Политика конфиденциальности

Действует с 14 сентября 2026 · Относится к сервису Neiliro и этому сайту · Перевод для удобства чтения; юридически действует английский текст

Neiliro — семейный органайзер, построенный вокруг простого обещания: данные вашей семьи принадлежат вашей семье. Здесь описано, что мы на самом деле собираем, где это лежит и что вы можете с этим сделать — простым языком, потому что политика, которую нельзя прочитать, политикой не является.

Кто мы

Neiliro ведёт Денис Бурцев. По любому вопросу из этой политики: hello@neiliro.com.

Политика относится к сервису (пространству вашей семьи по адресу вашасемья.neiliro.com), публичному демо и этому сайту. Self-hosted-версия работает на вашем собственном сервере под вашим контролем — из неё к нам не попадает ничего.

Что мы собираем

• Создание семьи: название семьи и адрес электронной почты администратора, которые форма на этом сайте передаёт сервису; сервис отправляет туда приглашение и хранит адрес как логин основателя. Сам сайт хранит укороченный односторонний отпечаток IP-адреса и время каждой попытки — чтобы притормозить скрипт, никого не идентифицируя. (Прежний список ожидания хранил адрес почты и больше ничего; эти адреса удаляются через 90 дней после закрытия списка 13 сентября 2026.)
• Подписка: есть ли у семьи платный тариф и до какого дня, а также идентификаторы клиента и подписки, которые присваивает наш платёжный провайдер Paddle. Paddle продаёт подписку как продавец (merchant of record) и хранит карту; номер карты к нам не попадает никогда — только факт, что платёж прошёл, не прошёл или возвращён.
• Аккаунт: имя, адрес электронной почты и односторонний хеш, по которому мы проверяем пароль — сам пароль мы не храним никогда, а браузер его больше и не отправляет: он посылает ключ, выведенный из пароля, и хешируется именно этот ключ. Ключ шифрования вашей семьи, хранящийся только внутри запечатанных конвертов, которые открывает пароль участника, код восстановления семьи или устройство другого участника — а мы не можем. Если вы включаете двухфакторную аутентификацию — её секрет. Если привязываете вход через Google — постоянный идентификатор, который Google выдаёт для вашего аккаунта. В сервисе — момент, когда при создании аккаунта вы приняли Условия и эту политику: документы датированы, поэтому эта отметка говорит, с какой версией вы согласились.
• Служебное для входа: подтверждён ли адрес, с которым вы входите, и одноразовые ссылки, которые мы вам присылаем — для подтверждения адреса или сброса пароля. Они хранятся хешами, никогда в читаемом виде, и истекают (неделя для подтверждения, час для сброса). Мы храним сам факт сброса пароля и его время, потому что вопрос «не восстановил ли мой аккаунт кто-то другой?» заслуживает ответа.
• Содержимое вашей семьи: задачи, заметки, события календаря, финансовые записи, загруженные файлы и письма, полученные на адрес семьи. Это ваши данные, и хранятся они для того, чтобы продукт мог показать их вам — мы их не читаем, не анализируем и не используем ни для чего другого. С 10 сентября 2026 слова в них шифруются в вашем браузере ключом, которого у нас нет, так что это уже не только вопрос поведения, но и инженерии; что именно это покрывает, а что нет — в разделе Кто может читать содержимое вашей семьи.
• Сведения о здоровье, если вы их записываете: в профиле участника можно перечислить аллергии. По закону это данные о здоровье, и единственная причина, по которой они здесь, — семье нужно находить их быстро. Записывать их или нет — ваш выбор; поле говорит, что это; они зашифрованы ключом семьи, как и всё остальное, читаются только внутри семьи и удаляются вместе с профилем, когда аккаунт удаляют.
• Обращения в поддержку: если вы пишете нам через support.neiliro.com — само сообщение, адрес для ответа и адрес семьи, который вы назвали; хранятся, пока мы работаем над обращением, и ещё год после, чтобы у фразы «мы это уже обсуждали» было куда посмотреть. Форма также сохраняет укороченный односторонний отпечаток вашего IP-адреса — он нужен, чтобы публичную форму нельзя было использовать для заваливания почтового ящика, и никого не идентифицирует.
• Технические записи: ваши активные сессии с IP-адресом и временем последней активности (показываются вам в разделе «Устройства», чтобы вы могли заметить незнакомый вход; сессия, которой не пользовались 30 дней, удаляется); ежедневный счётчик активности на семью — сколько запросов, сколько человек входило в этот день и какие разделы открывались; никогда — что в них было, и никогда — кто что делал. Журнала обращений (access log) нет. В журнале приложения никогда нет содержимого запросов; в нём есть запись о неудачном входе с адресом логина и IP-адресом, откуда он пришёл, — так замечают подбор пароля, — и эти строки затираются обычной ротацией журнала в течение недель.

