Политика конфиденциальности
Редакция от 6 ноября 2026 г. Короткая версия: о вас хранится минимум, данные карты у нас не хранятся, трекеров и рекламы нет.
1. Кто отвечает за данные
Оператор данных: будет указано до первой продажиto be provided before the first sale. Адрес: будет указано до первой продажиto be provided before the first sale. Почта для обращений: будет указано до первой продажиto be provided before the first sale. Реестр: KvK будет указано до первой продажиto be provided before the first sale, btw-id будет указано до первой продажиto be provided before the first sale. Оператор находится в Нидерландах, применяется Общий регламент ЕС по защите данных (GDPR).
2. Какие данные мы обрабатываем
| Данные | Зачем | Основание | Срок |
|---|---|---|---|
| Почта и имя (при создании аккаунта; имя необязательно) | Создать аккаунт и защитить вход, отправить код подтверждения и восстановления, связать покупку с аккаунтом | Исполнение договора (ст. 6(1)(b) GDPR) | Пока существует аккаунт. Аккаунт, почта которого не подтверждена, удаляется через 7 дней |
| Пароль | Вход по почте и паролю | Исполнение договора | Пока существует аккаунт. Хранится только в виде необратимого хеша. При создании пароля проверяется, нет ли его в известных утечках: наружу уходит не пароль, а короткая часть его хеша |
| Имя и почта от Google или Apple, если вы входите через них | Создать аккаунт и войти в один клик | Исполнение договора | Пока существует аккаунт. Мы не получаем доступ к вашей почте, контактам или файлам в этих сервисах |
| Номер гостя или устройства (случайный, без имени) | Посчитать бесплатные действия и связать покупку, сделанную без аккаунта, с устройством | Строго необходимое хранение на устройстве; согласие не требуется. Законный интерес (ст. 6(1)(f)) | Не более 90 дней, срок не продлевается. На нём не строится аналитика |
| Сведения о платеже: номер заказа, почта, тариф и сумма, дата, статус, возвраты | Предоставить доступ к купленному, вести учёт платежей, обработать возврат | Исполнение договора; юридическая обязанность вести учёт (ст. 6(1)(c)) | 7 лет по нидерландскому законодательству об учёте |
| Технические журналы сервера, в том числе IP-адрес | Безопасность, защита от взлома и злоупотреблений | Законный интерес (ст. 6(1)(f)) | 90 дней, затем удаляются автоматически. Не используются для аналитики и рекламы и не передаются |
Данные банковской карты вводятся на странице оплаты Lemon Squeezy и нам не передаются. Мы не продаём данные, не показываем рекламу и не используем сторонние трекеры и аналитику.
3. Кому передаём данные
- Lemon Squeezy — продавец записи: принимает платежи, считает и уплачивает налоги, отправляет чеки, обрабатывает возвраты.
- Resend — отправка писем (код подтверждения, восстановление доступа, сообщения о покупке).
- Cloudflare — защита сайта, доставка страниц, защита форм от автоматических запросов.
- Hetzner — хостинг серверов, на которых хранятся данные аккаунта (дата-центр в Финляндии, ЕС).
- Google, Apple — только если вы сами выбрали вход через них.
Часть поставщиков находится за пределами ЕС (в частности, в США). Передача выполняется на основании механизмов, предусмотренных GDPR, например решения о достаточности уровня защиты или стандартных договорных положений. Мы передаём только то, что необходимо поставщику для его задачи.
4. Cookie и данные на устройстве
Мы используем только строго необходимые данные на устройстве, поэтому баннер согласия не нужен:
- сессия входа (
ory_kratos_session): держит вход до 30 суток; - защитные cookie потоков входа (
csrf_token_…): защита форм от подделки запросов; - выбор языка интерфейса (
langв локальном хранилище браузера); - номер гостя для счётчика бесплатных действий: не более 90 дней.
Рекламных и аналитических cookie нет. Если они появятся, мы спросим согласие заранее.
5. Ваши права
Вы вправе: получить копию своих данных, исправить их, удалить, ограничить обработку, возразить против обработки на основании законного интереса, получить данные в переносимом виде. Напишите на будет указано до первой продажиto be provided before the first sale; ответим не позже чем через месяц.
При удалении аккаунта мы удаляем почту, имя и данные входа. Записи о платежах остаются на срок, который требует закон (7 лет), в минимальном объёме (ст. 17(3)(b) GDPR). Перед удалением отменяется действующая подписка.
