Политика конфиденциальности

1. Кто обрабатывает данные

Оператор персональных данных — владелец сервиса «Хопплан» (сайт и Telegram-бот), далее «мы». Контакты и реквизиты — в разделе 10. Политика действует в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

Сервис сейчас работает в тестовом режиме: оплата не принимается. Эта редакция описывает, как данные обрабатываются на самом деле сейчас; что изменится до начала приёма оплаты — сказано в разделах 4 и 5.

Уведомление об обработке персональных данных подаётся в Роскомнадзор (ст. 22 152-ФЗ); после внесения в реестр операторов здесь появится регистрационный номер.

2. Чьи и какие данные мы получаем

Пользователи сервиса (у кого есть аккаунт):

• Для входа: идентификатор, имя и язык в Telegram (если входишь через бота или Mini App), адрес почты (если входишь по почте). Имя пользователя (@username) и фото профиля, которые передаёт Telegram, мы не сохраняем.
• Содержимое сервиса: задачи, подзадачи, сроки, приоритеты, категории, повторы, задачи в корзине, привычки и отметки по ним (в том числе записи дневника — их видишь только ты, в AI они не отправляются), записи модулей «Финансы» (траты и доходы) и «Фитнес» (тренировки) — тоже только твои и без AI, настройки кабинета (включённые модули, режимы, бюджет, цель), NFC-метки (название места, действие и сколько раз срабатывала; на самой наклейке — только ссылка без данных аккаунта), во время фокуса с телефоном — положение телефона «экраном вниз / в руке» и таймер (живут несколько минут и не сохраняются в истории; датчик читается только в браузере и только пока открыто окно фокуса), настройки напоминаний и тихих часов, часовой пояс, язык.
• Картинки «Поделиться» («Мой день», итоги недели, «Мой месяц» в «Финансах»): собираются из того, что ты сам выбрал показать, — эти данные записаны прямо в ссылке на картинку, мы их не храним. Ссылка открытая: картинку увидит любой, кому ты её отправил. В «Мой месяц» попадают только проценты по категориям (суммы — если выбрал «С суммами»), названий покупок там нет.
• Голос: голосовое сообщение или запись с сайта передаётся на расшифровку и не сохраняется ни у нас, ни в истории задач — сохраняется только получившийся текст задачи.
• Импорт: файл из другого трекера разбирается прямо в браузере, к нам попадают только задачи, которые ты решил перенести. Текст для «умного разбора» передаётся AI (раздел 4).
• Уведомления на устройстве: если ты их включил — адрес подписки браузера и ключи шифрования, название устройства, время последней доставки.
• Безопасность: устройство и браузер (по заголовку User-Agent), IP-адрес и время входа — чтобы ты видел свои сеансы в «Устройствах» и мог завершить чужие. IP-адрес также временно используется для ограничения частоты запросов.
• Служебное: настройки и подключения аккаунта (календарь, приглашения, привязанные способы входа и интеграции), отметка о блокировке бота, дата и редакция данного тобой согласия.
• Общие списки и файлы: в каких списках ты состоишь, задачи и файлы, которые ты в них добавил. Их видят участники этого списка; остальные твои задачи им не видны.
• Пространства (проекты): название, срок, этапы, задачи, ссылки и обсуждение пространства, кто в нём участник. Их видят участники пространства, а если ты включил ссылку для заказчика — и тот, кому ты её отправил (кроме задач с пометкой «только мне»). Ссылки только сохраняются — мы не открываем сайты, на которые они ведут.
• Тариф и оплата: даты пробного периода и Pro, счётчики использования, записи о счетах (номер, сумма, статус, дата). Данные банковских карт мы не получаем.

Авторы обращений (форма «Обратная связь», можно и без аккаунта): текст сообщения, контакт, который ты указал, страница и браузер. Если ты вошёл — к письму добавляются имя, номер аккаунта, тариф, дата регистрации и идентификатор Telegram, чтобы ответить по делу. Обращение приходит письмом на почту поддержки, в базе сервиса его нет.

Гости пространств (заказчик по ссылке, без аккаунта): имя, которое гость указал, его сообщения, решения по задачам («Принять» / «Нужны правки») и задачи, которые он предложил, дата согласия. В браузере гостя — служебная метка (cookie), чтобы узнавать его сообщения; IP-адрес используется только для ограничения частоты запросов и не сохраняется. Всё это видят владелец и участники пространства. Хранится, пока существует пространство: владелец удалил его (или свой аккаунт) — данные гостя удаляются вместе с ним. Гость может попросить удалить свои сообщения у владельца пространства или написать нам (раздел 10).

Посетители главной страницы: только обезличенная статистика (раздел 7).

Мы не собираем специальные категории данных и биометрию и не просим документы. «Фитнес» и «Привычки» хранят только то, что ты записал сам (вид и длительность тренировки, отметки), — это не сведения о состоянии здоровья. Не пиши в задачи, дневник и записи и не прикрепляй то, чем не готов делиться с сервисом, — например, пароли, данные карт, сканы паспорта, диагнозы и сведения о здоровье.

