — записи на игротеку без заполнения анкеты, в боте или в приложении — они изначально выключены. Выключить их можно в любой момент в настройках уведомлений; под анонсом для этого есть кнопка «🔕 Отключить», под вечерней сводкой — «⚙️ Как присылать».

Отчёты о сбоях приложения — законный интерес (статья 6(1)(f)) в том, чтобы приложение работало: по ним мы находим и исправляем ошибки, а идентификатор учётной записи показывает, у скольких людей ошибка повторяется, и ограничивает число отчётов от одного человека.

Защита сервиса от злоупотреблений — законный интерес (статья 6(1)(f)). Сюда входят ограничение частоты запросов, выявление сканирования и перебора, журнал тревог, сессии с усечённым IP-адресом и журналы веб-сервера. Интерес состоит в доступности сервиса и сохранности данных участников.

Модерация контента, разбор жалоб, административный аудит, история изменений и служебные уведомления модерации в журнале тревог — законный интерес (статья 6(1)(f)) в поддержании безопасной среды и в возможности доказательно разобрать спорную ситуацию.

Продуктовая аналитика — журнал действий, поисковые запросы и фильтры, статистика доставки уведомлений — законный интерес (статья 6(1)(f)). Мы хотим понимать, какими функциями пользуются и какого содержания сообществу не хватает. Уточним честно: в статистике эти данные считаются агрегированно, но в админке есть и лента журнала по конкретному человеку — с фильтрами по действию и датам. Вы вправе возразить против такой обработки (раздел 15).

Снимок чужого имени в журнале при переходе к переписке или по внешней ссылке — законный интерес (статья 6(1)(f)) в разборе жалоб на навязчивые обращения и в оценке того, приводит ли сервис к реальным контактам.

Хранение текстов публикаций и рассылок в чатах — законный интерес (статья 6(1)(f)): по ним бот редактирует уже отправленное сообщение, повторяет неудавшуюся отправку и разбирает претензии к содержанию публикации.

Сведения об участниках подключённых Telegram-групп — законный интерес (статья 6(1)(f)), подробности в разделе 8.

Приём донатов — исполнение договора (статья 6(1)(b)); хранение записи о платеже — соблюдение правовой обязанности по учёту поступлений (статья 6(1)(c)).

Специальные категории данных по статье 9 GDPR — здоровье, вероисповедание, политические взгляды, биометрия и подобные — мы целенаправленно не собираем. При этом мы не контролируем, что вы напишете в свободных полях. Описание профиля, комментарий, запрос, рекомендация, сообщение обратной связи хранятся ровно в том виде, в каком вы их отправили.

6. Кто видит ваши данные

Профиль виден всем участникам сообщества, авторизованным в приложении. В этом цель сервиса: приложение существует для того, чтобы участники находили друг друга. На профиле видны и публичные события, связанные с вами: опубликованные события, которые вы создали, и прошедшие события, на которые вы были записаны участником, — числом и списком. Приватные события и ваши записи на предстоящие события другим участникам не показываются. Не указывайте в профиле то, что не готовы раскрывать.

Две настройки в «Настройках» → «Приватность» сужают этот круг. «Не показывать меня в «Коннекте»» убирает вас у других участников из списка людей в разделе «Коннект», из поиска людей — в том числе там, где человека выбирают в форме: соорганизатора, игрока за стол, гостя для отметки, знакомого в Random Coffee, адресата рекомендации, — из подборок «Вам могут быть интересны», а также из счёта знакомых в блоке «Подходит вам» и из пометки «Знакомы» в списке записавшихся на мероприятие (раздел 15). Ваш профиль при этом по-прежнему открывается по ссылке и там, где вы связаны с действием: в списке записавшихся на мероприятие, в комментариях, за столом игротеки, в паре Random Coffee. Рекомендации о вас, которые написали другие участники, тоже остаются видны в разделе «Рекомендации» и находятся там поиском по имени; каждую из них вы можете убрать кнопкой «Скрыть рекомендацию» на её странице. «Интересы видны только мне» скрывает ваши интересы от других участников везде, где они показываются: в профиле, в карточках людей, в «общих интересах» (на профиле, на странице мероприятия и в списке записавшихся, у партнёра Random Coffee) и в заявках на участие, которые видит организатор. Вам самим интересы видны с пометкой «видны только вам», а подборки людей и рассылки по интересам учитывают их, как и раньше. Обе настройки выключены, пока вы их не включите; администраторы приложения видят профиль целиком.

В трёх случаях данные выходят за пределы приложения, и об этом стоит знать заранее.

Первый — короткие ссылки. Приложение выдаёт ссылки на профили, мероприятия, столы игротек, сообщества, объявления, запросы, рекомендации и рефералы. Страница по такой ссылке открывается любому, у кого ссылка есть, — вход в приложение не нужен, — и по ней Telegram и другие мессенджеры показывают превью. В превью профиля — имя и фамилия, фотография профиля, профессия, город и начало рассказа о себе (вместе — до 200 знаков); интересов в нём нет, а профиль без пройденной анкеты так не открывается. В превью мероприятия — название, дата и время, место, начало описания и картинка мероприятия; черновики, мероприятия на проверке и отклонённые так не открываются, отменённое — с пометкой «Отменено», приватное — только по ссылке с ключом доступа. У остальных — то, что и так опубликовано в приложении: название или начало текста, имя автора у запроса и рекомендации, картинка, если она есть. Сообщение, которое вы отправляете кнопкой «Поделиться» в Telegram, несёт то же, но без описания. Ссылки на профили, объявления, запросы и рекомендации подписаны, подобрать их перебором нельзя. Но переслать ссылку может кто угодно.

Второй — файлы изображений. Загруженные картинки, включая фотографии профилей, отдаются по прямым адресам без авторизации.

Третий — публикации в группах. Публикуя событие, бот отправляет сообщение в Telegram-группы сообщества с именем организатора и ссылкой на его профиль. Эти сообщения видят все участники соответствующих групп, и хранятся они в Telegram.

