Политика конфиденциальности vpvd

Редакция от 15.10.2026. Оператор сервиса — частное лицо (дальше — «мы»). Связь по вопросам данных — privacy@vpvd.io.

• Договор (ст. 6(1)(b)) — аккаунт, вход, комментарии, голоса, жалобы, уведомления: без этих данных сервис не работает.
• Законный интерес (ст. 6(1)(f)) — антиспам и защита от накрутки (отпечаток адреса, подписи почти-дублей, ключ устройства), статистика открытий, резервные копии, безопасность. Наш интерес — работающий сервис без спама и накрутки; вы можете возразить против такой обработки (раздел 6).
• Согласие (ст. 6(1)(a)) — уведомления на email, если вы их включили. Отзывается в настройках в любой момент.

Цитирование в подборках разрешено по умолчанию: это законный интерес с правом возразить, а не согласие (TERMS, п. 4.4).

• Telegram. Храним числовой идентификатор Telegram, чтобы узнавать вас при следующем входе. Имя, фамилию, username и фото из Telegram не храним и не показываем.
• Email. Храним адрес в нижнем регистре. Он нужен для входа по одноразовой ссылке и, если вы включили, для уведомлений об ответах. Ссылка входа живёт 15 минут; в базе лежит только её хэш.

К аккаунту относятся: псевдоним (по умолчанию нейтральный вида user_xxxxxxxx, вы можете его сменить), дата регистрации, карма, статус аккаунта, настройки уведомлений (включены ли, тихие часы, часовой пояс), флаг «можно цитировать мои комментарии в подборках», значки, премиум-права, если они есть.

Сессия. После входа браузер получает cookie vpvd_session со случайным токеном. В базе лежит только хэш токена, дата создания и последнего использования. Cookie сессии живёт 30 дней с момента входа, после этого нужно войти заново. «Выйти» и «Выйти со всех устройств» удаляют сессию на сервере сразу.

• Храним: текст (до 500 символов), подпись вида «Аноним #3fa», отпечаток адреса с суточной солью, время создания и истечения, хэш токена «сохранить после входа».
• Подпись «Аноним #3fa» вычисляется из секрета дня, отпечатка адреса и ветки. В одной ветке одного человека можно отличить от другого, между ветками связать нельзя.
• Удаление: таблица поделена на отрезки по 10 минут, истёкший отрезок удаляется целиком. Комментарий пропадает из выдачи ровно через 30 минут, из базы — не позже чем через 40.
• В резервные копии анонимные комментарии не попадают: при резервном копировании эта таблица исключена.
• Исключение — жалоба. Если на анонимный комментарий пожаловались до его исчезновения, в дело модерации сохраняется копия: текст, подпись, отпечаток адреса, время. Без копии противоправный текст исчез бы вместе с доказательствами. Копия хранится, пока существует дело (см. раздел 4).
• Браузер автора получает cookie vpvd_claim на те же 30 минут. Если за это время вы войдёте в аккаунт, можно «сохранить» свои анонимные комментарии: они станут постоянными от вашего имени.
• Честно: «исчезает с сайта» не значит «никто не видел». Анонимный комментарий могут прочитать, скопировать или сфотографировать за эти 30 минут.

Для лимитов и антиспама сервер вычисляет отпечаток: HMAC(соль дня, адрес). Для IPv6 берётся блок /64 — провайдер выдаёт абоненту целый блок, и без этого лимит обходился бы сменой адреса. Соль одна на сутки (UTC) и лежит в базе.

Что это значит на деле:

• Отпечаток один и тот же в течение суток и разный в разные сутки: отпечатки разных дней между собой не связываются.
• Отпечаток — псевдоним, а не анонимные данные: пока соль этого дня существует, тот, у кого есть доступ к базе, может перебором проверить, соответствует ли отпечаток конкретному адресу. Соли удаляются через 30 дней, после этого проверка невозможна.
• Где отпечаток хранится дольше суток: анонимный комментарий (30 минут), голос в опросе без аккаунта, сообщение о закрывшем комментарии издании, жалоба без аккаунта, копия анонимного комментария в деле модерации.
• С аккаунтом отпечаток связан в одном месте: отметка «аккаунт был с этого отпечатка в этот день» пишется при входе, комментарии, голосе за комментарий и в опросе. Она нужна только для поиска групп аккаунтов, которые накручивают голоса с одного адреса, и удаляется через 30 дней.

Страна по адресу определяется по локальной базе GeoIP на нашем сервере, без обращения к внешним сервисам. В базу пишется только двухбуквенный код страны в агрегатах (см. 2.6), сам адрес — нет. База — IP to Country Lite от DB-IP, распространяется по лицензии CC BY 4.0.

Голос в опросе без входа использует отдельную cookie vpvd_device со случайным токеном на 1 год; она ставится только при первом таком голосе. В базе хранится не сам токен, а ключ голоса — хэш токена вместе с идентификатором обсуждения, поэтому голоса одного устройства в разных обсуждениях между собой не связать. Для лимитов голосования рядом с голосом записываются отпечатки устройства и адреса с солью дня; соль удаляется через 30 дней, и связь пропадает.

