Политика конфиденциальности

Мы собираем следующие категории данных, когда вы используете SMSCode:

Данные учётной записи

• Адрес электронной почты (используется для входа и уведомлений).
• Пароль (хранится в виде хеша argon2 — мы никогда не храним пароли в открытом виде).

Данные входа через Google

Если вы входите через Google, мы получаем доступ к следующим данным вашей учётной записи Google:

• Адрес электронной почты — Используется как идентификатор вашей учётной записи и для служебных сообщений.
• Идентификатор пользователя Google — Используется для связывания вашей учётной записи Google с вашей учётной записью SMSCode.

Мы запрашиваем только минимальные разрешения, необходимые для аутентификации (email и openid). Мы не получаем доступ к вашим контактам, календарю, диску Google или любым другим сервисам Google.

Данные транзакций

• История заказов (аренда номеров, сервис, страна, отметки времени, статус).
• История пополнений (суммы, способ оплаты, статус).
• Баланс учётной записи и записи о транзакциях.

Данные мобильного приложения

• Токены устройств Firebase Cloud Messaging (FCM) — Используются для доставки push-уведомлений об обновлениях заказов и активности учётной записи.
• Настройки push-уведомлений (включены/отключены).
• Имя устройства (необязательно, для идентификации устройств в вашей учётной записи).

Данные об использовании

• IP-адрес и приблизительное геоположение.
• Информация об устройстве и браузере (user agent).
• Журналы сервера (отметки времени запросов, вызванные конечные точки).

Данные об использовании API

• Журналы запросов к API (конечные точки, отметки времени, коды ответов).
• Счётчики ограничения частоты запросов.

• Предоставление сервиса — Обработка аренды номеров, управление вашим балансом и выполнение заказов.
• Аутентификация — Ваш адрес электронной почты и идентификатор пользователя Google (при использовании входа через Google) используются исключительно для аутентификации и идентификации учётной записи. Мы не используем данные пользователя Google для рекламы, профилирования или любых целей, не связанных с предоставлением сервиса SMSCode.
• Push-уведомления — Токены устройств FCM используются исключительно для доставки обновлений заказов, подтверждений пополнений и оповещений о безопасности учётной записи на ваше мобильное устройство.
• Предотвращение мошенничества — Обнаружение и предотвращение злоупотреблений, несанкционированного доступа и нарушений правил.
• Аналитика — Понимание закономерностей использования для повышения надёжности и производительности платформы.
• Поддержка — Ответы на ваши запросы и решение проблем с вашей учётной записью или заказами.
• Коммуникация — Отправка уведомлений, связанных с сервисом (обновления заказов, оповещения о безопасности). Мы не отправляем маркетинговые письма без вашего согласия.

• OTP-коды являются временными — Полученное содержание SMS (OTP-коды) отображается вам в режиме реального времени и не хранится длительно после истечения срока или завершения заказа.
• Телефонные номера являются временными — Арендованные номера являются временными и повторно используются после окончания периода аренды. Мы не связываем арендованные номера с вашей личностью за пределами активного заказа.
• Отсутствие данных о звонках — SMSCode обрабатывает только SMS-верификацию; мы не обрабатываем голосовые вызовы или метаданные звонков.

• Платежи обрабатываются сторонними шлюзами (Duitku, Heleket). Мы не храним данные вашей кредитной карты, банковского счёта или платёжного инструмента.
• Мы храним ссылки на транзакции (идентификаторы платёжного шлюза, суммы, статус) для целей сверки и поддержки.
• Поставщики платёжных шлюзов имеют собственные политики конфиденциальности, регулирующие обработку вашей платёжной информации.

Мы передаём данные только тогда, когда это необходимо для предоставления Сервиса. Ниже приведён полный перечень категорий сторонних обработчиков, которых мы привлекаем; детализированные места обработки и гарантии при передаче описаны в Разделе 14 (Международная передача данных).

• Cloudflare, Inc. — сеть доставки контента, защита от DDoS и исходящая сетевая маршрутизация. Обрабатывает IP-адреса, метаданные запросов и трафик с завершённым TLS при передаче.
• Resend, Inc. — доставка транзакционной электронной почты (верификация, сброс пароля, уведомления о заказах). Обрабатывает ваш адрес электронной почты и содержание сообщений.
• Вышестоящие SMS-провайдеры — аренда виртуальных номеров и маршрутизация входящих SMS. Мы отправляем минимальные параметры заказа (страна, сервис) для выполнения аренды; мы не передаём провайдерам вашу личность или данные учётной записи.
• Платёжные шлюзы — данные транзакций передаются платёжным процессорам для завершения пополнений. Мы не получаем и не храним полные данные платёжного инструмента.
• Firebase Cloud Messaging (Google) — Токены устройств FCM отправляются в сервис Firebase от Google для доставки push-уведомлений. Никакие другие персональные данные не передаются в Firebase.
• Google Fonts (Google LLC) — предоставляет веб-шрифт Noto Sans, используемый для отображения нелатинских письменностей (например, кириллицы, китайского, тайского, деванагари и арабского). При загрузке страницы ваш браузер может запрашивать файлы шрифтов с CDN Google Fonts, что может раскрыть Google ваш IP-адрес и адрес ссылающейся страницы. Данные учётной записи не передаются.
• Правоохранительные органы — Мы можем раскрывать данные, если это требуется по закону, по постановлению суда или для защиты прав, собственности или безопасности SMSCode, наших пользователей или общества.

