Политика конфиденциальности

Кто мы

AltOrbit — независимый проект; юрлицо пока не зарегистрировано. Юрлицо (планируется в ЕС) будет создано до публичного запуска. Когда в этой политике сказано «мы», это об AltOrbit. Когда сказано «ты», это о любом, чьи данные мы обрабатываем — обычно пользователь воркспейса AltOrbit или посетитель altorbit.app.

Две роли — в зависимости от данных. За то, что внутри воркспейса, — время, оплату, отпуска, чат, файлы — контролёр твоя организация, а мы обрабатываем эти данные по её поручению в рамках нашего DPA; с вопросами об этих данных лучше сначала обратиться к работодателю. За твой аккаунт, биллинг, этот сайт, список раннего доступа и поддержку контролёр — мы.

Что мы собираем

То, что ты даёшь нам, то, что генерирует твой воркспейс, и то, что мы измеряем, чтобы сервис работал.

Зачем мы это используем

Каждая цель и правовое основание, на которое мы опираемся по GDPR:

• Чтобы продукт работал — вход, синхронизация, уведомления, биллинг. Основание: наш договор с тобой или твоей организацией (ст. 6(1)(b)).
• Чтобы было безопасно — блокировка брутфорса, выявление взломанных аккаунтов, аудит действий админов. Основание: наш законный интерес в безопасности сервиса и его пользователей (ст. 6(1)(f)).
• Чтобы улучшать сайт и приложения — псевдонимная аналитика через PostHog: какие страницы и экраны используются и где буксует онбординг. На сайте и в веб-приложении это также может включать клики и позиции прокрутки (тепловые карты), замеры скорости страниц, короткие опросы и записи того, как ты перемещаешься по страницам (запись сессий); всё, что ты вводишь в поля форм, скрывается прямо в браузере и не записывается, а в веб-приложении скрываются также весь текст и изображения, так что запись показывает только раскладку и клики, а не твоё содержимое. Только если ты принял аналитику — в баннере cookie на сайте или в запросе веб- или мобильного приложения (согласие, ст. 6(1)(a)). Если ты принял её и на сайте, и в веб-приложении, твои прежние визиты на сайт связываются с аккаунтом. И анонимные показатели скорости страниц через Vercel Speed Insights, который не использует cookie (законный интерес, ст. 6(1)(f)).
• Чтобы понимать, как используется продукт — наши серверы фиксируют ключевые действия в твоём аккаунте — регистрацию, создание проекта, закрытие тикета, смену тарифа — и отправляют их в PostHog (ЕС) с идентификаторами аккаунта и рабочего пространства: никогда имя, email или то, что ты пишешь, и без IP-адреса. Это не использует cookie и не зависит от выбора по аналитике выше. Основание: наш законный интерес понимать, какие части продукта работают (ст. 6(1)(f)). Возразить можно в любой момент — напиши на privacy@altorbit.app, и мы прекратим.
• Чтобы говорить с тобой — чеки, оповещения безопасности и письма по аккаунту (договор); письмо о запуске для раннего доступа и новости продукта — только если ты сам их запросил (согласие).
• Чтобы отвечать тебе — запросы в поддержку по почте, через форму или в чате. Основание: наш договор с тобой или наш законный интерес в том, чтобы помогать посетителям (ст. 6(1)(b)/(f)).
• Чтобы выполнять требования закона — биллинговые и налоговые записи. Основание: юридическая обязанность (ст. 6(1)(c)).

