Политика конфиденциальности Редакция от 19 августа 2026 г. · ООО «СВЕТ», ИНН 9703177463 Настоящая Политика описывает, какие персональные данные мы обрабатываем, с какой целью, как долго храним и какие у тебя права. Она составлена в соответствии с требованиями 152-ФЗ «О персональных данных» (ст. 18.1) и применима ко всем пользователям платформы kodzavod.ru. § 1. Оператор персональных данных Оператором персональных данных является ООО «СВЕТ» (ИНН 9703177463, ОГРН 1247700265010), 123112, г. Москва, вн.тер. г. Муниципальный округ Пресненский, наб. Пресненская, д. 12, пом. 3/82. Генеральный директор — Куликова Антонина Юрьевна. ООО «СВЕТ» применяет все требуемые технические и организационные меры защиты ПДн в соответствии с 152-ФЗ. Персональные данные пользователей из РФ обрабатываются и хранятся на территории Российской Федерации (152-ФЗ ст. 18 ч. 5) — на инфраструктуре Yandex Cloud ru-central1. По вопросам обработки персональных данных пиши на info@kodzavod.ru с темой [PRIVACY]. Срок ответа — 30 дней. § 2. Какие персональные данные мы обрабатываем Мы обрабатываем только данные, необходимые для функционирования Сервиса. Мы не собираем специальные категории ПДн (расовая или национальная принадлежность, политические взгляды, религия, состояние здоровья, сексуальная жизнь, биометрия, судимость). — Идентификационные данные: адрес электронной почты, имя (если указано в профиле), хеш пароля (bcrypt), аватар (если подключён через OAuth-провайдер), внутренний идентификатор пользователя. — Технические данные аутентификации: IP-адрес и User-Agent при входе в аккаунт, метки времени входов, refresh-токены. Хранятся в YC Managed PostgreSQL ru-central1 (Россия) на нашем собственном сервисе auth.kodzavod.ru. — Данные пользовательского контента: тексты промптов (запросов к AI), сгенерированный код, история версий проектов, названия и описания проектов. Тексты промптов могут содержать персональные данные третьих лиц, если Пользователь добровольно включает их в запрос. Компания не контролирует содержание промптов и обрабатывает их исключительно для целей оказания услуги AI-генерации в архитектуре, обеспечивающей технологическую деперсонализацию (промпт передаётся поставщику языковой модели без идентификаторов Пользователя — email, имени, IP). Если Пользователь включает в промпт персональные данные третьих лиц, он действует как самостоятельный оператор (152-ФЗ ст. 3 п. 2) в отношении этих данных и несёт ответственность за наличие правовых оснований их обработки. — Технические журналы опубликованных приложений: при обращении посетителя к приложению, опубликованному на *.apps.kodzavod.ru, инфраструктура Сервиса фиксирует IP-адрес, время запроса, запрошенный адрес и код ответа. Эти данные ООО «СВЕТ» обрабатывает как самостоятельный оператор в целях обеспечения безопасности и диагностики сбоев инфраструктуры; владельцу приложения журналы не предоставляются. Персональные данные, которые посетитель вводит в само приложение, к этой категории не относятся и обрабатываются по правилам § 12. — Данные платёжных операций: история операций по Личному счёту (суммы пополнений, суммы списаний, даты, типы операций, идентификаторы транзакций). При использовании функции автоматической доплаты — токен привязанного платёжного инструмента СБП, передаваемый и хранимый у привлечённого платёжного сервиса (перечень — в § 5). Полные реквизиты счёта мы не получаем. — Данные привязанного способа оплаты: идентификатор привязки у платёжного сервиса, дата привязки, а также отображаемые знаки банковской карты — последние четыре цифры номера и платёжная система. Эти знаки предоставляет платёжный сервис, и мы храним их для одной цели: чтобы Пользователь узнавал свой способ оплаты в личном кабинете и мог его отключить. Полный номер карты, срок её действия и код проверки подлинности к нам не поступают, не обрабатываются и не хранятся — карта вводится на стороне платёжного сервиса. Отображаемых знаков недостаточно