Мы не продаём ваши персональные данные третьим сторонам. Мы не передаём ваши персональные данные рекламодателям. Мы не участвуем в каких-либо брокерах данных или рекламных сетях. Данные пользователя Google, полученные через вход через Google, никогда не передаются какой-либо третьей стороне и используются исключительно для аутентификации в рамках SMSCode.

• История заказов — Хранится для целей сверки, поддержки и аудита.
• Содержание OTP/SMS — Удаляется после истечения срока или завершения заказа.
• Данные учётной записи — Хранятся, пока ваша учётная запись активна.
• Журналы сервера — Хранятся до 90 дней для целей безопасности и отладки.
• Токены устройств FCM — Удаляются немедленно, когда вы отменяете регистрацию устройства или удаляете свою учётную запись.

Удаление учётной записи и очистка данных

Вы можете удалить свою учётную запись в любое время через настройки учётной записи в веб-панели или мобильном приложении. Когда вы удаляете свою учётную запись:

• Ваша учётная запись немедленно помечается как удалённая (статус устанавливается в «Удалена»).
• Ваш оставшийся баланс аннулируется и фиксируется как финальная транзакция.
• Все активные сеансы (веб и мобильные) немедленно отзываются.
• Токены устройств FCM и push-подписки удаляются.
• Токены API и конфигурации веб-хуков удаляются.
• Применяется 30-дневный период ограничения на повторную регистрацию — в течение этого периода вы не можете создать новую учётную запись с тем же адресом электронной почты.
• По истечении 30 дней запланированная задача безвозвратно удаляет вашу персональную идентифицирующую информацию (PII): ваш адрес электронной почты заменяется неидентифицирующим заполнителем, хеш вашего пароля очищается, а идентификатор пользователя Google удаляется.
• История транзакций и записи заказов сохраняются в анонимизированной форме для целей бухгалтерского учёта и соблюдения законодательства.

• Мы используем единственный httpOnly сеансовый файл cookie (__session) для поддержания вашего аутентифицированного сеанса. Этот файл cookie зашифрован и не может быть прочитан клиентскими скриптами.
• Мы не используем отслеживающие файлы cookie, рекламные файлы cookie или сторонние аналитические файлы cookie.
• Баннер о файлах cookie не требуется, поскольку мы используем только строго необходимые файлы cookie для аутентификации.

Хранение данных

• Инфраструктура — Все данные хранятся на выделенных серверах, управляемых нами. Мы не используем общий облачный хостинг для данных пользователей.
• База данных — Данные пользователей хранятся в PostgreSQL с доступом, ограниченным только для сервисов приложения.
• Шифрование при передаче — Весь трафик между вами и нашими серверами шифруется по протоколу TLS (HTTPS).
• Шифрование сеансов — Сеансовые файлы cookie шифруются с помощью AES-256-GCM.

Защита данных

• Хеширование паролей — Пароли хешируются с помощью argon2, устойчивого к перебору алгоритма с высокими требованиями к памяти.
• Защита от CSRF — Конечные точки, изменяющие состояние, защищены от межсайтовой подделки запросов.
• Ограничение частоты запросов — К конечным точкам API и аутентификации применяются ограничения частоты запросов для предотвращения злоупотреблений.
• Контроль доступа — Внутренние сервисы обмениваются данными по аутентифицированным каналам с секретными ключами. Сервисы базы данных и кеша изолированы в частной сети, недоступной из интернета.

Хотя мы применяем меры безопасности отраслевого стандарта, ни одна система не является на 100% защищённой. Если вы обнаружите уязвимость, сообщите о ней по адресу [email protected].

Если вы находитесь в Европейской экономической зоне (ЕЭЗ) или Соединённом Королевстве, Общий регламент по защите данных ЕС и Великобритании (GDPR) предоставляет вам определённые права в отношении ваших персональных данных. Danver LLC является контролёром этих данных. Мы обрабатываем их для предоставления и обеспечения безопасности Сервиса (исполнение нашего договора с вами), для соблюдения юридических обязательств и в наших законных интересах по эксплуатации и защите платформы; в случаях, когда мы опираемся на ваше согласие, вы можете отозвать его в любое время.