Данные из подключённых сервисов

Интеграции выключены, пока их кто-то не включит. Когда вы подключаете календарь или место для резервных копий, AltOrbit читает или записывает только то, что нужно этой функции:

• Календари (Google Calendar, Microsoft Outlook, CalDAV) — мы читаем список ваших календарей (название, цвет и какой из них основной), чтобы вы выбрали, какие подключить. Из выбранных календарей мы читаем у каждого события название, время начала и окончания с часовым поясом, повторение, ваш ответ на приглашение, число участников, отмечено ли оно как частное или «свободен», ссылку на него в календаре и ссылку на видеозвонок. Чтобы найти ссылку на видеозвонок, мы также просматриваем место и описание события; их мы не храним. Каждую встречу вы отмечаете как рабочую или личную; рабочие могут стать записями времени в проекте. Мы создаём отдельный календарь «AltOrbit» и пишем только в него ваши блоки времени, согласованный отпуск и праздники компании. Ваши собственные события мы никогда не меняем и не удаляем. Когда вы открываете список гостей встречи, мы запрашиваем его из вашего календаря в этот момент, чтобы показать вам, и сопоставляем гостей с участниками воркспейса; сам список мы не храним.
• Резервные копии (Google Drive, OneDrive, Dropbox) — владелец может отправлять копию воркспейса в своё хранилище. В Google Drive мы работаем только с файлами и папками, которые создал AltOrbit; остальное содержимое Drive нам не видно.
• Отключение останавливает любое чтение и запись, удаляет сохранённые токены и все встречи, импортированные из этого аккаунта, удаляет созданный нами календарь «AltOrbit» и отзывает наш доступ у провайдера. То же происходит при удалении вашего аккаунта или воркспейса. Записи времени, которые уже стали из рабочих встреч, остаются — это ваши собственные записи. Отозвать наш доступ можно и в любой момент в аккаунте Google, в разделе «Сторонние приложения и сервисы».
• Данные из этих сервисов используются только для подключённых вами функций — в том виде, в каком вы видите их в AltOrbit. Мы их не продаём, не используем для рекламы и никому не передаём, кроме субподрядчиков, на которых работают эти функции, и сотрудники AltOrbit их не читают — кроме случаев, когда вы сами просите об этом в поддержке, или этого требуют безопасность либо закон.
• AI и машинное обучение — мы не используем данные, полученные через API Google Workspace или из любого другого подключённого сервиса, для разработки, улучшения или обучения обобщённых либо неперсонализированных моделей AI и машинного обучения и не позволяем делать это никому другому. Такие данные может увидеть только одна AI-функция — черновик стендапа, и только когда вы сами его запрашиваете: она отправляет нашему AI-провайдеру, Anthropic, ваши собственные записи времени за последние два дня, а в них могут быть названия встреч, которые вы учли как рабочие. Провайдер обрабатывает их только чтобы написать черновик, на условиях, которые исключают обучение на этих данных. Если ты сам подключишь AI-приложение, оно может прочитать такую запись времени, как и любой другой видимый тебе контент, — см. AI-приложения, которые ты подключаешь.

Использование и передача в любые другие приложения информации, полученной AltOrbit через API Google, соответствует требованиям Google API Services User Data Policy, включая требования Limited Use (ограниченного использования).

AI-приложения, которые ты подключаешь

Ты можешь подключить к своему аккаунту AltOrbit AI-приложение на свой выбор — Claude, ChatGPT, Cursor или другой клиент с поддержкой Model Context Protocol, — чтобы оно работало с твоим воркспейсом за тебя (как это устроено). Пока ты не подтвердишь подключение, ничего не подключено.

