Политика хранения данных — политика хранения данных — руководство, политика хранения данных — разбор

Что охватывает эта политика

На этой странице указано, как долго Astrina.io хранит каждый вид данных и когда они удаляются. Её следует читать вместе с нашей Политикой конфиденциальности, Политикой использования cookie и страницей о безопасности.

Мы изложили это конкретно, а не в общих словах. Там, где срок хранения — это значение по умолчанию, которое оператор может изменить, мы прямо об этом говорим. Там, где данные хранятся бессрочно, мы говорим и об этом, вместо того чтобы создавать впечатление, будто у них есть срок истечения.

Сроки хранения: краткий обзор

Тип данных	Срок хранения	Примечания
Сырые хиты аналитики (включая IP-адрес посетителя)	Free — 33 дня · Pro — 180 дней · Business — 365 дней · Business Plus — 730 дней	Удаляются задачей, которая выполняется ежедневно. Применяется срок, соответствующий тарифу участника, которому принадлежит отслеживаемый сайт. IP-адрес хранится в исходном виде и удаляется вместе со строкой хита.
Пользовательские события и конверсии (с тем же псевдонимным идентификатором посетителя, что и просмотр)	Free — 33 дня · Pro — 180 дней · Business — 365 дней · Business Plus — 730 дней	Удаляются ровно по тому же расписанию и тем же ежедневным заданием, что и сырые просмотры, по тарифу владельца сайта.
Агрегированная статистика (суточные итоги и итоги по измерениям)	Хранится бессрочно	Вычисляется из сырых хитов до того, как эти хиты будут удалены. Это только счётчики и итоговые суммы. Они не содержат ни IP-адресов, ни строк на уровне отдельных посетителей — именно поэтому графики за длительные периоды сохраняются после того, как сырые данные исчезли.
Записи сессий	30 дней	Срок по умолчанию, настраивается оператором. Записи маскируются в браузере до отправки: поля пароля, email и телефона никогда не передают значение — даже его длину.
SEO-отчёты и история постраничного мониторинга	180 дней	Срок по умолчанию, настраивается оператором.
Записи классификации ботов (ip_intel)	Хранится бессрочно	Запись об IP-адресе и его обратном DNS-имени, по которой мы помечаем адреса дата-центров и хостингов как вероятных ботов. В строке ровно четыре поля и больше ничего: адрес, это имя, признак «дата-центр: да/нет» и дата проверки. В ней нет ни страниц, ни визитов, ни связи с человеком. Эти записи не подпадают под ежедневную чистку сырых хитов, поэтому IP может остаться здесь после удаления породивших его хитов: именно эта классификация не даёт засчитать те хиты за живой трафик, а повторять запрос при каждом возвращении того же краулера означало бы обращаться к DNS чаще, а не реже.
Отзывы, оценки и файлы-доказательства	Хранятся, пока опубликованы	В отзыве также сохраняется IP-адрес отправителя, используемый только для ограничения частоты злоупотреблений, а также статус модерации. Изображения и видео-доказательства хранятся вне корневого каталога веб-сервера и отдаются только через закрытую точку доступа.
Тикеты поддержки и сообщения	Хранятся, пока существует аккаунт	Относится как к службам поддержки, так и к вашим собственным тикетам.
Данные аккаунта	Хранятся, пока существует аккаунт	Адрес email, хеш пароля, роль, тариф, дата окончания тарифа, баланс и дата создания. Пароль всегда хранится только как bcrypt-хеш, никогда в открытом виде.
Токены подтверждения email и сброса пароля	До использования или истечения срока	Хранится как SHA-256-хеш токена, одноразовый, с временем истечения.
API-ключи и суточные счётчики вызовов	Хранятся, пока существует аккаунт	Один ключ на участника, плюс посуточный счётчик с id участника, датой и количеством вызовов. Вы можете в любой момент перегенерировать ключ, что немедленно отзывает старый.
Привязанные учётные записи из «Входа через Astrina»	Хранятся, пока существует аккаунт	Для каждой привязанной учётной записи мы храним провайдера, id пользователя у провайдера и всё, что этот провайдер нам возвращает, что может включать email, отображаемое имя и аватар.
Бэкапы	Примерно одна суточная копия, на том же сервере	См. раздел о резервных копиях ниже. Удалённые данные могут по-прежнему существовать в самой свежей резервной копии до тех пор, пока эта копия не будет ротирована.

IP-адреса посетителей в аналитике

Мы хотим сказать об этом прямо, а не спрятать: для каждого хита, который мы записываем, IP-адрес посетителя хранится в исходном виде. Он не анонимизируется и не усекается.

