Политика конфиденциальности

Эта политика объясняет, какие данные Taromi («мы») собирает и как их использует, когда вы заходите на сайт Taromi и делаете онлайн-расклады таро (далее — «Сервис»). Она касается посетителей, гостей и зарегистрированных пользователей.

Кто мы

Оператор Taromi — Zorka Apps Limited, Hong Kong.

No. 5, 17/F, Strand 50, 50 Bonham Strand, Sheung Wan, Hong Kong

1. Какие данные мы собираем

Данные аккаунта. При регистрации мы получаем ваш адрес электронной почты и, если вы задаёте пароль, его необратимый хеш (сам пароль мы не храним). Если вы входите через Google, мы получаем данные профиля, которые Google передаёт для входа, например имя и адрес почты.

Приглашения и промокоды. Если вы создали аккаунт по чьей-то ссылке-приглашению, мы сохраняем, какой аккаунт вас пригласил, чтобы начислить ему награду; он видит только, сколько приглашённых зарегистрировались и оплатили подписку, но не кто именно. Если вы применили промокод, мы сохраняем, что ваш аккаунт его использовал. Что происходит с этими записями при удалении аккаунта, описано в разделе 4.

Данные сеанса. Мы используем cookie сеанса, чтобы работали гостевой сеанс и вход в аккаунт. В записи сеанса может храниться срок её действия и технические сведения, например IP-адрес и данные браузера (user-agent).

Содержимое раскладов. Мы получаем вопрос, который вы задаёте, вытянутые карты, толкование, написанное ИИ, а также уточняющие вопросы и ответы в переписке по раскладу. Мы храним их вместе с гостевым сеансом или аккаунтом, из которого сделан расклад, чтобы Сервис мог его показать и вы могли к нему вернуться. Так же мы храним то, что вы добавляете сами: как сбылся расклад и вашу заметку к нему, расклады в избранном, карту дня, позиции расклада, который вы создали, и намерение недели с днями, когда вы отметили шаг, однострочными заметками и картой недели.

Память чтеца — только если вы её включили. В Premium, если включён переключатель «Помнить мои прошлые расклады», вместе с уточняющим вопросом по вашему собственному раскладу провайдер ИИ получает краткую сводку до 5 ваших прежних раскладов за последние 60 дней: даты, расклады и карты, сокращённый вопрос и то, как, по вашим словам, всё сложилось. Заметки из дневника передаются, только если вы включили и это. Выключить любой из переключателей можно в любой момент.

Голосовой ввод — только если вы им пользуетесь. Если вы нажимаете микрофон в поле вопроса, браузер записывает короткий фрагмент (до 30 секунд) и отправляет его на наш сервер, а сервер передаёт его DeepInfra, где работает открытая модель распознавания речи Whisper, только чтобы превратить его в текст. Текст появляется в поле, и его можно исправить; частью расклада он становится, только если вы отправите вопрос. Мы не храним запись и её текст и не пишем в журналы, что было сказано; мы учитываем лишь, что голосовой ввод использовался, сколько длилась запись и чем всё закончилось.

Напоминания — только если вы их включили. Если вы включаете напоминания о карте дня, браузер передаёт нам push-адрес от своего push-сервиса. Мы храним его вместе с вашим часовым поясом, временем напоминания, языком напоминания и кратким описанием браузера, чтобы отправить напоминание и показать, где напоминания включены. Когда вы выключаете напоминание, эта запись удаляется.

Обращения в поддержку. Если вы пишете нам через страницу «Контакты и поддержка» или на адрес [email protected], мы получаем то, что вы написали, и нашу переписку с вами. На странице контактов мы просим не присылать в обращении личные подробности из расклада.

Платежи. Мы продаём подписку Taromi Premium напрямую, а платежи обрабатывает Stripe. Когда вы оформляете подписку, мы передаём Stripe адрес электронной почты аккаунта, чтобы создать запись покупателя. Данные карты и платёжные реквизиты Stripe собирает сам на своей странице оплаты; полный номер карты мы не получаем и не храним. Мы храним привязанные к вашему аккаунту идентификаторы покупателя и подписки в Stripe, ваш тариф (месячный или годовой), статус подписки и дату окончания оплаченного периода, чтобы включать и выключать Premium, а также запись о каждом платеже (сумма, валюта, дата, возвраты и споры). Stripe списывает от нашего имени $9.99 USD в месяц или $79.99 USD в год, пока вы не отмените подписку; отменить её можно в любой момент на странице аккаунта.