Столы игротек публикуются так же: по посту на каждый открытый стол — в чаты, которые организаторы игротеки или администраторы Sarafun выбрали для её столов (это чаты, где наш бот — администратор; организатор может выбрать только чат, где он сам администратор). В посте — имя того, кто собрал стол, и имена тех, кто за ним сидит (без фамилии), со ссылкой на профиль в приложении, если профиль открыт (учётная запись активна и анкета пройдена); гости — по имени, со ссылкой на их Telegram, если указан @username. Имена из очереди в пост не попадают — только их число. Бот правит пост при каждом изменении состава: если вы вышли со стола, ваше имя пропадёт из поста при ближайшем обновлении. Но то, что участники чата успели увидеть или переслать, правка не вернёт, а в чате, где бот потерял права администратора, пост больше не обновляется. Чтобы имя в чат не попало, не записывайтесь за стол: на саму игротеку можно записаться и без стола. У приватной игротеки посты столов не публикуются. На странице стола в приложении участники сообщества видят, кто за столом и кто в очереди.

Список «Ищут стол» — имена тех, кто записался на игротеку без стола, и рядом пожелания к столу и игры, которые назвал каждый, — в приложении видят те, кто собрал открытые столы этой игротеки, её организатор и соорганизаторы, а также администраторы. Остальные участники видят только числа: «Ищут стол: N» и сколько из них отметили «я новичок», а также «Хотят сыграть: игра — N» — без имён. Та же строка с числом ищущих стол есть в постах игротеки, которые бот публикует в чатах; имён в ней нет.

Другим участникам не показываются: технические данные из раздела 4 — журнал действий, сессии, поисковые запросы, журналы уведомлений, отчёты о сбоях приложения; настройки уведомлений; текст обратной связи; отзывы о встречах Random Coffee; поданные вами жалобы. Отзыв о встрече никогда не увидит тот, о ком он написан.

Администраторы приложения видят учётные записи, контент, журнал действий по конкретному человеку, административный аудит и статистику. Такой доступ нужен им для модерации и разбора обращений. Отчёты о сбоях приложения видит только главный администратор.

Организатор игротеки — её создатель и соорганизаторы — видит статистику своих игротек: кто записывался и приходил, кто пришёл впервые, кто вернулся и кто давно не был, кто ушёл со стола в последние сутки перед началом, из каких чатов пришли записи, каких гостей приводили и сколько из них потом зарегистрировались сами. Чужих игротек организатор не видит. Имена в этой статистике — только тех, чей профиль открыт, остальные учитываются лишь в числах; имена гостей видят только организаторы той игротеки и администраторы. Заявки за стол видят только собравший его и организаторы.

Историю игротек и чатов видят только администраторы Sarafun — в разделе администрирования. Организаторам игротек, соорганизаторам и модераторам городов она не показывается.

7. Кому мы передаём данные

Мы не продаём данные и не передаём их для рекламы или профилирования в чужих интересах. Но передача данных происходит, и вот в каких случаях.

Telegram Messenger. Telegram — наш инфраструктурный поставщик. Через него выполняется вход в приложение, уходят все уведомления в личных сообщениях, публикуются события в группах, хранится токен вашей сессии и проводятся платежи Telegram Stars. Всё, что уходит в Telegram — имя, текст публикации, содержание уведомления, — дальше обрабатывает Telegram по своей политике конфиденциальности.

Администраторы. Текст, отправленный через форму обратной связи, бот дублирует личным сообщением администраторам приложения — сейчас это мы оба, — и он остаётся в их переписке в Telegram. Удаление вашей учётной записи эту копию в Telegram не затрагивает.

Хостинг. Приложение и база данных работают на арендованном сервере в пределах Европейской экономической зоны. Мы арендуем машину у хостинг-провайдера и не заявляем о каких-либо его сертификациях.

Резервные копии. Автоматические копии базы мы храним 30 дней; одна копия хранится отдельно от основного сервера. Отсюда следствие для права на удаление: до тридцати дней после удаления учётной записи ваши данные ещё лежат в этих копиях. Отдельно оговорим две вещи, которые под тридцатидневный срок не подпадают. Первая — единичные ручные снимки базы, которые мы делаем перед крупными изменениями; они хранятся дольше. Вторая — отдельная копия загруженных файлов: она пополняется, но не повторяет удаления, поэтому изображение, стёртое у нас, может остаться в ней.

Календарь по подписке. Если вы подключили свои записи к календарю (Google, Apple, Outlook или другому), этот сервис регулярно забирает по вашей личной ссылке список мероприятий, на которые вы записаны: название, время, место, описание и статус записи. Других участников в списке нет. Дальше эти данные обрабатывает сервис календаря по своей политике конфиденциальности. Ссылка работает как пароль на чтение ваших записей: её можно заменить новой или отключить подписку в «Настройках» → «Мои записи в календаре», а при удалении учётной записи она перестаёт работать. У себя мы храним только то, когда календарь последний раз забирал список, и какой это календарь (Google, Apple или Outlook), — без адреса и данных устройства.

Google Календарь. Если вы подключили Google Календарь, мы отправляем в него через Google Calendar API мероприятия, на которые вы записаны: название, время, место, описание со ссылкой на событие, статус записи и, если вы его выбрали, напоминание. Других участников там нет. Доступ ограничен календарём «Sarafun», который мы создаём сами: остальные ваши календари и события мы не видим и не читаем. Дальше эти данные обрабатывает Google по своей политике конфиденциальности. Использование и передача информации, полученной через API Google, соответствуют правилам Google API Services User Data Policy, включая требования Limited Use: эти данные служат только синхронизации календаря, не передаются третьим лицам, не используются для рекламы, и люди их не читают. Если Google больше не пускает Sarafun в ваш аккаунт (например, вы отозвали доступ в настройках аккаунта Google), удалить календарь «Sarafun» из вашего Google Календаря мы уже не можем — удалите его там сами; подключение и ключ доступа у себя мы стираем в любом случае (раздел 9).

Афиша и ИИ. Анонсы для афиши города мы берём из открытых источников — сайтов площадок, организаторов и продавцов билетов, публичных Telegram-каналов (раздел 8). Тексты этих анонсов разбирает и пересказывает ИИ-модель Claude компании Anthropic: в модель уходят только тексты публичных анонсов и сведения о событии — название, дата, место, цена; в таких текстах встречаются имена и контакты организаторов, исполнителей и площадок. Ваши данные как участника приложения — профиль, мероприятия сообщества, комментарии, сообщения, фотографии — в модель не передаются.

