Политика конфиденциальности

1. Какие данные мы храним

В хранилище находятся зашифрованные файлы и зашифрованные сведения о них. В открытом виде сервер приложения знает перечисленные ниже данные.

Дата загрузки не равна дате съёмки. Содержимое фото и видео, подписи, имена отмеченных людей, даты съёмки и отпечатки лиц сервер не получает в читаемом виде (кроме файлов, которые вы сами выгружаете себе в чат, раздел 2). Текст поисковых запросов не отправляется на сервер: поиск выполняется на устройстве. Название места съёмки определяется на устройстве по встроенному списку городов (данные GeoNames, лицензия CC BY 4.0); координаты из файла хранятся только внутри зашифрованных сведений о фото и в читаемом виде на сервер не попадают.

Обезличенные технические замеры. Приложение присылает замеры своей работы: время загрузки, тип сети, тип устройства, примерное число фото и памяти устройства, язык интерфейса и число ошибок страницы; для видео — способ показа, сколько ждали первого кадра, паузы при просмотре, размер файла, кодек и версия системы телефона. Они записываются без связи с аккаунтом — без Telegram ID, имени, IP-адреса и точного времени (только дата), хранятся до 90 дней и используются только для того, чтобы приложение работало быстрее.

2. Шифрование и ключ

Клиент приложения работает в браузере внутри Telegram и шифрует данные на устройстве с помощью AES-256-GCM до передачи. Ключ создаётся на вашем устройстве и хранится в вашем аккаунте Telegram; на сервер My Albums он не попадает. Мы не располагаем ключом для просмотра ваших фотографий.

Подсказки «кто на фото» работают с первого дня. Лица распознаются на вашем устройстве; отпечаток лица (набор из 128 чисел) хранится внутри зашифрованных сведений о фото и на сервер в открытом виде не попадает. Приложение только предлагает отметку, решение принимаете вы. Для поиска похожих фото устройство вычисляет «отпечаток картинки» (64 бита по уменьшенной копии); он тоже хранится только в зашифрованных сведениях.

При первом входе показывается код восстановления из 52 символов. Храните его отдельно и не отправляйте поддержке. Секретный альбом дополнительно защищён отдельным паролем. Если утрачены и ключ, и код восстановления, мы не можем вернуть доступ к зашифрованным файлам. Забытый пароль секретного альбома также не восстанавливается.

Шифрование не защищает от доступа к разблокированному телефону или аккаунту Telegram, заражённого устройства и подмены клиентского кода. Защищайте устройство, проверяйте адрес бота и используйте дополнительную защиту аккаунта Telegram.

Общие альбомы. Общий альбом шифруется своим ключом, а не вашим основным: поделившись им, вы не открываете остальной архив. Чтобы пускать участников и гостей, сервер знает, какие файлы входят в общий альбом, кто в него приглашён и с какой ролью, кто открывал ссылку на альбом (номер и имя в Telegram, время), кто какой файл загрузил и кто на какой файл поставил реакцию (сам смайлик зашифрован), а если участник сохранил фото альбома к себе (кнопка «Сохранить фото участников к себе») — какие файлы альбома он скопировал в свою библиотеку. Название альбома, подписи, даты, отметки людей и сами фото остаются зашифрованными. Ключ альбома хранится на сервере только в запертом виде: для каждого участника — его личным ключом, для гостей по ссылке — кодом из приглашения, который на сервер не передаётся. Участнику нужна пара ключей: открытая половина хранится на сервере, закрытая — только в зашифрованном виде. Файл занимает место у того, кто его загрузил. Закрыть доступ можно в любой момент; то, что участник или гость уже скачал, остаётся у него.

Скачивание и выгрузка. Когда вы скачиваете или выгружаете файлы, они расшифровываются и дальше хранятся без шифрования — у вас или там, куда вы их сохранили. На Android файл выгружается через ваш чат с ботом: расшифрованный файл проходит через сервер в Telegram, сервер его не сохраняет.