События продукта. Там, где аналитика разрешена (раздел 7), мы на своих серверах записываем, что происходит в Сервисе: например, что открыта страница, закончен расклад или началась подписка, вместе с гостевым сеансом или аккаунтом, к которому это относится, а если вы пришли по рекламе или по ссылке с метками — с названием кампании. Копия уходит нашему провайдеру аналитики (раздел 7).

Переходы по рекламе. Если вы пришли по нашему объявлению в Google, ссылка содержит идентификатор клика (gclid, gbraid или wbraid) и метки кампании. Там, где оценка рекламы разрешена (раздел 7), мы храним их с вашим гостевым сеансом или аккаунтом, чтобы оценивать рекламу.

Отчёты об ошибках. Когда что-то ломается в вашем браузере или на наших серверах, мы записываем технический отчёт: текст ошибки и стек вызовов, путь страницы (без параметров запроса), тип браузера и операционной системы и идентификатор гостевого сеанса или аккаунта. Ваш IP-адрес и адрес почты мы в отчёт не включаем, а поля, где могут быть персональные данные, удаляются до отправки.

Записи сеансов — только с вашего разрешения. Если вы разрешите, скрипт аналитики записывает в браузере, как вы пользуетесь сайтом; всё, что вы вводите, и ваши расклады в записи скрыты (раздел 7).

2. Как мы используем данные

Мы используем данные, перечисленные выше, чтобы:

• предоставлять Сервис: вытягивать карты, писать толкование и ответы на уточняющие вопросы;
• поддерживать гостевые сеансы, соблюдать дневной лимит раскладов и переносить гостевые расклады в аккаунт, когда гость регистрируется или входит;
• показывать историю ваших раскладов, отправлять письма, которые вы запросили (например, для сброса пароля), и напоминания, которые вы включили, и отвечать на обращения в поддержку;
• принимать оплату подписки Premium, включать Premium в аккаунте, обрабатывать отмены, возвраты и споры по платежам;
• начислять, а в случаях, указанных в наших Условиях, отзывать дни Premium за пробный период, приглашения и промокоды;
• понимать, как используется Сервис, и оценивать рекламу, как описано в разделе 7;
• находить и исправлять ошибки, расследовать злоупотребления, технические сбои и инциденты безопасности;
• выполнять требования закона и защищать Сервис и его пользователей.

3. Кому мы передаём данные

Мы передаём данные только тогда, когда это нужно для работы Сервиса, и только этим провайдерам:

• DeepInfra и провайдеру модели ИИ, к которому DeepInfra направляет запрос, — они получают ваш вопрос, вытянутые карты, а для уточняющего вопроса — расклад, к которому он относится, и, если вы её включили, память чтеца из раздела 1, чтобы написать толкование или ответ. DeepInfra — платформа для работы моделей ИИ; модель и её провайдер могут меняться, когда мы пробуем другие варианты. Они обрабатывают эти данные по своим условиям. DeepInfra и провайдер модели могут обрабатывать эти данные за пределами вашей страны, в том числе в США и других странах, где работает модель;
• DeepInfra — она получает голосовую запись, только когда вы пользуетесь микрофоном в поле вопроса, чтобы вернуть её текст; мы не просим DeepInfra хранить запись;
• Cloudflare, нашему сетевому провайдеру: через него проходит каждый запрос к Сервису, поэтому он обрабатывает ваш IP-адрес и данные запроса, чтобы доставлять и защищать Сервис. Резервные копии нашей базы данных тоже хранятся в Cloudflare;
• нашему хостинг-провайдеру, на сервере которого работают Сервис и его база данных;
• ZeptoMail (сервис Zoho), который отправляет от нашего имени служебные письма, например для сброса пароля, и обрабатывает адрес получателя и текст письма. Рекламных рассылок мы не делаем;
• Zoho Mail, где находится наш почтовый ящик поддержки, поэтому там хранятся письма, которые вы в него присылаете;
• PostHog — он получает отчёты об ошибках из раздела 1, чтобы мы находили и исправляли ошибки, а там, где аналитика разрешена, по нашему поручению обрабатывает события продукта и, только если вы разрешили, записи сеансов (раздел 7);
• push-сервису вашего браузера (например, Google, Apple или Mozilla), который доставляет напоминание, только если вы включили напоминания;
• Google Ads, которому наш сервер сообщает, что визит по нашему объявлению привёл к регистрации, раскладу или первой оплате (раздел 7);
• Google, если вы входите через Google.

Stripe, наш платёжный провайдер, получает то, что нужно для обработки платежей и подписки: адрес электронной почты аккаунта, платёжные данные (их Stripe собирает сам) и историю подписки. Stripe обрабатывает эти данные по своей политике конфиденциальности.