для проведения платежа. — Данные контроля однократности акционных предложений: адрес электронной почты в связке с признаком использования акции и отпечаток средства платежа — производное значение, по которому мы сверяем повторность обращения за скидкой. Полные реквизиты карты или счёта мы не получаем и не храним; сам отпечаток не позволяет провести платёж. — Данные об использовании: сведения об опубликованных приложениях (адрес приложения, дата публикации), количество и стоимость операций в Сервисе, остаток Личного счёта, история начисления и использования Промо-средств. — Технические журналы (логи): IP-адреса API-запросов, временны́е метки, коды HTTP-ответов. Используются для обеспечения безопасности и диагностики сбоев. — Данные опросов о качестве сервиса: выбранный вариант ответа, свободный комментарий (если Пользователь его оставил), IP-адрес и User-Agent перехода по ссылке из письма, факт и время перехода. Обрабатываются в обезличенном для целей анализа виде — публикуются и анализируются только агрегированные результаты. § 3. Цели обработки и правовые основания — Регистрация и аутентификация — исполнение договора (Пользовательского соглашения). Правовое основание: 152-ФЗ ст. 6 ч. 1 п. 5. — Оказание услуг AI-генерации кода — исполнение договора. Правовое основание: 152-ФЗ ст. 6 ч. 1 п. 5. — Хостинг опубликованных приложений — исполнение договора. Правовое основание: 152-ФЗ ст. 6 ч. 1 п. 5. — Учёт платежей и формирование кассовых чеков — исполнение договора, соблюдение требований налогового законодательства и обязанности, возложенной Федеральным законом № 54-ФЗ «О применении контрольно-кассовой техники» (направление кассового чека плательщику в электронной форме). Правовое основание: 152-ФЗ ст. 6 ч. 1 п. 5 и п. 2. — Обеспечение безопасности и предотвращение мошенничества — законный интерес оператора (152-ФЗ ст. 6 ч. 1 п. 7). Сюда же относятся технические журналы обращений к опубликованным приложениям (см. § 2). — Хранение данных, собираемых приложениями Пользователей — обработка по поручению Пользователя как оператора этих данных (152-ФЗ ст. 6 ч. 3). Условия — в Поручении на обработку персональных данных; см. также § 12. — Аналитика посещаемости и удобства сайта — Яндекс.Метрика (счётчик 109403672). Вебвизор активен на kodzavod.ru и app.kodzavod.ru; на страницах входа и регистрации он отключён. Правовое основание: законный интерес оператора (152-ФЗ ст. 6 ч. 1 п. 7). Подробности см. § 5, § 8 и Политику cookie. — Начисление и учёт Промо-средств (приветственный бонус, бонус за пополнение, иные акции) — исполнение договора и обязательств по условиям объявленных акций. Правовое основание: 152-ФЗ ст. 6 ч. 1 п. 5. — Контроль однократности акционных предложений — проверка того, что предложение, объявленное как разовое (например, первый месяц тарифа за половину цены), предоставляется один раз. Сверяются адрес электронной почты и отпечаток средства платежа. Для иных целей — рекламных, аналитических, профилирования — эти данные не используются. Правовое основание: 152-ФЗ ст. 6 ч. 1 п. 5 (исполнение договора, условия которого объявлены в Прейскуранте и Пользовательском соглашении). — Опциональная трансграничная передача в США (GitHub Sync) — явное согласие Пользователя при подключении функции в «Настройки → GitHub» (152-ФЗ ст. 12 ч. 4 п. 1; см. § 6). Опциональная функция; условия доступа указаны в Прейскуранте на kodzavod.ru/pricing. — Улучшение качества сервиса и обратная связь — направление зарегистрированным Пользователям писем и опросов об опыте использования сервиса в рамках исполнения Пользовательского соглашения. Такие письма носят исследовательский, а не рекламный характер. Пользователь в любой момент может отказаться от их получения (ссылка «отписаться» в письме). Письма доставляются через сервис рассылок Brevo (Sendinblue SAS, ЕС), который применяет технические средства учёта доставки, открытий писем и переходов по ссылкам. Правовое основание: 