Политика конфиденциальности
Настоящая Политика описывает, как CuatroTaro / CuatroRunes обрабатывает персональные данные в соответствии с Федеральным законом РФ № 152-ФЗ «О персональных данных» и Регламентом (ЕС) 2016/679 (GDPR).
1. Оператор персональных данных
Оператором является CuatroTaro / CuatroRunes. Контакт по вопросам персональных данных: privacy@cuatrotaro.com.
По GDPR Мы являемся контролёром данных (data controller) для пользователей из ЕЭЗ. DPO не назначается: обработка не относится к обязательным категориям ст. 37 GDPR.
2. Данные, которые мы собираем
| Категория | Данные | Основание |
|---|---|---|
| Идентификатор | Telegram ID (числовой) | Автоматически при старте бота |
| Имя | first_name из профиля Telegram | Автоматически |
| Язык | language_code (ru / en) | Автоматически; меняется через /language |
| История раскладов | Карты, позиции, текст интерпретации | По запросу пользователя |
| Натальные данные | Дата, время и место рождения | Только при явном вводе (Premium) |
| Платёжные данные | Email, ID транзакции | При оформлении подписки |
| Технические логи | IP-адрес, User-Agent | Безопасность и антифрод |
Мы не собираем номера платёжных карт, паспортные данные, геолокацию в реальном времени или биометрию.
3. Правовые основания обработки (GDPR Art. 6)
| Цель | Основание |
|---|---|
| Подписка, персонализация, история | Ст. 6(1)(b) — исполнение договора |
| Натальные данные | Ст. 6(1)(a) — явное согласие при вводе |
| Платежи, налоговые обязательства | Ст. 6(1)(c) — правовое обязательство |
| Безопасность, антифрод | Ст. 6(1)(f) — законный интерес |
| Анонимная аналитика улучшений | Ст. 6(1)(f) — законный интерес (без реидентификации) |
Для пользователей РФ: обработка — на основании ст. 6 152-ФЗ (согласие через акцепт оферты и исполнение договора).
4. Цели обработки
- Предоставление персонализированных раскладов в рамках тарифа.
- Астрологические расчёты (Swiss Ephemeris) при наличии натальных данных.
- Управление подпиской: лимиты, история платежей, возвраты.
- Безопасность: защита от спама, rate limiting.
- Улучшение сервиса на основе агрегированных анонимных метрик.
5. Сроки хранения
| Данные | Срок | Основание |
|---|---|---|
| Профиль, история раскладов | До удаления через /forget_me | Договор |
| Натальные данные | До удаления; хранятся зашифровано | Согласие (отзывается через /forget_me) |
| Платёжные записи | 5 лет с даты транзакции | Налоговые обязательства РФ и ЕС |
| Технические логи | 90 дней, затем автоудаление | Безопасность |
6. Третьи лица
| Получатель | Страна | Передаваемые данные | Цель |
|---|---|---|---|
| Telegram Messenger Inc. | ОАЭ / США | Telegram ID, сообщения API | Доставка ответов |
| Anthropic PBC | США | Текст запроса (без ID и имени) | ИИ-интерпретация |
| ЮKassa (YooMoney) | РФ | Email, сумма, ID заказа | Платежи (РФ) |
| CryptoBot | Гибралтар | ID транзакции, сумма | Крипто-платежи |
| Sentry | США | Технические ошибки (без персональных данных) | Мониторинг |
Мы не продаём персональные данные рекламным сетям или брокерам данных.
7. Трансграничная передача данных
Anthropic PBC и Sentry расположены в США. Передача осуществляется на основании Стандартных договорных положений (SCC) согласно Решению Европейской комиссии (EU) 2021/914 от 04.06.2021. Копии SCC доступны по запросу на privacy@cuatrotaro.com (GDPR Art. 49).
В соответствии с ч. 5 ст. 18 152-ФЗ персональные данные граждан РФ первично записываются на серверах, соответствующих требованиям законодательства РФ.
8. Безопасность
- AES-256 шифрование натальных данных at-rest.
- TLS 1.3 для всех соединений.
- Доступ к БД — только через VPN, только авторизованные сервисы.
- Платёжные данные обрабатываются провайдером на PCI DSS инфраструктуре — не касаются наших серверов.
При утечке данных, затрагивающей пользователей ЕЭЗ, Мы уведомим надзорный орган в течение 72 часов (GDPR Art. 33) и пострадавших пользователей без неоправданной задержки (Art. 34).
9. Права субъекта данных
- Доступ (Art. 15 / ст. 14 152-ФЗ): запрос данных — ответ в течение 30 дней.
- Исправление (Art. 16): имя/язык — через Telegram; натальные данные — по запросу.
- Удаление (Art. 17 / ст. 21 152-ФЗ):
/forget_meв боте — полное удаление за 24 ч. - Ограничение (Art. 18): письменный запрос на privacy@cuatrotaro.com.
- Переносимость (Art. 20): выгрузка в JSON по запросу за 30 дней.
- Возражение (Art. 21): право возразить против обработки на основании законного интереса; Мы обязаны прекратить, если не докажем принудительных оснований.
10. Автоматизированное принятие решений (GDPR Art. 22)
ИИ-интерпретации не являются автоматизированными решениями по ст. 22 GDPR: они не влекут юридических последствий, не затрагивают кредитный рейтинг или страховую оценку. Пользователь явно инициирует каждый запрос и самостоятельно решает, как к нему относиться. Профилирование для рекламных целей отсутствует.
11. Cookies
Используются только технически необходимые cookies: session (HttpOnly, Secure, SameSite=Strict), locale (365 дней), csrf_token (сессионный). Рекламные и аналитические cookies отсутствуют. Аналитика — Plausible Analytics (без cookies, GDPR-нативная). Эти cookies не требуют отдельного согласия (Директива 2002/58/EC, ст. 5(3)).
12. Несовершеннолетние
Сервис предназначен для лиц от 16 лет (ст. 8 GDPR; в ряде стран ЕС — от 13 лет с согласия родителей). Для РФ — от 14 лет при согласии законного представителя. При обнаружении аккаунта несовершеннолетнего без согласия — блокировка и удаление данных.
13. Контакты и подача жалоб
Email: privacy@cuatrotaro.com — ответ в течение 30 дней.
Надзорные органы
- Россия — Роскомнадзор: rkn.gov.ru
- ЕС (все органы): edpb.europa.eu
- Германия — BfDI: bfdi.bund.de
- Франция — CNIL: cnil.fr