# Политика обработки персональных данных

> Юрист ещё не проверил этот текст. Если вы заметили неточность, напишите на privacy@polochka.app.

Редакция от 8 октября 2026.

## 1. Оператор

Сервис «Полка» работает на polochka.app и polochka.page (далее — Полка). Его предоставляет Круглов Артем Игоревич, физическое лицо (далее — оператор). Персональные данные пользователей Полки обрабатывает он в роли оператора по Федеральному закону № 152-ФЗ «О персональных данных».

- Почта для любых вопросов о данных: privacy@polochka.app

Код Полки открыт под лицензией GNU AGPL-3.0 (версии до v0.1.0-rc.5 включительно — под Apache-2.0). Эта политика действует только для установки на polochka.app и polochka.page. Кто запускает свою копию Полки, сам отвечает за данные в ней.

## 2. Чьи данные обрабатываются

- **Владельцы полок.** Это люди, которые вошли в Полку по почте, через Яндекс ID, VK ID или Google или получили логин от оператора.
- **Получатели ссылок.** Им не нужен аккаунт. О них Полка знает только IP-адрес в момент запроса. Если получатель пожаловался на работу, сохраняется ещё и его жалоба. В статистике использования отмечается только то, что ссылку открыли, но не кто её открыл (см. раздел 3).
- **Приглашённые в библиотеку шаблонов.** Для них хранится адрес почты, который ввёл пригласивший.
- **Авторы комментариев и реакций** к работам по ссылке (см. раздел 3).
- **Те, кто оставил заявку на странице «Для компаний».** Им не нужен аккаунт.
- **Те, кто пишет оператору.**

Иногда в работах владельцев есть данные других людей. Полка хранит их как часть содержимого и не использует отдельно от него. За то, что эти данные попали в работу законно, отвечает владелец полки (см. [Пользовательское соглашение](terms.md)).

## 3. Какие данные, зачем, на каком основании и сколько хранятся

Во всех случаях оператор собирает, записывает, хранит, использует, передаёт и удаляет данные, как описано ниже. Обработка автоматизированная.

**Аккаунт и вход**

- Что хранится: адрес почты; отображаемое имя; служебные поля. Отображаемое имя при регистрации по почте — это часть адреса до «@», не больше 40 символов. Служебные поля: внутренний идентификатор, дата создания, время подтверждения почты, отметки о доверии, блокировке и запросе удаления. У аккаунтов, которые создал оператор, есть ещё логин и хеш пароля (scrypt).
- Для входа: запрос кода. В нём адрес, отпечаток кода (HMAC; сам код не хранится), хеш метки браузера и число попыток. Сессия хранится только как SHA-256 хеш cookie со сроком.
- Зачем: чтобы вы могли войти и пользоваться своей полкой. На адрес приходит письмо с кодом входа.
- Основание: исполнение Пользовательского соглашения, стороной которого вы являетесь (п. 5 ч. 1 ст. 6 152-ФЗ).
- Сколько хранится: аккаунт — пока он существует. Запрос кода действует 10 минут, после этого запись удаляется при ближайшей служебной очистке. Сессия живёт 7 дней, а после выхода удаляется сразу.

**Вход через Яндекс ID и VK ID**

- Что хранится: идентификатор вашего аккаунта у Яндекса или VK, адрес почты и имя, которые сервис передал при входе, отметка, подтвердил ли он адрес, время привязки и последнего входа. Токены доступа Яндекса и VK Полка не сохраняет: они нужны один раз, чтобы получить эти данные.
- Если сервис подтвердил адрес и на нём уже есть полка, вход открывает эту полку. Если нет — открывается новая полка, а адрес к ней не привязывается.
- Если оператор включил доступ для домена компании, то при входе с подтверждённым адресом этого домена вы становитесь участником её библиотеки шаблонов (см. «Библиотеки шаблонов»).
- Зачем: чтобы вы могли входить через российскую систему авторизации (ч. 10 ст. 8 Федерального закона № 149-ФЗ).
- Основание: исполнение Пользовательского соглашения (п. 5 ч. 1 ст. 6 152-ФЗ).
- Сколько хранится: пока привязка существует. Её можно отвязать в разделе «Агенты» → «Способы входа», если у полки остаётся другой способ входа. Привязки удаляются сразу, как только вы попросили удалить аккаунт.