Почта. Письма на hello@sarafun.app принимает служба пересылки Cloudflare и доставляет в наш почтовый ящик Gmail (Google): ваш адрес, имя отправителя и текст письма проходят через Cloudflare и хранятся в Gmail.

Instagram. Анонсы мероприятий сообщества мы можем публиковать в сториз аккаунта Sarafun в Instagram (Meta): на карточке — название, дата и время, место, цена, город и картинка мероприятия, без имени организатора. Приватные мероприятия и афиша туда не попадают. Опубликованную сториз дальше обрабатывает Meta по своей политике конфиденциальности.

Список городов взят из открытого набора данных GeoNames (раздел 17). Никакие ваши данные в GeoNames не уходят.

Anthropic, Cloudflare, Google и Meta — компании из США, как и большинство сервисов календаря, которые вы можете подключить сами: у них данные могут обрабатываться за пределами Европейской экономической зоны. Такая же передача возможна внутри инфраструктуры Telegram, которая находится вне нашего контроля. Эти компании обрабатывают данные по своим условиям и политикам конфиденциальности; если вам нужны подробности о передаче, напишите на hello@sarafun.app.

8. Данные людей, которые приложением не пользуются

Приложение обрабатывает данные людей, которые сами им не пользовались и эту политику не принимали. У них есть права на эти данные, поэтому мы прямо раскрываем, что именно о них хранится и как это удалить.

Участники подключённых Telegram-групп. Для каждой группы сообщества, подключённой к приложению, мы храним список участников: идентификатор Telegram, имя, фамилию, @username, признак подписки Telegram Premium, язык интерфейса и статус в группе. Данные собираются через интерфейсы Telegram — служебным аккаунтом, состоящим в группе, и событиями об изменении состава. Значительная часть этих записей не связана ни с одной действующей учётной записью. Это и люди, которые приложением никогда не пользовались, и те, чья учётная запись удалена или заблокирована. Основание — законный интерес (статья 6(1)(f)) в понимании охвата сообщества, в том, кому уже доставлено объявление, и в модерации.

Чат к приложению может подключить и организатор игротеки — добавив бота по ссылке из приложения, чтобы публиковать там столы. Когда такой чат подтверждён — автоматически, пока у организатора есть опубликованная и ещё не закончившаяся игротека (так подтверждается не больше трёх чатов одного организатора), или вручную администрацией Sarafun, — он обрабатывается так же, как остальные подключённые: служебный аккаунт вступает в него и регулярно сканирует состав, бот получает события об изменении состава. При подключении бот проверяет через Telegram, что организатор — администратор этого чата. Сам бот в такой чат пишет только посты столов и игротеки, а команду подключения удаляет.

Администратор может выгрузить список участников чата файлом — идентификатор Telegram, имя, фамилия и @username. Выгрузка нужна для модерации и учёта охвата; каждая такая операция попадает в административный журнал.

Сразу оговорим ограничение, чтобы не давать невыполнимого обещания. Служебный аккаунт регулярно заново сканирует состав активных чатов. Если мы удалим запись по вашему обращению, а вы продолжаете состоять в группе, при ближайшем сканировании она появится снова. Удалить её насовсем можно только после того, как вы покинете группу; до этого мы можем удалить её лишь временно.

Объекты рекомендаций. Участник может опубликовать рекомендацию о человеке вне приложения или о компании, создав карточку с именем, фотографией, городом, категорией и контактами: сайт, Telegram, WhatsApp, Instagram, телефон, электронная почта, адрес, ссылка на карту. Эти сведения вносит автор рекомендации, а не сам объект. Основание — законный интерес (статья 6(1)(f)) в обмене проверенными контактами внутри сообщества. Если рекомендация касается вас и вы этого не хотите, напишите на hello@sarafun.app — карточку скроем или удалим.

Гости игротек. Собравший стол или организатор игротеки может посадить за стол гостя без учётной записи, указав его имя (обязательно) и @username в Telegram (по желанию). Эти сведения вносит тот, кто привёл гостя, а не сам гость. На странице стола участники сообщества видят имя гостя и его @username, если он указан, а в посте стола все участники чата видят имя гостя — со ссылкой на его Telegram, если username указан. Мы используем эти сведения, чтобы вести стол, и для статистики игротек: сколько приходит гостей, кто их приводит, сколько из них потом регистрируются сами. Если гость позже зарегистрируется в Sarafun под тем же @username, его прошлые места гостя связываются с учётной записью; эту связь видят организаторы той игротеки и администраторы. Основание — законный интерес (статья 6(1)(f)): организатор планирует столы и видит, сколько гостей приходит, а участники чата — кто уже за столом. Приводя гостя, вы подтверждаете, что он знает об этом и согласен. Через 365 дней после игротеки имя гостя заменяется на «Гость», а @username стирается (раздел 9). Если запись о вас как о госте вам не нужна, напишите на hello@sarafun.app — удалим, не дожидаясь срока; если учётная запись у вас есть, при её удалении связь с местами гостя обнуляется.

Люди в чатах, где есть наш бот. Если человек добавляет нашего бота в чат, удаляет его или меняет его права (Telegram разрешает это не только администраторам), а также если администратор чата меняет права организатора игротеки, создаёт, переименовывает или закрывает тему, мы записываем в историю чата его имя, @username и идентификатор Telegram — так администраторы Sarafun видят, почему бот перестал публиковать. Это касается любого чата, где есть наш бот, а не только чатов игротек. Хранится 365 дней с момента записи. Если тему создал не администратор, запись остаётся без имени: «участник чата».

Организаторы и площадки из афиши. Приложение собирает анонсы публичных мероприятий с открытых сайтов и из открытых Telegram-каналов и показывает их в общей ленте города. Из анонса мы храним название, дату и время, место и адрес, цену, описание, изображение и ссылку на первоисточник, а рядом — исходный текст объявления в том виде, в каком он был опубликован. В таком тексте встречаются имена организаторов и лекторов и контакты площадок. В отдельные поля имена физических лиц мы не выносим, а для мероприятий, которые раскрывают религиозные или политические взгляды, состояние здоровья, ориентацию или миграционный статус, не сохраняем ни имён, ни фотографий. Имя артиста, лектора или другого участника, ради которого событие существует, при этом может прозвучать в описании карточки: без него анонс перестаёт быть анонсом. Имена организаторов, ведущих и контактных лиц в карточку не попадают. Основание — законный интерес (статья 6(1)(f)) в том, чтобы участники сообщества узнавали о происходящем в городе; для машинного разбора текста объявлений мы дополнительно опираемся на исключение для анализа текстов и данных (статья 4 Директивы 2019/790). Машинный разбор выполняет ИИ-модель Claude компании Anthropic (раздел 7).

