Политика конфиденциальности
Здесь описано, что Book Meteor хранит, зачем, кто ещё это видит и сколько оно лежит.
Для кого это и для кого нет
Эта политика распространяется на всех, кто пользуется Book Meteor. Book Meteor не предназначен для тех, кому меньше 16 лет; проверки возраста в продукте нет, поэтому, если ребёнок завёл аккаунт, сообщите нам — мы его удалим. Если вам нужно знать, кто является контролёром данных, он назван внизу этой страницы и в Условиях.
Что мы собираем и зачем
Ваш аккаунт: имя, почта, необязательный псевдоним, тип аккаунта, выбранный при регистрации, название и сайт издателя, под которым вы выходите, если вы их указали (их видит только персонал, и в профиле они не показываются), подтверждён ли ваш адрес, тариф, выбранный до регистрации, тариф и даты пробного периода, а также хотите ли вы получать напоминания о добавлении ссылки на отзыв. Ваша активность: книги, которые вы выставляете (название, описание, жанр, язык, магазины, ASIN, PDF, если вы его загружаете, и число страниц, подсчитанное по нему), запросы на обратную связь, которые вы открываете, с числом запрошенных читателей, задания, которые вы берёте, с отметками времени, обратная связь, которую вы пишете, с оценкой и текстом, и ваши закладки. Ваши баллы: журнал каждого начисленного или списанного балла с причиной — взятая книга, пропущенный срок, открытый или закрытый запрос, исправление модератора и указанная им причина. Ваши сессии: токен сессии, а также IP-адрес и user-agent браузера, которые записывает вместе с ним наша библиотека авторизации. Действия персонала: журнал решений модерации и каждой загрузки файла книги, в который можно только дописывать, с указанием аккаунта, сделавшего это. Если вы пишете нам через форму связи — сообщение, его тема, ваша почта, чтобы вам ответили, язык, на котором вы читали сайт, и односторонний хеш вашего подключения. Если вы сообщаете, что опубликовали отзыв ещё и в магазине, — это необязательно и предлагается в течение недели после отправки обратной связи здесь, — ссылка, которую вы вставили, или скриншот, который вы загрузили, и момент, когда вы это сделали. И то и другое удаляется, как только сотрудник посмотрел; остаётся только число подтверждённых отзывов. Если вы включаете вход в два шага: секрет, общий с вашим приложением-аутентификатором, и десять одноразовых резервных кодов — и то и другое хранится в зашифрованном виде, — а также отметка о том, что вы подтвердили работу приложения. Прочитать их обратно мы не можем: ни через какой экран, ни по запросу.
Правовое основание для каждого вида данных
Ваш аккаунт, ваши книги, ваши заявки на обратную связь, ваши задания, ваши баллы и написанная вами обратная связь обрабатываются для исполнения договора, который вы заключили при регистрации, — без них сервиса нет. Сессии и запись о скачиваниях опираются на законный интерес: сохранность аккаунтов и знание о том, что рукопись была выдана тому, кто имел на неё право. Решения модерации, журнал действий персонала и ваши письма нам опираются на законный интерес вести площадку, которой авторы могут доверить неопубликованный текст, и отвечать людям, которые ею пользуются. Одно опирается на ваше согласие: ссылка на магазин или скриншот, если вы решите их дать. Вы даёте их по своему выбору, можете сами забрать в любой момент, пока никто не посмотрел, а отказ ничего не меняет, — именно это и делает их согласием, а не условием. Во всём остальном мы не опираемся на согласие, потому что не делаем ничего, что его потребовало бы: ни рекламы, ни профилирования, ни необязательных cookie. Одну сводку мы всё же ведём — сколько страниц открыли за день и из какой страны, — и согласия она не требует, потому что не записывает никого: в ней нет ничего, что позволило бы сказать, что два открытия сделал один человек.