С учётом условий и исключений, изложенных в GDPR, вы имеете:

• право на доступ — получить подтверждение того, обрабатываем ли мы ваши персональные данные, и получить их копию;
• право на исправление — на исправление неточных или неполных персональных данных;
• право на удаление — на удаление ваших персональных данных («право быть забытым»), которое вы можете инициировать самостоятельно, удалив свою учётную запись (см. Раздел 6);
• право на ограничение обработки — на ограничение того, как мы обрабатываем ваши персональные данные в определённых обстоятельствах;
• право на возражение — возражать против обработки, осуществляемой на основании наших законных интересов;
• право на переносимость данных — получать ваши персональные данные в структурированном, широко используемом, машиночитаемом формате;
• право на отзыв согласия — в случаях, когда мы опираемся на ваше согласие, отозвать его в любое время без ущерба для законности предшествующей обработки.

Для реализации любого из этих прав свяжитесь с нами по адресу [email protected]. Мы ответим в течение 30 дней, как того требует Статья 12 GDPR. Вы также имеете право подать жалобу в местный надзорный орган по защите данных, если считаете, что мы обработали ваши персональные данные не в соответствии с применимым законодательством.

Если вы являетесь резидентом Калифорнии, Закон Калифорнии о конфиденциальности потребителей (CCPA) с поправками, внесёнными Законом Калифорнии о правах на конфиденциальность (CPRA), предоставляет вам определённые права в отношении вашей персональной информации в дополнение к правам, изложенным в Разделе 9 (Ваши права согласно GDPR).

Право знать. Вы можете запросить, чтобы мы раскрыли категории и конкретные единицы персональной информации, которую мы собрали о вас, источники этой информации, цели её сбора или раскрытия, а также категории третьих сторон, с которыми мы ею делимся. Категории, которые мы собираем, подробно изложены в Разделе 1 (Собираемые нами данные).

Право на удаление. Вы можете запросить, чтобы мы удалили персональную информацию, которую мы собрали о вас, с учётом определённых юридических исключений (например, для завершения транзакции, обнаружения инцидентов безопасности или соблюдения юридического обязательства).

Право на исправление. Вы можете запросить, чтобы мы исправили неточную персональную информацию, которую мы храним о вас.

Право отказаться от продажи или передачи. Мы не продаём вашу персональную информацию третьим сторонам и не передаём её для межконтекстной поведенческой рекламы. Вам не от чего отказываться, но мы заявляем об этом прямо, чтобы вы знали.

Право ограничить использование чувствительной персональной информации. Мы не используем чувствительную персональную информацию (как она определена CPRA) для целей, выходящих за рамки необходимых для предоставления Сервиса.

Право на недискриминацию. Мы не будем дискриминировать вас за реализацию любого из этих прав. Ваш опыт использования Сервиса не изменится, и это не повлияет на какие-либо сборы, условия или качество обслуживания.

Как реализовать. Для реализации любого права по CCPA свяжитесь с нами по адресу [email protected]. Мы проверим вашу личность перед ответом и ответим в течение 45 дней (с возможностью продления ещё на 45 дней, когда это разумно необходимо).

Закон Калифорнии о защите конфиденциальности в интернете (CalOPPA) требует, чтобы операторы коммерческих веб-сайтов и онлайн-сервисов, собирающие персональную информацию у резидентов Калифорнии, размещали заметную политику конфиденциальности и соблюдали её. В соответствии с CalOPPA:

• вы можете посещать общедоступные разделы нашего сайта анонимно, без создания учётной записи;
• ссылка на нашу политику конфиденциальности содержит слово "Privacy" и доступна из нижнего колонтитула каждой страницы;
• вы будете уведомлены о любых существенных изменениях настоящей Политики конфиденциальности на этой странице (см. Раздел 15);
• вы можете просматривать и изменять вашу персональную информацию, войдя в настройки вашей учётной записи, или написав нам по адресу [email protected].

Не отслеживать (Do Not Track)

Некоторые браузеры предлагают сигнал "Не отслеживать" (Do Not Track, DNT). Поскольку мы не отслеживаем посетителей на сторонних веб-сайтах и не используем рекламные или поведенческие отслеживающие файлы cookie (см. Раздел 12, Аналитика), наши практики соответствуют соблюдению сигналов DNT: мы не отслеживаем вас, не показываем вам рекламу и не создаём ваши межсайтовые профили независимо от того, присутствует ли сигнал DNT.