152-ФЗ ст. 6 ч. 1 п. 5 (исполнение договора) и п. 7 (законный интерес оператора). § 4. Сроки хранения персональных данных — Обычные данные аккаунта и пользовательский контент — email, имя, данные входа, проекты, промпты, код, история генераций, вложения и обращения в поддержку — хранятся, пока действует аккаунт или соответствующий проект. После удаления аккаунта они физически стираются со всех носителей не позднее 30 дней. Неподелённые объекты удалённого проекта проходят 28-дневное окно безопасного удаления, которое входит в эту границу. — Данные привязанного способа оплаты — до отключения способа Пользователем либо до прекращения подписки; отображаемые знаки карты удаляются вместе с самой привязкой. — Бухгалтерские и фискальные документы — минимальные реквизиты платежа и кассового чека без проектов, промптов и кода — хранятся не менее 5 лет после отчётного года (402-ФЗ ст. 29). — Журнал подтверждённых событий платёжного сервиса — 180 дней с момента события для безопасной обработки платежа и разбора неоднозначного исхода. Реквизиты карты, кроме отображаемых последних четырёх цифр и платёжной системы, удаляются до записи события. — Данные контроля однократности акционных предложений (адрес электронной почты в связке с признаком использования акции, отпечаток средства платежа) — в течение срока действия акции и ещё не более 3 лет после её окончания, но только пока существует аккаунт. При удалении аккаунта эти данные удаляются вместе с ним и не являются отдельным долгосрочным исключением. — Записи акцепта условий и административных действий по безопасности — не более 3 лет с момента события. Сохраняется минимальная запись действия; пользовательский контент в неё не включается. — Технический запрет восстановления удалённого аккаунта — после удаления сохраняются только внутренний идентификатор учётной записи входа и время удаления. Такая запись не содержит email, имени, проектов, промптов или кода и не даёт старому токену создать аккаунт заново. Она хранится, пока прежний идентификатор может быть предъявлен системе; автоматический предельный срок для неё пока не установлен. — Технические журналы запросов — не более 1 года с момента создания записи. — Данные опросов о качестве сервиса — 1 год с момента ответа. По истечении срока связка ответа с Пользователем уничтожается; в дальнейшем хранятся только обезличенные агрегированные результаты (152-ФЗ ст. 5 ч. 7). — Физическое стирание при удалении аккаунта — обычные данные аккаунта и пользовательский контент безвозвратно удаляются со всех носителей не позднее 30 дней (152-ФЗ ст. 21). Дольше остаются только минимальные категории, для которых выше прямо названы отдельная цель и срок либо событие прекращения хранения. Резервная копия сама по себе не продлевает этот срок. § 5. Суб-обработчики (третьи лица) Для функционирования Сервиса мы привлекаем следующих суб-обработчиков. С каждым из них у нас есть договорные обязательства по защите данных. — Yandex Cloud (ru-central1, Россия) — основная инфраструктура: Managed PostgreSQL (хранение всех ПДн пользователей, проекты, версии, подписки), YC Lockbox (секреты), YC Serverless Containers (api/dashboard/bot/cp/landing/auth/router/miniapp). Yandex Cloud также является хостинг-провайдером для размещения опубликованных пользователями приложений. Локализация ПДн граждан РФ — 152-ФЗ ст. 18 ч. 5. Политика конфиденциальности: yandex.ru/legal/cloud_privacy. — Яндекс (Яндекс.