Политика конфиденциальности

Эта политика объясняет, что собирает Astrina.io, зачем, как долго мы это храним и о чём вы можете нас попросить в связи с этим. Мы постарались написать её простым языком и быть конкретными там, где большинство политик аналитики расплывчаты — в частности, об IP-адресах, которые мы храним в необработанном виде. Там, где у нас чего-то ещё нет, мы прямо говорим об этом, а не намекаем на обратное.

Кто мы и как с нами связаться

Этот сервис работает под названием «Astrina» по адресу https://astrina.io. В настоящей политике «мы» и «Astrina.io» означают оператора сервиса.

У нас один контактный адрес, и он подходит для всего — вопросов о конфиденциальности, запросов на удаление данных и сообщений об уязвимостях безопасности: support@astrina.io.

Мы не публикуем соглашение об уровне обслуживания, поэтому не обещаем здесь никакого срока ответа. SLA существует только там, где заключён отдельный индивидуальный договор.

Кто контролирует данные: вы или мы

Это различие важно, потому что от него зависит, к кому посетителю следует обращаться по поводу своих данных.

• В отношении вашей собственной учётной записи у нас — вашего адреса электронной почты, тарифного плана, баланса и обращений в поддержку — то, как обрабатываются эти данные, определяем мы. Мы являемся контролёром.
• В отношении аналитики, записей сессий и SEO-данных, собираемых с отслеживаемого вами сайта, что именно собирается и зачем, решает наш клиент (владелец сайта). Клиент является контролёром, а Astrina.io выступает обработчиком, обрабатывая эти данные по указаниям клиента.

Это означает, что если вы — посетитель сайта, использующего Astrina, то стороной, ответственной за этот сбор, является владелец сайта, а не Astrina.io, в том числе за получение любого согласия, требуемого применимым к нему законодательством. Наше Дополнение об обработке данных описывает эти отношения.

Что мы собираем для вашей учётной записи

• Ваш адрес электронной почты.
• Ваш пароль — хранится только в виде хеша, созданного с помощью PHP password_hash() (bcrypt, PASSWORD_DEFAULT) и проверяемого через password_verify(). Мы никогда не храним и не записываем в журналы пароли в открытом виде.
• Ваша роль, тарифный план, дата окончания действия плана, баланс счёта и дата создания учётной записи.
• Токены подтверждения электронной почты и сброса пароля — хранятся в виде SHA-256-хеша токена, одноразовые, с ограниченным сроком действия.

Для защиты аккаунта доступны двухэтапная проверка и поддерживаемые способы входа через внешние сервисы. Данные, используемые при таком входе или входе через Astrina, описаны ниже.

Для пополнения баланса и оплаты счетов за услуги сайта используется Payora. Одобренные выплаты вознаграждений в криптовалюте также могут направляться через Payora. Покупки и подписки в мобильном приложении, где они доступны, оплачиваются через Apple App Store или Google Play. Мы используем записи о покупках в магазине, чтобы проверить оплату и зачислить соответствующую сумму или подключить подписку к вашему аккаунту Astrina. Посмотреть наших субобработчиков.

При прохождении проверки личности Astrina получает ваше полное имя, страну выдачи документа, дату рождения, тип и номер документа, а также его изображение. Поддерживаемая процедура проверки также может принимать селфи, если вы его предоставите. Эти сведения связаны с вашим аккаунтом и проверяются уполномоченными сотрудниками для подтверждения личности и права на денежные вознаграждения.

Документы для проверки хранятся в закрытом хранилище и доступны вам и уполномоченным модераторам. В структурированном профиле сохраняются только последние четыре символа номера документа; на изображении документа при этом может быть виден полный номер. При удалении аккаунта профиль проверки и файлы документов удаляются, а записи о решениях по проверке, связанные с платежами, обрабатываются вместе с сохраняемыми финансовыми записями.

