Безопасность и обработка данных

Для данных посетителей магазина («покупателей») оператором данных является магазин, а OneSite Agency — его обработчик. Для аккаунтов самих магазинов и для нашего сайта оператор — мы. Наши Условия обслуживания служат договором об обработке данных; отдельного документа для подписи нет.

Данные покупателей хранятся по магазинам и только для своего магазина:

• Разговоры: что покупатель набрал или продиктовал, и показанные и выбранные товары (таблицы queries, events). Диктовка превращается в текст на наших серверах; звук не хранится.
• Визиты: источник перехода, метки UTM, тип устройства, браузер, операционная система, часовой пояс и примерные страна и город, определённые по IP-адресу (таблица visits). Сам IP-адрес не хранится.
• Контакты, которые покупатель оставляет после запроса, на который магазин не смог ответить (таблица misses): хранятся зашифрованными AES-GCM, ключ лежит вне базы данных, рядом — хэш с ключом, нужный только чтобы найти их при удалении или запросе данных. Просьбы позвать человека — «Позвать человека», вопрос о заказе, на который подбор не смог ответить, «сообщите, когда появится» (таблица handoffs) — хранятся так же, слова покупателя очищены от других контактов; видят их только люди самого магазина, во «Входящих» своего кабинета, и стираются они в тот же срок.
• Заметки к оформлению заказа и запросы данных покупателя (таблицы checkout_notes, data_exports).
• Записи о заказах магазина (таблицы purchase_orders, purchase_lines, purchase_discounts, purchase_cart): суммы, позиции и коды скидок. Личности покупателя в них нет; связь с разговором снимается, когда истекает срок хранения записей о покупателе.

Данные магазина и его владельца:

• Каталог, эмбеддинги и обогащение товаров, сведения магазина о доставке, оплате и возвратах, страницы витрины и загруженные изображения, месячный расход на модель и действия владельца в кабинете (таблицы products, embeddings, product_enrichment, facts, pages, storefront_*, budget_month, cabinet_deeds и подобные, все привязаны к магазину).
• Аккаунты владельцев, входящих на наш сайт: адрес почты, пароль только в виде хэша Argon2id, язык, а также время, IP-адрес и браузер каждого входа (таблицы accounts, memberships, sessions).
• Подключение к площадке: домен магазина, состояние подписки и ключи доступа, нужные для обращений к API площадки; для прямых клиентов — идентификаторы клиента и подписки в Stripe. Данные карты до нас не доходят.
• Заявки с нашего сайта и, для магазинов, приведённых партнёром, начисленная комиссия (таблицы applications, partner_accruals).

Знания, не привязанные ни к одному магазину и по построению без идентификатора магазина: оценки из чужих рейтингов, справочная таблица «IP — место», признаки по названию, выведенные из названий, и публичные оценки и отзывы о книгах, прочитанные с открытых страниц других сайтов. В отзывах есть отображаемое имя автора и текст, и хранятся они, только пока источник их показывает (см. ниже).

Мы не обучаем и не дообучаем языковые модели на данных магазинов или покупателей и не продаём данные. Данные магазинов, установивших приложение через Shopify, не используются ни для какого обучения.

• Записи о покупателях (разговоры, события, визиты, контакты, заметки к заказу, запросы данных): удаляются через 395 дней (13 месяцев) после записи ночным заданием. Срок — решение по продукту: отчёты владельца сравнивают месяц с тем же месяцем прошлого года.
• Отзывы, скопированные с других сайтов: удаляются через 30 дней после того, как источник показывал их в последний раз. Оценки остаются: в них нет человека.
• Магазин после удаления приложения: данные хранятся, чтобы переустановка их вернула, пока Shopify через 48 часов не пришлёт уведомление об удалении (shop/redact); тогда удаляется всё о магазине. При прямой подписке магазин удаляется через 30 дней после её окончания.
• Аккаунт владельца: пока он существует, и удаляется в течение 30 дней после запроса.
• Резервные копии базы: ночные, зашифрованные, хранятся 14 дней на том же сервере, поэтому удалённые данные уходят из копий в течение 14 дней.

• Владелец видит в кабинете данные своего магазина. Каждая запись хранится под своим магазином и читается только от его имени; один магазин никогда не видит данных другого, а реестр всех таблиц и кэшей фиксирует, какие принадлежат магазину, а какие — общие знания; соблюдение проверяет тест.
• Наш оператор имеет доступ к рабочим системам; доступ ограничен оператором.
• Партнёр, приведший магазин, видит домен магазина, платит ли он, и начисленную комиссию.
• Субобработчики ниже — только то, что описано для каждого.