• Что получает приложение — только то, что ты сам видишь в AltOrbit, в одном воркспейсе, к которому ты его подключил, в пределах одобренных прав, и только когда приложение вызывает наш инструмент по твоей просьбе. Это могут быть тикеты и комментарии, данные проектов, имена людей, с которыми ты работаешь, твои записи времени с заметками (у записи, созданной из встречи календаря, это её название), файлы, прикреплённые к тикетам (открытый приложением файл приходит ссылкой, которая истекает через 15 минут), твои уведомления и отчёты по проектам. Сами по себе мы ему ничего не отправляем.
• Провайдера выбираешь ты — приложение и AI-модель за ним выбираешь ты. То, что оно получило, дальше обрабатывает этот провайдер по своим условиям и политике конфиденциальности, а не по нашим, и он не входит в число наших субобработчиков. Проверь, может ли твой провайдер обучать модели на твоих разговорах, и настрой это так, как тебе нужно. Подключённое приложение — не AI-функция AltOrbit: наши обязательства по AI выше касаются провайдера, которого используем мы, а не того, которого выбираешь ты.
• Что мы храним — для каждого подключения: имя и сайт, которые приложение указывает о себе, адрес, куда возвращается его вход, одобренные воркспейс и права, а также когда оно создано, когда последний раз использовалось и когда истекает или было отозвано. Токены хранятся только в виде ключевых хешей; для персонального токена мы ещё храним последние четыре символа, чтобы ты мог его узнать. Действия приложения попадают в журнал аудита, как и твои собственные, с пометкой этого подключения, а версии тикетов отмечают изменения, сделанные через MCP.
• Сколько это длится и как остановить — подключение работает, пока ты не отключишь его в Настройки › AI-агенты (это срабатывает сразу), пока владелец или администратор компании не отзовёт его, или пока оно не истечёт: приложение — через 30 дней без использования (не позже 365 дней), персональный токен — через 90 дней без использования (не позже 365 дней). Сброс пароля или выход из всех остальных сессий тоже их отключает. Пока организация держит AI-подключения выключенными, твои подключения стоят на паузе, а не прекращаются. Запись о подключении хранится вместе с аккаунтом и удаляется вместе с ним; записи аудита хранятся так, как описано в разделе Сколько храним.
• Решение твоей организации — могут ли AI-приложения работать с данными воркспейса, решает твоя организация как контролёр этих данных. Её владельцы и администраторы компании могут выключить AI-подключения для всего воркспейса (по умолчанию они включены): тогда подключённые приложения и токены стоят на паузе и получают отказ, а новые подключить нельзя, пока подключения снова не включат. Они видят все приложения и токены, подключённые к воркспейсу, и могут отозвать любой из них — владелец подключения получит уведомление, — а также получают уведомление, когда участник подключает AI-приложение или создаёт токен.
• Правовое основание — наш договор с тобой или твоей организацией (ст. 6(1)(b)): приложение работает с твоими данными, потому что ты его об этом попросил. Журнал аудита воркспейса показывает, что изменили подключённые приложения.

Как мы защищаем ваши данные

Эти меры защищают всё, что мы храним, в том числе данные, которые вы приносите из подключённых сервисов вроде Google:

• Шифрование при передаче — любое соединение с сайтом, приложениями и API AltOrbit идёт по HTTPS (TLS), с HSTS, чтобы браузер никогда не откатывался на обычный HTTP. С Google, Microsoft и другими провайдерами мы общаемся только по HTTPS.
• Шифрование при хранении — OAuth-токены доступа и обновления зашифрованы AES-256-GCM, каждый со своим случайным nonce и привязкой к своему подключению. Ключ хранится отдельно от базы данных, в конфигурации сервера, и может быть заменён. Токены расшифровываются только на наших серверах в момент, когда они нужны функции, и никогда не попадают в ваш браузер или на устройство.
• Изолированное хранение — база данных работает на выделенном сервере во Франкфурте и не принимает подключений из интернета. Строки каждого воркспейса разделены защитой на уровне строк (row-level security) в самой базе, поэтому один воркспейс не может прочитать данные другого.
• Кто это видит — встречи, импортированные из вашего календаря, видите только вы, а не владельцы или администраторы воркспейса. Записью времени становится только встреча, которую вы отметили как рабочую, — с её названием в заметке; такую запись видят те, кто и так видит ваше время. Список гостей мы запрашиваем, когда вы его открываете, и не храним.
• Минимальные права — у Google мы просим доступ к вашим календарям только на чтение, пишем только в отдельный календарь «AltOrbit», который создаём сами, а в Google Drive видим только файлы, созданные AltOrbit. Импортируем встречи за 30 дней назад и на 180 дней вперёд — ровно тот диапазон, который показывает функция.
• Доступ сотрудников — доступ к рабочим системам есть только у уполномоченных сотрудников, которым он нужен, и используется только чтобы обслуживать сервис, помочь вам по вашей просьбе или когда этого требуют безопасность либо закон. Внутреннего инструмента для просмотра данных пользователей нет.
• Логи и отчёты об ошибках — токены, пароли и другие секреты вычищаются до того, как что-либо попадёт в лог или в систему отслеживания ошибок.
• Резервные копии — копии базы данных хранятся в ЕС с ограниченным доступом и удаляются в течение 90 дней.
• Подключённые AI-приложения — чтобы одобрить приложение, нужно подтвердить, что это ты; его токены хранятся только в виде ключевых хешей, access-токен живёт один час, а каждый вызов заново проверяет твой доступ, поэтому отключение, выключение AI-подключений владельцем или администратором либо потеря доступа в AltOrbit останавливает его сразу.
• Если что-то пошло не так — если утечка ставит ваши данные под угрозу, мы уведомляем надзорный орган в течение 72 часов, а вас — без неоправданной задержки, как требует GDPR.

