Политика приватности

Что это за сервис

SARAFAN — каталог русскоязычных специалистов и сообществ, а также доска заявок на услуги. Мы знакомим людей. В том, о чём они договорятся дальше, мы не участвуем: денег за работу не берём и не видим их.

Что мы собираем

Только то, без чего не выйдет ни карточки, ни знакомства. Сгруппировано по тому, зачем это существует:

• Аккаунт: адрес почты, подтверждённый переходом по нашей ссылке, отображаемое имя, язык интерфейса, выбранный город. Если вход был через Telegram — ещё идентификатор Telegram и аватар оттуда.
• Сессии: хэш токена — самого токена у нас нет, — строка браузера и хэш адреса. Это то, что позволяет оставаться в аккаунте и завершить сессию с другого устройства.
• Неудачные входы: способ и причина из закрытого списка, нормализованный адрес почты, если он был указан, а после успешной проверки токена Google или подписи Telegram — постоянный идентификатор у провайдера и почта Google. От адреса сети и строки браузера остаются только хэши. Ссылки входа, токены провайдера и исходный Telegram payload в этот журнал не попадают.
• Карточка услуги или сообщества, если она у вас есть: её тип, название, заголовок, описание, категории и их структурированные детали, районы, языки, защищённые контактные каналы — включая адреса сайта и страниц в соцсетях — и указанная вами цена услуги или участия.
• Обращения: кто, у кого и когда взял контакты и с какого экрана пришёл. Эта запись не правится и не удаляется, пока жив аккаунт: отзыв возможен только потому, что обращение было, и переписав запись, мы переписали бы право на отзыв.
• Заявки и отклики на доске услуг, ваши отзывы и ответы владельцев карточек на них.
• Согласия: с какой версией какого документа вы согласились и когда.
• Отказы: когда запрос контактов упирается в наши лимиты, мы записываем сам факт отказа. По нему видно, что кто-то выкачивает контактную базу, а не ищет сантехника.
• Посещения: сколько браузеров за сутки открыло страницу и на каком языке. Именно браузеров, а не людей и не визитов: робот и человек с выключенным JS сюда не попадают вовсе, а один человек с телефона и ноутбука посчитается дважды. Чтобы не считать один браузер дважды за день, браузер создаёт отдельный случайный идентификатор только на текущие сутки UTC. Он используется исключительно для этой статистики: это не sarafan.anon, он не копируется в аккаунт или сессию, не отправляется со статистикой приходов и поисков и заменяется на следующий день. Сервер сохраняет только результат смешивания этого идентификатора с секретом и датой, а также язык; исходный идентификатор не сохраняется. Отпечаток удаляется к концу следующих суток и не сравнивается между днями, затем остаётся только одно суточное число без идентификаторов. Это ограниченный по охвату тренд сервиса для браузеров с включённым JS без возражения, а не все посетители и не конверсия «визит → регистрация».
• Приходы: сколько внешних загрузок документа за сутки произошло из поисковика, соцсети, почты, с чужого сайта или по нашей собственной размеченной ссылке и какой общий вид страницы загрузился. Это число загрузок, о которых сообщили браузеры с включённым JS, а не число людей или уникальных посетителей. До отправки запроса браузер сокращает источник до имени хоста, страницу — до вида, проверенного сервером города и языка, а параметры — максимум до одной синтаксически ограниченной метки-кандидата. Сервер сохраняет её только при совпадении с действующей меткой, которую зарегистрировал SARAFAN. В payload нет полного URL, поисковой фразы, почты или токена входа, идентификатора рекламного клика, аккаунта, сессионной cookie или ключа браузера. Как и любой HTTP-запрос, соединение приходит в нашу инфраструктуру с обычными сетевыми метаданными, включая IP-адрес; ручка приходов не добавляет адрес в запись аналитики или суточный агрегат. Неизвестный хост считается просто безымянным переходом. Счётчик отвечает «сколько», но не «кто».
• Атрибуция регистрации по согласию: только после принятия пункта «Атрибуция регистрации» этот браузер создаёт отдельный случайный идентификатор и записывает первый допустимый touch после выбора. Это измерение показывает, какая ссылка SARAFAN или разрешённый источник привели к новой регистрации; рекламу оно не показывает и не таргетирует. Сервер хранит лишь его хэш, действующую controlled campaign label или источник из белого списка, признак paid/organic, общий вид страницы, город, язык, версию согласия и срок семь дней. sarafan.anon, идентификаторы сессии или аккаунта, исходные URL/referrer/UTM, query string и click ID сюда не копируются. Следующие переходы не заменяют первый. Новая регистрация поглощает touch и оставляет только суточный агрегат без идентификаторов; повторный вход и привязка способа входа не считаются. Отзыв согласия удаляет значение в браузере и серверную запись, а истёкшие неиспользованные touches убирает воркер. Это consented browser first-touch coverage, а не глобальная или причинная конверсия.
• Счётчики страниц по согласию: только после принятия категории «Аналитика» SARAFAN создаёт случайный идентификатор в текущей вкладке и считает общие виды страниц: главная, город, специальность, карточка, доска, вход или юридический документ. В analytics payload нет cookie, referrer, полного URL, query, полей IP или user-agent, аккаунта, сессии и sarafan.anon. Как и любое HTTP-соединение, запрос приходит в инфраструктуру с обычными сетевыми метаданными; эта ручка не сохраняет IP-адрес или user-agent. До записи сервер смешивает идентификатор с секретом и датой UTC, поэтому сохранённый хэш не связывает вкладку между днями. После завершения суток живые хэши сворачиваются в числа сессий и просмотров и удаляются; обезличенные итоги хранятся 366 дней. Отзыв удаляет значение вкладки и best-effort живые строки. В growth-отчёте скрыты ячейки меньше пяти сессий.
• Полнота карточки: раз в сутки мы записываем, сколько из восьми пунктов, относящихся к её типу, заполнено и какие именно. Для услуги это, среди прочего, описание, цена и фотографии работ; для сообщества — сайт или страница в соцсети, детали темы и способ проведения встреч. Значения защищённых контактов в это измерение не копируются: остаётся только «указан» или «не указан». Нужно это, чтобы видеть, где люди застревают при заполнении, и понимать, помогают ли наши напоминания. Хранится год и уходит вместе с карточкой, если вы удалите аккаунт.
• Поиски: что набрали в поиске по каталогу, город, категория, язык и сколько нашлось. Статистический запрос не отправляет credentials или ключ браузера; новые строки не делятся на вошедших и не вошедших людей. Считает их сама страница, уже показав вам результат, поэтому в счёт попадают только браузеры с включённым JavaScript. Отдельно и ненадолго мы держим счётчик поисков с одного адреса за сутки — хэш адреса и число, больше ничего: он нужен, чтобы никто не мог накрутить эту статистику и решениями по ней. Что именно искали, к нему не привязано, и к концу следующих суток он удаляется. Вас в агрегате нет ничем — ни аккаунтом, ни ключом браузера, ни адресом, ни даже временем: это суточный счётчик, и десять одинаковых поисков в нём одна строка со счётчиком. Смысл у неё один — понять, какие услуги или сообщества заводить в каталог следующими, и поиск, никого не нашедший, как раз и есть ответ. Если набранное похоже на телефон или адрес почты, мы считаем, что такой поиск был, а сам текст выбрасываем.
• Письма на адрес поддержки: отправитель и получатели, тема, текст и HTML, заголовки и исходное письмо целиком вместе с вложениями. Исходник нужен, чтобы пересланный скриншот или документ не потерялся между почтовым провайдером и человеком, который вам отвечает.

