Персональные данные
Политика обработки персональных данных
Версия 2026-10-13 · Действует с .
1. Оператор и область действия
Оператор персональных данных — Окостень Александр Олегович, ИНН 667113112288, физическое лицо, применяющее специальный налоговый режим «Налог на профессиональный доход». Место нахождения: Россия, Свердловская область, г. Екатеринбург. Адрес электронной почты: alexanderokosten@gmail.com.
Политика относится к лендингу catharsisraw.ru, приложению app.catharsisraw.ru и API api.catharsisraw.ru. Текущая версия CatharsisRaw — бесплатный мессенджер с регистрацией, профилями и текстовыми диалогами между двумя пользователями. Оператор руководствуется Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и другими применимыми нормами Российской Федерации.
2. Какие данные обрабатываются и зачем
| Данные | Цель |
|---|---|
| Email, идентификатор аккаунта, имя пользователя, отображаемое имя, даты создания и изменения аккаунта | Регистрация, вход, ведение аккаунта, различение участников общения и исполнение условий использования. |
| Пароль при вводе, его защищённый хеш, сведения о неудачных попытках входа и блокировке | Проверка доступа и защита аккаунта. В базе хранится хеш пароля; исходный пароль не сохраняется. |
| Добровольно заполненные описание профиля (bio) и HTTPS-ссылка на аватар (AvatarUrl), дата обновления профиля | Оформление профиля по инициативе пользователя. Загрузка файла аватара на сервер не предусмотрена. |
| Идентификаторы диалогов и участников, текст личных сообщений, отправитель и время отправки | Доставка сообщений выбранному собеседнику и показ истории переписки участникам диалога. |
| Идентификаторы и сроки сессий, хеши токенов обновления, сведения об их использовании и отзыве | Сохранение входа, обновление доступа, выход из аккаунта и обнаружение повторного использования токена. |
| Версия подтверждённых документов, отметки о раздельном принятии условий и согласии, время в UTC и связь с аккаунтом | Подтверждение факта и содержания волеизъявления, соблюдение обязанностей оператора. |
| Метод и путь HTTP-запроса, статус ответа, время выполнения, технические ошибки; идентификаторы пользователя или сессии в событиях безопасности; IP-адрес при установлении соединения и ограничении частоты запросов | Работа сети, диагностика сбоев, защита от перебора паролей и злоупотреблений. IP для ограничения частоты обрабатывается в памяти. Штатное журналирование не включает тела запросов, тексты сообщений, пароли и токены из строки запроса. |
| Email отправителя, содержание и относящиеся к вопросу сведения из обращения к оператору | Ответ на обращение, проверка принадлежности аккаунта, реализация прав и урегулирование нарушений. |
Для обязательных функций используются данные, необходимые для заключения и исполнения соглашения с пользователем (п. 5 ч. 1 ст. 6 № 152-ФЗ). Для добровольно предоставляемых сведений и обработки на основании согласия применяется п. 1 ч. 1 ст. 6. Выполнение установленных законом обязанностей основывается на п. 2 ч. 1 ст. 6; защита законных прав — на п. 7 ч. 1 ст. 6 при соблюдении прав пользователя. Конкретное основание определяется целью и характером операции; отзыв согласия не отменяет самостоятельные законные основания.
Сервис не запрашивает паспорт, дату рождения, пол, телефон, профессию, платёжные реквизиты или специальные категории данных. Не отправляйте оператору избыточные сведения. В MVP нет распознавания лиц или иной биометрической идентификации, рекламы, аналитических счётчиков, платных функций, push-уведомлений и загрузки файлов.
3. Способы обработки и доступ
Данные обрабатываются преимущественно автоматически: собираются, записываются, систематизируются, накапливаются, хранятся, уточняются, извлекаются и используются для указанных целей. При обслуживании сервиса, обработке обращений, блокировании, удалении и уничтожении возможны действия оператора без автоматизации.
Видимость профиля: имя пользователя, отображаемое имя, bio и ссылка на аватар доступны другим авторизованным пользователям, которые открывают профиль, в том числе по точному имени пользователя. Регистрация открытая, поэтому этот круг не ограничен заранее определённым перечнем знакомых. Не указывайте в профиле сведения, которые не хотите показывать этой аудитории.
Ознакомление с политикой и общее согласие на обработку не заменяют отдельное согласие на распространение персональных данных неопределённому кругу лиц по ст. 10.1 № 152-ФЗ. Эта политика сама по себе такого согласия не предоставляет.
Email, хеш пароля, токены и сведения о сессиях другим пользователям не показываются. История личного диалога доступна его участникам; API проверяет участие перед чтением и отправкой. Получатель сообщения может самостоятельно сохранить или передать его содержание — технически исключить такие действия получателя сервис не может.
HTTPS защищает передачу данных между приложением и сервером. Сквозное шифрование переписки не реализовано: сообщения хранятся на сервере, у оператора есть технический доступ к ним. Доступ используется лишь в пределах необходимого для работы и защиты сервиса, обработки конкретных обращений и выполнения законных требований.
Оператор не продаёт пользовательские данные. Предоставление данных государственным органам производится при наличии предусмотренного законом основания. Привлечение обработчика по поручению оператора требует определения состава данных, цели, мер защиты и обязанностей обработчика. Новые цели и получатели не покрываются автоматически настоящей политикой.
4. Место хранения и внешние сервисы
Основная база данных и резервные копии размещаются на принадлежащем оператору оборудовании на территории Российской Федерации. Первичный сбор, запись, систематизация, накопление, хранение, уточнение и извлечение данных граждан РФ организуются с использованием базы данных в РФ.