С кем мы делимся

Короткий публичный список субпроцессоров. Мы их используем, потому что строить своё было бы хуже для твоих данных, а не лучше.

• OVHcloud — серверы приложения, база данных и бэкапы (Франкфурт, Германия).
• Cloudflare — DNS, CDN, защита от DDoS, проверка наших форм на ботов (Turnstile) и хранение файлов (Западная Европа).
• Vercel — хостинг сайта и веб-приложения, анонимное измерение скорости страниц (Speed Insights).
• Stripe — обработка платежей. Данные карт никогда не попадают на наши серверы.
• Resend — транзакционные письма (чеки, сброс пароля, инвайты).
• Sentry — отслеживание ошибок. Настроен с очисткой PII.
• Anthropic — AI-модель для AI-функций и ассистента чата поддержки (США).
• Expo — push-уведомления в Android-приложение (доставляются через Google Firebase Cloud Messaging) и обновления приложения (США).
• PostHog — продуктовая аналитика сайта и приложений, включая тепловые карты и записи сессий на сайте (поля форм скрыты) и в веб-приложении (скрыты весь текст, ввод и изображения), и статистика использования с наших серверов (ЕС; IP-адреса отбрасываются).
• GIPHY — поиск GIF в чате (США). Запросы идут через наши серверы без данных, по которым тебя можно опознать; Android-приложение загружает сами GIF напрямую с GIPHY.

Полный список с актуальными адресами и DPA — на altorbit.app/subprocessors, обновляется при любом изменении — мы пишем владельцам за 30 дней до добавления любого нового процессора.

Где хранятся твои данные

Данные воркспейса, файлы и бэкапы хранятся в ЕС — база данных во Франкфурте, файлы в Западной Европе. Часть обработки происходит за пределами ЕС: серверы веб-приложения работают на Vercel в США и видят запросы при передаче, сеть Cloudflare глобальна, AI-функции обращаются к провайдеру моделей в США, push-уведомления в Android-приложение идут через Expo (США), а платежи — через Stripe. Эти передачи покрыты Стандартными договорными положениями ЕС или Рамочной программой защиты данных ЕС–США (EU-US Data Privacy Framework). Регион США — в планах, без фиксированной даты.

Твои права

Если на тебя распространяется GDPR (ЕС/Великобритания), CCPA (Калифорния) или схожего режима, у тебя есть право:

• Доступ — получить копию своих данных. Самообслуживание в настройках или по email; очень большая история делится на несколько файлов.
• Исправление — поправить любую ошибку. Большую часть можно отредактировать в профиле.
• Удаление — удалить аккаунт: персональные данные стираются сразу и уходят из бэкапов в течение 90 дней. Контент, который ты создал в воркспейсе, остаётся в этом воркспейсе.
• Перенос — выгрузить свои персональные данные в JSON или CSV.
• Возражение — отказаться от любого необязательного использования: маркетинговые письма, аналитика и статистика использования, которую фиксируют наши серверы (напиши нам, см. ниже).
• Ограничение — попросить нас приостановить использование твоих данных, пока проверяется запрос или спор.
• Отзыв согласия — для аналитики или писем о запуске, в любой момент: через «Настройки cookie» в футере сайта, переключатель аналитики в настройках приложения или отпиской от письма. Обработка до отзыва согласия остаётся законной.