Если вы делитесь раскладом. Расклад остаётся закрытым, пока вы сами не решите им поделиться. Тогда мы создаём ссылку на страницу только для просмотра и картинки для соцсетей: каждый, у кого есть ссылка, увидит карты и главную мысль расклада. Ваш вопрос там не показывается, если вы сами не включите «Включить мой вопрос». Перестать делиться можно в любой момент на странице расклада, и ссылка сразу перестанет работать.

Мы также можем раскрыть данные, если этого требует закон или это разумно необходимо для защиты пользователей, Сервиса или наших прав. Мы не продаём персональные данные за деньги и не передаём их брокерам данных. По законам о приватности некоторых штатов США сообщение Google Ads о том, что визит по объявлению привёл к регистрации, раскладу или оплате, может считаться «передачей» персональных данных для межконтекстной поведенческой рекламы. Отказаться от этого можно в любой момент на странице «Ваши настройки приватности» (ссылка внизу каждой страницы); сигнал Global Privacy Control от вашего браузера мы считаем таким отказом.

4. Хранение и сроки

Сроки хранения данных аккаунта, сеансов, вопросов и раскладов зависят от вида записи и определяются потребностями работы Сервиса, безопасности и требованиями закона.

Идентификаторы кликов по рекламе удаляются через 90 дней после клика; названия кампаний могут храниться дольше. Ваши ответы об аналитике, оценке рекламы и записи сеансов мы помним 12 месяцев, потом спрашиваем снова. Записи сеансов и отчёты об ошибках хранятся в PostHog в течение ограниченного срока, заданного в нашем аккаунте у него.

Расклады и другие данные гостевого сеанса (без аккаунта) удаляются, если гость не пользовался Сервисом 90 дней.

Запись о каждом визите (когда он начался, страница входа, язык и откуда пришёл визит: домен сайта-источника, метки кампании и был ли это переход по рекламе, но никогда не сам идентификатор клика) хранится с гостевым сеансом столько же, сколько остальные его данные (90 дней без использования), а с аккаунтом — 13 месяцев; после этого остаются только суммарные счётчики по дням, по которым нельзя узнать человека (события продукта из раздела 1 хранятся, как описано там). Откуда вы пришли к покупке (самый ранний и самый поздний известный нам источник, без идентификаторов кликов) хранится с записью о платеже, пока существует ваш аккаунт. Отзыв согласия на аналитику (там, где мы его спрашиваем) удаляет записи о ваших визитах; удаление аккаунта удаляет и их, и источник покупки.

Когда вы удаляете аккаунт на странице аккаунта, мы сразу удаляем: ваши расклады с перепиской, заметками и ссылками, которыми вы делились (они перестают открываться); историю карты дня и напоминания; намерения недели с заметками; созданные вами расклады; ваши сеансы на всех устройствах (вы выходите отовсюду); адрес почты и данные для входа, включая привязанный аккаунт Google; применённые промокоды и данные о переходах по рекламе. Активная подписка Premium отменяется сразу, без дальнейших списаний. Запись о каждом вашем платеже (сумма, валюта, дата и номера платёжного провайдера, без вашего имени и адреса почты) мы храним 5 лет с даты платежа, потом удаляем. Мы также удаляем вашу запись покупателя у платёжного провайдера Stripe, вместе с ней там удаляется адрес почты; пока по одному из ваших платежей открыт спор, эта запись хранится до его закрытия и удаляется после. Свои записи о самих платежах Stripe хранит по своей политике конфиденциальности. События продукта остаются у нас только в виде счётчиков, которые больше не связаны с вами, а копии, уже отправленные в PostHog, несут случайный идентификатор, который больше не ведёт к аккаунту. Если вы пришли по приглашению, пригласивший аккаунт сохраняет это приглашение в своём счёте, уже без связи с вами. Если аккаунт получал бесплатную пробу Premium или дни Premium по приглашению, после удаления мы храним необратимый хеш его адреса электронной почты (не сам адрес) — только чтобы тот же адрес не получил их повторно. Резервные копии базы данных с удалёнными данными удаляются в течение 30 дней.

Можно удалить и отдельный расклад — в дневнике или на странице самого расклада. Он удаляется вместе с перепиской, заметками и ссылкой, которой вы делились. Намерение недели можно удалить на его странице в любой момент, вместе с заметками.