Запрос на вывод вознаграждения содержит сумму, способ выплаты, выбранный актив или сеть, адрес кошелька получателя и, при наличии, тег назначения или memo. Мы связываем запрос, комиссию, сумму за вычетом комиссии и статус с вашим аккаунтом. Когда одобренная выплата передаётся Payora для обработки, Payora получает выбранный актив, адрес получателя, сумму выплаты, тег при его наличии и идентификаторы выплаты. Передача запроса на обработку сама по себе не означает, что выплата завершена.

Что мы собираем в качестве аналитики сайта

Для каждого просмотра страницы на сайте, который отслеживает наш клиент, мы записываем строку в таблицу «hit», содержащую:

• Время визита.
• Идентификатор посетителя — first-party идентификатор «_astr», сохраняемый на собственном домене клиента, либо, если он недоступен, запасной вариант, вычисляемый как md5(ip + user-agent + date).
• IP-адрес посетителя, хранимый в необработанном виде. Ниже этому посвящён отдельный раздел, потому что он того заслуживает.
• URL, заголовок страницы, реферер и хост реферера.
• Браузер, операционная система, устройство и размер экрана.
• Страна, взятая из заголовка запроса CF-IPCountry от Cloudflare, и язык.
• Метки utm_source, utm_medium и utm_campaign в URL, если они присутствуют.

Аналитика использует только first-party идентификатор посетителя. Мы не устанавливаем сторонних cookie, не ведём межсайтового отслеживания и не запускаем рекламных пикселей. Мы не продаём эти данные и никогда не передаём их рекламодателям.

Мы также формируем на основе этих хитов агрегированные суточные таблицы и таблицы разрезов (agg_day, agg_dim). Эти агрегаты хранятся бессрочно.

IP-адреса: что именно мы делаем

Мы храним IP-адрес посетителя в необработанном виде. Он не анонимизируется и не усекается. Мы предпочитаем сказать об этом прямо, а не называть себя анонимными, когда это не так.

Мы используем IP-адрес для двух целей и ни для каких других:

• Для вычисления резервного идентификатора посетителя, когда собственный идентификатор «_astr» недоступен. Идентификатор вычисляется как md5(ip + user-agent + date).
• Для выявления вероятных ботов путём классификации IP-адресов дата-центров и хостингов через обратный DNS. Задание выполняется каждые пять минут по IP-адресам, замеченным за последние четыре дня, а результаты хранятся в таблице «ip_intel».

Сколько мы его храним: IP-адрес хранится ровно столько же, сколько сырая строка хита, в которой он содержится. Это зависит от тарифа владельца сайта — 33 дня на Free, 180 дней на Pro, 365 дней на Business и 730 дней на Business Plus. Ежедневное задание удаляет строки с истёкшим сроком, а вместе с ними удаляется и IP-адрес.

Мы также храним IP-адрес каждого, кто оставляет отзыв; он используется только для ограничения частоты злоупотреблений.

Запись сессий

Запись сессий необязательна — она работает, только если владелец сайта добавит скрипт рекордера. Маскирование включено по умолчанию и применяется в браузере до того, как что-либо будет передано, а не вычищается потом на нашей стороне:

• Поля ввода пароля, электронной почты и телефона никогда не передают значение — даже его длину.
• Поля платёжных карт обрабатываются так же.
• Весь остальной вводимый текст маскируется точками.
• Любая часть страницы, отмеченная атрибутом [data-astr-mask], скрывается до того, как покинет браузер.

Записи по умолчанию хранятся 30 дней. Оператор может это настроить.

Отзывы

• Мы храним автора (вошедшего участника или гостя), оценку, текст, IP-адрес отправителя для ограничения частоты злоупотреблений и статус модерации.
• Отзывы от гостей публикуются после модерации. Отзывы от вошедших участников публикуются сразу.
• Изображения и видео-доказательства для некоторых типов отзывов хранятся вне корня веб-сервера и отдаются только через закрытый endpoint, который возвращает 403 во всех случаях, кроме тех, когда отзыв одобрен, либо вы его автор, либо вы администратор.