3. Сайт, Telegram и Cloudflare

На этом лендинге нет рекламных пикселей, внешних шрифтов, сторонних аналитических скриптов и форм сбора данных. Код сайта не устанавливает cookies и не записывает информацию в localStorage. Переход в Telegram — отдельное действие пользователя. На странице самого приложения Cloudflare может подключать свой счётчик Web Analytics: он собирает обезличенные сведения о скорости загрузки страницы и не видит ни фото, ни их описаний.

Сайт доставляется через Cloudflare. Для передачи страниц и защиты сети Cloudflare обрабатывает технические сведения соединения, включая IP-адрес и заголовки HTTP. Служебные cookies могут использоваться самой инфраструктурой, например при проверке безопасности. Это отдельная обработка, а не дополнительные открытые данные в фото-хранилище. Смотрите политику Cloudflare.

Telegram обрабатывает сведения аккаунта и взаимодействия с ботом по своей политике конфиденциальности. Хранение ключа в аккаунте Telegram означает, что безопасность этого аккаунта важна для доступа к фото. Мы не обещаем анонимность перед Telegram или сетевыми провайдерами.

4. Обращения и оплата

Если вы пишете в поддержку или подтверждаете оплату, мы получаем сведения, которые вы сами отправляете в переписке: текст обращения и необходимые сведения о платеже. Они используются для ответа, проверки оплаты и разрешения спорных ситуаций. Это отдельная коммуникация в Telegram, а не содержимое зашифрованных альбомов.

Оплата проходит внутри Telegram звёздами: от Telegram мы получаем только сведения о платеже (тариф, сумма в звёздах, дата, идентификатор платежа), данные карты нам не передаются. Не присылайте номер карты, CVV, одноразовые банковские коды, ключ или код восстановления.

4.1. Помощник Кадрик (искусственный интеллект)

В боте и в приложении работает помощник Кадрик: он отвечает на вопросы о том, как пользоваться My Albums. Ответы составляет модель искусственного интеллекта Claude компании Anthropic, PBC (США). Для ответа мы передаём Anthropic текст вашего сообщения помощнику (в боте — любое сообщение без «/», в том числе запрос поиска фото), несколько последних реплик этого разговора и служебные сведения: сколько у вас файлов, сколько места занято, бесплатный или платный тариф, тип телефона. Фото и видео, подписи, имена отмеченных людей, названия альбомов и ключи помощнику не передаются — у нашего сервера их нет. Сообщение, похожее на код восстановления, не отправляется вовсе: бот его удаляет, а приложение не отправляет его с телефона.

Вопросы и ответы помощника мы храним без Telegram ID и имени 90 дней — чтобы понимать, что в приложении непонятно, и улучшать подсказки. Отдельно 7 дней хранится только счётчик вопросов за день (не больше 20 в день на человека). Разговор помнится 30 минут в памяти сервера и на диск не записывается. Anthropic обрабатывает переданные сведения по нашему поручению, чтобы составить ответ; по условиям Anthropic для коммерческого API такие данные не используются для обучения моделей. Не хотите пользоваться помощником — просто не пишите ему: поиск внутри приложения работает на телефоне, и запросы из него никуда не уходят.

5. Цели обработки и получатели

Данные используются для предоставления хранилища, учёта объёма, поддержки и обработки ваших запросов. Мы не используем содержимое альбомов для рекламы или обучения моделей и не продаём его: у нас нет доступа к расшифрованному содержимому.

Где находятся данные. Сервер приложения и база сведений об аккаунтах (Telegram ID, имя, размеры файлов, тариф и платежи) размещены у хостинг-провайдера Vultr (The Constant Company, LLC) в дата-центре в Варшаве, Польша (Европейский союз). Зашифрованные файлы и ежедневные резервные копии базы хранятся в Cloudflare R2 (европейский регион). Ещё одна ежедневная копия базы сведений об аккаунтах хранится на оборудовании владельца сервиса в Астане, Казахстан; фото и ключей в ней нет. И то и другое — трансграничная передача, на которую вы соглашаетесь, начиная пользоваться сервисом; ключа к файлам нет ни у Vultr, ни у Cloudflare. Telegram обеспечивает работу аккаунта и бота, Cloudflare — доставку сайта и приложения. Законный запрос уполномоченного органа может касаться только данных, которыми сервис действительно располагает; он не даёт нам отсутствующего ключа.

