Политика cookie

Какие cookie мы используем

Для аутентификации пользователей платформы (app.kodzavod.ru, *.apps.kodzavod.ru) применяется собственный сервис auth.kodzavod.ru на инфраструктуре Yandex Cloud ru-central1 (Россия). Используется минимальный набор куков и токенов:

• kz_session — httpOnly cookie с JWT-токеном доступа. Устанавливается на домен .kodzavod.ru, чтобы обеспечивать работу аутентификации в iframe (preview) и cross-tab сценариях. Время жизни — 15 минут (= TTL access-токена); обновляется автоматически. Атрибуты: Secure, HttpOnly, SameSite=Lax. Не передаётся на сторонние сайты.
• kz_refresh_session — httpOnly cookie с refresh-токеном для продления сессии без повторного ввода пароля. Scope ограничен путём Path=/refresh — не отправляется на api/router/iframe. Время жизни — 30 дней. Атрибуты: Secure, HttpOnly, SameSite=Lax.

Дополнительно, для скорости работы интерфейса, access/refresh-токены хранятся также в sessionStorage браузера (`kz_access_token`, `kz_refresh_token`) — это не cookies, не передаются между вкладками и стираются при закрытии вкладки.

Cookies для администраторов платформы (cp.kodzavod.ru)

Админ-панель cp.kodzavod.ru используется исключительно сотрудниками ООО «СВЕТ» для управления платформой. Аутентификация администраторов основана на сервисе Clerk Inc.:

• __session, __client_uat, __clerk_db_jwt — устанавливаются Clerk на доменах cp.kodzavod.ru и *.accounts.dev. Применяются только для внутреннего доступа сотрудников.

Пользователи платформы не используют cp.kodzavod.ru и не сталкиваются с этими cookies. Они упомянуты здесь для полноты раскрытия.

Аналитика — Яндекс.Метрика

Мы используем Яндекс.Метрику (счётчик 109403672) для сбора статистики использования kodzavod.ru и app.kodzavod.ru. Яндекс.Метрика устанавливает следующие cookie:

• _ym_uid — идентификатор уникального посетителя. Срок хранения: 1 год. Домен: .kodzavod.ru.
• _ym_d — дата первого визита. Срок хранения: 1 год.
• _ym_isad — признак наличия AdBlock. Срок хранения: сессия.
• _ym_visorc — данные для Вебвизора (session replay). Срок хранения: сессия.

Вебвизор (webvisor: true) активен — он записывает анонимизированные действия (движения мыши, клики, скролл) для анализа UX. Персональные данные в анонимизированном формате Вебвизора не передаются в явном виде, однако записи посещений доступны нам в интерфейсе Яндекс.Метрики. Данные хранятся на серверах Яндекса (Россия). Политика: yandex.ru/legal/confidential.

Маскирование чувствительных полей. Поля ввода пароля (input[type=password]) автоматически маскируются Вебвизором и не сохраняются в записи. Текст обычных полей ввода (email, имя, текстовые сообщения чата, промпты) может быть записан Вебвизором и доступен нам в интерфейсе Яндекс.Метрики исключительно для целей анализа UX. Записи защищены теми же техническими и организационными мерами, что и остальные персональные данные (см. Политику конфиденциальности, § 9).

Как отключить. Установи расширение opt-out от Яндекса (metrica.yandex.ru/add-ext) или используй браузерный блокировщик скриптов. Отключение Метрики не влияет на работу аккаунта и Сервиса.

Что мы не используем

• Google Analytics или GA4
• Рекламные сети (Facebook Pixel, ВКонтакте Пиксель, и др.)
• Сторонние инструменты записи сессий помимо Вебвизора Яндекс.Метрики
• Любые трекеры поведенческого профилирования в рекламных целях

Если в будущем мы добавим другие аналитические инструменты, мы обновим эту Политику и уведомим пользователей по email за 30 дней.

Локальное хранилище браузера (не cookie)

В дополнение к cookie платформа использует localStorage браузера для хранения пользовательских настроек интерфейса. Ключи хранятся только в твоём браузере, на сервер не передаются и не являются персональными данными.

• kz:sidebarCollapsed — свёрнута ли боковая панель (bool).
• kz:sidebarWidth — ширина боковой панели в пикселях.
• kz:threadsCollapsed — состояние свёрнутости панели тредов (bool).
• kz:composerMode — выбранный режим композера (строка).
• kz:modelTier — выбранный пользователем тир AI-модели.
• kz:onboarding_example_seen — флаг, что пользователь видел пример онбординга.
• kz_k8s_preview — флаг отказа от нового пайплайна превью (значение '0' переключает на legacy-путь). Технический служебный флаг.

Дополнительно, в браузерном sessionStorage хранятся kz_access_token и kz_refresh_token — JWT-токены текущей сессии. Они не передаются между вкладками и стираются при закрытии вкладки. Подробнее см. в Политике конфиденциальности, § 8.

Как управлять cookie

Удалить или заблокировать cookie можно в настройках браузера (обычно: «Настройки» → «Конфиденциальность» → «Очистить данные сайта»). Обрати внимание: удаление или блокировка сессионных cookies kz_session / kz_refresh_session означает выход из аккаунта; вход в Сервис без сессионных cookies невозможен.

Подробнее о правах на удаление данных — в Политике конфиденциальности, раздел § 7.