**Вход через Google**

- Когда доступен: на polochka.app — только как дополнительный способ входа в полку, которую вы уже открыли другим способом. Привязать Google можно в разделе «Агенты» → «Способы входа». Новая полка через Google на polochka.app не открывается, временную полку Google не закрепляет.
- Что Полка получает от Google при входе: идентификатор вашего аккаунта Google (`sub`), адрес почты и отметку, подтвердил ли его Google, имя и адрес картинки профиля (аватара). У рабочих аккаунтов Google Workspace — ещё домен организации.
- Что хранится: идентификатор аккаунта Google, адрес почты и отметка о его подтверждении, домен организации Google Workspace, если он есть, время привязки и последнего входа. Имя хранится как отображаемое имя полки, если полка открылась через Google. Картинку профиля Полка не сохраняет и не показывает. Токены Google Полка не сохраняет: они нужны один раз, чтобы получить эти данные.
- Адрес из Google учитывается, только если Google сообщил, что подтвердил его.
- Зачем: чтобы вы могли входить в свою полку через аккаунт Google.
- Основание: исполнение Пользовательского соглашения (п. 5 ч. 1 ст. 6 152-ФЗ).
- Сколько хранится: пока привязка существует. Её можно отвязать там же, если у полки остаётся другой способ входа. Привязка удаляется сразу, как только вы попросили удалить аккаунт.

**Временная полка (без регистрации)**

- Когда вы подключаете агента и нажимаете «Начать без регистрации», Полка открывает временную полку. У неё нет адреса почты, имени и способа входа: её держит только cookie сессии этого браузера. Служебные поля — внутренний идентификатор, время создания и время, когда полку закрепили.
- Временная полка сохраняет работы приватно и работает с агентами, но не выдаёт ссылок и не публикует, пока вы её не закрепите — не войдёте через Яндекс ID, VK ID или по почте. При закреплении способ входа привязывается к этой же полке. Если он уже открывает другую вашу полку, Полка предложит объединить их: работы, ссылки и подключения агентов временной полки перейдут в ту полку, а временная закроется.
- Зачем: чтобы подключить агента можно было сразу, без регистрации.
- Основание: исполнение Пользовательского соглашения (п. 5 ч. 1 ст. 6 152-ФЗ).
- Сколько хранится: сессия временной полки — 30 дней и продлевается при каждом посещении. Если 30 дней не открывать полку, не пользоваться агентами и ничего не сохранять, полка удаляется вместе с работами при ближайшей служебной очистке; из резервных копий — когда они истекут (до 30 дней).

**Ссылка для входа от агента**

- По просьбе «Открой мою Полку» агент даёт ссылку. Для закреплённой полки это страница входа: в ссылке нет секрета, только зашифрованный указатель на полку. Страница показывает имя полки и способы входа, почту — частично скрытой.
- Для незакреплённой временной полки агент может дать одноразовую ссылку, которая открывает её в браузере. Для этого при подключении должно быть отмечено «Давать ссылку для входа». Хранится SHA-256 хеш случайного токена ссылки: сам токен не хранится, а в адресе стоит после «#», поэтому не попадает на сервер и в журналы. Ещё хранятся подключение, которое выдало ссылку, время выдачи, срок и время использования. В журнал действий записывается, какое подключение впустило браузер, без токена.
- Ссылка действует 5 минут и один раз, после вашего подтверждения на странице. По ней можно смотреть полку. Закрепить её, подключать агентов и удалить полку можно только после входа через Яндекс ID, VK ID или по почте. Выключить выдачу ссылок можно у подключения в разделе «Агенты».
- Основание: исполнение Пользовательского соглашения (п. 5 ч. 1 ст. 6 152-ФЗ).
- Сколько хранится: запись о ссылке удаляется через сутки после истечения срока, а также вместе с подключением.

**Работы и ссылки**

- Что хранится: файлы, которые вы или ваш агент сохраняете (HTML, текст, изображения, наборы файлов); их названия, имена файлов, папки, версии, размеры и контрольные суммы; собранные интерактивные версии.
- Ссылки: хеш токена, срок, версия, отметка об отзыве. Сам токен сервер не хранит.
- Журнал действий: кто (вы или агент) и когда сохранил версию, изменил работу, отправил её в корзину, включил или отозвал ссылку.
- Журнала просмотров по ссылке нет.
- Зачем: хранить и показывать сохранённое, вести версии и ссылки.
- Основание: исполнение Пользовательского соглашения (п. 5 ч. 1 ст. 6 152-ФЗ).
- Сколько хранится: пока существует аккаунт. Корзина прячет работу, но не удаляет её.
- Ссылка действует 1, 7 или 30 дней, а запись о ней остаётся в базе.
- Версии файлов хранятся, пока существует работа: ссылка должна показывать ровно ту версию, которой вы поделились.