Каждого упомянутого в анонсе мы отдельно не уведомляем: адресов у нас нет, а разыскивать их значило бы собрать о людях больше данных, чем мы храним сейчас. Статья 14(5)(b) GDPR допускает не уведомлять, когда это требует несоразмерных усилий, и настоящий раздел заменяет такое уведомление. Если анонс касается вас или вашей площадки и вы этого не хотите, напишите на hello@sarafun.app: мы снимаем публикацию по первому обоснованному требованию и при необходимости прекращаем сбор с источника целиком, стирая заодно сохранённые исходные тексты его объявлений. Срока в днях мы намеренно не обещаем — сервис ведут два человека, и обещание, исполнение которого зависит от того, в отпуске ли мы, было бы хуже честного «обычно в течение нескольких дней».

Имена в чужих журналах. Как сказано в разделе 4, при переходе к переписке или по внешней ссылке в журнал попадает имя того, к кому обращались. Если этот человек удалит учётную запись, мы сотрём его имя и из чужих записей тоже — как именно, описано в разделе 11.

Тексты о третьих лицах. Комментарии, запросы, отзывы о встречах, снимки контента в жалобах и пояснения к административным действиям могут содержать сведения о других людях. Заранее мы их не редактируем и реагируем по обращению или по жалобе.

9. Сколько мы храним каждую категорию

Учётная запись, анкета и настройки хранятся, пока вы не удалите учётную запись. С вашим контентом сложнее: часть его переживает удаление аккаунта под подписью «Удалённый пользователь», часть скрывается, часть стирается — точный разбор в разделе 11. Неактивные учётные записи автоматически не удаляются: если вы не удалите аккаунт сами, эти данные будут храниться бессрочно.

Поля, которые переживают удаление учётной записи. Идентификатор Telegram — на нём держатся повторная регистрация и защита от обхода блокировок. Вместе с ним нетронутыми остаются город, часовой пояс, тихие часы, тема оформления, роль, дата регистрации, время последней активности и последний использованный бот. Остаются и настройки уведомлений — необязательные рассылки при этом выключаются (раздел 11), — и служебные отметки: время быстрой регистрации, признак повторной регистрации, общий признак того, что вы заблокировали бота (записи по каждому боту удаляются — раздел 11), выбран ли часовой пояс вручную, когда вы последний раз открывали разделы, где приложение отмечает новое, и причина блокировки, если она применялась. Всё остальное в учётной записи обезличивается (раздел 11).

Журнал действий. 365 дней с момента каждой записи. Два вида записей из чистки исключены и хранятся бессрочно. Первый — сообщения через форму обратной связи: это ваш текст, а не телеметрия, и в приложении он хранится только здесь; про копию, ушедшую в Telegram администраторам, сказано в разделах 7 и 11. Второй — служебные отметки о том, что напоминание о заполнении профиля уже отправлялось.

История игротек и чатов. 365 дней с момента каждой записи.

Поисковые запросы и фильтры. 365 дней с момента записи.

Сессии. Удаляются, когда с момента истечения токена прошло больше 90 дней. Кроме того, они удаляются сразу — и при удалении учётной записи, и при блокировке.

Журналы уведомлений. Напоминания о событиях и записи о проблемной доставке (ошибка, бот заблокирован, отправка отложена) — 400 дней. Остальные — 90 дней. Удаление учётной записи эти записи не затрагивает.

Источник регистрации — метка ссылки, дата регистрации и кто пригласил. Хранится, пока существует учётная запись; при повторной регистрации заменяется новым.

Признаки доступности ботов. Хранятся, пока существует учётная запись, и удаляются вместе с ней. Блокировка их не затрагивает.

Подписка на личный календарь. Настройка подписки и отметка о том, когда календарь последний раз забирал список, хранятся, пока подписка включена. Отключение удаляет их сразу, удаление и блокировка учётной записи — тоже.

Привязанный аккаунт Google. Хранится, пока подключение включено. Если Google перестал пускать Sarafun (вы отозвали доступ в настройках аккаунта Google или сменили пароль), привязка ждёт переподключения не дольше 30 дней и затем удаляется; убрать её сразу можно кнопкой «Отключить». Отключение в «Настройках», удаление и блокировка учётной записи стирают ключ доступа и все связанные записи — обычно в течение минуты; если доступ у Google ещё есть, перед этим календарь «Sarafun» удаляется из вашего Google Календаря, а доступ у Google отзывается. Если доступа уже нет (в том числе пока привязка ждёт переподключения), календарь «Sarafun» остаётся у вас — удалите его в Google Календаре сами. Если Google недоступен, мы повторяем попытки, но ключ стираем не позже чем после десяти неудачных, и тогда календарь «Sarafun» может остаться у вас — его можно удалить в Google Календаре. Если вы сами удалите календарь «Sarafun» в Google или отзовёте доступ в настройках аккаунта Google, синхронизация выключится, и мы пришлём одно сообщение в Telegram. Попытки входа хранятся не дольше суток.

Заявки на участие в событиях. Решённые заявки — одобренные, отклонённые, отозванные, просроченные и снятые из-за отмены события — удаляются через 90 дней после начала события. Заявка, по которой организатор так и не принял решения, автоматически помечается просроченной через четыре часа после окончания события и дальше удаляется по тому же правилу.

Записи на события, роли соорганизаторов, подписки и отметки о присутствии. Автоматически не удаляются.

Столы игротек, места за ними и отметки о том, кто подключил чат. Автоматически не удаляются: по ним считается статистика игротек. Имя и @username гостя игротеки — 365 дней после игротеки; затем имя заменяется на «Гость», а @username стирается, строка места и связь с учётной записью, если гость потом зарегистрировался, остаются для статистики. По письму на hello@sarafun.app — раньше.

