Политика конфиденциальности

Коротко

Мы храним тот минимум, который нужен, чтобы вы могли войти и чтобы вас узнавали. Мы фиксируем, что люди делают в сервисе: иначе не понять, работает он или нет. А будем ли мы наблюдать за тем, как вы пользуетесь браузером, решаете вы. Мы ничего о вас не продаём. Вы можете попросить всё удалить — и мы удалим.

Как вы входите

Двумя способами: по коду из шести цифр, который мы присылаем на почту, или по ключу доступа на вашем устройстве. Пароля нет. Подтверждение номера телефона — дело добровольное, и третьего способа входа оно не создаёт: по номеру войти нельзя.

Что мы храним

Если вы в списке ожидания: адрес почты, кем вы себя указали — мотоциклистом или пассажиром, язык, на котором вы читали, и даты записи и подтверждения.

Если у вас есть аккаунт: адрес почты, а также имя и фотографию, если вы их добавили. Номер телефона, если вы решили его подтвердить. Если вы завели ключ доступа — его открытую часть, тип аутентификатора, который его хранит, и технические сведения, нужные по стандарту; закрытой части у нас нет, она не покидает ваше устройство. Язык, которым вы пользуетесь. Даты принятия условий и последнего подтверждения предупреждения о безопасности.

При любом визите: факт просмотра страницы и примерный регион. Если в браузере что-то ломается — сама ошибка, в каком месте нашего кода она возникла и на какой странице. Учитываем всех. Но по умолчанию никого не узнаём: ни cookie, ни идентификатора, который переходил бы с вами из визита в визит. Одного анонимного посетителя от другого мы не отличаем.

Мы не собираем геолокацию во время поездки. У нас нет такой возможности. И ничто здесь не ходит за вами по другим сайтам.

Зачем

Почти всё это — то, без чего сервис не работает. Единственное исключение помечено.

• Адрес почты — чтобы вы могли войти и чтобы мы могли написать, когда это действительно нужно.
• Ключ доступа — чтобы устройство вводило вас в аккаунт вместо кода.
• Номер телефона — чтобы в профиле было видно, что настоящий номер подтверждён. Войти по нему нельзя, и от него ничего не зависит.
• Имя и фотография — чтобы человек знал, с кем встречается.
• Язык — чтобы писать вам на нём.
• Когда вы приняли условия и подтвердили предупреждение о безопасности — чтобы это можно было доказать и чтобы знать, когда спросить снова.
• Список ожидания — чтобы один раз написать вам на старте.
• То, что люди делают в сервисе — чтобы понимать, работает ли он и что чинить дальше.
• То, как вы пользуетесь браузером — только если вы согласились.

Если формально: всё перечисленное нужно нам, чтобы исполнить договор с вами — то есть предоставить сервис, о котором вы попросили. Единственное исключение — наблюдение за тем, как вы пользуетесь браузером. Оно держится на одном вашем согласии и прекращается, как только вы его отзовёте.

Что мы измеряем и что решаете вы

Здесь две разные вещи, и их стоит различать.

То, что люди делают в сервисе, мы фиксируем всегда. Сегодня это то, какие страницы открывали, примерно из какого региона, что кто-то попытался записаться в лист ожидания, какую роль выбрал и получилось ли, а также каждый шаг подтверждения номера: что код запросили, ушёл он или отправить не удалось, и довели ли подтверждение до конца. Отсюда же мы узнаём, что в браузере что-то сломалось: нам приходит сама ошибка и страница, на которой это случилось, — иначе о поломке мы узнаем, только если вы возьмёте на себя труд о ней рассказать. По мере роста продукта добавятся и остальные пройденные шаги, например подтверждение почты. Без этого мы бы только гадали, помогает ли кому-нибудь то, что мы делаем. Знать, что сервис работает, — часть того, чтобы его вести, поэтому разрешения на это мы не спрашиваем.

А про браузер мы спрашиваем. Ваше «да» позволяет узнавать браузер при следующем визите — так видно, вернулся человек или пришёл впервые, — и изредка сохранять запись сессии.

Отсюда три состояния, в которых вы можете быть:

• Пока вы не ответили. Визит учтён анонимно, и ради этого на вашем устройстве не сохраняется ничего.
• Если вы откажетесь. То же самое, и мы больше не спрашиваем, пока вы не очистите данные этого сайта в браузере. Из статистики вы не исчезаете, отказ ничего у вас не отнимает, и сервис работает ровно так же, как работал.
• Если вы согласитесь. Тогда мы можем хранить на устройстве небольшой идентификатор, узнавать браузер между визитами и изредка сохранять запись сессии.