SMSCode не использует сторонние сервисы веб-аналитики, инструменты поведенческого отслеживания или рекламные технологии. В частности:

• Мы не используем Google Analytics, Mixpanel, Amplitude, Hotjar, Segment или любой аналогичный сервис аналитики;
• Мы не встраиваем отслеживающие пиксели, маркетинговые теги или скрипты ретаргетинга на какую-либо страницу;
• Мы не участвуем в какой-либо рекламной сети или межсайтовой рекламной экосистеме;
• Мы не создаём поведенческие профили отдельных пользователей для маркетинговых или рекомендательных целей.

Единственные данные, которые мы собираем о вашем использовании Сервиса, — это операционные данные, необходимые для его предоставления и обеспечения безопасности: журналы запросов сервера, счётчики ограничения частоты запросов, история заказов и сеансовые файлы cookie. Они подробно описаны в Разделе 1 (Собираемые нами данные), Разделе 7 (Файлы cookie и сеансы) и Разделе 8 (Меры безопасности). Журналы сервера хранятся до 90 дней для целей безопасности и отладки, после чего удаляются.

Если мы когда-либо внедрим аналитику в будущем, настоящая Политика конфиденциальности будет обновлена до вступления изменения в силу, и вы будете уведомлены согласно Разделу 15 (Изменения настоящей Политики).

SMSCode не предназначен для использования лицами младше 18 лет. Мы сознательно не собираем персональные данные детей. Если вы полагаете, что ребёнок младше 18 лет предоставил нам персональные данные, свяжитесь с нами, и мы незамедлительно удалим их.

Danver LLC базируется в США, и предоставляемые вами персональные данные обрабатываются преимущественно в США. Для предоставления Сервиса мы используем субобработчиков и стороннюю инфраструктуру, которые могут обрабатывать ваши данные в США и в других юрисдикциях. Таким образом, ваша информация, включая персональные данные, может передаваться на компьютеры, расположенные за пределами вашего штата, области или страны, и храниться на них, где законы о защите данных могут отличаться от законов вашей юрисдикции.

Механизм передачи

Когда мы передаём персональные данные из вашей юрисдикции (включая Европейскую экономическую зону или Соединённое Королевство) в США или другую страну, мы предпринимаем разумные шаги для обеспечения наличия надлежащих мер контроля и того, что ваши данные обрабатываются безопасно и в соответствии с настоящей Политикой конфиденциальности. Передача ваших персональных данных не осуществляется, если не обеспечены надлежащие меры контроля, которые могут включать соответствующие договорные гарантии (такие как стандартные договорные положения или иные механизмы, признанные применимым законодательством) со сторонами, обрабатывающими ваши данные. Конкретные гарантии, применимые к той или иной передаче, поддерживаются в рамках наших соглашений об обработке данных.

Меры контроля при дальнейшей передаче

Все субобработчики, получающие ваши персональные данные, связаны письменными договорами, которые требуют от них: (a) обрабатывать данные только по документированным инструкциям Danver LLC; (b) применять соответствующие технические и организационные меры безопасности; (c) обеспечивать конфиденциальность персонала, имеющего доступ к данным; (d) содействовать нам в выполнении запросов о реализации прав субъектов данных; и (e) удалять или возвращать данные по окончании действия договора. Когда ваши данные подпадают под действие GDPR, эти обязательства соответствуют требованиям Статьи 28 GDPR.

Текущие категории субобработчиков

Субобработчики, которые могут обрабатывать ваши данные, включают, помимо прочего:

• Cloudflare, Inc. (США) — доставка контента, защита от DDoS и исходящая сетевая маршрутизация;
• Google LLC (США) — доставка веб-шрифтов через Google Fonts (см. Раздел 5);
• Resend, Inc. (США) — доставка транзакционной электронной почты;
• Партнёры — SMS-провайдеры, действующие на международном уровне — аренда виртуальных номеров и маршрутизация входящих SMS (см. Раздел 3);
• Платёжные шлюзы — обработка транзакционных платежей для пополнений (см. Раздел 4).

Ваши права

Вы можете запросить копию гарантий передачи, применимых к вашим данным, связавшись с нами по адресу [email protected]. Мы ответим в течение 30 дней, как описано в Разделе 9 (Ваши права согласно GDPR) и Статье 12 GDPR.

Мы можем время от времени обновлять настоящую Политику конфиденциальности. О существенных изменениях будет сообщено по электронной почте или через уведомление на платформе. Дата "Последнее обновление" вверху отражает самую последнюю редакцию.

По вопросам или запросам, связанным с конфиденциальностью, свяжитесь с нами по адресу [email protected].

По вопросам общей поддержки обращайтесь к нам по адресу [email protected].