Контакты не лежат на витрине

Защищённые телефон, почта, Telegram, WhatsApp, сайт, Instagram или Facebook специалиста либо организатора сообщества не входят ни в публичную страницу, ни в результат поиска. Они выдаются один раз, одному человеку, по явному действию, и выдача считается по суточной квоте. Это не настройка: выключить её нечем, и ручки, отдающей чужие контакты пачкой, не существует.

Исключения — своя собственная карточка и выгрузка данных аккаунта: владелец видит её целиком. Без этого опечатка в телефоне или адресе страницы превращается в тишину, которую не отличить от отсутствия спроса.

На каком основании

Аккаунт, показ вашей карточки и передача контактов, которые вы запросили, — исполнение договора с вами.

Карточки, которые мы завели сами до того, как у специалиста или организатора сообщества появился аккаунт, — согласие этого человека, записанное той же транзакцией, что и карточка, вместе с каналом, которым оно дано, и тем, кто его взял. Карточка без записанного основания не должна появиться даже на секунду.

Безопасность сессий и входа, квоты, записи отказов, жалобы, модерация и тревога о выгрузке — наши законные интересы в защите аккаунтов, сохранности контактной базы и законной, заслуживающей доверия работе сервиса. Эти интересы сопоставляются с влиянием на людей: доступ и сроки ограничены, а защищённые контакты не попадают на публичные страницы.

Сводные посещения, приходы, поиски и измерение полноты карточек — наш законный интерес в том, чтобы понимать, работает ли сервис и где люди останавливаются. Для этого используются краткоживущие или неидентифицирующие данные вместо межсайтового трекинга.