Мы не принимаем решений о тебе исключительно на основе автоматизированной обработки. Воркспейсы могут включить оповещения об овертайме: они сообщают лидам, когда кто-то логирует согласованный овертайм в большинство последних дней. Оповещение лишь информирует человека и ничего не решает.

Пиши на privacy@altorbit.app. Отвечаем в течение 2 рабочих дней и выполняем запросы в течение месяца, как требует GDPR.

Сколько мы это храним

• Активные воркспейсы — пока воркспейс существует. Владельцы могут включить автоматическое удаление старых сообщений чата и записей времени через 12, 24 или 36 месяцев.
• Неактивные воркспейсы на Free — Free-воркспейс, которым никто не пользуется 12 месяцев, может быть удалён. Каждый владелец получает письмо-предупреждение за 30 дней, и любая активность отменяет удаление.
• Удалённые воркспейсы — доступ прекращается сразу, а владелец может восстановить воркспейс в течение 30 дней; затем он удаляется из основного хранилища и уходит из бэкапов в течение 90 дней.
• Импортированные встречи календаря — удаляются через 31 день после окончания или сразу, когда вы отключаете календарь.
• Подключённые AI-приложения и токены — пока ты или владельцы и администраторы воркспейса их не отключите или они не истекут (30 дней без использования для приложения, 90 — для токена, не больше года); запись о подключении удаляется вместе с аккаунтом.
• Аудит-логи — 30 дней на Free, 365 дней на Pro, затем удаляются.
• Биллинговые записи — 7 лет, потому что так требует налоговое законодательство.
• Список раннего доступа — пока мы не отправим письмо о запуске. Попроси — и мы удалим тебя раньше.
• Запросы и чаты поддержки — столько, сколько нужно, чтобы ответить тебе и обработать последующие обращения.

Cookie

Мы используем минимальный набор cookie, нужный для работы продукта, — сессионный cookie, CSRF-токен, короткоживущие cookie для входа (двухфакторная аутентификация, Google) и настройки языка и темы. Чат поддержки хранит идентификатор разговора в local storage браузера, как только начинается чат. На сайте и в веб-приложении дополнительно работает аналитика PostHog (на сайте — в том числе тепловые карты и записи сессий со скрытыми полями форм) — она загружается только после твоего согласия; изменить выбор можно в любой момент через «Настройки cookie» в футере или в настройках приложения. Vercel Speed Insights измеряет скорость загрузки страниц без cookie. Рекламных или ретаргетинговых cookie мы не используем.

Дети

AltOrbit не предназначен для детей младше 16 лет. Если ты считаешь, что ребёнок зарегистрировался, напиши нам — мы сразу удалим аккаунт.

Изменения этой политики

Мы меняем этот документ, когда меняются наши практики, а не ради развлечения. Существенные изменения — с уведомлением всем владельцам за 30 дней. Косметические (опечатки, более ясные формулировки) вносим без отдельного уведомления.

Контакты

Контакт по вопросам приватности: Andrii Zhelezko, основатель · privacy@altorbit.app. Инспектор по защите данных (DPO) будет назначен после регистрации AltOrbit.
Юридический адрес: будет опубликован после регистрации AltOrbit (планируется в ЕС)
Представитель в Великобритании: будет назначен после регистрации

Ты можешь в любой момент подать жалобу в надзорный орган по защите данных — в ЕС обычно в тот, что в стране, где ты живёшь или работаешь. Но мы будем благодарны, если сначала ты дашь нам шанс всё исправить — по адресу выше.