Подписи к номерам телефонов и как снять свой

• Некоторые люди включают в нашем приложении обмен контактами. Тогда мы получаем из их телефонной книги пары «номер + под каким именем он сохранён» — например «Курьер» или «Спам».
• Это значит, что у нас может лежать подпись к номеру человека, который Astrina никогда не пользовался. Мы храним номер, сохранённое имя и то, кто из участников это прислал, — последнее только затем, чтобы он мог забрать присланное обратно.
• Публично мы никогда не показываем, кто именно так сохранил номер. Показывается только счёт: «Курьер ×3».
• Если ваш номер там есть, его можно снять без учётной записи: astrina.io/unlist/. Мы не просим доказать, что номер ваш: доказательство означало бы взять с вас новые данные, а снятие только удаляет строки.
• Участник, поделившийся контактами, может в любой момент забрать всё присланное — прямо в приложении.

Поддержка, SEO-мониторинг и API

• Службы поддержки: мы храним ваши тикеты и сообщения в них.
• SEO-отчёты и история постраничного мониторинга по умолчанию хранятся 180 дней.
• API: один ключ на участника (ключи имеют префикс ak_), плюс посуточный счётчик вызовов, содержащий id участника, дату и количество вызовов.

Идентичности «Вход через Astrina»

Если вы привяжете аккаунт другого провайдера через наш OAuth-брокер, мы сохраним провайдера, ваш идентификатор пользователя у этого провайдера и всё, что провайдер нам возвращает, — как правило, адрес электронной почты, отображаемое имя и аватар.

Использование мобильного приложения

• Мы связываем идентификатор установки, платформу, версию приложения и записи о входах с вашим аккаунтом для управления сессиями и зарегистрированными устройствами. Приложение хранит токены сессии и настройки на вашем устройстве, а сервер — хеши токенов доступа и обновления.
• Для push-уведомлений мы передаём идентификатор устройства или установки и содержимое уведомления, включая ссылки, в Apple Push Notification service на iOS или Google Firebase Cloud Messaging на Android. Для существующих регистраций Expo посредником может быть Expo. Разрешениями на уведомления можно управлять в настройках устройства, а доступными категориями — в Astrina.
• Данные о покупках в магазине включают идентификаторы товаров и транзакций, квитанции или токены покупок, статус и срок действия подписки, а также сведения о возвратах. Мы связываем эти записи с вашим аккаунтом для проверки покупок, восстановления доступа и обработки продлений или возвратов. Apple и Google обрабатывают платёжные данные по собственным политикам; их API проверки покупок не передают нам полные реквизиты вашей карты.
• Релизные версии могут отправлять в Astrina ограниченную диагностику ошибок, пока вы вошли в аккаунт: версию и сборку приложения, платформу, категорию ошибки и места в исходном коде Astrina. Эти отчёты не содержат сообщений исключений, произвольного текста стека, URL, идентификаторов устройств или пользовательского содержимого. Запрос проходит авторизацию; это не анонимный канал отправки. Обычные журналы серверных запросов также могут содержать сетевые метаданные.
• Некоторые версии приложения могут отправлять точные широту и долготу в запросах, связанных с местоположением. Материалы для функций поблизости также могут содержать область, закодированную как geohash, или выбранное место. Эти запросы могут быть связаны с аккаунтом, в который вы вошли. Доступ к местоположению устройства можно регулировать в настройках разрешений устройства.
• Когда вы выбираете диктовку, приложение запрашивает разрешение на микрофон или распознавание речи и использует системную службу распознавания речи устройства. Эта служба может обрабатывать звук удалённо, например через службу распознавания речи Apple на iOS. Распознанный текст вставляется в активное поле и обрабатывается соответствующей функцией так же, как введённый вручную текст, например как отзыв или поисковый запрос. Можно отказать в разрешении и вводить текст вручную.

Обмен контактами описан выше в разделе о телефонных номерах. Для необязательной работы узла Pulsar есть отдельное уведомление о конфиденциальности. Запросы разрешений устройства и настройки функций объясняют, какой доступ им требуется.

