Политика конфиденциальности

Этот документ описывает, какие данные обрабатывает GeckoChat («мы», «платформа»), зачем, кому они передаются и как человек может ими управлять. Мы описываем только то, что платформа делает на самом деле.

1. Две роли GeckoChat

Клиенты платформы — владельцы проектов и члены их команд. Для данных, которые нужны, чтобы клиент мог войти в кабинет, пользоваться платформой и оплачивать тариф, GeckoChat сам определяет, как их обрабатывать. Разделы 2–3 и 5–8 описывают именно это.

Люди в проектах клиентов — пользователи ботов и сайтов, покупатели, подписчики. Их данные (контакты ботов, переменные и теги, заказы, согласия, переписка) попадают в платформу потому, что клиент построил на ней свой проект. Здесь клиент решает, зачем и как обрабатывать эти данные, а платформа обрабатывает их по его поручению: хранит, доставляет сообщения, считает статистику, запускает автоматизацию и AI-агента проекта. Клиент отвечает перед своими людьми за законность сбора и за уведомление об этом. Если вы пользуетесь чьим-то ботом или сайтом и хотите узнать, что о вас хранится, или удалить данные, сначала обратитесь к владельцу этого проекта; мы поможем ему выполнить ваш запрос (раздел 9).

2. Какие данные мы получаем

Вход в платформу

В платформу можно войти тремя способами; в одном профиле их может быть несколько.

• Telegram. Мы получаем идентификатор Telegram, имя, имя пользователя и фото профиля, которые Telegram передаёт нашему боту. Фото сохраняется в кэше аватаров платформы.
• Google. Подробности — в разделе 4.
• Электронная почта. Мы получаем адрес и отправляем на него одноразовый код входа; код действует 10 минут.

Сессии и устройства

После входа выдаётся сессия. Она живёт в защищённом cookie (__Host-gecko_client для кабинета, __Host-gecko_user для личного кабинета, __Host-gecko_site для сайтов проектов, __Host-gecko_public для гостя витрины). Cookie доступно только серверу (HttpOnly), передаётся только по HTTPS и не используется для рекламы. Срок сессии — 30 дней с последнего использования. Для каждой сессии мы храним IP-адрес и user-agent, чтобы показать вам список устройств и дать закрыть чужую сессию; приблизительное место по IP определяется по локальной базе GeoLite2 на наших серверах, адрес для этого никуда не отправляется.

Во время входа через Google на короткое время (10 минут) ставится служебный cookie __Host-gecko_google_…; он нужен только для защиты этого входа.

Язык интерфейса запоминается в cookie NEXT_LOCALE. Настройки вида, черновики и очередь событий нашей собственной аналитики хранятся в локальном хранилище вашего браузера (localStorage, IndexedDB).

Аналитика витрины

Мы ведём собственную аналитику воронки платформы: визиты на витрину и в кабинет, события (регистрация, подключение бота, оплата), источник перехода и время на странице. В записи визита нет сырого user-agent, города и координат; различие «телефон или компьютер» определяется по ширине экрана, а источник перехода сохраняется без параметров адреса. Если вы вошли, визит связывается с вашим профилем. Сторонние рекламные и аналитические сервисы на витрине и в кабинете мы не подключаем.

Живой просмотр страниц

Платформа умеет показывать оператору страницу так, как её видит посетитель: ваши экран и набранный текст воспроизводятся у оператора в реальном времени. Это касается витрины и документации, кабинета клиента и сайтов проектов.

