Содержание
1. Назначение документа #
Настоящая Политика обработки персональных данных (далее — Политика) определяет принципы, цели, условия и способы обработки персональных данных, а также меры по их защите, применяемые Оператором при предоставлении сервиса Tydy.
Политика дополняет Политику конфиденциальности и применяется совместно с ней, Пользовательским соглашением, офертой и формой согласия на обработку персональных данных.
2. Оператор персональных данных #
Оператор: Комишан Никита Данилович, самозанятый, ИНН 231142994315. Домен Сервиса: tydy.dev.
Контакты по вопросам персональных данных: privacy@tydy.dev; правовые вопросы: legal@tydy.dev; безопасность: security@tydy.dev; поддержка: support@tydy.dev. Почтовый адрес не публикуется.
Оператор не заявляет сертификаций SOC 2 / ISO 27001 и не утверждает E2E / zero-knowledge шифрование контента Пользователя. GDPR не заявляется как подтверждённый статус соответствия.
3. Принципы обработки #
Обработка осуществляется на законной и справедливой основе; ограничивается достижением конкретных, заранее определённых и законных целей; не допускается обработка, несовместимая с целями сбора; содержание и объём обрабатываемых данных соответствуют заявленным целям; обеспечиваются точность и актуальность данных; хранение осуществляется не дольше, чем требуют цели обработки, если иное не установлено законом.
4. Категории субъектов и данных #
Субъекты: зарегистрированные Пользователи; участники workspace; лица, обратившиеся по электронной почте; отправители сообщений в Telegram-чатах, подключённых интеграцией (в объёме, необходимом для работы функции).
- Идентификационные и контактные: email, имя, идентификаторы аккаунта.
- Данные аутентификации и сессий: хеши паролей/секретов, cookie flowtask_session, flowtask_csrf, tydy_remember_device.
- Данные workspace: роли RBAC, задачи, комментарии, Task Conversation, вложения, голосовые транскрипты.
- Данные Telegram-интеграций — только из настроенных связок; не «весь Telegram».
- Данные MCP: OAuth-сессии, метаданные PAT (префикс tydy_mcp_*), scopes; значения токенов хранятся в хешированном виде.
- Биллинговые сведения workspace: статусы подписки и автопродления, метаданные сохранённого способа оплаты у провайдера (без полных реквизитов карты); платёжные данные карт обрабатывает YooKassa.
- Технические и охранные журналы (IP, User-Agent, события Security Center и аудита).
5. Цели и правовые основания #
Цели: предоставление и поддержка Сервиса; аутентификация и авторизация; AI-маршрутизация предложений действий и AI Inbox (PENDING_REVIEW); интеграции Telegram и MCP; биллинг и расчёты; безопасность и предотвращение злоупотреблений; ответы на обращения; исполнение обязанностей по закону.
Основания по применимому праву РФ (152-ФЗ): договор (включая Публичную оферту); согласие субъекта — когда требуется; исполнение обязанностей, возложенных законом; обеспечение безопасности Сервиса как часть исполнения договора и законных обязанностей.
6. Действия с данными и автоматизация #
Оператор осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (предоставление, доступ), блокирование, удаление и уничтожение персональных данных.
AI обрабатывает контент для формирования типизированных действий. Одно сообщение не равно одной задаче. Автоматическое применение ниже порога не выполняется: предложения направляются на ручную проверку в AI Inbox. Решения, влияющие на права субъекта существенно, не принимаются исключительно на основе AI без возможности человеческого контроля со стороны Пользователя workspace.
7. Передача и поручение обработки #
Передача возможна: участникам того же workspace в рамках RBAC; платёжному провайдеру YooKassa; Telegram в рамках интеграции; провайдерам AI; провайдерам хостинга и объектного хранения; государственным органам по законному требованию.
Конкретные наименования провайдеров AI/хостинга/хранения могут изменяться; актуальный перечень категорий приведён в Политике конфиденциальности. Оператор не раскрывает персональные данные неопределённому кругу лиц.
8. Сроки хранения #
Учётные и workspace-данные — пока аккаунт/workspace активны и в течение срока, необходимого для исполнения договора, разрешения споров и соблюдения закона.
Журналы безопасности и аудита — в сроки, достаточные для расследования инцидентов и соблюдения внутренних процедур, но не дольше, чем требуется целями и законом.
Данные обращений в поддержку — в течение срока рассмотрения и разумного архивного периода. По истечении сроков данные удаляются или обезличиваются.
9. Меры защиты #
Применяются: разграничение доступа (RBAC); защищённые HttpOnly-сессии; CSRF; rate limits; хеширование MCP-токенов; возможность отзыва токенов и сессий; Security Center; журналирование значимых событий.
Оператор не утверждает абсолютную защищённость и не заявляет о сквозном шифровании пользовательского контента. Пользователь обязан защищать свои учётные данные и MCP-токены.
10. Права субъекта и порядок обращений #
Субъект вправе получать сведения об обработке, требовать уточнения, блокирования или уничтожения данных при наличии оснований, указанных в законе, отзывать согласие, обжаловать действия Оператора.
Запросы направляются на privacy@tydy.dev. Оператор рассматривает обращение в сроки, установленные законодательством РФ, при необходимости запросив подтверждение личности. Ответ направляется на указанный субъектом адрес электронной почты.
11. Актуализация Политики #
Оператор вправе обновлять Политику. Актуальная редакция размещается на tydy.dev с датами effectiveDate и updatedDate. При существенных изменениях Оператор может уведомить Пользователей через интерфейс или email.