На каком основании мы это обрабатываем

Закон требует назвать основание для каждого вида обработки. У нас их немного:

• Оказание сервиса, на который вы подписались (договор, ст. 6(1)(b) GDPR): ваш аккаунт, содержимое вашей семьи, письма, без которых аккаунт не работает, план и его состояние.
• Безопасность и работоспособность сервиса (законный интерес, ст. 6(1)(f)): отпечатки IP за публичными формами, строки о неудачных входах в журнале, счётчики активности семей, зашифрованные резервные копии.
• Ваше явное согласие (ст. 9(2)(a)) на сведения о здоровье, которые вы сами вносите в профиль, — дано записью, отозвано удалением.
• Наши обязанности и обещания (ст. 6(1)(c)): уведомление перед изменением этой политики или условий, письма, которые условия обещают перед удалением данных, отметка согласия, говорящая, какую версию документов вы приняли.

Вход через Google — ваш выбор, сделанный в настройках, и стоит на договоре, как и остальной вход.

Сколько мы это храним

• Содержимое и аккаунты вашей семьи: пока существует семья. После окончания бесплатного периода или подписки хаб 60 дней доступен только для чтения, с двумя письмами до того, как что-либо произойдёт, затем удаляется. Удаление семьи или одного участника удаляет данные сразу; зашифрованные резервные копии истекают в течение 14 дней (два дня на сервере, четырнадцать в объектном хранилище).
• Сессии: удаляются через 30 дней без использования или через 90 дней в любом случае.
• Ссылки подтверждения и сброса: неделя и час соответственно, хранятся в виде хэша.
• Обращения в поддержку: год после сообщения.
• Попытки регистрации на этом сайте (отпечаток IP, страна, результат): 90 дней.
• Адреса из списка ожидания: удаляются через 90 дней после закрытия списка.
• Строки журнала приложения: недели, по ротации.
• Счётчики активности и демо: хранятся, потому что в них нет ничего о человеке.
• Письма в семейном ящике: пока их хранит ваша семья. Любой взрослый может удалить письмо, а администратор — задать срок (от трёх месяцев до двух лет), после которого письма удаляются сами; по умолчанию ничего не удаляется.
• Адрес вашей семьи после удаления: поддомен удерживается год, чтобы письма и закладки, адресованные вашей семье, не попали к чужому человеку, затем может быть отдан другим. Запись о том, что семья существовала, остаётся — с платёжными идентификаторами, которых требует бухгалтерия, и без адреса основателя.

Чего мы сознательно не делаем

• Никаких аналитических скриптов, трекеров и рекламы — ни на сайте, ни в приложении. Поэтому нет и баннера о cookie: единственные cookie — те, что держат вас в системе (и, на этом сайте, та, что помнит ваш язык). Единственное исключение — страница оплаты, которая загружает скрипт Paddle, чтобы принять платёж; сама страница об этом говорит.
• Никакого отслеживания открытий и кликов в письмах, никаких рассылок и продуктовых писем, которых вы не просили. Почта, которую получает ваша семья, не проверяется ни на что, кроме автоматических фильтров спама и ограничений размера, — а когда вы её читаете, внешние изображения в письме не загружаются, и отправитель не узнаёт, что письмо открыли.
• Никакой продажи и передачи данных кому бы то ни было и с какой бы то ни было целью. Не существует версии бизнеса Neiliro, в которой продуктом были бы ваши данные.

