Политика обработки персональных данных «Ладим»
1. Кто обрабатывает данные
Оператор персональных данных — разработчик сервиса «Ладим» (далее — «мы»). Сервис «Ладим» включает сайт ladim.app, веб-кабинет и мобильные приложения.
Связаться по вопросам данных: hello@ladim.app.
2. Что мы собираем и зачем
| Данные | Зачем | Основание |
|---|---|---|
| Адрес электронной почты | Вход по коду, письма о работе аккаунта | Исполнение пользовательского соглашения |
| Адрес почты в листе ожидания, язык | Сообщить о запуске; новости и предложения — только при отдельном согласии | Согласие на обработку; отдельное согласие на рассылку |
| Сведения об устройствах: идентификатор установки, токен для пуш-уведомлений, язык, версия приложения | Доставлять уведомления, не присылать дважды то, что устройство напомнит само | Исполнение соглашения |
| Настройки: тема, язык, какие уведомления присылать | Работа приложения так, как вы его настроили | Исполнение соглашения |
| Содержимое, которое вы создаёте: дела, шаги, заметки, сроки, пространства, участники кругов | Работа сервиса и синхронизация между вашими устройствами и участниками пространства | Исполнение соглашения |
| Технические журналы: время запросов, ошибки | Безопасность и исправление ошибок | Законный интерес |
| Страна по IP-адресу, часовой пояс устройства и страна магазина приложений; технические признаки решения о доступных способах входа могут сохраняться | Показать доступные способы входа и проверять работу регистрации | Исполнение соглашения, требования закона |
Страну по IP-адресу определяем по базе IP to Country Lite от DB-IP (лицензия CC BY 4.0).
Мы не собираем номера банковских карт, не продаём данные и не используем их для рекламы третьих лиц.
В приложениях iOS и Android до выбора ограниченная очередь продуктовых событий хранится только на устройстве и не отправляется на сервер. Если разрешить аналитику, накопленные и новые события отправляются; при отказе очередь удаляется и новый сбор прекращается. Диагностика ошибок и падений включается только после отдельного согласия на этом устройстве. Отказ не ограничивает функции; выбор можно изменить в разделе «Аналитика и диагностика». Отзыв останавливает новый сбор и удаляет локальную очередь, но не удаляет уже принятые PostHog события. В веб-версии продуктовая статистика и диагностика отправляются автоматически, без отдельного переключателя отключения. В них входят названия экранов и действий, время, язык, платформа, версия приложения, технический идентификатор установки и, после входа, идентификатор аккаунта. Это позволяет находить ошибки и проверять работу функций. Такая статистика связана с установкой или аккаунтом и не является анонимной.
В продуктовые события не включаются названия дел, заметки, содержимое целей, привычек, файлов и переписки. Используются заранее определённые технические поля; сообщения об ошибках и стек проходят фильтрацию адресов почты, токенов, идентификаторов и параметров URL. В iOS свободная причина исключения заменяется техническим кодом; дополнительно передаются только диапазон длительности и исход синхронизации, основная/дополнительная версия iOS и класс устройства (телефон/планшет/другое). Это снижает риск случайной передачи содержимого, но не гарантирует анонимность. Запись экрана, session replay и автоматический сбор произвольных действий в PostHog выключены.
Дополнительные метрики скорости веба могут запрашивать отдельное согласие. Выбор «Только обязательные» относится к этим дополнительным метрикам и не отключает продуктовую статистику.
Входящие из выбранных личных чатов Telegram включаются только с отдельного согласия. Текст, имена и предложения шифруются в базе, срок хранения — до 7 дней. Серверный ИИ требует отдельного разрешения; возможен ручной или локальный разбор в iOS. Служебные идентификаторы используются для доступа и защиты от дублей. Отключить и очистить входящие можно в Ладиме или удалением бота из автоматизации Telegram. Подробнее: как работают входящие и что означает согласие.