• Открытие считается, когда вы открыли страницу обсуждения на сайте, нажали «Открыть обсуждение» в расширении или получили ветку от бота. Посещение любого другого сайта открытием не является, и сервер о нём не знает.
• Храним только агрегаты по (ветка, день, источник, страна): число открытий и вероятностный счётчик уникальных зрителей (HyperLogLog). В счётчик попадает HMAC(соль дня, ключ зрителя), сам ключ (аккаунт, устройство, адрес) не пишется. Соль удаляется на следующие сутки, после этого даже по известному ключу нельзя проверить, был ли зритель в счётчике.
• Записи вида «такой-то человек открыл такую-то ветку» в базе нет.
• Агрегаты по веткам хранятся 3 месяца, сводные по изданиям и темам — 25 месяцев.

Когда обсуждение создано, сервер один раз загружает начало страницы до конца блока <head> (не больше 256 КБ) и берёт только заголовок (og:title или <title>), чтобы показать, о чём ветка. Текст статьи, картинки и остальное содержимое страницы сервер не читает и не хранит.

Кто первым создал обсуждение, в данных ветки не хранится: хранится только источник (сайт, расширение или бот).

Входящие на сайте. Независимо от настроек уведомлений ответ на ваш комментарий или упоминание добавляет строку в раздел «Входящие»: кому, какой комментарий, кто автор, когда пришло и когда вы отметили прочитанным. Текст в ней не копируется — показывается из самого комментария, поэтому скрытое модерацией или удалённое автором из входящих пропадает. Строки входящих удаляются через 90 дней.

Уведомления в Telegram отправляет наш бот через Telegram Bot API. Письма сервис сейчас не отправляет: вход и уведомления по почте не подключены. Почтовый провайдер появится в разделе 7 до того, как мы их включим; ему будет передаваться адрес получателя и текст письма.

Автоматические решения (ст. 22 GDPR). Два решения система принимает без человека: отклонение анонимного комментария, который классификатор счёл вероятным спамом или оскорблением, и скрытие вопроса в опросе, набравшего жалобы выше порога hide_at. Решение по постоянному комментарию принимает человек: классификатор только ставит дело в очередь модерации со своими оценками. Пересмотр есть у каждого автоматического решения: анонимный автор видит причину отказа и может отправить комментарий заново (после входа — как обычный), скрытый вопрос возвращает модератор по письму на abuse@vpvd.io, скрытие по рейтингу отменяется голосами. Заметное следствие для вас одно: текст видят или не видят другие люди.

• vpvd_session — сессия после входа, 30 дней с момента входа.
• vpvd_claim — позволяет сохранить свои анонимные комментарии после входа, 30 минут.
• vpvd_dev — ключ устройства для лимитов анонимных действий, 1 год. Ставится только при первом анонимном комментарии или создании обсуждения без входа.
• vpvd_device — ключ голоса в опросе без входа, 1 год. Ставится только при первом голосе без входа (раздел 2.5).

vpvd_dev и vpvd_device живут год, и согласие на них всё равно не нужно: это строго необходимые cookie. Без ключа устройства не работает дневной лимит анонимных комментариев, без ключа голоса — защита опроса от накрутки с одного устройства. Ключ не связан с личностью, не связывается между ветками (у голоса он смешан с идентификатором обсуждения), не используется для рекламы или аналитики и удаляется вместе с cookie; сервер хранит только хэш. Поэтому согласие на них не требуется: ст. 5(3) Директивы 2002/58/ЕС выводит технически необходимые cookie из-под согласия.

Выбранная тема оформления (светлая или тёмная) хранится в localStorage браузера и на сервер не уходит.

Баннера согласия на cookie нет, потому что нет cookie, для которых согласие нужно. Если это изменится, сначала изменится эта политика.

• Без вашего действия. Раз в час расширение скачивает с нашего сервера общий для всех файл: правила приведения адресов к стандартному виду и компактный фильтр отпечатков страниц, где идёт обсуждение (фильтр Блума). В запросе нет cookie, идентификаторов и сведений об открытых вкладках.
• Проверка страницы. Адрес активной вкладки приводится к стандартному виду и хэшируется внутри браузера, затем сверяется со скачанным фильтром. Если совпадение есть, на значке появляется точка. Адрес вкладки и результат проверки никуда не отправляются.
• По вашему клику. Когда вы нажимаете «Открыть обсуждение» или «Начать обсуждение», на сервер уходит адрес этой страницы, а если вы вошли на сайт vpvd — и cookie вашей сессии. Открытие ветки из панели добавляет единицу в статистику открытий (раздел 2.6): уходит идентификатор ветки и, если вы вошли, cookie сессии — только чтобы не посчитать одного зрителя дважды. Адрес страницы в этом запросе не передаётся.
• Чего расширение не делает. Не читает и не меняет содержимое страниц (в нём нет скриптов, которые встраиваются в сайты). Не ведёт историю посещений. Не использует аналитику, рекламные идентификаторы и сторонние сервисы. Не загружает и не исполняет код с сервера: весь код, включая модуль WebAssembly, входит в пакет расширения.
• Разрешения: tabs — прочитать адрес активной вкладки для локальной проверки; storage — хранить скачанный фильтр; alarms — обновлять фильтр раз в час; доступ к одному адресу — нашему серверу API.
• Хранение на устройстве. Фильтр и правила лежат в хранилище расширения и удаляются вместе с ним.