**Подключения агентов**

- Что хранится: название подключения, выбранные права, срок, время последнего обращения, хеш токена. Для подключений через OAuth — ещё название клиента и адреса возврата, которые сообщил сам клиент, и хеши кодов и токенов.
- Зачем: чтобы ваш агент работал с полкой в пределах прав, которые вы ему дали.
- Основание: исполнение Пользовательского соглашения (п. 5 ч. 1 ст. 6 152-ФЗ).
- Сроки: токен агента действует до 30 дней. Подключение через OAuth — до 365 дней, если токен обновляется не реже раза в 30 дней.
- Запись об отключённом или истёкшем подключении хранится, пока существует аккаунт. Незавершённые регистрации OAuth-клиентов удаляются через 30 дней.

**Библиотеки шаблонов**

- Что хранится: участники, их роли и отображаемые имена, которые видят другие участники. В приглашении — адрес почты приглашённого, который ввёл пригласивший, и хеш токена приглашения. На этот адрес Полка отправляет письмо с приглашением: название библиотеки, логин пригласившего и ссылку. Больше трёх таких писем на один адрес в сутки не уходит, от одного пригласившего — не больше двадцати. Других писем приглашённому Полка не шлёт.
- Основание: для участников — исполнение Пользовательского соглашения. Для адреса приглашённого — законный интерес пригласившего: позвать этого человека в библиотеку (п. 7 ч. 1 ст. 6 152-ФЗ).
- Сколько хранится: пока существует библиотека.

**Комментарии и реакции**

На polochka.app комментарии получателей выключены. К работе пишет заметки только её владелец (сам или через своего агента). Получатели ссылки заметки читают, но не отвечают на них. Реакций и писем о заметках нет. Комментарии получателей, оставленные раньше, скрыты от всех и хранятся по правилам ниже. Остальная часть раздела описывает установки, где комментарии получателей включены.

- Что хранится: текст комментария (до 2000 символов), цитата из работы, к которой он привязан, версия, ссылка, автор (аккаунт) и время; ответы, отметки «Решено» и «удалён»; реакции (эмодзи, фрагмент или вся работа, автор, время). Отдельно хранится имя для комментариев и настройка писем о них.
- Имя: перед первым комментарием Полка просит выбрать имя, под которым вас увидят; его можно изменить в панели комментариев. Имя с «@» не принимается, адрес почты в комментариях и письмах не показывается.
- Кто видит: комментарии к ссылке видят все, у кого эта ссылка открыта, и владелец работы; получатели другой ссылки на ту же работу их не видят. После отзыва или истечения ссылки обсуждение видит только владелец. Писать могут только вошедшие пользователи.
- Письма: владельцу работы — о новых комментариях, участникам обсуждения — об ответах в нём. Не больше 30 писем в сутки на адрес; в письме до 300 символов комментария и имя автора, без чужих адресов. Отключаются ссылкой в каждом письме или в панели комментариев; на письма с кодом входа это не влияет.
- Проверка: в комментариях Полка автоматически отмечает признаки фишинга (например, «введите пароль» или адрес сайта); эти отметки видит только оператор. На комментарий можно пожаловаться так же, как на работу.
- Основание: исполнение Пользовательского соглашения (п. 5 ч. 1 ст. 6 152-ФЗ).
- Сколько хранится: пока существуют работа и ссылка, к которой оставлен комментарий. Текст, цитата и отметки удалённого комментария стираются сразу; если на него уже ответили, остаётся пустая отметка «Комментарий удалён». Комментарии и реакции удаляются вместе с аккаунтом автора (на что ответили другие — остаётся такой же пустой отметкой), а все обсуждения работы — вместе с аккаунтом её владельца.

**Защита от злоупотреблений**

- IP-адрес: используется в момент запроса, чтобы ограничивать частоту входа, регистраций, жалоб, заявок компаний и запросов агентов. В базу IP-адрес попадает только внутри SHA-256 хеша ключа счётчика. Счётчик живёт 10 минут или сутки, потом удаляется.
- Жалобы: причина, необязательный комментарий до 1000 символов, ссылка и версия или комментарий, на которые пожаловались. Кроме того, хранится HMAC-отпечаток пары «IP-адрес и ссылка» с секретным ключом: по нему Полка отличает жалобы разных людей на одну ссылку. Сам IP-адрес не хранится, и узнать по отпечатку, кто пожаловался на другие ссылки, нельзя.
- Проверка содержимого: при сохранении и при создании ссылки Полка автоматически проверяет тексты, названия, изображения, код страниц и комментарии на запрещённое содержимое и фишинг — сначала правилами, затем моделями искусственного интеллекта в Yandex Cloud AI Studio (раздел 5). К версии записываются найденные категории, счёт и слова из списков Полки, отпечаток текста для поиска одинаковых публикаций и ответы моделей (категория и короткое пояснение). Текст работы в эти записи не копируется.
- Отметки модерации: состояние ссылки («на проверке», «приостановлена», «заблокирована»), причина и время, доверие к автору.
- Письма оператору о модерации: название работы, тип, внутренний логин аккаунта, возраст аккаунта, причина, текст жалобы. Адреса почты автора в письме нет.
- Зачем: защищать сервис, пользователей и получателей ссылок от перебора кодов, спама, фишинга и другого незаконного содержимого; разбирать жалобы.
- Основание: законные интересы оператора и пользователей Полки (п. 7 ч. 1 ст. 6 152-ФЗ).
- Сколько хранится: счётчики — до суток. Жалобы — один год с даты жалобы, затем удаляются автоматически. Признаки и отметки — вместе с версией, ссылкой или аккаунтом.