Всё, что мы храним, лежит на наших серверах у Hetzner Online GmbH в Нюрнберге, Германия. Поиск, текстовые эмбеддинги и распознавание речи работают на этих серверах, без третьих сторон. Субобработчики:

• Hetzner Online GmbH, Германия: хостинг.
• DeepSeek (Китай) — языковая модель (для магазинов вне ЕС, ЕЭЗ и Великобритании). Чтобы составить ответ, она получает текст разговора, данные товаров из каталога магазина, тексты публичных отзывов о книгах без имён авторов отзывов и фото, которое покупатель сам прикладывает, в магазинах, включивших поиск по фото (мы его не храним). Она никогда не получает имена покупателей, контактные данные, IP-адреса и данные заказов. Запросы уходят по зашифрованному соединению.
• Для магазинов в ЕС, ЕЭЗ и Великобритании: ответы подбираются без языковой модели, на наших серверах; данные покупателей не уходят поставщику модели.
• Shopify: площадка, на которой работает приложение, и биллинг установок. Stripe: биллинг магазинов, подписавшихся напрямую у нас.
• PostHog, облако ЕС: аналитика использования на нашем сайте и в кабинете, не внутри помощника на витрине.
• Telegram: если включён, внутренние уведомления нашей команде о новых заявках магазинов.

Какой поставщик обслуживает какие магазины, решается в одном месте нашего кода — по зоне данных магазина, — и записи о языковой модели выше строятся из этого места, поэтому страница не может сказать то, чего код не делает. Нового субобработчика мы добавляем в Политику приватности, с датой, до того как он начнёт работу.

Судьбу данных покупателей решает магазин, поэтому покупатели пишут сначала магазину; если пишут нам, мы передаём запрос и помогаем магазину ответить. Через Shopify три стандартных запроса обрабатываются автоматически:

• Запрос данных (customers/data_request): в течение 30 дней мы отправляем владельцу магазина данные об этом покупателе в машиночитаемом файле.
• Удаление покупателя (customers/redact): мы удаляем оставленный им контакт, связанные с ним разговоры и заказы, перечисленные в запросе.
• Удаление магазина (shop/redact): мы удаляем всё, что храним о магазине.

Магазины пишут по адресу ниже, и мы отвечаем в течение 30 дней. Покупатели и магазины также могут пожаловаться в орган по защите данных.

Один путь служит и для уведомления площадки об удалении, и для удаления оператором. Каждая таблица, принадлежащая магазину, ссылается на него каскадным ключом, поэтому удаление единственной строки магазина убирает всё, что ему принадлежит, одной транзакцией — целиком или никак. Изображения, загруженные в конструктор витрины, лежат на диске и удаляются первыми; неудавшееся удаление повторяется. Владельцы, оставшиеся без магазинов, удаляются после магазина.

Что остаётся после удаления магазина — по замыслу:

• Начисленная комиссия партнёру: сумма и домен, идентификатор магазина стёрт. Покупателей в ней нет.
• Журнал действий оператора: он обязан пережить свой предмет как свидетельство того, кто включил, отключил или удалил магазин, включая само удаление.
• Знания, не зависящие от магазинов, описанные выше, без идентификаторов магазина или покупателя. Резервные копии устаревают за 14 дней.

• Трафик к нашим серверам и от них шифруется TLS. Резервные копии зашифрованы (AES-256), читать их может только учётная запись администратора сервера.
• Пароли хранятся только в виде хэшей Argon2id, ключи входа — только в виде отпечатков SHA-256. Контакты покупателей хранятся зашифрованными (AES-GCM), ключ лежит вне базы данных.
• Уведомления Shopify и Stripe принимаются только с верной подписью. Записи каждого магазина хранятся раздельно и читаются только от имени этого магазина.
• Доступ к рабочим системам есть только у нашего оператора. Когда оператор открывает кабинет магазина по вопросу поддержки, открытие записывается: кто и чей магазин открыл.

Вопросы безопасности, сообщения об уязвимостях и запросы данных идут по адресу ниже; обычно мы отвечаем в течение одного рабочего дня. Если утечка затронула персональные данные, которые мы храним, мы сообщаем затронутым магазинам без неоправданной задержки и не позднее 72 часов с момента, когда узнали о ней.