Политика конфиденциальности
Здесь описано, что BookOrbit хранит, зачем, кто ещё это видит и сколько оно лежит. Текст написан по коду, а не по шаблону, поэтому в нём названы и те места, где колонка в базе есть, но в неё пока ничего не пишется, и те, где обещание на странице опережает реализацию.
Для кого это и для кого нет
Эта политика распространяется на всех, кто пользуется BookOrbit. BookOrbit не предназначен для тех, кому меньше 16 лет; проверки возраста в продукте нет, поэтому, если ребёнок завёл аккаунт, сообщите нам — мы его удалим. Если вам нужно знать, кто является контролёром данных, он назван внизу этой страницы и в Условиях.
Что мы собираем и зачем
Ваш аккаунт: имя, почта, необязательный псевдоним, тип аккаунта, выбранный при регистрации, название и сайт издателя, под которым вы выходите, если вы их указали (их видит только персонал, и в профиле они не показываются), подтверждён ли ваш адрес, тариф, выбранный до регистрации, тариф и даты пробного периода, а также хотите ли вы получать напоминания о добавлении ссылки на отзыв. Ваша активность: книги, которые вы выставляете (название, описание, жанр, язык, магазины, ASIN, PDF, если вы его загружаете, и число страниц, подсчитанное по нему), запросы на отзывы, которые вы открываете, с числом запрошенных читателей, задания, которые вы берёте, с отметками времени, отзывы, которые вы пишете, с оценкой и текстом, и ваши закладки. Ваши баллы: журнал каждого начисленного или списанного балла с причиной — взятая книга, пропущенный срок, открытый или закрытый запрос, исправление модератора и указанная им причина. Ваши сессии: токен сессии, а также IP-адрес и user-agent браузера, которые записывает вместе с ним наша библиотека авторизации. Действия персонала: журнал решений модерации и каждой загрузки файла книги, в который можно только дописывать, с указанием аккаунта, сделавшего это. Если вы пишете нам через форму связи — сообщение, его тема, ваша почта, чтобы вам ответили, язык, на котором вы читали сайт, и односторонний хеш вашего подключения. Если вы сообщаете, что опубликовали отзыв ещё и в магазине, — это необязательно и предлагается в течение недели после отзыва здесь, — ссылка, которую вы вставили, или скриншот, который вы загрузили, и момент, когда вы это сделали. И то и другое удаляется, как только сотрудник посмотрел; остаётся только число подтверждённых отзывов. Если вы включаете вход в два шага: секрет, общий с вашим приложением-аутентификатором, и десять одноразовых резервных кодов — и то и другое хранится в зашифрованном виде, — а также отметка о том, что вы подтвердили работу приложения. Прочитать их обратно мы не можем: ни через какой экран, ни по запросу.
Правовое основание для каждого вида данных
Ваш аккаунт, ваши книги, ваши заявки на отзывы, ваши задания, ваши баллы и написанные вами отзывы обрабатываются для исполнения договора, который вы заключили при регистрации, — без них сервиса нет. Сессии и запись о скачиваниях опираются на законный интерес: сохранность аккаунтов и знание о том, что рукопись была выдана тому, кто имел на неё право. Решения модерации, журнал действий персонала и ваши письма нам опираются на законный интерес вести площадку, которой авторы могут доверить неопубликованный текст, и отвечать людям, которые ею пользуются. Одно опирается на ваше согласие: ссылка на магазин или скриншот, если вы решите их дать. Вы даёте их по своему выбору, можете сами забрать в любой момент, пока никто не посмотрел, а отказ ничего не меняет, — именно это и делает их согласием, а не условием. Во всём остальном мы не опираемся на согласие, потому что не делаем ничего, что его потребовало бы: ни рекламы, ни профилирования, ни необязательных cookie. Одну сводку мы всё же ведём — сколько страниц открыли за день и из какой страны, — и согласия она не требует, потому что не записывает никого: в ней нет ничего, что позволило бы сказать, что два открытия сделал один человек.