Вы также вправе подать жалобу в надзорный орган. В Нидерландах это Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).
6. Безопасность
Соединение шифруется (HTTPS). Пароли хранятся только в виде хеша. Доступ к серверам ограничен ключами, служебные части систем недоступны из интернета. Секреты хранятся отдельно от кода.
7. Изменения
Если политика изменится, на этой странице появится новая редакция с датой. О существенных изменениях мы сообщим на почту аккаунта.
Privacy policy
Version of 6 November 2026. In short: we store the minimum about you, we never store card data, and there are no trackers or ads.
1. Who is responsible for the data
Data controller: будет указано до первой продажиto be provided before the first sale. Address: будет указано до первой продажиto be provided before the first sale. Contact email: будет указано до первой продажиto be provided before the first sale. Registers: KvK будет указано до первой продажиto be provided before the first sale, VAT ID будет указано до первой продажиto be provided before the first sale. The controller is based in the Netherlands and the EU General Data Protection Regulation (GDPR) applies.
2. What data we process
| Data | Purpose | Legal basis | Retention |
|---|---|---|---|
| Email and name (when you create an account; the name is optional) | Create the account and protect sign-in, send verification and recovery codes, link a purchase to the account | Performance of a contract (Art. 6(1)(b) GDPR) | While the account exists. An account whose email is not verified is deleted after 7 days |
| Password | Sign-in with email and password | Performance of a contract | While the account exists. Stored only as an irreversible hash. When you set a password it is checked against known breaches: only a short part of its hash leaves our server, never the password |
| Name and email from Google or Apple, if you sign in with them | Create the account and sign in with one click | Performance of a contract | While the account exists. We get no access to your mail, contacts or files in those services |
| Guest or device number (random, no name) | Count free actions and link a purchase made without an account to the device | Strictly necessary storage on the device, no consent needed. Legitimate interest (Art. 6(1)(f)) | At most 90 days, not extended. No analytics is built on it |
| Payment details: order number, email, plan and amount, date, status, refunds | Provide access to what you bought, keep payment records, process refunds | Performance of a contract; legal obligation to keep records (Art. 6(1)(c)) | 7 years under Dutch bookkeeping law |
| Technical server logs, including the IP address | Security, protection against intrusion and abuse | Legitimate interest (Art. 6(1)(f)) | 90 days, then deleted automatically. Not used for analytics or advertising and not passed on |
Card details are entered on the Lemon Squeezy payment page and are never passed to us. We do not sell data, show ads or use third-party trackers or analytics.
3. Who receives data
- Lemon Squeezy — merchant of record: takes payments, calculates and remits taxes, sends receipts, processes refunds.
- Resend — email delivery (verification and recovery codes, purchase messages).
- Cloudflare — site protection, page delivery, protection of forms against automated requests.
- Hetzner — hosting of the servers that store account data (data centre in Finland, EU).
- Google, Apple — only if you choose to sign in with them.
Some providers are located outside the EU (notably in the USA). Transfers rely on the mechanisms provided by the GDPR, such as an adequacy decision or standard contractual clauses. We pass on only what a provider needs for its task.
4. Cookies and on-device data
We use only strictly necessary on-device data, so no consent banner is needed:
- the sign-in session (
ory_kratos_session): keeps you signed in for up to 30 days; - security cookies of sign-in flows (
csrf_token_…): protect forms against request forgery; - the interface language choice (
langin the browser's local storage); - the guest number for the free-action counter: at most 90 days.
There are no advertising or analytics cookies. If they ever appear, we will ask for consent first.
5. Your rights
You may obtain a copy of your data, correct it, delete it, restrict processing, object to processing based on legitimate interest, and receive your data in a portable form. Write to будет указано до первой продажиto be provided before the first sale; we will answer within one month.
When you delete an account we delete your email, name and sign-in data. Payment records are kept for the period required by law (7 years), in the minimum scope (Art. 17(3)(b) GDPR). Any active subscription is cancelled before deletion.
You may also lodge a complaint with a supervisory authority. In the Netherlands this is the Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).
6. Security
The connection is encrypted (HTTPS). Passwords are stored only as hashes. Access to servers is limited to keys, and administrative parts of the systems are not reachable from the internet. Secrets are kept apart from the code.
7. Changes
If the policy changes, a new version with a date will appear on this page. We will tell you about material changes by email.