Политика конфиденциальности

1. Кто обрабатывает данные

Оператор (контролёр) персональных данных — Raman Radziukou (Роман Радюков), индивидуальный предприниматель (jednoosobowa działalność gospodarcza, Польша), NIP 1231504020, REGON 520540449. Мы работаем онлайн: по любым вопросам о данных пишите на radukov.roman@gmail.com.

Политика действует для сайта и приложения STAYA (Квест, Штаб, Стая) и для всех, кто в них зарегистрирован.

2. Какие данные мы собираем

• Аккаунт: email, имя (если вы его указали), роль, дата регистрации и входов, источник перехода (метки UTM и сайт, с которого вы пришли).
• Профиль бизнеса из онбординга: ниша, тип клиентов, страна и город, валюта, диапазон выручки, размер команды, каналы продаж, главная задача.
• Ответы на миссии Квеста, загруженные файлы, черновики, вердикты куратора, артефакты, индекс системности, мастер-документ стратегии.
• Цифры Штаба: метрики, планы и факты по месяцам, комментарии, сигналы, заявки на услуги и контакт, который вы в них оставили.
• Вопросы ИИ-советнику и его ответы.
• Стая: участие в потоке и пятёрке, подготовка к встречам, присутствие и обратная связь куратора, обязательства, согласие на разбор в эфире, публикации и реакции в Зале побед.
• Уведомления: привязанный Telegram (chat id и имя пользователя), настройки и история уведомлений.
• Оплата: тариф, статус подписки, суммы и даты платежей, идентификаторы платежей у платёжного провайдера. Данных банковской карты у нас нет: их принимает и хранит платёжный провайдер.
• События использования продукта: входы, шаги онбординга, изменения профиля.
• Факт и дата вашего согласия с документами и их редакции.

3. Зачем

• Предоставить доступ к продукту по оферте: вход, Квест, проверка ответов куратором, Штаб, советник, Стая, уведомления.
• Принимать оплату и выполнять обязанности по бухгалтерскому и налоговому учёту.
• Отвечать на ваши обращения и заявки на услуги.
• Улучшать продукт по обезличенной статистике: какие шаги проходят, где застревают.
• Защищать сервис от злоупотреблений.

Мы не продаём данные, не используем ваши ответы для рекламы и не передаём их другим участникам. В Зал побед и на разбор в эфире ваша работа попадает только с вашего согласия и обезличенно.

4. Основания обработки (для ЕС и Польши — GDPR)

• Исполнение договора (ст. 6(1)(b) GDPR) — всё, что нужно для работы продукта по оферте.
• Согласие (ст. 6(1)(a) GDPR) — обработка по «Согласию на обработку персональных данных»; для Беларуси и России согласие — основное основание (Закон Республики Беларусь № 99-З «О защите персональных данных», Федеральный закон № 152-ФЗ).
• Юридическая обязанность (ст. 6(1)(c) GDPR) — хранение данных о платежах.
• Законный интерес (ст. 6(1)(f) GDPR) — безопасность сервиса и обезличенная статистика.

5. Где хранятся данные и кто их обрабатывает по нашему поручению

• Supabase (база данных, вход, файлы) — серверы в ЕС, Франкфурт (Германия).
• Vercel (работа приложения) — функции приложения выполняются в ЕС, Франкфурт (Германия); статические страницы раздаёт глобальная сеть Vercel.
• Railway (США; сервер очереди проверок ИИ) — получает ответ на миссию или вопрос советнику только на время обработки.
• OpenRouter, Inc. (США) направляет запрос модели Claude компании Anthropic — напрямую или через облачные платформы Anthropic у Amazon Web Services или Google Cloud (США): модель проверяет ответы на миссии и отвечает на вопросы советнику. Модель получает текст ответа, профиль бизнеса и нужные артефакты, но не ваш email и не платёжные данные.
• Stripe (приём платежей) — данные карты и платёжный профиль.
• Telegram (бот STAYA) и Resend (отправка писем) — доставка уведомлений, если вы их включили; письма для входа отправляет Supabase.
• Sentry (учёт технических ошибок приложения и сервера проверок, подключён; данные хранятся в ЕС) — получает описание сбоя без ваших ответов, email и телефонов: они вырезаются до отправки.
• GitHub (GitHub Actions, США) — запускает ночное резервное копирование базы: копия данных (с email участников, без паролей) создаётся на временном сервере GitHub, там же шифруется и хранится в зашифрованном виде в Supabase (ЕС).