• удаляются способы входа (идентификатор Telegram, адрес почты), все сессии, настройки уведомлений и ваши входящие (ответы и упоминания); во входящих других людей вы показываетесь как «удалённый пользователь»;
• псевдоним заменяется на «удалённый пользователь», связь комментариев с аккаунтом разрывается;
• по вашему выбору тексты ваших комментариев и история их правок либо остаются под подписью «удалённый пользователь», либо стираются;
• ваши комментарии больше не цитируются в подборках, а уже опубликованные цитаты мы удалим по запросу там, где технически можем.

Записи о решениях модерации и копии в делах, открытых по жалобам, хранятся столько, сколько нужны для разбора нарушения или сколько требует закон. Автоматического удаления по фиксированному сроку пока нет; мы планируем ограничить хранение двумя годами после закрытия дела. Из резервных копий удалённые данные исчезают в течение 5 недель.

Другие права. Вы можете запросить, какие данные о вас у нас есть, исправить их или удалить, возразить против обработки и получить копию данных, которые сами предоставили, в машиночитаемом виде (JSON). Запрос — на privacy@vpvd.io, ответ бесплатный и приходит в течение 30 дней. Псевдоним, настройки уведомлений и запрет цитирования можно поменять самостоятельно в настройках; отзыв согласия и возражение действуют сразу и не затрагивают обработку, которая была до них.

Жалоба в надзорный орган. Вы вправе пожаловаться в Autoriteit Persoonsgegevens — орган Нидерландов по защите данных (autoriteitpersoonsgegevens.nl) — или в надзорный орган страны ЕС, где вы живёте, работаете или где, по вашему мнению, произошло нарушение. Обращаться к нам заранее не обязательно, но с письма на privacy@vpvd.io обычно быстрее.

Данные, привязанные только к отпечатку адреса или ключу устройства, псевдонимизированы. Мы не храним их вместе с аккаунтом, а без дополнительной информации — соли дня, которая есть только у нас, и самого адреса или токена из вашего браузера — сопоставить их с вами нельзя (ст. 4(5) и 11 GDPR). Это псевдонимные данные, а не анонимные: у того, кто получит доступ и к базе, и к соли, есть теоретическая возможность проверить конкретный адрес перебором. Поэтому такие отпечатки мы считаем персональными данными и отвечаем по ним так же, как по остальным.

Сторонние компании, которые участвуют в работе сервиса:

• Telegram — вход через Telegram и работа бота. Кнопка «Войти через Telegram» — виджет Telegram: он загружается с сервера Telegram только на странице входа, и Telegram видит, что вы её открыли. Когда вы входите через Telegram или пишете боту, Telegram обрабатывает данные по своим правилам.
• Timeweb (Нидерланды) — промежуточный сервер, через который идёт трафик сайта vpvd.io. Журналов запросов и ошибок он не ведёт: IP-адреса посетителей там не сохраняются.
• Cloudflare R2 — хранение зашифрованных резервных копий (см. выше).
• Собственный сервер — на нём работает сервис; это не облачный хостинг сторонней компании.
• Cloudflare — туннель до сервера и защита от атак/CDN; весь трафик сайта проходит через него, и Cloudflare технически видит IP посетителя и содержимое запросов на своём крае (TLS обрывается там же). Cloudflare не видит расширение и его локальную проверку (раздел 5).

Передача за пределы ЕС. База, файлы сервиса и резервные копии физически лежат в ЕС: Нидерланды и регион Западная Европа. За пределы ЕС данные уходят в трёх случаях. Cloudflare (США) обрывает TLS на своём крае и видит IP-адрес и содержимое запросов — передача идёт по EU-US Data Privacy Framework, а где он не применяется — по стандартным договорным условиям (SCC). Cloudflare R2 хранит резервные копии в Западной Европе, но провайдер американский — основания те же. Если вы входите через Telegram или пишете боту, данные обрабатывает Telegram как самостоятельный оператор на своих условиях, вне ЕС (ОАЭ и Британские Виргинские острова): на эту обработку мы не влияем. Копию гарантий передачи можно запросить на privacy@vpvd.io.

Мы раскрываем данные по требованию государственных органов только в случаях и в объёме, которые требует применимое право.

Если произойдёт утечка, которая затрагивает ваши данные, мы сообщим об этом на сайте и, если у нас есть способ связи, лично.