Три вещи верны в любом из состояний. Ни адрес почты, ни номер телефона, ни имя в аналитику не попадают. Если мы когда-нибудь скажем ей, кто перед ней, то скажем обезличенным идентификатором — набором символов, который сам по себе ничего не значит. Записи сессий — небольшая выборка, в основном те, где что-то сломалось, а всё, что вы набираете в полях, скрывается ещё до того, как запись уходит из браузера.

Баннер есть на этом сайте и в блоге. Приложение пока не спрашивает, поэтому там все остаются в первом состоянии. Ещё мы считаем, сколько человек отвечают и как именно и сколько вообще не видят баннера: некоторые расширения браузера его прячут, и мы предпочитаем это знать, а не додумывать.

Кто ещё это видит

Мы пользуемся сервисами других компаний. Они получают только то, что нужно для их работы, и не вправе использовать это для чего-то ещё.

• Cloudflare — хостинг и база данных. Всё живёт здесь. Здесь же работает проверка, что форму списка ожидания или экран входа заполняет человек, а не скрипт: она видит сетевой адрес, с которого вы подключаетесь, и какой у вас браузер, и отвечает «да» или «нет» про один этот запрос.
• Resend — отправляет письма. Видит ваш адрес и текст письма.
• Prelude — отправляет и проверяет код при подтверждении номера телефона. Видит ваш номер, сетевой адрес, с которого вы подключаетесь, какой у вас браузер и на каком языке вы читаете; без этого он не отличит живого человека от атаки. Код он создаёт и проверяет сам, поэтому присланный вам код мы не видим.
• PostHog — наша аналитика и отчёты об ошибках, хостинг в ЕС. Видит, какие страницы открывали, что кто-то попытался записаться в лист ожидания, какую роль выбрал и получилось ли, каждый шаг подтверждения номера — что код запросили, ушёл ли он, довели ли подтверждение до конца и какая это была попытка, вместе с телефонным кодом страны и страной, из которой пришёл запрос, но никогда сам номер, — и что сломалось. Если мы когда-нибудь скажем ей, кто перед ней, то только обезличенным идентификатором: ни адреса почты, ни номера, ни имени.

Мы не продаём ваши данные и не передаём их для рекламы. Мы передадим что-то, только если этого действительно требует закон.

Где это хранится

В сети Cloudflare, база данных — в Европейском союзе. Письма идут через Resend, аналитика — через европейский хостинг PostHog.

Сколько мы это храним

Данные аккаунта — пока вы его не удалите. После удаления их нет.

Записи в списке ожидания — до старта и письма о нём либо до вашей просьбы удалить их, смотря что раньше.

Что вы можете попросить

Попросить копию того, что мы храним, попросить исправить или удалить. Напишите на hello@backpackwith.me — сделаем. Причину объяснять не нужно.

Удаляем в обоих местах: и в своей базе данных, и в аналитике.

Если вы в ЕС или Великобритании, это ваши права по закону, а не любезность с нашей стороны. Вы также можете пожаловаться в надзорный орган своей страны, если мы повели себя плохо.

Cookie

В браузере работают пять вещей: четыре cookie и одна проверка, которая не хранит ничего. Рекламной среди них нет.

• Cookie входа — чтобы вы оставались в аккаунте. Исчезает при выходе. Необходима.
• Cookie языка — помнит выбранный язык. Необходима.
• Cookie с вашим ответом на баннер — любым, каким бы он ни был, и его копия в локальном хранилище браузера. Именно она не даёт нам спросить снова, поэтому «нет» тоже записывается: отказ, который мы не смогли бы запомнить, — это отказ, который мы раз за разом нарушали бы. В ней ваш выбор, время ответа и случайный идентификатор этого браузера, который сам по себе ничего не значит. Никому больше она не передаётся, и у нас её никто не читает. Хранится, пока вы не очистите данные этого сайта. Необходима.
• Cookie аналитики — появится, только если вы согласитесь, и нужна, чтобы узнать ваш браузер при следующем визите. Именно про неё спрашивает баннер, и только она зависит от вашего решения.
• Проверка на бота — Cloudflare смотрит, что форму списка ожидания или экран входа заполняет человек, а не скрипт. Мы измерили, что она оставляет на вашем устройстве: ничего. Отказаться от неё нельзя, она необходима: без неё не получится ни записаться в список ожидания, ни войти.

Изменения

Если политика изменится, мы обновим дату вверху. О значимых изменениях мы скажем, а не понадеемся, что вы заметите.

Связаться с нами

hello@backpackwith.me.