• Что видно. Содержимое страницы, ввод в поля и действия на странице. Поля с паролями, одноразовыми кодами и данными банковских карт, а также поля, которые платформа сама пометила секретными (например, ключи провайдеров), заменяются точками прямо в вашем браузере: оригинал на наш сервер не попадает. Любой другой набранный текст виден как есть. Личные сообщения между пользователями (раздел /messages) не записываются вовсе.
• Кто видит. Администратор платформы видит кабинеты и страницы платформы и сайты проектов; вместе с записью ему доступны ваш IP-адрес, страна, город, устройство, браузер и user-agent. Владелец проекта и его администраторы видят только сайты своего проекта, но не IP-адрес: им показываются страна, город, устройство, браузер, система и user-agent.
• Когда и сколько. Просмотр по умолчанию выключен. Оператор включает его для выбранной области (кабинет платформы или проект) на час за одно включение (оператор может включить заново); потеря соединения оператора или перезапуск сервера выключают его. Запись не сохраняется: архива и повторного проигрывания нет, пока просмотр идёт, события живут только в оперативной памяти сервера.
• Выбор посетителя. Согласие для просмотра не запрашивается и выключателя у посетителя нет. Если вы не хотите, чтобы вас видели таким образом, не вводите данные на странице и напишите в поддержку (раздел 9).

Для сайтов проектов клиент сам решает, включать ли просмотр на своём сайте, и отвечает перед своими посетителями за их уведомление; платформа при этом обрабатывает данные по его поручению (раздел 1).

Личные сообщения и уведомления

• Личные сообщения между пользователями шифруются на устройствах участников (сквозное шифрование); наш сервер хранит зашифрованные сообщения и файлы и не может прочитать их текст. Платформа знает, кто с кем связан, и хранит служебные данные устройств, нужные для доставки.
• Push-уведомления включаются только вами. Для них мы сохраняем подписку вашего браузера, привязанную к вашей сессии; уведомления доставляет служба push вашего браузера. Отключить их можно в профиле; удаление сессии удаляет подписку.

Проект, платежи и журналы

• Данные проектов. Боты, сайты, потоки, рассылки, база знаний, файлы, а также данные людей проекта, о которых говорит раздел 1.
• Оплата тарифа. Тарифы оплачиваются через платёжных провайдеров (раздел 5). Реквизиты оплаты вводятся на странице провайдера, а не у нас. Мы получаем статус платежа, сумму и, когда провайдер этого требует для чека, адрес электронной почты плательщика. Секреты платёжных провайдеров, которые клиент подключает к своему проекту, хранятся в зашифрованном виде.
• Журналы. Серверные журналы запросов и ошибок хранятся примерно 30 суток. Из них исключаются секреты и содержимое, принадлежащее людям проекта (тексты сообщений, имена, телефоны, адреса почты, идентификаторы чатов). Отдельно мы ведём журнал действий в проекте — кто и какое действие выполнил (кабинет, API, AI-агент) — чтобы владелец мог разобрать, что происходило.

3. Зачем мы это используем

Только чтобы платформа работала: вход и защита аккаунта, показ списка устройств, работа проектов клиента, доставка сообщений и рассылок, приём оплаты за тариф, поддержка, разбор ошибок, измерение работы нашей витрины. Мы не используем эти данные для чужой рекламы.

4. Данные аккаунта Google (Google user data)

Что мы запрашиваем. При входе через Google платформа запрашивает три базовых доступа: openid, email и profile. Это идентификация и основные сведения профиля; доступа к Gmail, Диску, Календарю, контактам или другим данным вашего аккаунта Google мы не запрашиваем.

Что мы получаем и сохраняем.

• уникальный идентификатор аккаунта Google — он служит ключом для узнавания вас при следующем входе;
• адрес электронной почты и отметка, что Google его подтвердил;
• имя и фамилия.

Фото профиля Google мы не читаем и не сохраняем. Токен доступа к API Google мы не сохраняем и не используем: платформа получает от Google только подтверждение личности (ID token) и после проверки больше к Google не обращается.

Зачем. Только чтобы вы вошли в платформу или на сайт проекта и чтобы этот способ входа был связан с вашим профилем. Адрес из Google не означает согласия на рекламную рассылку: рекламные письма проекта получает только тот, кто отдельно подписался на них и может отписаться в любой момент. Служебные письма (например, чек или выдача доступа) сценарий проекта отправляет на любой подтверждённый адрес, в том числе полученный от Google, без подписки и без ссылки на отписку.