Пожелания к столу и игры, которые вы назвали, хранятся в вашей записи на игротеку и удаляются вместе с ней: при отмене записи, при удалении и при блокировке учётной записи. Приглашения за стол, как и сами столы, автоматически не удаляются, кроме непринятых приглашений на игротеку, запись на которую вы отменили; полученные и отправленные вами приглашения стираются при удалении или блокировке учётной записи.

Данные афиши. Исходные тексты собранных объявлений, записи о том, что и когда мы увидели у источника, и служебные отметки о ходе их обработки хранятся бессрочно. Это осознанное решение, а не недосмотр: по этим записям видно, чем опубликованная карточка отличается от того, что сказал источник, и почему сервис поступил с ней именно так; восстановить их задним числом невозможно. Ограничение у бессрочности одно, и оно безусловное: когда источник или упомянутый в анонсе человек просит прекратить публикацию, мы прекращаем сбор, снимаем карточки и стираем сохранённые исходные тексты этого источника — не дожидаясь никакого срока.

Предложения для афиши. Ссылка на страницу мероприятия, ваш комментарий и привязка к вашей учётной записи хранятся бессрочно: автоматической чистки нет. При удалении учётной записи комментарий и привязка стираются, ссылка остаётся — это адрес чужой страницы, а не ваши данные.

Сообщества и подписки на них. Автоматической чистки нет. Подписки и права модератора удаляются вместе с учётной записью; сообщество, ожидавшее модерации, отклоняется, а уже опубликованное — остаётся.

Отзывы и объявленные пары Random Coffee. Хранятся бессрочно, включая свободный текст отзыва, — независимо от того, удалил ли учётную запись автор или его партнёр. Ещё не объявленная пара удаляется, если её участник удалил учётную запись или заблокирован, а также при отмене раунда или повторном подборе пар.

Жалобы на контент и административный аудит. Бессрочно.

История изменений контента и журнал тревог. 400 дней. Запись об авторе изменения сохраняется и после того, как его учётная запись удалена.

Чаты сообщества и тексты отправленных в них публикаций и рассылок. Бессрочно; автоматической чистки нет. Записи о неудавшихся публикациях удаляются, когда со дня создания события прошло больше 7 дней.

Сведения об участниках подключённых Telegram-групп. Бессрочно; автоматической чистки нет.

Записи о донатах. Бессрочно, и они не удаляются даже по требованию: обязанность хранить сведения о поступивших платежах в этой части ограничивает право на удаление.

Журналы служебных фоновых задач. 30 дней.

Отчёты о сбоях приложения. 30 дней с момента отчёта; отчёты, привязанные к вашей учётной записи, удаляются и раньше — при её удалении (раздел 11).

Загруженные изображения. Хранятся, пока существует связанная запись. Файлы, не связанные ни с одной записью, удаляются через 24 часа.

Журналы веб-сервера. 15 суток. Журналы приложения — около месяца, журнал ошибок дольше.

Резервные копии базы. 30 дней для автоматических копий; ручные снимки и отдельная копия загруженных файлов живут дольше (раздел 7).

10. Что мы делаем с данными, полученными из Telegram

При входе Telegram передаёт нам имя, фамилию, @username, ссылку на фотографию и язык интерфейса. Дальше судьба этих полей различается, и это важно для права на исправление.

Имя и фамилия фиксируются при регистрации. При последующих входах мы их не перезаписываем — вы могли поменять их в приложении под себя, и затирать вашу правку данными из Telegram было бы неверно. Менять имя и фамилию можно прямо в профиле приложения.

@username, фотография профиля и язык интерфейса обновляются из Telegram при каждом входе. Изменить их в приложении нельзя — поменяйте в Telegram, и при следующем входе значение подтянется.

11. Удаление учётной записи

Удалить учётную запись можно самостоятельно в настройках профиля. Ниже — точное описание последствий.

Обезличивается. Имя заменяется на «Удалённый пользователь». Стираются:

  • фамилия и @username;
  • обе ссылки на фотографию, сам файл фотографии на сервере и служебные признаки её синхронизации;
  • язык интерфейса;
  • описание, профессия, компания, «откуда родом», навыки, «кого ищу»;
  • ссылки на соцсети;
  • отметка о принятии политики.

Учётная запись помечается неактивной, а все выданные токены становятся недействительными. Отметка о прохождении знакомства с приложением снимается, необязательные рассылки выключаются. Карточка объекта рекомендаций о вас переименовывается в «Удалённый пользователь» — этим удаление отличается от блокировки, где имя сохраняется.

Что происходит с журналом действий. В ваших собственных записях стирается свободное пояснение — пути с параметрами, снимки чужих имён, тексты обращений через форму обратной связи. Сами строки остаются: они указывают на уже обезличенную учётную запись и нужны для агрегатов вроде «сколько человек смотрело события в этот день». Удалятся они по общему сроку — 365 дней с момента каждой записи.

В чужих записях, где остался снимок вашего имени, мы стираем именно имя. Там, где кто-то нажал «написать вам», пояснение обнуляется целиком. Там, где открывали вашу соцссылку, остаётся только название платформы: «LinkedIn». Дальше приложение подставляет «Удалённый пользователь», и лента остаётся читаемой, не называя вас.

Одно исключение назовём прямо. Сразу после удаления в журнал дописывается запись о самом удалении, и в ней сохраняется снимок ваших стёртых записей на события. Эта запись живёт год.

Источник регистрации. Связь «кто пригласил» стирается — и у вас, и у тех, кого пригласили вы, в том числе в записях журнала о регистрации. Метка ссылки и дата регистрации остаются в обезличенной учётной записи: по ним считается, сколько регистраций принесла ссылка.

Игротеки. Ваши места за столами освобождаются, столы, которые вы собрали, отменяются, гости, которых вы привели как игрок, снимаются вместе с вами; из постов в чатах ваше имя пропадает при ближайшем обновлении. Пожелания к столу и игры удаляются вместе с записями на игротеки, приглашения за стол — и полученные, и отправленные вами — стираются. Строки мест остаются в истории игротек и указывают на обезличенную учётную запись; собранные вами столы остаются отменёнными — с названием и описанием. Если вы когда-то были гостем и места гостя были связаны с вашей учётной записью, связь обнуляется; имя и @username, которые указал приведший вас, остаются в истории стола до обезличивания через 365 дней после игротеки (раздел 9). Отметки о том, какие чаты вы подключили как организатор, остаются. Записи истории игротек и чатов, где вы действовали, остаются и указывают на обезличенную учётную запись; если вы действовали в чате до регистрации, снимок вашего имени в Telegram стирается.