Правовые основания. Сведения из таблицы выше обрабатываются, чтобы исполнить договор с вами (предоставить хранилище и учесть тариф), выполнить требования закона (учёт платежей) и в законном интересе защиты сервиса от злоупотреблений. Для пользователей из Казахстана обработка ведётся по Закону РК «О персональных данных и их защите», для пользователей из ЕЭЗ и Великобритании — по GDPR / UK GDPR.

Сервер приложения и хранилище могут переноситься между поставщиками; при этом они по-прежнему хранят только зашифрованные файлы. Актуальные сведения об инфраструктуре можно получить у @MyAlbums_support.

6. Сроки хранения и удаление

Зашифрованные файлы хранятся до тех пор, пока их не удалит сам пользователь, с одним исключением. Если оплаченный тариф закончился, а занято больше бесплатного объёма, файлы сверх него хранятся столько дней, сколько всего было оплачено (не меньше 30 и не больше 365), затем последние загруженные из них переносятся в корзину и через 30 дней удаляются окончательно; бот заранее предупреждает об этом (подробнее — пользовательское соглашение, раздел 2). Файлы, которые вмещаются в бесплатный объём, за неуплату не удаляются. Хранение прекращается также, если сервис будет закрыт целиком, — об этом мы предупредим заранее и дадим срок на выгрузку. Удалить отдельные файлы можно в приложении. Удалить все файлы и данные аккаунта можно самостоятельно: в приложении, вкладка «Альбомы» → «Ещё» → «⚙️ Настройки» → «Удалить все мои данные» (нужно подтверждение). Можно и написать @MyAlbums_support из того же аккаунта Telegram. Мы проверяем принадлежность аккаунта, чтобы посторонний не мог удалить ваши данные.

Что удаляется и что остаётся. При удалении аккаунта стираются все фото и видео, альбомы и сведения о файлах, хранящиеся у нас ключи (в зашифрованном виде), сессии входа и журналы посещений и шагов в приложении. Остаётся только минимальная запись: Telegram ID, дата первого входа, дата, до которой действовал оплаченный срок, и тариф, а для учёта бонусов за приглашение — какой Telegram ID кому принёс бонус. Она хранится только для того, чтобы удалением аккаунта нельзя было повторно получить бонус за приглашение; имени, файлов и сведений о фото в ней нет. Отдельно сохраняются записи о платежах — в объёме, необходимом для учёта.

Удаление переписки с ботом не удаляет хранилище автоматически. Перед запросом скачайте нужные оригиналы: после окончательного удаления вернуть их нельзя. При обработке запроса поддержка сообщает объём удаления и применимый срок, включая судьбу резервных копий, если они есть. Мгновенное физическое удаление всех технических копий не обещается; резервные копии перезаписываются в течение 31 дня.

Сведения о спорных платежах или обращениях могут сохраняться в объёме и на срок, необходимый для рассмотрения вопроса или исполнения обязательного требования закона. Они не включают ваш ключ и расшифрованные фотографии.

7. Ваши обращения и изменения политики

Вы можете запросить сведения об обработке своих данных, исправление имени пользователя, удаление данных или прекращение использования сервиса. Напишите @MyAlbums_support; не отправляйте документы и секреты, пока не согласована необходимость проверки. Законные права пользователя сохраняются независимо от формулировок этой страницы. Пользователям из Европейской экономической зоны и Великобритании принадлежат права по GDPR / UK GDPR: доступ, исправление, удаление, ограничение обработки, переносимость (файлы можно скачать в приложении) и жалоба в надзорный орган своей страны.

Сервис предназначен для лиц от 16 лет. Данные детей младше мы сознательно не обрабатываем; если это произошло — напишите @MyAlbums_support, данные будут удалены.

Действующая редакция публикуется здесь с датой обновления. Существенные изменения целей обработки и условий доступа должны быть сообщены до их применения; если требуется отдельное согласие, само продолжение использования сайта его не заменяет.