Отдельный диалог Шуршика в личке Telegram включается командой /chat с новым согласием и собственным серверным ключом ИИ. Текст и ответы видны Telegram и выбранному провайдеру, это не E2E-чат приложения. Контекст ограничен обычными доступными делами без заметок и вложений. Отдельная история шифруется, хранит последние 12 реплик до 7 дней после активности и очищается командами /chat_clear или /chat_off; копии Telegram и провайдера этим не удаляются. Подробные границы и отключение — в том же документе о Telegram.
Google-календарь
Подключается только вами, отдельной кнопкой в записи на время, через окно согласия Google. Мы запрашиваем доступ calendar.events.owned и используем его только для трёх задач:
- организатор записи: создать событие с Google Meet на время, на которое к нему записались, добавить в него записавшихся и убрать или обновить его при отмене, переносе или смене состава;
- записавшийся: положить свою запись в свой календарь и убрать или обновить её при отмене или переносе;
- узнать адрес вашего Google-аккаунта, чтобы показать, какой календарь подключён.
Технически этот доступ позволяет видеть и менять события в календарях, которыми вы владеете. Ладим обращается только к событиям, которые создал сам, по их идентификаторам; другие события не читает, не копирует и не хранит. В событие попадают название дела, время, ссылка на встречу и адреса почты записавшихся, у которых не подключён свой Google-календарь, — им Google пришлёт приглашение.
Храним: адрес Google-аккаунта и токен обновления доступа (зашифрован), идентификаторы созданных событий и их состояние. Отключить можно в записи на время кнопкой «Отключить»: мы отзываем доступ у Google и удаляем токен; уже созданные события остаются у вас в календаре. Доступ можно отозвать и в настройках аккаунта Google.
Использование и передача информации, полученной через Google API, соответствуют Google API Services User Data Policy, включая требования Limited Use. Мы не используем эти данные для рекламы, не продаём их, не передаём третьим лицам, кроме самого Google для работы функции, и не используем их для обучения моделей ИИ. Люди из нашей команды не читают эти данные, кроме случаев, когда вы сами просите помочь, этого требует безопасность или закон.
3. Что видит сервер
Сервер обрабатывает обычные дела, заметки и пространства для синхронизации, совместной работы и напоминаний. Доступ зависит от аккаунта и прав участников. Сквозное шифрование, при котором сервер не может прочитать содержимое дел, в текущей версии не реализовано. Приватность пространства ограничивает доступ участников и не означает E2E-шифрование.
Ключи подключения к серверным ИИ и содержимое входящих из выбранных чатов Telegram шифруются перед сохранением отдельными механизмами. Сервер может расшифровать их для разрешённой функции. Это не шифрование всех полей базы и не E2E-защита от сервера.
В гостевом режиме iPhone и Android личная база хранится на устройстве. Она не синхронизируется в облако Ладима до входа и подтверждения переноса. Удаление приложения или потеря устройства может привести к потере несинхронизированных данных. Техническая статистика работы приложения описана отдельно выше.
4. Где хранятся данные
Основная база пользовательского содержимого и хранилище файлов размещены в Российской Федерации. Техническая статистика и данные внешних функций — отдельные потоки; обработка через наш сервер не меняет страну хранения у конечного получателя.