Если в профиле указана ссылка на изображение внешнего сайта, браузер загружает изображение непосредственно с этого сайта. Его владелец может получать IP-адрес и технические сведения запроса, обрабатывать их по собственным правилам и находиться за пределами РФ. Выбор внешней ссылки требует учитывать этот риск; само изображение сервер CatharsisRaw не загружает и не хранит.
Для обращений используется указанный адрес Gmail. Отправка письма проходит через внешнюю почтовую инфраструктуру и может включать обработку сведений вне РФ. Не направляйте туда пароли, токены и полную историю переписки. Размещение основной базы в РФ само по себе не означает отсутствия любой трансграничной передачи; требования ст. 12 № 152-ФЗ оцениваются отдельно для конкретной передачи и получателя.
5. Cookie и хранение на устройстве
- Cookie
catharsis_refreshна домене API используется для обновления авторизованной сессии. В рабочей HTTPS-конфигурации имеет атрибуты HttpOnly, Secure и SameSite=Lax, ограничен путём/api/auth. Предельный срок сессии — 30 дней с момента входа; повторный вход создаёт новую сессию. При выходе cookie удаляется, а сессия отзывается. - Короткоживущий токен доступа хранится в оперативной памяти приложения. Пароль и токены не записываются приложением в localStorage.
- В localStorage может сохраняться выбранная тема интерфейса. Настройку можно удалить через браузер.
- Service worker и кэш PWA сохраняют статические файлы интерфейса для его загрузки. API, история сообщений, профили и токены не предназначены для сохранения в этом кэше. На время работы они могут находиться в памяти приложения.
Аналитические, рекламные и сторонние отслеживающие cookie оператором не используются. Отключение необходимых cookie может нарушить сохранение входа. Кэш и данные сайта можно удалить средствами браузера; для прекращения сессии используйте также выход из аккаунта.
6. Сроки хранения и уничтожение
Аккаунт, профиль и переписка хранятся, пока нужны для предоставления сервиса и сохраняется соответствующее законное основание. Дополнительные поля профиля можно очистить самостоятельно. Срок действия токена не является обещанием автоматического удаления всех записей о сессии: сведения о безопасности и подтверждении документов сохраняются лишь в необходимом объёме при наличии действующего основания.
Плановая ротация резервных копий настроена на 30 дней. Для защиты от потери данных последняя успешная копия может сохраняться дольше при отсутствии новой; такое сохранение не отменяет законных требований о прекращении обработки и уничтожении. После удаления данных из рабочей базы оператор ограничивает доступ к ранее созданным копиям и обеспечивает их вывод из хранения в применимые сроки, при необходимости вручную. Копии не используются для обычного доступа пользователей. При восстановлении должны повторно применяться подтверждённые удаления и ограничения; заблокированные данные не возвращаются в активную обработку.
Технические журналы ограничены ротацией по объёму: до трёх файлов по 10 МБ на контейнер. Это не фиксированный срок в днях: фактический возраст зависит от количества событий. Оператор ограничивает доступ к журналам и пересматривает необходимость их хранения.
После достижения цели, прекращения законного основания или отзыва согласия данные прекращают обрабатываться и уничтожаются в применимые сроки по ст. 21 № 152-ФЗ. При отзыве согласия и отсутствии иного основания срок уничтожения, как правило, не превышает 30 дней. Если федеральный закон требует сохранить определённые сведения, они могут храниться отдельно и использоваться только для соответствующей обязанности. Само наличие этой оговорки не устанавливает произвольный бессрочный срок и не подтверждает выполнение специальных требований к организаторам распространения информации.
7. Права и порядок обращения
Вы вправе получать сведения об обработке и доступ к своим данным, требовать уточнения, блокирования или уничтожения при предусмотренных законом основаниях, отозвать согласие, потребовать прекращения обработки, обратиться в Роскомнадзор или суд. Изменить профиль можно в приложении.
Для отзыва согласия или удаления аккаунта направьте письмо на alexanderokosten@gmail.com с темой «Персональные данные CatharsisRaw», email аккаунта или именем пользователя и описанием требования. Обращения обрабатываются вручную; кнопки удаления аккаунта в текущей версии нет. Оператор проверяет принадлежность аккаунта соразмерным способом, не требующим пароля, и сообщает о результате, сохранённых на законном основании данных или мотивированном отказе.
Запрос о предоставлении сведений об обработке рассматривается в течение 10 рабочих дней; в предусмотренном законом случае срок может быть продлён не более чем на 5 рабочих дней с мотивированным уведомлением. Для уточнения, прекращения обработки и уничтожения применяются соответствующие сроки ст. 20–21 № 152-ФЗ. Отзыв не влияет на правомерность обработки, выполненной до него, и не прекращает обязанности хранить сведения, прямо установленные законом.
8. Защита данных и изменения политики
В сервисе применяются хеширование паролей, проверка авторизации и участия в диалоге, ограничение частоты чувствительных запросов, отзыв сессий, ограничения сетевого доступа и резервное копирование. Защита также требует организационных мер, контроля доступа к оборудованию и копиям, обновлений и обработки инцидентов. Наличие этих технических функций не означает абсолютной гарантии безопасности.
При изменении целей, состава данных или существенных условий оператор публикует новую редакцию. Если требуется новое согласие, оно запрашивается отдельно; публикация новой политики и продолжение использования сами по себе не заменяют его. Подтверждённая пользователем версия определяется записью о согласии. Эта редакция относится только к описанным функциям MVP.