Поисковые запросы. Текст запроса и применённые фильтры обнуляются во всех ваших строках. Сами строки — тип сигнала, экран, диапазон числа результатов, город и идентификатор клиентской сессии — остаются до общего срока в 365 дней.

Обратная связь. Текст обращения стирается вместе с остальными пояснениями журнала; строка о самом факте обращения остаётся бессрочно. Важно: копия текста, которую бот отправил администраторам в Telegram, остаётся в их переписке — удалить её из Telegram мы не можем.

Удаляется полностью:

  • сессии;
  • отчёты о сбоях приложения, полученные до удаления (их копия в журналах приложения стирается по сроку из раздела 9);
  • подписка на личный календарь — ссылка на неё перестаёт работать;
  • привязанный аккаунт Google — если доступ у Google ещё есть, календарь «Sarafun» удаляется из вашего Google Календаря, а доступ отзывается; если нет — календарь остаётся у вас (раздел 9);
  • записи о доступности ботов;
  • все записи на события — при этом первый участник из листа ожидания автоматически повышается;
  • заявки на участие вместе со свободным текстом сообщения;
  • роли соорганизатора;
  • ваши интересы;
  • все подписки: на обсуждения, на записи, на запросы, на организаторов в обе стороны, на сообщества, а также права модератора сообществ;
  • права модератора города: закреплённые за вами города снимаются;
  • анкета Random Coffee и регистрации в раундах, которые ещё не стартовали;
  • список «уже знакомы» — и ваши отметки, и чужие отметки о вас;
  • все реферальные посты;
  • файл вашей фотографии профиля.

Скрывается, но остаётся в базе. Ваши запросы в разделе «Ищу» и ответы на чужие запросы получают отметку об удалении — текст сохраняется, чтобы не снести чужие ответы под вашими запросами. Черновики и отклонённые события получают отметку об удалении и пропадают из приложения; их текст остаётся в базе, а загруженные к ним изображения удаляются с диска. Объявления шеринга деактивируются, но их описание, фотография и район выдачи остаются; активные займы ваших вещей закрываются — заёмщику приходит сообщение, что вернуть вещь через приложение больше нельзя, — ожидающие заявки отклоняются. Займы, где чужая вещь сейчас у вас, остаются активными: владельцу приходит сообщение без вашего имени о том, что заёмщик удалил аккаунт, и возврат или утерю он отмечает сам. Рекомендации, ожидавшие модерации, скрываются. Сообщества, ожидавшие модерации, отклоняются. Объявленные пары Random Coffee в идущем раунде помечаются несостоявшимися, и партнёру приходит сообщение без вашего имени о том, что вы больше не участвуете; ещё не объявленная пара удаляется.

Остаётся без изменений. Идентификатор Telegram и служебные поля из раздела 9. Комментарии, оценки и текстовые отзывы к событиям — под подписью «Удалённый пользователь». Опубликованные и отменённые события вместе с изображениями. Опубликованные рекомендации и ваши отметки «тоже рекомендую». Опубликованные сообщества, которые вы создали. Поданные вами жалобы. Отметки о присутствии на событиях. Отзывы о встречах Random Coffee, включая свободный текст. Регистрации в раундах, которые уже стартовали или завершились, вместе со снимком указанных пола и состава. Журналы уведомлений. Записи о донатах. Административный аудит. История изменений контента. Журнал тревог — он может содержать ваше имя, @username, идентификатор Telegram и внутренний номер учётной записи.

В записях об участниках Telegram-групп обнуляется только связь с вашей учётной записью. Имя, фамилия, @username и идентификатор Telegram в этих записях остаются.

На устройстве приложение стирает черновики форм, метки закрытых подсказок, сохранённые фильтры и служебные флажки, очищает временное хранилище вкладки и удаляет из облачного хранилища Telegram токен и адрес страницы из ссылки, если он там остался.

В резервных копиях базы удалённые данные ещё существуют и исчезают по мере ротации — в пределах тридцати дней. Две оговорки из раздела 7 действуют и здесь: единичные ручные снимки базы хранятся дольше, а отдельная копия загруженных файлов не повторяет удаления, поэтому изображение, стёртое у нас, может остаться в ней.

Повторная регистрация возможна. Она создаёт новый профиль, требует заново пройти знакомство с приложением и принять политику; роль сбрасывается до обычного участника.

Учётную запись главного администратора удалить через интерфейс нельзя — это защита от потери контроля над сервисом.

12. Блокировка учётной записи

Блокировку применяет администратор при нарушении правил сообщества. По последствиям для данных она устроена принципиально иначе, чем удаление.

При блокировке не обезличивается ничего. Учётная запись помечается неактивной, выданные токены становятся недействительными, сохраняется причина блокировки. Имя, фамилия, @username, фотография и вся анкета остаются в базе как есть, файл фотографии не удаляется, имя остаётся видимым в административном поиске и в карточке объекта рекомендаций. Это осознанное решение: разблокировка должна возвращать профиль в прежнем виде.

Но часть данных при этом удаляется безвозвратно, и разблокировка их не вернёт. Удаляются:

  • сессии;
  • подписка на личный календарь — ссылка на неё перестаёт работать;
  • привязанный аккаунт Google — если доступ у Google ещё есть, календарь «Sarafun» удаляется из вашего Google Календаря, а доступ отзывается; если нет — календарь остаётся у вас (раздел 9);
  • все записи на события — с повышением первого из листа ожидания;
  • заявки на участие вместе со свободным текстом;
  • роли соорганизатора;
  • все подписки: на обсуждения, записи, запросы, организаторов, сообщества, включая права модератора;
  • права модератора города: закреплённые за вами города снимаются, а роль меняется на роль обычного участника;
  • анкета Random Coffee и регистрации в раундах, которые ещё не стартовали.

Отклоняются без возможности вернуть: события, ожидавшие модерации; сообщества, ожидавшие модерации; реферальные посты, ожидавшие модерации.