5. Ваш выбор и запросы

На странице «Ваши настройки приватности» (ссылка внизу каждой страницы) свой выбор можно изменить в любой момент. Везде можно отказаться от оценки рекламы («Do not sell or share») и включить или выключить запись сеансов. Если вы в Европейской экономической зоне, Великобритании или Швейцарии или мы не можем определить, где вы, там же можно разрешить или отозвать аналитику и оценку рекламы. Мы учитываем Global Privacy Control: если ваш браузер его отправляет, мы не сообщаем о ваших визитах в Google Ads и не записываем ваши сеансы.

Удалить аккаунт (на странице аккаунта) или отдельный расклад (в дневнике или на странице расклада) вы можете сами, как описано в разделе 4. Также можно запросить доступ к персональным данным, их исправление или удаление, написав на [email protected]. Мы рассматриваем запросы в соответствии с применимым законом и в пределах данных, которые можем найти и проверить.

6. Возрастное ограничение

Taromi предназначен для людей от 18 лет. Мы сознательно не собираем персональные данные детей. Если вы считаете, что ребёнок передал Сервису персональные данные, напишите на [email protected].

7. Cookie, аналитика и оценка рекламы

Аналитика страниц (Ahrefs). На основном (production) сайте аналитика страниц Ahrefs работает только в рамках нашего режима аналитики по явному согласию в браузере после того, как вы сделаете новый явный выбор в пользу аналитики в этом браузере после ее внедрения; прежние разрешения сами по себе ее не включают, но пользователи могут снова дать согласие через настройки конфиденциальности сайта. Она отключена для визитов нашей команды, а также при наличии сигналов Global Privacy Control (GPC), Do Not Track (DNT) или запрета на продажу данных (do-not-sell). Когда функция включена, она работает изолированно без доступа к DOM приложения, файлам cookie или хранилищу браузера и передает в Ahrefs только разрешенные публичные пути страниц без параметров запроса (query) и фрагментов URL, фиксированный заголовок сайта, язык браузера, размеры экрана и обычные метаданные подключения, включая ваш IP-адрес. Она не передает идентификаторы аккаунтов, текст вопросов или промптов, изображения, результаты чтений, содержимое форм, метки кампаний или полные заголовки referrer. Вы можете в любой момент изменить свой выбор в настройках конфиденциальности сайта; остальные существующие инструменты аналитики регулируются своими отдельными опубликованными правилами.

Cookie. Мы используем только собственные cookie, без сторонних рекламных и аналитических cookie:

• необходимый cookie сеанса, на котором держатся гостевой сеанс и вход в аккаунт; если его заблокировать или удалить, вход, гостевой режим и связанные функции могут не работать;
• cookie языка, если вы выбрали язык;
• короткоживущий cookie (до 7 дней), который переносит идентификатор клика по рекламе и метки кампании со страницы входа на наш сервер; сервер его читает и удаляет;
• cookie (до 30 дней), который хранит код из открытой вами ссылки-приглашения, чтобы приглашение засчиталось, если вы создадите аккаунт; при регистрации сервер его удаляет;
• cookie, который 12 месяцев помнит ваш ответ о записи сеансов;
• cookie, который 12 месяцев помнит ваши ответы в баннере согласия (аналитика и оценка рекламы);
• cookie на текущий сеанс браузера, который говорит только, нужен ли там, где вы находитесь, баннер согласия (не вашу страну);
• cookie (30 минут, продлевается, пока вы на сайте) со случайным идентификатором текущего визита, чтобы визит считался один раз и был связан с вашим гостевым сеансом или аккаунтом; ставится, только если аналитика разрешена, и удаляется при выходе из аккаунта;
• cookie (90 дней) со случайным идентификатором, по которому мы сравниваем варианты наших страниц; ставится, только если аналитика разрешена.

Оценка рекламы (Google Ads). Мы не запускаем в Сервисе тег Google или другие рекламные скрипты. Если вы пришли по нашему объявлению в Google, наш сервер хранит идентификатор клика с вашим гостевым сеансом или аккаунтом. Если этот визит привёл к созданию аккаунта, первому раскладу или первой оплате подписки Premium, наш сервер сообщает о конверсии в Google Ads: идентификатор клика, время, вид конверсии, её ценность и номер (идентификатор расклада или счёта, а для регистрации — случайный номер). Ваш вопрос, содержимое расклада, адрес почты и IP-адрес мы никогда не передаём. Идентификаторы кликов удаляются через 90 дней после клика — столько Google принимает конверсии. Мы не сообщаем о конверсиях посетителей, которые отказались на странице «Ваши настройки приватности» или чей браузер отправляет сигнал Global Privacy Control, а также нашей команды и автоматического трафика.