Конфиденциальность Pulsar.

Зачем мы обрабатываем эти данные

Описано в общих чертах и сгруппировано по целям:

• Чтобы предоставить то, о чём вы просили, — ведение вашего аккаунта, сбор статистики по добавленным вами сайтам, формирование отчётов и списание оплаты с вашего баланса. Эта обработка необходима для оказания вам услуги.
• В наших законных интересах — поддерживать точность и безопасность сервиса: фильтрация ботов, ограничение частоты злоупотреблений в отзывах, модерация присланного контента и защита сервиса от атак.
• На основании согласия — там, где применимое право требует согласия для аналитики или записи сессий на сайте. Владелец сайта является контролёром для такого сбора и отвечает за получение согласия от своих посетителей.
• Для выполнения юридических обязанностей там, где они к нам применимы.

Сколько мы храним данные

Сырые хиты удаляются ежедневным заданием. Все указанные выше сроки — значения по умолчанию, которые оператор может изменить. Подробнее о сроках хранения.

Одна честная оговорка о резервных копиях: ежедневная резервная копия файлов и базы данных создаётся примерно в 05:12 UTC и хранится на том же сервере. Хранится примерно одна суточная копия, и никакой внешней (off-site) или гео-избыточной репликации нет. Поэтому данные, которые вы попросили удалить, могут какое-то время оставаться в этой последней резервной копии после того, как они удалены из рабочей базы данных.

Удаление аккаунта не означает автоматического удаления финансовой истории, включая записи о транзакциях и подписках в магазинах и связанные с платежами записи о решениях по проверке личности, сохраняемые для учёта и сверки платежей. За подробностями о записях, сохраняемых после удаления, обратитесь в поддержку.

С кем мы делимся данными

Мы не продаём ваши данные и не передаём их рекламодателям. Следующие сервисы обрабатывают данные для описанных здесь функций; сервисы доставки мобильных уведомлений и покупок также перечислены ниже.

• OVH — хостинг инфраструктуры, в ЕС. Обрабатывает всё, что хранится на сервере.
• Cloudflare — DNS, CDN, терминация TLS и WAF. Обрабатывает метаданные запросов и IP-адреса.
• Payora — обработка платежей для пополнения баланса на сайте, оплаты счетов за услуги и одобренных выплат вознаграждений в криптовалюте.
• Have I Been Pwned (Pwned Passwords) — проверка паролей на утечки. Отправляются только первые пять символов SHA-1-хеша, с использованием k-anonymity. Сам пароль никогда не покидает браузер или наш сервер, и никакие персональные данные не передаются.

Для push-уведомлений мы передаём идентификатор устройства или установки и содержимое уведомления, включая ссылки, в Apple Push Notification service на iOS или Google Firebase Cloud Messaging на Android. Для существующих регистраций Expo посредником может быть Expo. Разрешениями на уведомления можно управлять в настройках устройства, а доступными категориями — в Astrina.

Apple App Store и Google Play: обслуживают покупки и подписки на своих платформах. Astrina обменивается с соответствующим магазином идентификаторами покупок и транзакций, квитанциями или токенами покупок, идентификаторами товаров и статусами покупок для проверки оплаты, продлений, восстановления и возвратов.

Мы также получаем публичные каталожные данные из наборов данных CoinGecko, SteamSpy, Open Food Facts и IMDb. Обмен односторонний: они не получают от нас никаких персональных данных.

Исходящая почта отправляется с нашего собственного почтового сервера Exim с адреса noreply@astrina.io, с настроенным DKIM. Мы не используем стороннего почтового провайдера, поэтому ваш адрес ему не передаётся.

Посмотреть наших субобработчиков.

Файлы cookie и локальное хранилище

На самом astrina.io:

• astrsess — сессионный cookie. Строго необходимый. HttpOnly, Secure и SameSite=Lax.
• astr_lang — запоминает выбранный вами язык интерфейса.
• astr-theme — ваши настройки темы, хранятся в localStorage, а не в cookie.