Сервис не предназначен для детей младше 14 лет (см. Условия). Если мы узнаем, что аккаунт принадлежит ребёнку младше 14 лет без согласия родителей, удалим его вместе с данными.

3. Зачем, на каком основании и что с ними делаем

• Чтобы сервис работал: хранить задачи, показывать их на сайте и в боте, присылать напоминания и сводки.
• Чтобы работали AI-функции, которые ты вызываешь сам (разбор задач и голоса, план дня, ответы Хопа и т. п.).
• Чтобы защищать аккаунт и сервис: входы, сеансы, ограничения частоты запросов.
• Чтобы отвечать на обращения, принимать оплату, выполнять обязательства по подписке и вести налоговый учёт.

Основание для данных пользователей — исполнение соглашения с тобой (Условия использования), которое ты принимаешь, начиная пользоваться сервисом (п. 5 ч. 1 ст. 6 152-ФЗ), и твоё отдельное согласие на обработку персональных данных — его ты даёшь при регистрации галочкой на сайте или кнопкой «Согласен» в боте; на нём же основана трансграничная передача из раздела 4 (п. 1 ч. 1 ст. 6, ст. 12 152-ФЗ). Записи об оплатах храним ещё и потому, что этого требует налоговое законодательство (п. 2 ч. 1 ст. 6 152-ФЗ). Для обращений без аккаунта — твоё согласие, выраженное отправкой формы: отозвать его можно, написав нам (раздел 10).

Обработка автоматизированная: сбор, запись, систематизация, хранение, уточнение, использование, передача получателям из раздела 4, обезличивание, блокирование, удаление и уничтожение. AI только предлагает срок, приоритет и план — решений, которые влекут для тебя юридические последствия, автоматически не принимаем.

4. Кому передаём

Только сервисам, без которых трекер не работает, и только в нужном объёме:

• Telegram (зарубежная компания) — доставка сообщений бота и работа Mini App.
• Участники твоих общих списков — имя и задачи этого списка (ты сам их туда позвал или вступил).
• Groq, Inc. (США) — расшифровка голоса и AI-функции, когда ты сам их вызываешь: запись голоса, твой запрос и нужные для ответа задачи (названия, описания, сроки, категории); если ты раздаёшь задачи голосом в общем списке — ещё имена участников этого списка.
• OpenRouter, Inc. (США) — резервный AI-провайдер для бота, если основной недоступен; тот же объём данных.
• Vercel Inc. (США) — хостинг сайта.
• Supabase, Inc. (США) — основная база данных (серверы в Германии, ЕС).
• Railway Corp. (США) — работа бота и его служебная база (очереди, счётчики лимитов).
• Timeweb Cloud (Россия, Санкт-Петербург) — хранилище файлов, прикреплённых к задачам общих списков.
• Почтовый сервис — отправка кодов входа и доставка обращений в поддержку.
• Сервисы push-уведомлений браузера (Google, Apple, Mozilla или Microsoft — смотря какой у тебя браузер) — доставка уведомлений, если ты их включил. Текст уведомления зашифрован, сервис его не видит.
• ООО «Робокасса» (Россия) — приём оплаты: номер счёта, сумма и почта для чека (если подтверждена). Данные карты вводятся на странице Робокассы, нам они не приходят. Чек передаётся в ФНС России(«Мой налог») — без твоих данных.
• ООО «Яндекс» и ООО «ВК» (Россия) — только если ты сам входишь через Яндекс ID / VK ID или подключил навык Алисы: идентификатор, имя, почта (если разрешишь), фразы для Алисы.
• Сервисы, которые ты сам подключил по личному API-ключу — получают и отправляют задачи от твоего имени по своим правилам.

AI-провайдерам мы не передаём почту и идентификатор Telegram, а имена — только участников общего списка, когда в нём раздают задачи голосом. Но в самом тексте задачи или в пересланном боту сообщении может оказаться чужое имя или телефон — учитывай это.

Передача зарубежным компаниям из списка — трансграничная, в том числе в США (страну, не обеспечивающую адекватную защиту прав субъектов персональных данных по перечню Роскомнадзора). Она основана на твоём согласии; уведомление о ней подаётся в Роскомнадзор (ч. 4 ст. 12 152-ФЗ). Не хочешь передачи AI-провайдерам — не пользуйся AI-функциями и голосом: обычное создание задач, напоминания и списки работают без них.

Мы не продаём данные и не передаём их рекламным сетям и брокерам данных. Государственным органам — только по законному требованию.

5. Где и сколько храним

Сейчас данные хранятся у провайдеров из раздела 4, за пределами России. До начала приёма оплаты мы переносим базу данных на серверы в России — о переезде предупредим в боте.

