Политика конфиденциальности
Коротко: сайт работает без регистрации, не показывает рекламу и не ставит своих cookie. Всё, что вы выбираете — карты, избранное, настройки, — хранится только в вашем браузере и никуда не отправляется.
Что хранится в вашем браузере
- Выбранные карты и их уровни, избранное, фильтры каталога, выбор раздела.
- Настройки звуков и музыки, отметки о показанных подсказках и об этом уведомлении.
- Если вы нажали «Рядом со мной» — приблизительная точка (до ~10 м), чтобы считать расстояние до мест. На наш сервер она не отправляется.
- Это хранилище браузера (localStorage), а не cookie. Удалить всё можно, очистив данные сайта hasm.ae в настройках браузера.
Как мы считаем посещения
- Vercel Web Analytics — обезличенная статистика просмотров страниц без cookie.
- Свой счётчик знакомства с сайтом: за день сохраняется только число событий («показан выбор карт», «карты отмечены» и т. п.) и язык страницы — без адресов, устройств и идентификаторов.
- Каждое событие отправляется не чаще раза за сессию; рекламных и сторонних трекеров на сайте нет.
Через какие сервисы открывается сайт
- Vercel — хостинг: как любой сервер, ведёт технические журналы запросов (в том числе IP-адрес).
- Supabase — база, из которой загружается каталог предложений.
- Google Fonts — шрифты: браузер загружает их с серверов Google.
- Ссылки «Условия у партнёра» открывают сайты программ и банков — там действуют их собственные правила.
Telegram-бот @skidkiuaebot (если вы им пользуетесь)
- Храним ваш Telegram ID, язык, выбранные карты и настройки профиля, последнюю отправленную вами геоточку, тексты вопросов и ответов и ваши оценки ответов — чтобы отвечать по вашим картам и улучшать ответы.
- Ответы готовит модель Claude (Anthropic), голосовые сообщения распознаёт и озвучивает ElevenLabs, данные хранятся в Supabase, сообщения идут через Telegram.
- Команда /forget удаляет ваш профиль и всё, что с ним связано.
Чего мы не делаем
- Не продаём и не передаём данные для рекламы.
- Не собираем e-mail, телефоны и данные карт — сайт не принимает оплату и не требует регистрации.
Кто отвечает за ваши данные
Контролёр данных в смысле Федеральный декрет-закон ОАЭ № 45 от 2021 года «О защите персональных данных» (далее — закон) — Ivan Doronin, автор проекта. Он же — контакт по вопросам защиты данных. Отдельный специалист по защите данных (DPO) не назначен: статья 10 требует его при обработке высокого риска, систематической оценке или большом объёме чувствительных данных — сайт и бот таких данных не обрабатывают. Связаться: e-mail ivan.doronin@gmail.com, сообщение боту или ссылка внизу страницы (статья 19).
Основания обработки
- Сайт: на сервере мы не обрабатываем ваши персональные данные — выбор и настройки остаются в браузере, счётчики обезличены (статья 1 — «анонимизация»).
- Бот: вы сами пишете боту и просите ответить — обработка нужна, чтобы выполнить вашу просьбу (статья 4, пункт 9), и идёт с вашего согласия, выраженного этим действием (статья 6). Согласие можно отозвать в любой момент командой /forget — это не влияет на законность обработки до отзыва (статья 6, пункт 2).
- Собираем только то, что нужно для ответа, по понятной цели и храним не дольше, чем нужно (статья 5).
Сроки хранения
- В браузере — пока вы сами не очистите данные сайта.
- Профиль бота, вопросы и ответы — пока вы пользуетесь ботом; команда /forget удаляет их сразу. Ваши отметки о скидках («сработала», «не приняли», комментарий) после этого остаются без связи с вами — по ним мы исправляем каталог.
- Обезличенные счётчики (сколько раз за день показан выбор карт и т. п.) хранятся без ограничения срока: по ним нельзя установить человека.