Данные передаются в США этим получателям: OpenRouter и Anthropic, а также Amazon Web Services или Google Cloud, если запрос к модели идёт через них (модель ИИ); Stripe (платежи); Railway (сервер очереди проверок); Resend (письма, если вы включили уведомления по email); GitHub (ночная резервная копия). Передача идёт на основании стандартных договорных условий ЕС (Standard Contractual Clauses) и договоров об обработке данных (DPA) с этими компаниями. Для участников из Беларуси и России это трансграничная передача, на которую вы даёте согласие.

6. Сроки хранения

• Пока у вас есть аккаунт — храним данные, чтобы продукт работал.
• После удаления аккаунта ответы, артефакты, файлы, цифры Штаба, переписка с советником, публикации в Зале побед, данные Стаи, уведомления и события удаляются сразу.
• Платежи хранятся обезличенно (без связи с вами) 5 лет с конца календарного года, в котором прошёл платёж: этого требует налоговое законодательство Польши. Журнал действий администраторов — тоже обезличенно.
• Из резервных копий базы данные исчезают по мере их обновления — не позже чем через 30 дней: столько хранится наша ночная резервная копия (в ней есть и email). Восстановить удалённый аккаунт из неё мы не обещаем — копия нужна на случай аварии.
• Архив выгрузки удаляется при следующей выгрузке или удалении аккаунта; ссылка на него перестаёт работать через 24 часа.

7. Ваши права

• Узнать, какие данные мы храним, и получить их копию: «Профиль» → «Скачать мои данные» (архив JSON и ваши файлы, ссылка действует 24 часа, не чаще раза в сутки).
• Исправить данные: имя и профиль бизнеса — в разделе «Профиль», остальное — в соответствующем разделе или по письму на radukov.roman@gmail.com.
• Удалить аккаунт и данные: «Профиль» → «Удалить аккаунт». Удаление сразу и необратимо, см. раздел «Сроки хранения».
• Отозвать согласие на обработку: удалить аккаунт или написать на radukov.roman@gmail.com. Без обработки данных продукт работать не может, поэтому отзыв согласия означает удаление аккаунта.
• Ограничить обработку или возразить против неё, перенести данные к другому сервису (архив выгрузки — в машиночитаемом формате JSON).
• Пожаловаться в надзорный орган. Оператор зарегистрирован в Польше, поэтому основной надзорный орган — Prezes Urzędu Ochrony Danych Osobowych (UODO). Вы также можете обратиться в орган своей страны: в Беларуси — Национальный центр защиты персональных данных, в России — Роскомнадзор, в другой стране ЕС — орган по защите данных этой страны.

8. Безопасность

Вход — по одноразовой ссылке из письма, без пароля. Доступ к данным разграничен правилами базы данных: участник видит только своё. Соединения шифруются (HTTPS). Администраторы STAYA открывают данные участника только для поддержки и проверки работы куратора.

9. Файлы cookie

Мы используем только необходимые cookie: сессия входа и метка первого перехода (UTM) для статистики продукта. Сторонних рекламных и аналитических систем на сайте нет.

10. Изменения политики

Новую редакцию мы публикуем на этой странице. Если меняется суть обработки, при следующем входе мы попросим вас ознакомиться с новой редакцией и подтвердить согласие.