Продуктовая аналитика (PostHog). PostHog обрабатывает нашу продуктовую аналитику по нашему поручению. Наш сервер отправляет в PostHog копию событий продукта из раздела 1, привязанную к идентификатору гостевого сеанса или аккаунта, и название кампании, если оно есть. Мы не отправляем в PostHog ваш IP-адрес, адрес почты, текст вопросов, расклады, переписку, дневник, намерение недели и идентификаторы кликов по рекламе, а сбор IP-адресов в нашем проекте PostHog выключен.

Посетители из США и других стран вне перечисленных ниже регионов. События, которые пишет наш сервер, — наша собственная аналитика; по нашему поручению её обрабатывает PostHog. Сигнал Global Privacy Control из вашего браузера или выбор «Do not sell or share» на странице «Ваши настройки приватности» выключают передачу конверсий в Google Ads и запись сеансов; наша собственная аналитика продолжается.

Посетители из Европейской экономической зоны, Великобритании и Швейцарии. Если вы заходите из ЕЭЗ, Великобритании или Швейцарии или мы не можем определить, где вы, мы спрашиваем, прежде чем что-либо измерять: аналитика и оценка рекламы — отдельные решения, запись сеансов — третье. Пока вы не разрешили аналитику, наш сервер не записывает о вас событий продукта из раздела 1 и не отправляет их в PostHog; он хранит только то, без чего Сервис не работает (аккаунт, расклады, оплаты и лимиты), и счётчики стоимости и сбоев раскладов без связи с вами. Отчёты об ошибках (раздел 1) уходят в PostHog и в этом случае, потому что без них мы не можем поддерживать работу Сервиса; IP-адреса и адреса почты в них нет. Пока вы не разрешили оценку рекламы, мы не храним идентификатор клика по рекламе и метки кампании и ничего не сообщаем в Google Ads; если разрешили — с каждой конверсией сообщаем Google, что согласие получено. Основание обработки для аналитики, оценки рекламы и записи сеансов — ваше согласие (ст. 6(1)(a) GDPR и UK GDPR; швейцарский Федеральный закон о защите данных); для того, без чего Сервис не работает, — исполнение договора с вами; для отчётов об ошибках — наш законный интерес в том, чтобы Сервис работал и был защищён (ст. 6(1)(f)). Отозвать согласие можно в любой момент на странице «Ваши настройки приватности» так же просто, как его дать; отзыв оценки рекламы также удаляет хранящийся у нас идентификатор клика и отменяет ещё не отправленные конверсии. Отзыв не влияет на обработку до него. Данные получают PostHog (аналитика и отчёты об ошибках, обработчик по нашему поручению) и, с вашего согласия, Google (оценка рекламы); оба могут обрабатывать их за пределами вашей страны, в том числе в США, с мерами защиты для международной передачи, которые они предлагают, например Стандартными договорными условиями ЕС. Регион мы определяем по стране, которую наш сетевой провайдер Cloudflare указывает в каждом запросе; саму страну мы не храним.

Запись сеансов — только с вашего согласия. Мы спрашиваем, прежде чем записывать. Пока вы не нажали «Разрешить», скрипт PostHog в вашем браузере вообще не загружается. Если вы разрешили, скрипт записывает, как вы пользуетесь сайтом: расположение элементов на странице, клики, прокрутку и открытые страницы, — чтобы мы видели, что сбивает с толку, и хранит идентификатор записи в хранилище браузера. Всё, что вы вводите, скрыто, а ваш вопрос, толкование карт, переписка, дневник, намерение недели и расклады, которыми поделились, в записи не видны. Страницы аккаунта, оплаты и сброса пароля не записываются никогда. Мы не записываем нашу команду и посетителей, чей браузер отправляет сигнал Global Privacy Control. Изменить ответ можно в любой момент на странице «Ваши настройки приватности».

8. Безопасность

Мы применяем разумные технические и организационные меры для защиты данных, которые находятся под нашим контролем, включая разграничение доступа и cookie сеанса с флагом HTTP-only. Ни один способ передачи или хранения данных не защищён полностью, поэтому абсолютной безопасности мы гарантировать не можем.

9. Не профессиональный совет

Расклады Taromi, включая толкования, написанные ИИ, предназначены только для развлечения и размышлений о себе. Это не медицинский, юридический, финансовый или психологический совет, и они не заменяют консультацию специалиста.

10. Изменения политики

Мы можем обновлять эту политику вместе с изменениями Сервиса. Новая версия публикуется здесь с новой датой вступления в силу. Если изменение существенно влияет на то, как мы используем персональные данные, мы можем дополнительно сообщить о нём, когда это уместно.

11. Контакты

Вопросы и запросы о конфиденциальности: [email protected].