Игротеки: ваши места за столами освобождаются, столы, которые вы собрали, отменяются, гости, которых вы привели как игрок, снимаются. Приглашения за стол, полученные и отправленные вами, стираются; пожелания к столу уходят вместе с записями на события. Разблокировка этого не вернёт.

Скрывается, но сохраняется: ваши запросы и ответы получают отметку об удалении; опубликованные реферальные посты скрываются; рекомендации, ожидавшие модерации, скрываются; объявления шеринга деактивируются, активные займы ваших вещей закрываются (заёмщику приходит сообщение об этом), ожидающие заявки отклоняются. Займы, где чужая вещь сейчас у вас, остаются активными: владельцу приходит сообщение с вашим именем о том, что вы покинули Sarafun, и возврат или утерю он отмечает сам. Объявленные пары Random Coffee в идущем раунде помечаются несостоявшимися, и партнёру приходит сообщение без вашего имени о том, что вы больше не участвуете; ещё не объявленная пара удаляется. Связь с записями об участниках чатов обнуляется.

Комментарии и оценки не затрагиваются и остаются подписанными вашим настоящим именем.

Журнал действий и поисковые запросы при блокировке не обезличиваются — в отличие от удаления. Они удаляются по общему годовому сроку, с теми же двумя исключениями, что названы в разделе 9: текст обратной связи и служебные отметки о напоминаниях остаются, и блокировка их не обезличивает. Отчёты о сбоях приложения при блокировке не удаляются и стираются по общему сроку в 30 дней.

В административный аудит добавляется запись с причиной блокировки и снимком ваших записей на события и заявок. Она хранится бессрочно.

Черновики форм на вашем устройстве при блокировке остаются — приложение их не очищает.

Если вы считаете блокировку необоснованной либо хотите, чтобы после неё данные были удалены, а не сохранены, напишите на hello@sarafun.app.

13. Данные на вашем устройстве и в хранилище Telegram

Приложение не использует рекламные и трекинговые cookie и не отслеживает вас между сайтами. Про единственную cookie на сайте-лендинге сказано в разделе 3.

Токен сессии. После входа токен сохраняется в облачном хранилище Telegram и привязан к паре «вы — конкретный бот». Это нужно, чтобы при следующем открытии приложения не входить заново. Токен переживает закрытие приложения; он стирается при удалении учётной записи и становится недействительным при блокировке и при смене роли.

Страница из ссылки, по которой вы пришли. Если вы впервые открыли приложение по ссылке (на событие, профиль и т. п.), то, пока вы заполняете анкету, адрес этой страницы лежит в облачном хранилище Telegram — чтобы после анкеты открыть её, даже если приложение перезапустилось. Запись стирается, как только вы закончили анкету, и при удалении учётной записи; запись старше недели не используется и стирается при следующем открытии анкеты.

Локальное хранилище устройства. Приложение хранит там черновики форм с введённым вами текстом:

  • событие;
  • объявление шеринга;
  • запрос;
  • рекомендация;
  • реферальный пост;
  • стол игротеки;
  • знакомство с приложением;
  • обратная связь.

Рядом с черновиками лежат метки закрытых подсказок, выбранные фильтры городов и сообществ и несколько служебных флажков. Эти данные хранятся на вашем устройстве и на сервер не уходят: они попадают к нам только тогда, когда вы сами отправляете форму. При удалении учётной записи приложение очищает всё перечисленное, включая черновик реферального поста и ключи фильтров.

Идентификатор клиентской сессии. При каждом запуске приложения генерируется случайный идентификатор. Он сопровождает записи журнала действий и поисковых запросов в пределах одного визита и позволяет увидеть последовательность действий внутри него. Между разными визитами он не общий: при следующем запуске генерируется новый.

14. Технические журналы вне базы данных

Журналы веб-сервера. Для домена приложения app.sarafun.app и для страниц сайта-лендинга веб-сервер записывает полный IP-адрес, полный User-Agent, путь и метод запроса и код ответа. Мы используем эти записи для защиты от сканирования и автоматических атак. Срок хранения — 15 суток. Основание — законный интерес (статья 6(1)(f)).

Журналы приложения. Ведутся в структурированном виде и содержат идентификатор пользователя и тип действия, а также копии отчётов о сбоях приложения (раздел 4). Полный IP-адрес, User-Agent, заголовки авторизации и секреты в эти файлы не попадают. В записях о срабатывании защиты — превышении частоты запросов, недействительном или просроченном токене сессии, тревогах безопасности — сохраняется усечённый IP-адрес: первые три числа адреса IPv4 или первые три группы адреса IPv6, по которым нельзя определить конкретное устройство.

Исключение по User-Agent. При явных признаках автоматической атаки в журнал тревог в базе данных записывается полный User-Agent и усечённый IP-адрес. Такие записи редки и хранятся 400 дней.

15. Ваши права

Вам принадлежат права по статьям 15–22 GDPR. Чтобы воспользоваться любым из них, напишите на hello@sarafun.app. Чтобы не выдать ваши данные постороннему, мы попросим подтвердить, что это вы, — например, ответить с того же Telegram-аккаунта, под которым вы пользуетесь приложением.

Право на доступ (ст. 15). Вы вправе получить подтверждение обработки и копию своих данных. Автоматической выгрузки в приложении нет — выборку мы готовим вручную, поэтому ответ может занять до месяца.

Право на исправление (ст. 16). Анкету, имя, фамилию и настройки вы меняете сами в любой момент. @username, фотографию и язык интерфейса поменяйте в Telegram — при следующем входе они обновятся у нас (раздел 10).

Право на удаление (ст. 17). Удалите учётную запись в настройках или напишите нам. Раздел 11 описывает, что при этом стирается, а что остаётся. Право ограничено — вот где именно.

  • Запись о донате мы обязаны хранить.
  • Административный аудит, история изменений и журнал тревог остаются как доказательная база по законному интересу и удаляются по своим срокам.
  • Идентификатор Telegram сохраняется для защиты от обхода блокировок.
  • Данные ещё до тридцати дней живут в автоматических резервных копиях; ручные снимки базы и отдельная копия загруженных файлов живут дольше (раздел 7).
  • Записи об участниках подключённых Telegram-групп сохраняют ваше имя и @username, пока вы состоите в группе (раздел 8).
  • Отзывы о встречах Random Coffee, включая свободный текст, остаются бессрочно.
  • Журналы уведомлений и отметки о присутствии удалению не подлежат.
  • Опубликованный контент остаётся под подписью «Удалённый пользователь».
  • История мест за столами игротек и сведения о гостях остаются (раздел 11).