Записи об устройствах и зачем мы их храним
Авторы выкладывают здесь неопубликованные рукописи, и утёкший PDF — это книга, которую уже не продать. Знать, в какой аккаунт ушёл файл, — это и есть наш способ защищать чужую работу, и мы лучше скажем это прямо, чем спрячем под словом «антифрод». А вот чего это стоит вам. Каждый раз, когда вы входите или регистрируетесь, пишется одна строка: ваш аккаунт видели с этого устройства. В ней два хеша с ключом, оба HMAC-SHA256, обрезанные до тридцати двух символов: один — от адреса, с которого приходит ваше соединение, другой — от этого же адреса вместе со строкой user-agent вашего браузера. А ещё счётчик того, сколько раз эту пару видели, и время, когда её увидели впервые и в последний раз. Сам адрес не хранится никогда, user-agent тоже. Повторный вход с той же машины и через то же соединение новой строки не добавляет — он сдвигает счётчик на единицу; сменится машина или сеть — появится новая строка. При регистрации тот же хеш адреса вдобавок проставляется на самом аккаунте. Ключ, которым эти хеши делаются, — секрет, лежащий на нашем сервере, поэтому обратно в адрес они не превращаются, а тому, кто унесёт копию таблицы без ключа, она не даст ничего. Никакой скрипт в вашем браузере не измеряет ваш экран, ваши шрифты или ваш canvas: всё собрано из двух вещей, которые и так приходят с каждым запросом. Автоматически эти строки делают ровно одно: если аккаунт другого участника видели с того же устройства или того же соединения, что и ваш, вам двоим не дадут взять задания друг друга. И это всё. Этим никого не блокируют, ничего не удаляют, ни один аккаунт не закрывают. Утёкшую рукопись отслеживает описанная выше запись о загрузке: в ней названы участник, книга и задание, под которое был взят файл. А записи об устройствах связывают два аккаунта, когда за ними оказывается один человек. Второй автоматический сигнал не изменился: счётчик заданий, которые вы просрочили, поднимает оценку, видимую сотрудникам, и эта оценка урезает ваш лимит заданий. Основание для всего этого — законный интерес: наш — в том, чтобы обмен оставался честным, и каждого автора — в его собственной неопубликованной книге. Вы можете возразить против этого, а как — сказано в разделе о ваших правах. Закрытие аккаунта удаляет ваши записи об устройствах и стирает с аккаунта хешированный адрес регистрации — ровно то, что там и обещано. Вам стоит знать, что больше их ничто не убирает: никакая задача не вычищает эти строки по возрасту, так что, пока ваш аккаунт открыт, они лежат.
Ни рекламы, ни профилирования, ни продажи
Мы не продаём и не передаём ваши данные, не показываем рекламу, не строим профили для рекламы и не принимаем автоматических решений, имеющих для вас юридические последствия. В этом приложении нет ни SDK аналитики, ни SDK сбора ошибок, ни трекингового пикселя — мы проверяли, удалять нечего. Вместо этого мы считаем одно число в день на страну: сколько страниц открыли. Идентификатора в нём нет, поэтому отличить одного читателя, открывшего десять страниц, от десяти, открывших по одной, оно не может, — чтобы это узнать, пришлось бы пометить ваш браузер, и мы предпочитаем менее точное число. Очевидные роботы в него не попадают. Шрифты мы размещаем у себя на этапе сборки именно затем, чтобы открытие страницы не отправляло ваш IP поставщику шрифтов, а обложки книг забирает наш сервер, а не ваш браузер, так что и магазины вашего адреса не видят. Устанавливаются три cookie, все строго необходимые и ни один не для слежки: один держит вас в системе, второй помнит выбранный вами язык, а третий держит вход, который ждёт второго шага, — он живёт десять минут и ставится только пока вы этот вход завершаете. Выбор светлой или тёмной темы хранит ваш собственный браузер, и до нас он не доходит.