Кто может читать содержимое вашей семьи

С 10 сентября 2026 — не мы. Всё, что пишет ваша семья — текст заметок, названия событий, задач, счетов, категорий и списков, комментарии к операциям, имена и содержимое файлов, письма на адрес семьи — шифруется в вашем браузере ключом, который никогда не попадает на наши серверы. Мы храним шифротекст и запечатанные конверты ключа: по одному на участника, открываемому его паролем, и один, открываемый кодом восстановления, который приложение показывает семье ровно один раз. Приглашения и ссылки повторного приёма несут ключ в части адреса после знака #, которую браузеры не отправляют ни на какой сервер. Открыть всё это не можем ни мы, ни тот, кто завладеет нашими дисками или резервными копиями. Дизайн и код открыты — запись решения и отслеживающая задача (по-английски).

Что остаётся читаемым и почему. Даты, суммы, валюты, статусы и связи между записями — что событие существует и когда, что платёж был и на сколько, к какой заметке относится файл — остаются открытыми, потому что именно это позволяет серверу сложить бюджет, повторить событие или прислать напоминание. Имена участников и адреса входа читаемы, поскольку идентифицируют аккаунты, — поэтому напоминание о дне рождения несёт читаемое имя. Размер и тип файла читаемы; его имя и содержимое — нет. У письма остаются читаемыми время получения, размер и Message-ID, последний — потому что без него не собрать цепочку; отправитель, тема, текст и вложения запечатаны. Вишлисты читаемы намеренно: они существуют, чтобы показывать их людям вне семьи, и страница вишлиста об этом говорит.

Четыре места, где наш сервер всё же видит слова. Мы предпочитаем перечислить их сами, а не оставлять вам догадываться:

• Входящее письмо на адрес семьи приходит на наш сервер открытым текстом — так устроена электронная почта. Сервер запечатывает его публичным ключом вашей семьи до того, как что-либо записать; открытый текст существует в памяти сервера миллисекунды и никогда не сохраняется и не попадает в журналы.
• Ответ на такое письмо пишется в вашем браузере, но отправляет его наш сервер, который в момент отправки этот текст видит. Сохранённая копия запечатана так же, как входящее письмо, и форма ответа об этом предупреждает.
• Ссылки, несущие ключ. Подписка на календарь, ссылка на одно событие и гостевая ссылка на общий список несут ключ вашей семьи после токена — календарному приложению и гостю нужны слова. Когда такую ссылку открывают, наш сервер использует ключ, чтобы открыть эти записи только для этого запроса; он не хранит ключ и не пишет его в журнал. Это также значит, что ссылка ровно настолько приватна, насколько приватен её держатель: отдайте подписку на календарь Google Calendar — и у Google окажется ключ, открывающий содержимое вашей семьи, а не только ленту. Любую из этих ссылок можно отозвать одной кнопкой в приложении.
• Записи, сделанные до появления ключа. Содержимое, созданное до того, как у семьи появился ключ, хранится как было, пока участник не запустит «Зашифровать написанное до ключа» в Настройки → Ключ семьи — по одному разу на участника, потому что личные записи видит только их владелец. Для этих записей «мы это не читаем» значит то же, что и всегда: не читаем.

От чего это не защищает. Ключ защищён ровно настолько, насколько защищены пароли и устройства, которые его хранят; устройство без ключа видит вместо слов заглушки — в этом и смысл. Сброс пароля возвращает аккаунт, а не ключ: новый пароль не откроет конверт, запечатанный старым, — поэтому храните код восстановления или попросите у другого участника ссылку повторного приёма. Никакое веб-приложение не защитит от оператора, который подменит само приложение; защита здесь в том, что код открыт и сборку можно сверить с ним. И мы говорим «зашифровано ключом, которого у нас нет», а не «zero knowledge»: форма ваших данных — сколько, когда, как часто — нам видна, а какие слова не видны, перечислено выше.