Метрика) — аналитика посещаемости и удобства сайта (Вебвизор) для kodzavod.ru и app.kodzavod.ru. Данные обрабатываются в Российской Федерации. Правовое основание: законный интерес оператора (152-ФЗ ст. 6 ч. 1 п. 7). Политика Яндекса: yandex.ru/legal/confidential. — ЮKassa (ООО НКО «ЮМани») — приём платежей через СБП и формирование кассовых чеков в соответствии с Федеральным законом № 54-ФЗ. Передаются сумма операции и адрес электронной почты плательщика — для направления кассового чека. Данные кассового чека далее передаются оператору фискальных данных и в Федеральную налоговую службу в порядке, установленном 54-ФЗ. Данные обрабатываются в Российской Федерации. Политика: yoomoney.ru/page?id=527708. — Oplatum — приём платежей через СБП (российский платёжный оператор). Данные обрабатываются в Российской Федерации. — Brevo (Sendinblue) — отправка транзакционных писем (подтверждение email, восстановление пароля, чеки об оплате). Передаётся email-адрес и текст сообщения. Политика: brevo.com/legal/privacypolicy. — Собственный DNS (PowerDNS на Yandex Cloud) — DNS-резолюция для домена kodzavod.ru (серверы ns1/ns2/ns3.kodzavod.ru в Российской Федерации). Пользовательские данные через DNS не передаются — только ответы на запросы имён. — GitHub Inc. (США) — только при использовании опциональной функции GitHub Sync. Доступность функции определяется текущей конфигурацией Сервиса; условия указаны в Прейскуранте на kodzavod.ru/pricing. Передаются метаданные репозиториев, коммиты и история версий. Активация требует отдельного явного согласия в разделе «Настройки → GitHub» (152-ФЗ ст. 12 ч. 4). Политика: docs.github.com/privacy. — Clerk Inc. — используется исключительно для аутентификации администраторов платформы (внутренний доступ к cp.kodzavod.ru сотрудниками ООО «СВЕТ»). Через Clerk не проходят персональные данные пользователей платформы — для них применяется собственный сервис auth.kodzavod.ru (YC ru-central1, Россия). § 6. Трансграничная передача персональных данных Персональные данные пользователей хранятся на территории Российской Федерации (Yandex Cloud ru-central1) в соответствии с 152-ФЗ ст. 18 ч. 5. Передачи ПДн пользователей за пределы РФ Компания не осуществляет, за одним опциональным исключением: Соединённые Штаты Америки (GitHub Inc.) — опциональная функция. Только при добровольном подключении функции GitHub Sync. Передаются метаданные репозиториев и коммитов на личный GitHub-аккаунт Пользователя. Активация требует явного согласия в разделе «Настройки → GitHub» (152-ФЗ ст. 12 ч. 4 п. 1). По умолчанию выключена. Доступность функции и её условия указаны в Прейскуранте на kodzavod.ru/pricing. Если ты не даёшь согласия на передачу метаданных репозиториев в GitHub — функция GitHub Sync остаётся отключённой; остальные функции Сервиса работают в полном объёме без каких-либо передач за пределы РФ. AI-обработка промптов. Тексты промптов передаются поставщику языковой модели на технической инфраструктуре, расположенной за пределами Российской Федерации, исключительно для целей оказания услуги AI-генерации. Передача осуществляется в архитектуре, обеспечивающей технологическую деперсонализацию: промпт не сопровождается идентификаторами Пользователя (email, именем, IP-адресом, внутренним user-id). По позиции Компании такая передача не образует трансграничной передачи персональных данных в смысле 152-ФЗ ст. 12 при условии, что Пользователь не включает в промпт собственные персональные данные или данные третьих лиц без правовых оснований (см. § 2). Если Пользователь добровольно включает в промпт персональные данные — он действует как самостоятельный оператор и несёт ответственность за наличие правовых оснований обработки. § 7. Твои права как субъекта персональных данных В соответствии с главой 3 Федерального закона 152-ФЗ тебе гарантированы следующие права: — Право знать об обработке (ст. 14 ч. 7). Ты вправе узнать, обрабатываем ли мы твои данные, и получить исчерпывающую информацию об условиях обработки. — Право на доступ (ст. 14 ч. 1). Ты вправе получить копию персональных данных, которые мы о тебе храним. — Право на уточнение и исправление (ст. 15 ч. 1 п. 1). Ты вправе потребовать исправления неточных, устаревших или неполных данных. Многие данные ты можешь исправить самостоятельно в разделе «Настройки → Профиль». — Право на блокирование (ст. 15 ч. 1 п. 2). Ты вправе потребовать временного прекращения обработки при проверке точности данных. — Право на удаление (ст. 21). Ты вправе потребовать удаления своих персональных данных. Самый быстрый путь — «Настройки → Профиль → Удалить аккаунт». Физическое стирание — в течение 30 дней. — Право отозвать согласие (ст. 9 ч. 2). Ты вправе в любой момент отозвать согласие на обработку — в том числе согласие на опциональную передачу данных через GitHub Sync. Отзыв согласия не влечёт обратной силы и не затрагивает законность обработки до его отзыва. Отзыв согласия на GitHub Sync приводит к отключению функции; остальные функции Сервиса остаются доступны. — Право на возмещение убытков (ст. 17). Если обработка ПДн причинила тебе ущерб, ты вправе требовать его возмещения в судебном порядке. — Право на жалобу в Роскомнадзор (ст. 17 ч. 1). Ты вправе обратиться с жалобой в Роскомнадзор (РКН) по адресу: rkn.gov.ru. Для реализации любого из прав направь запрос на info@kodzavod.ru с темой [PRIVACY]. Мы ответим в течение 30 дней (152-ФЗ ст. 14 ч. 5). § 8. Файлы cookie и локальное хранилище Мы используем минимальный набор технических инструментов. Подробная информация — в Политике cookie. Cookies аутентификации (строго необходимые): kz_session (httpOnly cookie, fallback path для iframe-сессий) обеспечивает работу аутентификации. Основная сессия пользователя хранится в браузерном sessionStorage (`kz_access_token`, `kz_refresh_token`) — не передаётся на сервер между запросами. Без них Сервис недоступен. Согласие пользователя для строго необходимых cookie не требуется. Cookies для администраторов платформы: cp.kodzavod.ru использует cookies Clerk (`__session`, `__client_uat`, `__clerk_db_jwt`) для внутреннего доступа сотрудников ООО «СВЕТ». Пользователи платформы не используют cp.kodzavod.ru и не сталкиваются с этими cookies. Аналитика — Яндекс.Метрика. Мы используем Яндекс.Метрику (счётчик 109403672) на kodzavod.ru, app.kodzavod.ru и auth.kodzavod.ru для сбора агрегированной статистики посещаемости и анализа воронки. На kodzavod.ru и app.kodzavod.ru Яндекс.Метрика работает с активным Вебвизором — записывает анонимизированные действия пользователей на страницах (движения мыши, клики, прокрутку). На страницах входа и регистрации (auth.kodzavod.ru) Вебвизор и карта кликов отключены: там фиксируются только шаги — открытие формы, выбор способа входа, возврат с ошибкой. Яндекс.Метрика устанавливает собственные cookie (см. Политику cookie). Данные передаются Яндексу в соответствии с его политикой конфиденциальности: yandex.ru/legal/confidential. Правовое основание обработки: законный интерес оператора (152-ФЗ ст. 6 ч. 1 п. 7). Если ты возражаешь против обработки данных посредством Яндекс.Метрики, ты можешь установить специальное расширение Яндекса для отказа (metrica.yandex.ru/add-ext) или настроить блокировщик в браузере. Google Analytics и рекламные трекеры (Facebook Pixel, ВКонтакте Пиксель и аналогичные) мы не используем. Локальное хранилище (localStorage и sessionStorage) применяется для хранения пользовательских настроек интерфейса (свёрнутые панели, выбранный режим окна ввода, уровень модели ИИ и т.п.) и токенов текущей сессии. Полный перечень ключей и их назначение — в Политике cookie, раздел «Локальное хранилище браузера». Эти данные хранятся только в твоём браузере, на сервер не передаются и персональными данными не являются. § 9. Безопасность данных Мы применяем следующие технические и организационные меры защиты: — Шифрование данных при передаче: HTTPS / TLS 1.3 на всех соединениях с Сервисом. — Шифрование данных в покое: YC Managed PostgreSQL (AES-256, шифрование ru-central1 кластера), YC Lockbox (HSM-backed key storage), YC Object Storage (AES-256). — Изолированная инфраструктура для каждого опубликованного приложения: отдельная база данных в YC PostgreSQL + отдельный пароль в YC Lockbox (per-tenant isolation, 152-ФЗ ст. 19). — Ролевой доступ к базе данных: роль kodzavod_app может только читать и записывать данные, но не может менять устройство самой базы данных. — Пароли