Записи об устройствах и зачем мы их храним
Авторы выкладывают здесь неопубликованные рукописи, и утёкший PDF — это книга, которую уже не продать. Знать, в какой аккаунт ушёл файл, — это и есть наш способ защищать чужую работу, и мы лучше скажем это прямо, чем спрячем под словом «антифрод». А вот чего это стоит вам. Каждый раз, когда вы входите или регистрируетесь, пишется одна строка: ваш аккаунт видели с этого устройства. В ней два хеша с ключом, оба HMAC-SHA256, обрезанные до тридцати двух символов: один — от адреса, с которого приходит ваше соединение, другой — от этого же адреса вместе со строкой user-agent вашего браузера. А ещё счётчик того, сколько раз эту пару видели, и время, когда её увидели впервые и в последний раз. Ни сам адрес, ни user-agent в этой строке не хранятся — только два хеша. Это сказано про эту таблицу, а не про сервис целиком: веб-сервер ведёт обычный журнал доступа, и в нём адрес есть, а сколько он там лежит — сказано в разделе о том, сколько мы это храним. Повторный вход с той же машины и через то же соединение новой строки не добавляет — он сдвигает счётчик на единицу; сменится машина или сеть — появится новая строка. При регистрации тот же хеш адреса вдобавок проставляется на самом аккаунте. Ключ, которым эти хеши делаются, — секрет, лежащий на нашем сервере, поэтому обратно в адрес они не превращаются, а тому, кто унесёт копию таблицы без ключа, она не даст ничего. Никакой скрипт в вашем браузере не измеряет ваш экран, ваши шрифты или ваш canvas: всё собрано из двух вещей, которые и так приходят с каждым запросом. Автоматически эти строки делают ровно одно: если аккаунт другого участника видели с того же устройства или того же соединения, что и ваш, вам двоим не дадут взять задания друг друга. И это всё. Этим никого не блокируют, ничего не удаляют, ни один аккаунт не закрывают. Утёкшую рукопись отслеживает описанная выше запись о загрузке: в ней названы участник, книга и задание, под которое был взят файл. А записи об устройствах связывают два аккаунта, когда за ними оказывается один человек. Второй автоматический сигнал не изменился: счётчик заданий, которые вы просрочили, поднимает оценку, видимую сотрудникам, и эта оценка урезает ваш лимит заданий. Основание для всего этого — законный интерес: наш — в том, чтобы обмен оставался честным, и каждого автора — в его собственной неопубликованной книге. Вы можете возразить против этого, а как — сказано в разделе о ваших правах. Закрытие аккаунта удаляет ваши записи об устройствах и стирает с аккаунта хешированный адрес регистрации — ровно то, что там и обещано. Вам стоит знать, что больше их ничто не убирает: никакая задача не вычищает эти строки по возрасту, так что, пока ваш аккаунт открыт, они лежат.
Ни рекламы, ни профилирования, ни продажи
Мы не продаём и не передаём ваши данные, не показываем рекламу, не строим профили для рекламы и не принимаем автоматических решений, имеющих для вас юридические последствия. В этом приложении нет ни SDK аналитики, ни SDK сбора ошибок, ни трекингового пикселя — мы проверяли, удалять нечего. Вместо этого мы считаем одно число в день на страну: сколько страниц открыли. Идентификатора в нём нет, поэтому отличить одного читателя, открывшего десять страниц, от десяти, открывших по одной, оно не может, — чтобы это узнать, пришлось бы пометить ваш браузер, и мы предпочитаем менее точное число. Очевидные роботы в него не попадают. Шрифты мы размещаем у себя на этапе сборки именно затем, чтобы открытие страницы не отправляло ваш IP поставщику шрифтов, а обложки книг забирает наш сервер, а не ваш браузер, так что и магазины вашего адреса не видят. Устанавливаются три cookie, все строго необходимые и ни один не для слежки: один держит вас в системе, второй помнит выбранный вами язык, а третий держит вход, который ждёт второго шага, — он живёт десять минут и ставится только пока вы этот вход завершаете. Выбор светлой или тёмной темы хранит ваш собственный браузер, и до нас он не доходит.
Кто ещё касается ваших данных
Neon размещает базу Postgres — то есть всё перечисленное выше. Само приложение работает на сервере, который мы арендуем у HostIQ, и веб-сервер на этой машине пишет журнал доступа: адрес, с которого пришёл запрос, что в нём просили, с какой страницы пришли и строку браузера. Перед ним стоит Cloudflare, и шифрованное соединение заканчивается именно там, поэтому Cloudflare видит то же самое и ведёт собственные записи — на своих условиях. Cloudflare R2 хранит PDF-файлы книг и любой скриншот отзыва, который вы решите загрузить, в закрытом бакете, доступном только по ссылкам, которые мы подписываем на каждый запрос и которые перестают работать через шестьдесят секунд. Cloudflare Email Routing — это то, что доставляет письмо, отправленное на один из наших адресов, в ящик, который читает человек. Resend (Resend, Inc., США) доставляет почту, которую отправляет сервис, а значит Resend обрабатывает само сообщение и ваш адрес; таких сообщений три вида — ссылка, подтверждающая ваш адрес при регистрации и перестающая работать через час; ссылка для восстановления пароля, которую вы запрашиваете сами и которая тоже перестаёт работать через час; и сообщение, которое вы присылаете нам через форму связи. Рекламных писем мы не шлём. Paddle — наш платёжный провайдер и продавец записи по каждому платному тарифу: когда вы оформляете подписку, данные карты, платёжный адрес и налоговые сведения, которые требует ваша страна, собирает Paddle, а не Book Meteor — в собственном окне оплаты Paddle, и до наших серверов они не доходят; номера карты мы не видим и не храним. От Paddle мы получаем состояние подписки (её статус, тариф, дату продления и идентификатор — именно это говорит аккаунту, что он оплачен) и запись о каждом платеже: сумму, налог и комиссию Paddle, а также то, был ли платёж позже возвращён или оспорен. Данные карты, которые Paddle включает в эти записи, удаляются ещё до того, как что-либо сохраняется. В отношении платёжных данных Paddle выступает самостоятельным контролёром, и действует его собственная политика конфиденциальности. Вход через Google подключён. Если вы им пользуетесь, Google сообщает нам адрес вашего аккаунта Google, ваше имя и то, подтверждён ли этот адрес, а Google узнаёт, что вы вошли в этот сервис; больше мы Google ничего не передаём, и вместо этого можно зарегистрироваться по паролю.