• Задачи и аккаунт — пока ты пользуешься сервисом. Удалил аккаунт — сразу удаляем из рабочей базы.
• Выполненные задачи — 90 дней после выполнения, потом удаляются вместе с подзадачами. Остаются только число выполненных и дни, когда ты что-то закрывал (для «Всего готово» и серии дней). Нужна вся история — выгрузи задачи в «Настройки → Мои данные».
• Выполненные задачи общих списков — 3 дня после выполнения, потом удаляются у всех участников.
• Привычки с отметками и дневником, записи «Финансов» и «Фитнеса» — пока ты пользуешься сервисом; удалённая запись или привычка («Удалить совсем») стирается сразу, всё вместе — при удалении аккаунта.
• Пространства — пока владелец их не удалит; удаление стирает сразу все задачи, ссылки, обсуждение и данные гостей. Ссылка для заказчика у пространства в архиве перестаёт открываться через 30 дней.
• Удалённая задача 30 дней лежит в корзине (её можно вернуть), потом стирается насовсем.
• Файлы общих списков — пока жива задача; удалённый файл стирается из хранилища в течение суток.
• Записи о согласии — пока есть аккаунт и не дольше 3 лет после его удаления.
• Записи об оплатах — 5 лет (налоговый учёт), в том числе после удаления аккаунта; неоплаченные счета — 30 дней.
• После удаления аккаунта остаётся только необратимый хеш идентификатора Telegram и почты — по нему нельзя узнать ни номер, ни адрес, только то, что пробный период уже был выдан. Хранится год, чтобы пробный Pro нельзя было получать заново, удаляя аккаунт.
• Коды и запросы входа — 10 минут; сеанс на устройстве (устройство, IP) — 30 дней с последнего входа; подписка на уведомления — пока не выключишь; служебные данные бота — до 2 суток; обращения — пока нужны для ответа.
• В резервных копиях провайдера базы удалённые данные остаются до их перезаписи по графику провайдера и никак не используются.

6. Как уничтожаем

Данные удаляются из базы без возможности восстановления в сервисе: при удалении аккаунта — сразу, задачи из корзины — через 30 дней, выполненные задачи — через 90 дней (в общих списках — через 3 дня), коды и сеансы — по истечении срока. По запросу удалим данные в течение 10 рабочих дней.

7. Cookie и хранилище браузера

Используем только технически необходимые cookie: сеанс входа (dash_session) и одноразовый секрет входа через бота (login_secret), проверочная метка входа через Яндекс ID или VK ID (oauth_state, 10 минут), а у гостей пространств — метка гостя (sg_…, год) и отметка, что код к проекту введён (sp_…, 30 дней). Настройки оформления (тема, цвет, фон) и выбранные вкладки хранятся в твоём браузере и к нам не попадают. Рекламных и аналитических cookie нет.

Чтобы кабинет открывался без интернета, браузер хранит копию последней открытой страницы кабинета (с задачами) и очередь изменений, сделанных без сети. Это хранится только на твоём устройстве и стирается при выходе из аккаунта. Если устройством пользуются другие — выходи из аккаунта.

Посещения главной страницы считаем своим счётчиком без cookie: IP-адрес не сохраняется, для подсчёта уникальных посетителей используется необратимый хеш, который меняется каждый день, — узнать по нему человека нельзя. Хранится обезличенная статистика по дням (сколько зашло, с какого сайта и по какой рекламной метке, сколько примерно смотрели страницу и до какого блока долистали — только общими суммами, без привязки к посетителю), 400 дней.

8. Твои права

• Узнать, какие данные у нас есть: Настройки → Аккаунт → «Скачать все мои данные».
• Исправить имя, почту, часовой пояс и задачи — в настройках и кабинете.
• Удалить аккаунт и все данные: Настройки → Аккаунт → «Удалить аккаунт».
• Отозвать согласие, потребовать прекратить обработку или задать вопрос — написать нам (раздел 10). Отвечаем в течение 10 рабочих дней (срок может быть продлён ещё на 5, о чём сообщим).
• Пожаловаться в Роскомнадзор или в суд, если считаешь, что мы нарушаем закон.

9. Как защищаем

• Весь обмен — по HTTPS; cookie сеанса подписаны и недоступны скриптам страницы.
• Паролей нет вообще; коды входа хранятся только в виде хеша, с ограничением попыток.
• Каждый запрос к данным проверяет, что они принадлежат тебе; частота запросов ограничена.
• Видно все устройства, где открыт аккаунт, и их можно завершить.

Если всё же случится утечка персональных данных, в течение 24 часов сообщим в Роскомнадзор о случившемся и принятых мерах, в течение 72 часов — о результатах расследования (ч. 3.1 ст. 21 152-ФЗ), и предупредим затронутых пользователей в боте или по почте.

10. Контакты

• Исполнитель и оператор персональных данных: Авхадиев Камиль Ришатович, самозанятый (плательщик НПД)
• ИНН: 025100232705
• Город: Уфа
• Почта: support@hopplan.ru
• В боте — команда /support.

11. Изменения

Если мы изменим политику, новая редакция появится на этой странице с датой вверху. О существенных изменениях (новые получатели данных, новые цели, переезд серверов) предупредим в боте заранее.