Некоторые данные передаются за рубеж, потому что без этого функция не работает:
| Кому | Что | Зачем |
|---|---|---|
| Apple Inc. (США), сервис APNs | Токен устройства и текст уведомления | Доставка пуш-уведомлений на iPhone и iPad |
| Google / Firebase Cloud Messaging | Токен уведомлений и идентификатор установки, технические данные приложения/устройства, идентификатор получателя и служебный сигнал без названий дел, заметок и вложений | Уведомления Android после их подключения; Firebase Analytics не подключён |
| Сервисы веб-уведомлений браузеров (Google, Mozilla, Apple) | Адрес подписки и зашифрованное уведомление | Уведомления в браузере — если вы их включили |
| Сервис отправки писем | Адрес почты и текст письма | Отправка кода входа и писем |
| PostHog Cloud EU | Технические события, идентификаторы установки/аккаунта и отфильтрованная диагностика | Анализ работы сервиса и ошибок; облачное хранение за пределами РФ |
| Выбранный серверный провайдер ИИ | Текст запроса и контекст разрешённой функции | Ответ помощника, если выбран серверный ИИ и дано разрешение на отправку |
| Telegram | Сообщения и идентификаторы в разрешённых сценариях бота и входящих | Работа подключённого Telegram; сообщения видны Telegram |
| Google LLC (США), Google Календарь и Meet — если вы подключили календарь | Название дела, время, ссылка на встречу, адреса почты записавшихся без своего подключения | Создать встречу Google Meet и положить запись в ваш календарь |
5. Сколько храним
- Личные записи в основной базе — пока аккаунт существует. Удаление аккаунта запускает отсрочку 30 дней с возможностью отмены, затем очищаются личные данные. Общие записи остаются у круга. Резервные копии заменяются по циклу хранения отдельно от основной базы.
- Удалённые дела — 90 дней в корзине синхронизации, затем удаляются окончательно.
- Техническая история доставки уведомлений — 90 дней, затем очищается фоновым заданием. Сам текст уведомления и итоговый статус остаются в центре уведомлений до удаления аккаунта.
- Лист ожидания — до уведомления о выпуске сервиса или до отзыва согласия, но не дольше 730 дней. Адрес удаляется также из волн рассылки.
- Подключение Google-календаря — пока вы его не отключите; идентификаторы созданных событий — пока существует запись на время, к которой они относятся.
- Технические журналы сервера — не дольше 30 дней; централизованная диагностическая копия — до 7 дней.
Удаление аккаунта в Ладиме само по себе не удаляет ранее переданные события в PostHog или копии сообщений у Telegram и выбранного ИИ-провайдера. Для запроса на удаление переданных данных напишите на hello@ladim.app; для данных непосредственно в вашем аккаунте внешнего сервиса используйте его настройки. Сроки и порядок у внешних получателей рассматриваются отдельно от очистки основной базы.
В PostHog Cloud EU сейчас используется бесплатный план. Для такого плана провайдер описывает годовое окно запросов к событиям; оно не означает автоматическое физическое удаление через год. Отдельный гарантированный срок автоматического удаления событий для нашего проекта не установлен. Для удаления используем отдельную процедуру PostHog: удаление профиля вместе со связанными событиями и проверку завершения фоновой операции. Запрос можно направить на hello@ladim.app; для поиска соответствующих записей может потребоваться подтверждение принадлежности аккаунта или идентификатора установки.
6. Ваши права
Вы можете узнать, какие данные мы храним, исправить их, удалить аккаунт и отозвать согласие. Удалить аккаунт можно в приложении или в веб-кабинете; остальное — письмом на hello@ladim.app. Отвечаем в течение 10 рабочих дней.
От рассылок можно отказаться в настройках уведомлений. Для отзыва заявки в листе ожидания напишите на hello@ladim.app: удалим заявку и копии адреса в волнах рассылки.
7. Дети
Ребёнок может пользоваться сервисом в семейном круге с согласия родителя.
8. Безопасность
Данные передаются по HTTPS. Права доступа к содержимому проверяются сервером. Пароли и токены обновления сессии хранятся в виде хешей. Для отдельных секретов подключения и сценариев Telegram применяется описанное выше шифрование при хранении. Эти меры не означают, что сервер не может обрабатывать обычное содержимое сервиса.
9. Изменения
Мы публикуем новую версию политики на этой странице с датой. О существенных изменениях сообщаем в приложении или по почте.
Порядок удаления аккаунта и запрос без доступа к приложению: инструкция.