Где лежат ваши данные
Три места — и названы они по отдельности именно потому, что это не одно место. Базу размещает Neon во Франкфурте (AWS eu-central-1) — до октября 2026 года она была в Соединённых Штатах. Приложение работает на арендованном сервере в Роттердаме, в Нидерландах. И то и другое — внутри ЕС. Компания, которая ведёт этот сервис, зарегистрирована в Украине и названа внизу этой страницы, — и это отдельный факт, а не ответ на вопрос, где стоят машины. Загруженные файлы — единственное исключение: они лежат в Cloudflare R2, и если бакет не создан внутри выбранной юрисдикции, Cloudflare раскладывает объекты там, где сочтёт нужным, и ничего не обещает насчёт того, где они останутся, — а этот бакет создан не так. Значит, рукопись или скриншот могут храниться за пределами ЕС. Если вы в ЕС, ЕЭЗ или Великобритании, вот это последнее — передача ваших персональных данных за их пределы, и опирается она на стандартные договорные условия, которые предлагает Cloudflare. То, что все три названы по отдельности, — не случайность: одна фраза на все три была бы настолько расплывчатой, что не была бы верна ни для одного из них.
Сколько мы это храним
Сессии истекают через тридцать дней. Как только сессия истекла, ночная задача удаляет её строку вместе с IP-адресом и user-agent в ней, а также все истёкшие токены подтверждения. Загруженные файлы, на которые не ссылается ни одна книга, удаляются автоматически через сутки после того, как стали лишними, а книга, которую вы убрали с полки, хранит файл тридцать дней, прежде чем он станет таким. Всё остальное — ваши книги, обратная связь, задания, журнал баллов, уведомления и журнал действий персонала — хранится, пока вы не попросите удалить, а журнал действий персонала задуман так, чтобы никогда не стираться, — из него убирается ваш идентификатор: при закрытии аккаунта он снимается с этих строк вместе с хешем адреса и строкой браузера, и остаётся только то, что было сделано, с чем и когда. Журнал доступа веб-сервера, в котором есть адрес, с которого пришёл запрос, каждый день начинается заново, а старые файлы удаляются через четырнадцать дней; Cloudflare ведёт собственные записи о проходящих через него запросах, и срок их хранения задаёт он, а не мы. Скриншот из магазина удаляется, как только сотрудник его посмотрел, а непросмотренный — через семь дней; ссылка удаляется после просмотра, а непросмотренная — через тридцать дней. Это сроки на этой странице, которые соблюдает программа, а не человек. Секрет входа в два шага и его резервные коды хранятся, пока вы не отключите вход в два шага или не закроете аккаунт, и в обоих случаях уходят вместе с учётными данными. Дневная сводка открытых страниц хранится тринадцать месяцев, чтобы можно было сравнить один октябрь с другим, после чего её удаляет ночная уборка.
Ваши права и как ими воспользоваться
У вас есть право получить доступ к своим данным, исправить их, потребовать удаления, получить их в переносимом виде, возразить против обработки на основании законного интереса, попросить ограничить обработку и пожаловаться в свой надзорный орган. Имя и псевдоним вы можете исправить сами в настройках и там же закрыть аккаунт — это удаляет имя, адрес почты, псевдоним и хеш адреса регистрации, а также учётные данные, сессии и записи об устройствах. Одно переживает закрытие намеренно: запись о разделениях, в которых вы участвуете, потому что разделение принадлежит двоим. Для доступа, переносимости, ограничения или возражения напишите нам, и вашим запросом займётся человек.
Как с нами связаться
Напишите на [email protected] или воспользуйтесь формой обратной связи.
Кто управляет Book Meteor
Оператор Book Meteor — DOMINAT-DNIPRO LLC (ТОВ «ДОМІНАТ-ДНІПРО»), регистрация: EDRPOU 36367636, адрес: 84 Serhiia Nihoiana Ave, Dnipro, 49064, Dnipropetrovsk Oblast, Ukraine. Именно с этим лицом заключены настоящие условия, и оно же является контролёром данных для всего, что описано в политике приватности.