Политика конфиденциальности

Здесь описано, какие данные Скетчборд собирает, зачем, сколько хранит и кому передаёт. Документ дополняет пользовательское соглашение.

Когда вы создаёте аккаунт: адрес электронной почты и пароль. Пароль хранится только в виде необратимого хеша — мы не знаем и не можем узнать его. Имя указывать не обязательно.

Когда вы работаете на доске: то, что вы на ней создаёте — фигуры, текст, заметки, загруженные картинки, структуру уровней. Это и есть содержимое, ради которого вы пришли.

Технические записи о работе сервиса: служебные события вида «доска создана», «шаблон вставлен», счётчики использования по дням, журнал действий, важных для безопасности (вход, смена пароля, удаление доски).

Если вы оставляете заявку на платный тариф: тот контакт, который вы сами укажете, и комментарий, если напишете его.

Если вы публикуете идею: её текст и комментарии. Раздел идей публичный — см. раздел 6.

Это столь же важно, как и предыдущий раздел:

• Содержимое досок не попадает в статистику событий. Мы фиксируем, что доска создана, но не её название и не то, что на ней нарисовано.
• Полные IP-адреса в журнале безопасности не хранятся: адрес усекается до сети — 1.2.3.0/24 для IPv4 и первые три группы для IPv6. Этого достаточно, чтобы связать между собой попытки взлома, и недостаточно, чтобы следить за человеком.
• Пароли, токены, ключи и заголовки авторизации вырезаются из технических журналов автоматически, до записи.

• Чтобы сервис работал: хранить и синхронизировать доски, показывать их вам и участникам, пускать вас по паролю, восстанавливать доступ письмом.
• Чтобы находить и исправлять ошибки: технические журналы и трассировки запросов — то, по чему видно, что именно сломалось.
• Чтобы понимать, что востребовано: служебные события отвечают на вопросы вроде «пользуются ли шаблонами» и «на каком лимите люди останавливаются». Они про возможности, а не про людей.
• Чтобы защищать аккаунты: журнал безопасности и счётчик неудачных входов — то, чем ограничивается подбор пароля.
• Чтобы ответить вам: если вы оставили заявку или написали нам.

Для рекламы, профилирования и продажи третьим лицам — ничего из этого не используется.

Мы ставим одну cookie — она хранит признак вашего входа, недоступна скриптам страницы (httpOnly), передаётся только по защищённому соединению и нужна для того, чтобы вы не вводили пароль на каждой странице. Без неё сервис работать не может, поэтому отдельного согласия на неё мы не спрашиваем.

Рекламных cookie нет. Счётчик посещений работает на всех страницах, включая страницы досок, но получает он строго одно — адрес страницы. Прежде чем что-то уйдёт, каждое сообщение счётчика проходит через нашу проверку, которая:

• оставляет только путь: всё, что после «?» и «#», отбрасывается — там живут одноразовые токены;
• выбрасывает целиком любой адрес приглашения: код из такой ссылки — это ключ к доске, и он не покидает ваш браузер ни в адресе страницы, ни в адресе предыдущей;
• подставляет вместо заголовка страницы постоянное «Скетчборд»: как называется ваша доска — ваше дело.

Что остаётся от визита владельца: «открыли доску c идентификатором таким-то». Сам идентификатор ключом не является — доска по нему открывается только из вашего аккаунта. Визит по приглашению записывается иначе: вместо адреса — необратимый отпечаток ссылки, по которому видно, что открыли это приглашение, но нельзя ни открыть доску, ни узнать, какая она. Содержимое доски в счётчик не попадает никак: он не читает страницу. Сам скрипт счётчика мы отдаём со своего домена, а не подключаем с чужого.

Ссылка-приглашение — это доступ. Любой, кто её открыл, видит доску в пределах выданной роли. Мы не проверяем, кто именно перешёл. Поэтому такая ссылка временная: через сутки она перестаёт открывать доску, и это не настройка, которую можно отключить. Отозвать её можно раньше — там же, где создавали.

Загруженные картинки доступны по прямой ссылке. Адрес содержит случайную неугадываемую часть, но если такой адрес куда-то попадёт, картинку увидят по нему без входа в сервис.

Раздел идей публичный. Ваши идеи, голоса и комментарии видны всем. Рядом с ними показывается ваше имя, если вы его указали, — но никогда не адрес почты, которым вы входите: это разные вещи, и мы их не смешиваем.

Мы не продаём и не передаём данные для рекламы. Передача происходит только там, где без неё сервис не работает:

• Поставщики инфраструктуры — база данных, кэш, файловое хранилище для картинок, серверы. Они хранят данные по нашему поручению.
• Почтовый сервис — доставляет письма восстановления пароля. Ему передаётся адрес получателя.
• Telegram — если вы оставляете заявку на платный тариф, указанный вами контакт и комментарий приходят разработчику сообщением в Telegram. Это самый заметный случай передачи данных наружу, поэтому он назван отдельно: не указывайте в заявке то, что не хотите отправлять через Telegram.
• По требованию закона — если получим законный запрос.

Общее правило: мы храним данные минимально необходимое время — пока они нужны для целей из раздела 4 и пока их хранение требуется по закону. Дальше они удаляются автоматически, а не лежат «на всякий случай».

• Доски и картинки — пока вы их не удалите. Удалённая доска исчезает вместе со своими уровнями и картинками, а выданные на неё ссылки перестают работать.
• Служебные события — 180 дней, дальше ежедневная уборка их удаляет. Срока хватает, чтобы понимать, как развивается сервис, и он не превращает таблицу в бессрочный архив поведения.
• Журнал действий, важных для безопасности — 365 дней. Столько нужно, чтобы разобраться в инциденте, который обнаружился спустя месяцы; затем записи удаляются той же автоматической уборкой. В них изначально нет ни полного адреса, ни связи с аккаунтом (см. раздел 3).
• Данные аккаунта — пока аккаунт существует.

• Пароли хранятся необратимым хешем; токены входа и ссылки восстановления — тоже в виде хешей, а сама ссылка одноразовая.
• Соединение защищено, cookie входа передаётся только по нему и недоступна скриптам.
• Смена пароля и выход «на всех устройствах» немедленно обесценивают ранее выданные токены.
• Пароли, токены и заголовки авторизации вырезаются из технических журналов до записи.
• Ключи для ИИ-агентов можно отозвать в любой момент — после этого они перестают действовать сразу.

При этом сервис работает в бета-версии, и мы не даём гарантий сохранности данных — об этом прямо сказано во втором разделе соглашения. Держите важное не только здесь.

• Любую доску можно удалить самостоятельно, в любой момент.
• Пароль можно сменить, а сессии на всех устройствах — прекратить, в настройках аккаунта.
• Ключи агентов и ссылки-приглашения отзываются там же.
• Чтобы удалить аккаунт целиком, получить копию своих данных или уточнить, что о вас хранится, — напишите нам. Отдельной кнопки для удаления аккаунта пока нет, и мы не притворяемся, что есть.

При удалении аккаунта его доски и картинки удаляются, а служебные события теряют связь с ним — остаётся только обезличенный факт, что событие когда-то произошло.

Мы можем обновлять этот документ — например, когда появится юридическое лицо или платежи. Дата последнего изменения указана в начале страницы; о существенных изменениях предупредим заранее, а не тихой правкой текста.

Контакты для связи будут указаны здесь. Пока их можно найти в разделе «Настройки» вашего аккаунта.