Письма, которые присылает сервис

Пять видов писем, все с адреса no-reply на нашем почтовом домене, и больше ничего — ни рассылок, ни анонсов, ни «мы по вам скучаем»:

• приглашение настроить только что созданную семью — один раз на адрес администратора, когда мы создаём семью;
• просьба подтвердить адрес, с которым входит аккаунт, — при его создании;
• ссылка для сброса забытого пароля — только когда кто-то её запросил;
• уведомление о том, что эта политика или условия скоро изменятся, — администратору вашей семьи до вступления изменений в силу и только когда меняется что-то существенное;
• письма о тарифе семьи — администратору: за неделю и за день до конца бесплатного периода, когда хаб переходит в режим только чтения, и за неделю до удаления данных — каждое один раз. Чеки приходят от Paddle, не от нас.

Каждое письмо приходит простым текстом и, с сентября 2026, ещё и в оформленной версии с теми же словами. Ни в той, ни в другой нет изображений, шрифтов, скриптов и чего-либо ещё, из-за чего почтовая программа обратилась бы к какому-нибудь серверу при открытии письма — это была бы квитанция о прочтении под другим именем, — а нашему почтовому провайдеру запрещено переписывать ссылки и добавлять пиксели отслеживания.

Мы просим подтвердить адрес, потому что он — ключ к восстановлению аккаунта: опечатка при регистрации иначе вручила бы постороннему рабочий вход в вашу семью. Ссылка сброса отправляется только на подтверждённый адрес, одноразовая и не отключает двухфакторную аутентификацию. Поскольку запрос сброса не должен выдавать, есть ли у адреса аккаунт, страница отвечает одинаково в обоих случаях.

Вход через Google

Вход через Google необязателен и выключен, пока вы сами не привяжете его в настройках. Когда вы им пользуетесь, мы просим у Google минимум — что вход состоялся и какому адресу он принадлежит — и храним только идентификатор Google для вашего аккаунта. У нас нет доступа к вашему Gmail, Drive, контактам или чему-либо ещё в вашем аккаунте Google, а Google не узнаёт ничего о том, что внутри хаба вашей семьи. Google, разумеется, видит, что вы вошли в Neiliro; если вам это не нужно — входите по паролю, этот путь доступен всегда.

Где живут ваши данные

Хаб вашей семьи работает в Европейском союзе, на серверах DigitalOcean в Амстердаме, Нидерланды. Данные каждой семьи — отдельная изолированная база. Резервные копии шифруются ключом, который никогда не касается сервера; два дня копий хранятся на самом сервере и четырнадцать — в объектном хранилище Cloudflare в Европейском союзе, после чего истекают. Слова внутри них — уже шифротекст из вашего браузера. Сам диск сервера сегодня не зашифрован.

Две вещи находятся не в Амстердаме, и мы лучше скажем это прямо, чем позволим словам «в ЕС» значить больше, чем они значат. Этот сайт, включая формы регистрации и поддержки и их небольшую базу, работает в сети Cloudflare, которая отвечает оттуда, где вы находитесь; что хранят эти формы, перечислено выше, а Cloudflare обрабатывает это по своему соглашению об обработке данных со стандартными договорными условиями ЕС. И оператор администрирует сервис из Сербии — за пределами ЕС и без решения об адекватности — по зашифрованному соединению с серверами, которые остаются в ЕС; ключ, открывающий резервные копии, есть только у него, а слова вашей семьи внутри них — шифротекст под ключом, которого у него нет. Это разрешится с переездом оператора в ЕС, и политика скажет об этом, когда это произойдёт.

Мы полагаемся на четырёх провайдеров (это наши единственные субпроцессоры):

• DigitalOcean — серверы (Амстердам, ЕС)
• Cloudflare — DNS, этот сайт, формы регистрации и поддержки и их база, а также зашифрованные резервные архивы (объектное хранилище, ЕС)
• Mailgun (регион ЕС) — приём и отправка почты для адреса вашей семьи плюс служебные письма выше; обработка и хранение в ЕС
• Paddle (Paddle.com Market Ltd, Лондон) — платежи: Paddle — продавец подписки (merchant of record), поэтому карта, чек и налоги — его дело по его собственной политике; мы получаем факт и идентификаторы, названные выше