пользователей хранятся в виде bcrypt-хешей (с salt) в кластере kodzavod-auth-ru (YC ru-central1). Открытые пароли не сохраняются — мы не имеем к ним доступа. — Ограниченный доступ к рабочим (боевым) системам: только с заранее разрешённых IP-адресов и с многофакторным входом администраторов по email. В случае утечки данных мы уведомим Роскомнадзор в течение 24 часов о факте утечки и в течение 72 часов — о причинах и принятых мерах (152-ФЗ ст. 21 ч. 3.1). Пользователей, чьи данные пострадали, уведомим по email в течение 24 часов с момента установления факта утечки. § 10. Несовершеннолетние Сервис предназначен для лиц от 18 лет. Мы намеренно не собираем персональные данные лиц младше 18 лет. Если нам станет известно, что аккаунт принадлежит несовершеннолетнему, мы удалим его данные в течение 30 дней. Если ты — законный представитель ребёнка и считаешь, что он зарегистрировался без твоего ведома, напиши на info@kodzavod.ru с темой [PRIVACY]. § 11. Изменения Политики При существенных изменениях этой Политики мы уведомим зарегистрированных пользователей по email не менее чем за 14 дней до вступления изменений в силу. Дата редакции указана в заголовке документа. Актуальная версия всегда доступна на kodzavod.ru/legal/privacy. Уведомлением можно обойтись только там, где обработка ведётся без твоего согласия — по договору или законному интересу. Если изменение затрагивает цели обработки или состав данных, на которые бралось твоё согласие, мы запросим новое согласие, а не ограничимся уведомлением: прежнее согласие на новые цели не распространяется (152-ФЗ ст. 9 ч. 4). § 12. Опубликованные приложения и роль пользователя Платформа kodzavod.ru является инструментом разработки (код за пользователя пишет искусственный интеллект, без ручного программирования). Приложения, опубликованные пользователем на *.apps.kodzavod.ru или развёрнутые в виде Telegram-ботов, эксплуатируются от имени Пользователя. Пользователь является самостоятельным оператором персональных данных (152-ФЗ ст. 3 п. 2), обрабатываемых внутри его приложения или бота: он определяет цели обработки и состав обрабатываемых данных и несёт ответственность перед их субъектами. Роль ООО «СВЕТ» зависит от режима приложения. В базовом режиме приложение работает без серверной части: данные из формы уходят напрямую на почту владельца приложения и в нашей инфраструктуре не сохраняются. В режиме с серверной частью данные посетителей хранятся в отдельной базе данных приложения на нашей инфраструктуре — и здесь ООО «СВЕТ» выступает лицом, осуществляющим обработку персональных данных по поручению Пользователя (152-ФЗ ст. 6 ч. 3). Перечень действий, цели, меры защиты и порядок уничтожения данных установлены Поручением на обработку персональных данных. Ответственность перед субъектами этих данных несёт Пользователь как оператор; ООО «СВЕТ» отвечает перед Пользователем (152-ФЗ ст. 6 ч. 5). Настоящая Политика описывает обработку, которую ООО «СВЕТ» осуществляет как оператор, — она не распространяется на данные, обрабатываемые по поручению Пользователя. Хостинг-провайдером (149-ФЗ ст. 2 п. 18) для размещаемых пользователями приложений выступает Yandex Cloud, зарегистрированный в реестре провайдеров хостинга РКН. ООО «СВЕТ» использует инфраструктуру Yandex Cloud как техническую основу для работы Сервиса. ООО «СВЕТ» не является организатором распространения информации (149-ФЗ ст. 10.6), поскольку Сервис не предоставляет функции обмена сообщениями между пользователями платформы. § 13. Контакт и жалобы ООО «СВЕТ» — оператор ПДн ИНН: 9703177463 ОГРН: 1247700265010 Юридический адрес: 123112, г. Москва, вн.тер. г. Муниципальный округ Пресненский, наб. Пресненская, д. 12, пом. 3/82 Генеральный директор: Куликова Антонина Юрьевна Email для запросов по ПДн: info@kodzavod.ru (тема: [PRIVACY]) Канал жалоб и предписаний РКН: kodzavod.ru/abuse — тема [RKN], ответ в 24 часа Роскомнадзор (РКН): rkn.gov.ru — орган надзора за обработкой ПДн в РФ