Вход на сайте проекта. Когда вы сами выбираете вход через Google на сайте чьего-то проекта, владелец этого проекта получает ваше имя и подтверждённый адрес как контакт своего проекта: это часть входа, который вы выбрали, и он видит их так же, как данные любого другого способа входа на сайте. Дальше проект сам обрабатывает эти данные (раздел 1). Имя и имя пользователя контакта доступны AI-агенту проекта, когда он просматривает людей проекта, а значит могут попасть в запрос к AI-провайдеру (раздел 5); адрес электронной почты отдельным полем в эти карточки не входит.

Чего мы не делаем. Мы не продаём данные Google и не передаём их третьим лицам, кроме случаев, когда это нужно для работы входа (раздел 5), требуется по закону или происходит по вашему выбору владельцу проекта, на сайте которого вы вошли. Мы не используем их для рекламы, профилирования для рекламы или обучения моделей машинного обучения.

Google API Services User Data Policy. GeckoChat's use and transfer to any other app of information received from Google APIs will adhere to Google API Services User Data Policy, including the Limited Use requirements. То есть наше использование информации, полученной от API Google, и её передача любому другому приложению соответствуют Политике Google в отношении пользовательских данных API-сервисов, включая требования об ограниченном использовании.

Как отозвать доступ. Вы можете в любой момент отозвать доступ GeckoChat на странице Google: сторонние приложения с доступом к аккаунту и отвязать Google от профиля в разделе профиля кабинета (если у профиля остаётся другой способ входа). Просьбу удалить сохранённые данные Google можно отправить в поддержку (раздел 9).

5. Кому мы передаём данные

Платформа использует сторонние сервисы; каждый получает только то, что нужно для его задачи.

Мы не контролируем правила этих сервисов; их условия и политики действуют наравне с этим документом. База GeoLite2 (MaxMind) скачивается на сервер как файл, данные людей MaxMind не передаются.

Также данные могут быть раскрыты, если этого требует закон.

6. Сколько мы храним данные

• Одноразовые коды входа по почте — 10 минут; служебные записи начатого входа через Google — до суток после окончания.
• Закончившиеся сессии — 30 дней, затем удаляются.
• Серверные журналы запросов — примерно 30 суток.
• Гость сайта проекта, не оставивший следа (ни визита, ни события, ни аккаунта), удаляется через 90 дней без визитов.
• Визиты и события нашей аналитики сроком не ограничены.
• Живой просмотр страниц не сохраняется: в памяти сервера остаётся только идущий поток, не дольше включения (до часа за одно включение).
• Данные профиля, проектов и людей проекта хранятся, пока существует профиль или проект либо пока их не удалили (раздел 9). Отдельные сроки для остальных данных платформа сейчас не задаёт.

7. Как мы защищаем данные

Сессии передаются в защищённых cookie, одноразовые токены хранятся в виде хэша, секреты платёжных провайдеров — в зашифрованном виде, доступ к проекту определяется ролью в нём. Ни один способ защиты не абсолютен, поэтому мы не обещаем полной неуязвимости.

8. Ваши данные и ваш выбор

• В профиле можно увидеть и закрыть свои сессии, отключить push-уведомления, привязать другой способ входа или отвязать Google, Telegram и почту (последний способ входа отвязать нельзя).
• Подписку на письма проекта можно отозвать в любой момент.
• Владелец проекта может удалить бота, отвязать канал или заархивировать проект.
• В Telegram вы можете остановить и заблокировать любой бот.

9. Удаление данных и обращения

Самостоятельной кнопки полного удаления профиля в платформе пока нет. Чтобы удалить профиль, данные Google или любые другие данные о вас, напишите в поддержку: @GeckoSupportBot. Если ваши данные находятся в чьём-то проекте, сначала обратитесь к владельцу проекта: он решает, какие данные о вас хранить, а мы поможем исполнить запрос.

10. Изменения

Мы можем менять этот документ. Дата действующей редакции указана в начале страницы; новые правила действуют со дня публикации.

11. Контакты

Оператор платформы — GeckoChat. По любым вопросам о данных пишите в @GeckoSupportBot.