Мы не устанавливаем на astrina.io рекламных или сторонних отслеживающих cookie.

На сайте клиента скрипт аналитики сохраняет «_astr» — собственный (first-party) идентификатор посетителя — в localStorage с резервным использованием cookie. Он устанавливается на собственном домене клиента, не может быть прочитан с других сайтов и не является сторонним cookie.

Полная информация о cookie.

Как мы защищаем данные

Меры, которые у нас действительно реализованы:

• TLS на всём трафике — Cloudflare в режиме Full (strict) с сертификатом Let’s Encrypt на origin-сервере.
• Пароли хешируются с помощью bcrypt; они никогда не хранятся и не записываются в журналы в открытом виде.
• Сессионный cookie имеет флаги HttpOnly, Secure (по HTTPS) и SameSite=Lax.
• CSRF-токены при отправке форм, изменяющих состояние.
• API-ключи принимаются только в заголовке запроса (X-Api-Key или Authorization: Bearer). Мы намеренно не принимаем их в строке запроса URL, чтобы они не могли попасть в логи сервера, логи прокси, историю браузера или заголовки Referer. Вы можете в любой момент перегенерировать ключ на /my/api.php, что мгновенно отзывает старый.
• Приватный метод API аналитики не отправляет заголовок Allow-Origin, поэтому браузер не может прочитать его из другого источника (cross-origin). Публичные методы API открыты намеренно.
• SEO-краулер защищён от SSRF: разрешены только http и https, приватные, loopback- и link-local-диапазоны отклоняются, разрешённый IP закрепляется, каждый переход по редиректу проверяется заново, а размер тела ответа ограничен.
• Ограничения на отправку по IP и модерация отзывов; фильтрация ботов по правилам user-agent и классификации IP-адресов дата-центров.
• Административная зона закрыта проверкой роли.

В этой политике не заявлены опубликованный отчёт о тестировании на проникновение, сертификация ISO или SOC 2, программа вознаграждений за уязвимости либо резервное копирование на отдельной площадке.

Сообщайте об уязвимостях безопасности на support@astrina.io. Подробнее о безопасности.

Ваши права и как ими воспользоваться

Если закон о защите данных предоставляет вам права на доступ, исправление, удаление или возражение против обработки, обращайтесь по адресу support@astrina.io. Вы также можете выгрузить данные аккаунта и запросить его удаление самостоятельно с помощью указанных ниже функций.

Откройте «Мои данные» в приложении или «Мои данные и согласия» на сайте, чтобы выгрузить данные или запросить удаление. На экране указаны запланированная дата и доступный срок отмены. Отменить запрос можно только до окончания этого срока; запланированный запрос не означает, что удаление уже завершено.

Открыть управление данными и удалением аккаунта.

Удаление аккаунта Astrina не отменяет подписку в App Store или Google Play. Управляйте подпиской или отмените её в магазине, который списывает оплату. Если вы не можете войти в аккаунт или вам нужна помощь с запросом о данных, обращайтесь по адресу support@astrina.io.

Другие доступные функции управления аккаунтом:

• Удалить отдельный отслеживаемый сайт из своей панели — это удалит данные этого сайта.
• Перегенерировать или отозвать API-ключ в любой момент на /my/api.php.

Если вы посетитель сайта, который использует Astrina, и хотите, чтобы данные этого сайта о вас были удалены, то контролёром является владелец сайта, и обращаться следует именно к нему. Если вы обратитесь к нам, мы обработаем запрос по его указаниям, действуя как его обработчик.

Изменения в этой политике

Если мы изменим порядок обработки персональных данных, мы обновим эту страницу и дату «последнего обновления» выше. Если изменение существенное, мы опишем, что именно изменилось, а не заменим текст без объявления. Смотреть журнал изменений.

Вопросы по чему-либо на этой странице: support@astrina.io. Свяжитесь с нами.