Ваши права — встроены, а не по запросу

• Экспорт: скачайте полный архив семьи из настроек в любой момент, бесплатно, на любом тарифе. Он восстанавливается в self-hosted Neiliro — уйти можно всегда, так задумано.
• Удаление: удаление семьи стирает её базу и файлы; резервные копии истекают в течение 14 дней после этого.
• Исправление: в приложении редактируется всё.
• Ваша собственная копия: Настройки → «Мои данные» дают каждому участнику читаемый файл всего, что видит его аккаунт, расшифрованный в браузере, — право на доступ и переносимость, без просьб к кому бы то ни было.
• Уход: участник может удалить свой аккаунт (Настройки → «Мои данные»), а администратор — удалить участника (Настройки → «Люди»). Удаляется всё, что видел только этот человек: личные заметки, личные календари и счета, профиль, сессии и ключ; что он добавил в общие разделы, остаётся у семьи без его имени.
• По всему остальному, что даёт GDPR, — ограничение обработки, возражение, вопрос об этой политике — пишите на hello@neiliro.com; мы отвечаем в течение месяца. Вы также можете пожаловаться в орган по защите данных страны, где живёте, не спрашивая нас.

Дети

Neiliro сделан для семей, и семейные пространства создаёт и ведёт взрослый администратор. У ребёнка есть аккаунт только тогда, когда родитель или опекун создаёт его внутри своей семьи; это и есть согласие, которого требует закон, и родитель может в любой момент увидеть, исправить и удалить этот аккаунт. Дальше ребёнок пользуется хабом как любой участник — входит, получает сессию, пишет на общей доске, — и о нём не собирается ничего сверх того, чего требует само использование. Сервис не предлагается детям самостоятельно, и мы никогда осознанно не создаём аккаунт ребёнка вне семьи родителя. Семейный почтовый ящик детскому аккаунту не показывается: счета, письма из школы и бронирования адресованы семье, а детский аккаунт нужен для его задач и общего календаря, не для семейной корреспонденции.

Публичное демо

Демо на demo.neiliro.com выдаёт каждому гостю одноразовую песочницу, которая удаляется при выходе или после двух часов бездействия. Мы ведём анонимные счётчики посещений демо (сколько, какие разделы открывали, с какого сайта пришли, с телефона или с компьютера) — никогда не кто вы и не что вы вводили.

Если что-то пойдёт не так

Если утечка затронет ваши персональные данные, мы уведомим вас и соответствующий надзорный орган в течение 72 часов с момента обнаружения и прямо расскажем, что случилось и что мы с этим делаем.

Изменения

Если политика изменится в чём-то существенном, мы напишем администратору вашей семьи не позднее чем за 14 дней до вступления изменений в силу, а в хабе администратор увидит уведомление, пока не закроет его. Косметические правки — опечатки, ссылки, более ясная формулировка того же правила — уведомления не требуют. Актуальная версия всегда живёт по этому адресу; в спорном случае действует английский текст. Что и когда менялось, от нового к старому:

• 14 сентября 2026 — основание для каждого вида обработки и срок хранения каждого — в собственных разделах; письма в семейном ящике: не показываются детским аккаунтам, внешние изображения не загружаются, администратор может задать срок хранения; адрес семьи удерживается год после удаления; сведения о здоровье в профилях названы тем, что они есть; два места за пределами Амстердама (этот сайт в сети Cloudflare, зашифрованная копия резервных копий у оператора в Сербии); строки о неудачных входах в журнале; собственная копия и собственный уход участника как встроенные права; аккаунты детей описаны так, как они работают. Уточнения и новые права, а не изменение практики — уведомление не рассылалось.
• 13 сентября 2026 — создание семьи с этого сайта; подписка и Paddle как продавец; пятый вид письма (о плане семьи); политика возвратов.
• 10 сентября 2026 — шифрование вышло: что запечатано ключом семьи, что остаётся читаемым и четыре места, где слова всё ещё проходят через сервер.
• 9 сентября 2026 — согласие, записываемое при создании аккаунта; что содержит счётчик активности семьи; четвёртый вид письма (это уведомление).
• 5 сентября 2026 — кто сегодня может прочитать содержимое вашей семьи, прямо; резервные копии зашифрованы ключом, который не бывает на сервере.
• 26 августа 2026 — восстановление доступа: сброс пароля по почте на подтверждённый адрес, подтверждение адреса входа.
• 24 августа 2026 — первая публикация.