Кто ещё касается ваших данных
Neon размещает базу Postgres — то есть всё перечисленное выше. Vercel размещает приложение и получает логи запросов и функций. Vercel Blob хранит PDF-файлы книг и любой скриншот отзыва, который вы решите загрузить, в закрытом хранилище, доступном только по ссылкам, которые мы подписываем на каждый запрос и которые перестают работать через шестьдесят секунд. Resend (Resend, Inc., США) доставляет почту, которую отправляет сервис, а значит Resend обрабатывает само сообщение и ваш адрес; таких сообщений три вида — ссылка, подтверждающая ваш адрес при регистрации и перестающая работать через час; ссылка для восстановления пароля, которую вы запрашиваете сами и которая тоже перестаёт работать через час; и сообщение, которое вы присылаете нам через форму связи. Рекламных писем мы не шлём. Paddle — наш платёжный провайдер и продавец записи по каждому платному тарифу: когда вы оформляете подписку, данные карты, платёжный адрес и налоговые сведения, которые требует ваша страна, собирает Paddle, а не BookOrbit — в собственном окне оплаты Paddle, и до наших серверов они не доходят; номера карты мы не видим и не храним. От Paddle мы получаем только статус подписки, купленный тариф, дату продления и идентификатор подписки — именно это говорит аккаунту, что он оплачен. В отношении платёжных данных Paddle выступает самостоятельным контролёром, и действует его собственная политика конфиденциальности. Вход через Google подключён. Если вы им пользуетесь, Google сообщает нам адрес вашего аккаунта Google, ваше имя и то, подтверждён ли этот адрес, а Google узнаёт, что вы вошли в этот сервис; больше мы Google ничего не передаём, и вместо этого можно зарегистрироваться по паролю.
Где лежат ваши данные
База размещается у Neon в Соединённых Штатах (AWS us-east-1), а приложение Vercel отдаёт со своей глобальной инфраструктуры. Если вы в ЕС, ЕЭЗ или Великобритании, это передача ваших персональных данных за их пределы, и опирается она на стандартные договорные условия, которые предлагает каждый из этих провайдеров. Перенести базу в европейский регион — более простая альтернатива, и она есть в списке; если это произойдёт, этот раздел изменится, и изменение будет первым, что появится на этой странице.
Сколько мы это храним
Сессии истекают через тридцать дней. Как только сессия истекла, ночная задача удаляет её строку вместе с IP-адресом и user-agent в ней, а также все истёкшие токены подтверждения. Загруженные файлы, на которые не ссылается ни одна книга, удаляются автоматически через сутки после того, как стали лишними, а книга, которую вы убрали с полки, хранит файл тридцать дней, прежде чем он станет таким. Всё остальное — ваши книги, отзывы, задания, журнал баллов, уведомления и журнал действий персонала — хранится, пока вы не попросите удалить, а журнал действий персонала задуман так, чтобы никогда не стираться, — из него убирается ваш идентификатор. Скриншот из магазина удаляется, как только сотрудник его посмотрел, а непросмотренный — через семь дней; ссылка удаляется после просмотра, а непросмотренная — через тридцать дней. Это сроки на этой странице, которые соблюдает программа, а не человек. Секрет входа в два шага и его резервные коды хранятся, пока вы не отключите вход в два шага или не закроете аккаунт, и в обоих случаях уходят вместе с учётными данными. Дневная сводка открытых страниц хранится тринадцать месяцев, чтобы можно было сравнить один октябрь с другим, после чего её удаляет ночная уборка.
Ваши права и как ими воспользоваться
У вас есть право получить доступ к своим данным, исправить их, потребовать удаления, получить их в переносимом виде, возразить против обработки на основании законного интереса, попросить ограничить обработку и пожаловаться в свой надзорный орган. Имя и псевдоним вы можете исправить сами в настройках и там же закрыть аккаунт — это удаляет имя, адрес почты, псевдоним и хеш адреса регистрации, а также учётные данные, сессии и записи об устройствах. Одно переживает закрытие намеренно: запись о разделениях, в которых вы участвуете, потому что разделение принадлежит двоим. Для доступа, переносимости, ограничения или возражения напишите нам, и человек сделает это вручную: пока это не автоматизировано, и мы лучше скажем об этом, чем сделаем вид, что иначе. Эта страница описывает, как система работает сегодня; это не юридическая консультация.
Как с нами связаться
Напишите на [email protected] или воспользуйтесь формой обратной связи.