Мы используем его для двух целей:

Для вычисления резервного id посетителя — как md5 от IP, user agent и даты — когда first-party id посетителя недоступен.
Для выявления вероятных ботов — путём классификации IP-адресов дата-центров и хостингов через обратный DNS. Задача выполняется каждые 5 минут по IP-адресам, замеченным за последние 4 дня, и результат этого поиска сохраняется в таблице ip_intel.

IP-адрес хранится ровно столько же, сколько строка сырого хита, которая его содержит, поэтому к нему применяются тарифные сроки из таблицы выше. Отдельная запись ip_intel, которая содержит IP и его имя хоста по обратному DNS, не удаляется по этому расписанию и хранится бессрочно.

Наша аналитика использует только first-party id посетителя. Мы не устанавливаем сторонние cookie, не ведём межсайтовое отслеживание и не используем рекламные пиксели. Мы никогда не продаём эти данные и никогда не передаём их рекламодателям.

Агрегированная статистика хранится бессрочно

Агрегированные суточные таблицы и таблицы по измерениям строятся из сырых хитов и хранятся бессрочно. Это сделано намеренно: именно это позволяет графику по-прежнему показывать прошлый год после того, как стоящие за ним сырые строки были удалены. Эти агрегаты — итоги и счётчики, а не записи персонального уровня, и они не содержат IP-адресов.

Практическое следствие: удаление сырых хитов не обнуляет ваши исторические графики, а агрегированная история не удаляется по срокам хранения, указанным выше.

Записи сессий

Если вы включите скрипт записи сессий, записи по умолчанию хранятся 30 дней, и оператор может изменить этот срок. Маскирование включено по умолчанию и применяется в браузере, до того как что-либо будет передано:

Поля ввода пароля, email и телефона никогда не передают значение — даже его длину.
Поля платёжных карт обрабатываются точно так же.
Весь остальной вводимый текст маскируется точками.
Любая часть страницы, помеченная вами атрибутом data-astr-mask, скрывается до того, как покинет браузер.

Резервные копии и что это значит для удаления

Наш сервер ежедневно создаёт резервную копию файлов и базы данных примерно в 05:12 UTC средствами панели управления Hestia. На практике хранится примерно одна суточная копия.

Две вещи здесь достаточно важны, чтобы сказать о них прямо, а не оставлять вам на самостоятельное обнаружение:

Резервная копия хранится в каталоге на том же сервере, что и рабочие данные. Внешней копии нет, геораспределённой репликации нет. Сбой, который уничтожит сервер, уничтожит вместе с ним и резервную копию.
Из-за резервного копирования данные не всегда исчезают в тот же миг, когда удаляются из рабочей системы. После того как мы что-то удаляем, копия может ещё существовать в самой свежей резервной копии — до тех пор, пока эта копия не будет ротирована и перезаписана более новой.

Если нам нужно восстановить сервис, мы восстанавливаем его из последней суточной резервной копии. Мы не гарантируем ни время восстановления, ни точку восстановления, и мы не предлагаем публичного соглашения об уровне обслуживания. SLA существует только в рамках отдельно заключённого индивидуального договора.

Кто может изменять эти окна хранения

Окна хранения, указанные на этой странице, — это значения, с которыми поставляется сервис. Это настройки, а не неизменные свойства системы, и оператор может изменить их в настройках админки. Если окно изменено, ежедневное задание очистки просто начинает применять новое, а значит данные могут быть удалены раньше, чем описано на этой странице, или храниться дольше.

Срок хранения также привязан к тарифному плану. Если платный план истекает, отслеживаемый сайт возвращается к бесплатному окну хранения, и сырые хиты старше этого окна становятся доступны для очистки.

Удаление ваших данных

Сегодня в панели нет самостоятельного удаления аккаунта. Мы не будем делать вид, что это не так: кнопки для этого пока нет. Чтобы ваш аккаунт и его данные были удалены, напишите на support@astrina.io — и мы сделаем это по запросу.

Кое-что вы можете сделать сами, не обращаясь к нам:

Удалить отдельный отслеживаемый сайт из вашей панели — это удаляет его данные.
Перегенерировать или отозвать ваш API-ключ в любой момент на /my/api.php — старый ключ становится недействительным мгновенно.

Пожалуйста, учитывайте два пункта выше: агрегированная статистика хранится бессрочно, а удалённые данные могут сохраняться в самой свежей резервной копии до её ротации.

Контакты

По любому запросу в рамках настоящей политики, включая удаление данных и вопросы конфиденциальности, пишите на support@astrina.io. Это наш единственный контактный адрес, и по нему же к нам поступают сообщения о безопасности.

Связанные страницы: Политика конфиденциальности, Политика использования cookie, Безопасность, Субобработчики, Соглашение об обработке данных, Условия обслуживания.