Полный разбор — раздел 11. По отдельному обращению мы рассмотрим удаление конкретных записей сверх стандартной процедуры.

Право на ограничение обработки (ст. 18). Отдельного режима приостановки в приложении нет — скажем прямо, чтобы не описывать несуществующий механизм. Ближайшее к этому состояние — блокировка, но она часть данных удаляет, то есть приостановкой не является. Если вы потребуете ограничить обработку, мы прекратим использовать ваши данные вручную и сообщим, что именно сделали.

Право на возражение (ст. 21). Против обработки на основании законного интереса вы вправе возразить в любой момент. Это прежде всего продуктовая аналитика — журнал действий и поисковые запросы, — снимок вашего имени в чужих записях и хранение сведений об участниках подключённых групп. Против рассылок можно возразить безусловно: выключите соответствующие переключатели в настройках. Транзакционные уведомления, без которых сервис не работает — например, о вашей записи на событие, — продолжат приходить.

Право на переносимость (ст. 20). Вы вправе получить предоставленные вами данные в машиночитаемом формате. Автоматического механизма выгрузки нет, готовим вручную по обращению.

Отзыв согласия (ст. 7(3)). Согласия из раздела 5 отзываются в настройках: анкету Random Coffee вы удаляете в разделе Random Coffee, необязательные рассылки выключаете переключателями. Ограничение по анкете: пока идёт раунд, где вам подобрана пара, удалить её приложение не даст — дождитесь завершения раунда либо напишите нам. Отзыв не влияет на законность обработки, которая состоялась до него.

Право на жалобу (ст. 77). Вы вправе пожаловаться в надзорный орган по защите данных — по месту жительства, работы или предполагаемого нарушения. В Испании это Agencia Española de Protección de Datos (aepd.es).

Автоматизированных решений с юридическими последствиями (ст. 22) в приложении нет. Алгоритм подбора участников формирует рекомендательный список и влияет только на порядок карточек. Так же устроен блок мероприятий «Подходит вам»: он учитывает интересы из анкеты и историю ваших записей и отметок о присутствии — темы мероприятий, на которые вы записывались, организаторов, к которым вы ходили или на которых подписаны, и сколько ваших знакомых идут на мероприятие (только число, без имён). Знакомые — те, с кем вы были минимум на двух мероприятиях, с кем встретились в Random Coffee (встречу подтвердил в отзыве хотя бы один из вас) и кого вы сами отметили «Уже знакомы» (пока вы в одном городе: список действует только внутри него), кроме тех, кто включил «Не показывать меня в «Коннекте»». Ваша запись так же входит в это число у тех, кто был с вами на двух и более мероприятиях, встретился с вами в Random Coffee или сам отметил вас «Уже знакомы», если вы сами не включили «Не показывать меня в «Коннекте»». Игротеки в счёт этих мероприятий не входят: на игротеках знакомыми друг для друга считаются только те, кто хотя бы раз сидел за одним столом. Если вы или другой участник удалили анкету Random Coffee, прежние встречи и отметки «Уже знакомы» между вами не учитываются, даже если анкету заполнят снова (для этого мы храним дату удаления анкеты, пока не удалена учётная запись). По тому же правилу в списке записавшихся на мероприятие рядом с вашими знакомыми стоит пометка «Знакомы» — её видите только вы. Учитываются только ваши собственные отметки «Уже знакомы»: чужая отметка о вас вам не показывается. Если интересов в анкете нет и по истории подобрать нечего, блок показывает популярное: в ленте мероприятий — в городе, выбранном в ленте (по умолчанию — в вашем), на главной — всегда в вашем городе.

16. Безопасность

Мы принимаем технические и организационные меры, соразмерные рискам. Соединение с приложением защищено TLS. Данные, которые Telegram передаёт при входе, мы проверяем криптографической подписью с ограничением по времени. Права доступа проверяются при каждом запросе, поэтому их изменение действует немедленно. Служебный доступ к данным есть только у администраторов, и их действия фиксируются в журнале аудита. Устройство защитных механизмов мы не раскрываем: их публикация облегчила бы атаку.

Секреты и токены в журналы не попадают. Полный IP-адрес и сведения о браузере вычищаются из журналов приложения.

Ни одна из мер не даёт абсолютной гарантии. Если произойдёт инцидент, создающий риск для ваших прав, мы уведомим надзорный орган, а при высоком риске — и вас, в сроки, предусмотренные статьями 33 и 34 GDPR.

17. Источники данных

Список городов и их характеристик взят из открытого набора данных GeoNames (geonames.org), который распространяется по лицензии Creative Commons Attribution 4.0.

Анонсы мероприятий в афише собраны с открытых сайтов организаторов и площадок и из открытых Telegram-каналов. Каждая карточка ведёт на первоисточник; правами на исходные тексты и изображения обладают те, кто их опубликовал. Мы соблюдаем указания robots.txt, не обходим платный доступ, проверку «я не робот» и ограничения частоты обращений и снимаем публикацию по обоснованному требованию правообладателя.

18. Изменения политики

Мы обновляем политику по мере развития сервиса. Дата последней редакции указана в начале документа.

Действующей считается редакция, опубликованная в приложении. Та же редакция публикуется на сайте sarafun.app по-русски и в английском переводе; при расхождении преимущество у русской редакции в приложении.

О существенных изменениях — новых категориях данных, новых целях обработки, увеличении сроков хранения — мы сообщаем в Telegram-сообществе и в приложении. Если вы продолжаете пользоваться сервисом после вступления изменений в силу, обновлённая редакция действует для той обработки, которая опирается на договор и законный интерес. Обработку, которая требует согласия, мы возобновим только после того, как получим его.

19. Статус документа

Формулировки о правовых основаниях, сроках хранения и ограничениях прав описывают, как сервис устроен фактически.

Если вы заметили расхождение между написанным здесь и тем, как сервис ведёт себя на самом деле, напишите на hello@sarafun.app. Мы исправим либо текст, либо само поведение сервиса.

См. также: Условия использования.