Передача данных за пределы ОАЭ
Сервисы, через которые работают сайт и бот (Vercel, Supabase, Anthropic, ElevenLabs, Telegram), размещают серверы в том числе за пределами ОАЭ. Данные бота передаются им, потому что это нужно для ответа на вашу просьбу, и с вашего согласия (статья 23, пункт 1 «b» и «d»). Мы выбираем провайдеров, которые шифруют данные и связаны договорными обязательствами по их защите.
Как мы защищаем данные
- Шифрование при передаче: весь сайт работает только по HTTPS, с HSTS на два года; запросы по http перенаправляются. Бот, база и сервисы обмениваются данными по TLS (статья 20, пункт 1 «a»).
- Шифрование при хранении: база Supabase шифрует диски и резервные копии по AES-256 (статья 20, пункт 1 «a»).
- Доступ: у всех таблиц бота включена построчная защита (RLS) без публичных правил — читать и писать может только сервер бота и владелец проекта; ключи хранятся в защищённых секретах хостинга, не в коде (статьи 7 и 20).
- Псевдонимизация и минимизация: в базе пользователь — внутренний номер и Telegram ID, без имени, телефона и e-mail; в отчётах владельцу нет идентификаторов пользователей (статья 7, пункт 2).
- Защита сайта: политика безопасности контента (CSP), запрет подмены типов файлов, строгая политика referrer.
- Проверка мер: при каждом изменении кода автоматически проверяется, что в репозитории нет ключей и что отчёты не содержат идентификаторов пользователей; меры пересматриваются при каждом изменении обработки (статья 20, пункт 1 «d»).
Если произойдёт утечка
- Ответственный за реагирование — Ivan Doronin. Узнав о возможной утечке (от нас самих, провайдера или пользователя), мы сразу закрываем доступ, выясняем, какие данные и чьи затронуты, и документируем инцидент.
- Уведомляем Бюро данных ОАЭ (UAE Data Office) с описанием утечки, её последствий и принятых мер — в срок и порядке, установленных исполнительными правилами закона (статья 9, пункт 1).
- Если утечка может нарушить конфиденциальность ваших данных, сообщаем вам сообщением в боте и рассказываем, что сделали (статья 9, пункт 2).
- Провайдеры, обрабатывающие данные по нашему поручению, обязаны сообщать нам об утечках сразу (статья 9, пункт 3).
Ваши права
- Узнать, какие ваши данные обрабатываются, зачем, с кем делятся и сколько хранятся — бесплатно (статья 13).
- Получить свои данные в машиночитаемом виде или передать их другому сервису (статья 14).
- Исправить неточные данные или удалить их (статья 15): карты и настройки меняются в боте командой /settings, всё удаляет /forget.
- Ограничить обработку (статья 16) или возразить против неё (статья 17).
- Попросить человека пересмотреть результат автоматической обработки (статья 18).
- Отозвать согласие в любой момент (статья 6, пункт 2) и подать жалобу в Бюро данных ОАЭ (статья 24).
Как подать запрос: напишите на ivan.doronin@gmail.com или боту @skidkiuaebot с того Telegram-аккаунта, к которому относятся данные, — так мы убедимся, что запрос от вас (в письме по данным бота укажите ваш Telegram-ник, подтверждение придёт в бот). Отвечаем в течение 30 дней, бесплатно.
Автоматическая обработка
- Ответы бота готовит модель ИИ (Claude, Anthropic) по вашему вопросу, выбранным картам и, если вы её отправили, геоточке. Это подсказки, где выгоднее заплатить, — не решения с юридическими или подобными последствиями для вас.
- Порядок мест в каталоге и подбор карт на сайте считаются в вашем браузере по вашим же ответам и настройкам; профилирование для рекламы и маркетинга не ведётся.
- Вы можете попросить, чтобы ответ пересмотрел человек (статья 18, пункт 4), и узнать, как он был получен (статья 13, пункт 1 «c»).
Вопросы и запросы
Проект ведёт Ivan Doronin. Вопрос о данных, просьба что-то удалить или исправить — напишите на ivan.doronin@gmail.com или в LinkedIn. Если политика изменится, здесь обновится дата.