First-touch атрибуция регистрации и любая будущая необязательная аналитика, персонализация или реклама — ваше согласие. Они остаются выключенными, пока браузер не запишет явный выбор для текущей версии документа; отзыв прекращает включение и удаляет живой attribution touch.

Журнал принятия документов и решений, ответы на запросы о правах и раскрытия, требуемые законом, — исполнение юридических обязанностей и, где применимо, установление, осуществление или защита юридических требований.

Ответ на письмо, которое вы сами отправили в поддержку, — наш законный интерес в работе сервиса и разборе обращений и сообщений об ошибках.

Сколько это хранится

Попросите удалить аккаунт — он закрывается сразу: сессии отзываются немедленно, а не при ближайшей уборке, данные стираются через 30 дней. Карточки, за которыми осталось обращение, не удаляются — из них вычищается всё личное, включая адрес страницы. Обращение обязано помнить, что оно было.

Письма в очереди и отправленные хранятся 30 дней. Сама ссылка входа стирается из очереди в момент отправки: дальше она живёт в вашем ящике, и второй её копии в таблице, которую читает всё приложение, быть не должно.

Записи неудачных входов удаляются через 30 дней или немедленно при удалении связанного аккаунта.

Письма на адрес поддержки вместе с вложениями хранятся 365 дней, затем удаляются.

Заявки на доске живут 30 дней.

Суточные счётчики поисков и приходов хранятся год — чтобы сезон сравнивался с сезоном, — и удаляются после.

Кто ещё это видит

Railway запускает приложение, Supabase хранит базу PostgreSQL, Resend доставляет служебные письма, а Cloudflare предоставляет DNS, защиту, доставку и объектное хранилище. Если вы выбрали вход через Google или Telegram, выбранный провайдер обрабатывает сам вход по своей политике. Каждый получает только данные, нужные для его функции. Мы не продаём персональные данные, и рекламной сети на сайте нет.

Куки

Три, и все три нужны, чтобы сайт работал: сессия входа, последний выбранный город и язык интерфейса. Плюс одно значение в локальном хранилище браузера — оно связывает запросы контактов, сделанные до входа, чтобы они не потерялись при регистрации. Если вы возразили против статистической аналитики, ещё один неидентифицирующий ключ запоминает этот выбор в данном браузере.

Пока вы редактируете карточку, несохранённый черновик — включая введённые в него контакты — остаётся в этом браузере. Восстановить его можно в течение семи дней; после этого он игнорируется и удаляется при следующем открытии редактора. До нажатия «Сохранить» черновик нам не отправляется, после успешного сохранения удаляется, а если карточка за это время изменилась на сервере, старая копия не восстанавливается.

Рекламной сети и сторонних счётчиков здесь нет. Транспорт приходов и поисков не создаёт идентификатор и не отправляет cookie. Суточный счётчик браузеров использует отдельный случайный идентификатор только текущих суток UTC и никогда не использует продуктовый ключ sarafan.anon.

Отдельный документ про cookie и хранилище браузера перечисляет каждое значение, срок и назначение. First-touch атрибуция регистрации — активная необязательная технология, поэтому равноценный выбор принятия или отказа показывается до создания её storage и запроса. Детальные настройки остаются доступны и отозвать согласие можно так же легко, как дать. Узкую собственную статистику по-прежнему можно бесплатно выключить там же, не отключая сервис.

Что вы можете сделать

Выгрузить всё, что у нас о вас есть, одним файлом — в кабинете, раздел «Аккаунт», без просьбы и без ожидания. Оттуда же запросить удаление. Исправить что угодно в своей карточке самостоятельно. Возразить против того, как мы используем данные, и пожаловаться в надзорный орган, если считаете, что мы неправы.

В документе про cookie и хранилище можно запретить этому браузеру отправлять приходы, поиски по каталогу и суточные отметки браузера. Выбор действует сразу для следующих запросов, не завершает сессию и не отключает каталог.

Письмо в поддержку не связывается с аккаунтом автоматически: адрес почты не доказывает, из какого аккаунта оно отправлено. Если нужна копия или удаление такой переписки, напишите контролёру данных по адресу выше.

На запросы, где нужны мы, отвечаем в течение месяца.

Где лежат данные

Провайдеры могут обрабатывать данные в Великобритании, Европейской экономической зоне, Канаде или США. Когда передача из Великобритании ограничена, контролёр обязан использовать применимое решение об адекватности либо UK International Data Transfer Agreement/Addendum и условия обработки провайдера. Актуальный механизм и копию или описание гарантий можно запросить по юридическому адресу ниже.

UK GDPR используется как общий базовый стандарт сервиса. Канадские и другие местные правила могут давать дополнительные права; соблюдение британской базы не означает автоматического соблюдения каждого другого закона.

Кто отвечает за данные