По результату автоматической проверки ссылка открывается, ждёт проверки оператора или блокируется. Блокирует автоматика только явные нарушения; остальное решает оператор, и любое решение можно обжаловать письмом на privacy@polochka.app.

**Заблокированное содержимое и журнал модерации**

- Заблокированное содержимое изолируется: его не видит никто, включая владельца и оператора, копии не делаются. Цель — сохранить доказательство на случай проверки или запроса правоохранительных органов, а не распространение. Сколько хранится: материалы с участием детей, терроризм, экстремизм, наркотики, оружие и материалы по требованию госорганов — до 90 дней или до передачи в полицию; порнография, интимные изображения, персональные данные, фишинг и вредоносный код — 30 дней; затем удаляются все версии файлов. Работы, у которых только закрыты ссылки (казино, суицид, обход блокировок, пиратство, спам, авторские права), остаются у владельца, пока он их не удалит. Если закон или орган требует хранить дольше, срок продлевается до исполнения требования.
- Журнал модерации: кто принял решение (автоматика или оператор), что сделано, когда, с чем (идентификаторы аккаунта, работы, версии, ссылки, комментария), по какой причине и на основании какого требования, а также контрольная сумма SHA-256, размер и тип файлов. Содержимого, названий и имён файлов в журнале нет. Контрольные суммы заблокированных файлов используются, чтобы тот же файл нельзя было сохранить снова.
- Зачем: защищать получателей, выполнять требования закона и госорганов, подтверждать, что оператор действовал добросовестно.
- Основание: законные интересы оператора (п. 7 ч. 1 ст. 6 152-ФЗ) и исполнение обязанностей по закону (п. 2 ч. 1 ст. 6 152-ФЗ).
- Сколько хранится: журнал и сведения о нарушителе — 3 года после решения; они не удаляются вместе с аккаунтом. Удалённое содержимое остаётся в резервных копиях базы и хранилища, пока копии не истекут: до 30 дней.

**Заявки компаний**

- Что хранится: контакт для ответа — рабочая почта или имя пользователя в Telegram; если вы их указали — имя, компания, размер команды и комментарий до 2000 символов; что вас интересует (облако, своя установка, коммерческая лицензия или другое), дата заявки. Отдельно — отметка, что письмо с заявкой отправлено оператору.
- Как: вы оставляете контакт на странице polochka.app/enterprise и подтверждаете, что прочитали эту политику. Копия заявки приходит оператору письмом на hello@polochka.app.
- Зачем: ответить на вашу заявку и обсудить условия, на которых ваша компания может пользоваться Полкой: облако, своя установка, коммерческая лицензия, поддержка.
- Основание: обработка нужна, чтобы по вашему запросу совершить действия, предшествующие заключению договора (п. 5 ч. 1 ст. 6 152-ФЗ). Отдельное согласие не требуется.
- Сколько хранится: запись о заявке — один год с даты заявки, затем удаляется автоматически. Письмо с заявкой и дальнейшая переписка хранятся как обращения к оператору (см. ниже). Если по заявке заключён договор, данные для его исполнения хранятся по условиям договора и закона.

**Обращения к оператору**

- Что хранится: ваш адрес почты, текст письма и ответ.
- Зачем: ответить вам, выполнить ваш запрос о данных, разобрать жалобу.
- Основание: исполнение Пользовательского соглашения. Для запросов о персональных данных — исполнение обязанностей оператора по 152-ФЗ (п. 2 ч. 1 ст. 6).
- Сколько хранится: пока нужно для ответа и учёта обращений, но не дольше трёх лет.

**Статистика использования**

- Что хранится: обезличенные события использования — какие шаги проходят пользователи: открытие публичных страниц Полки (главная, /connect, /enterprise, /pricing, /discover, /signup), регистрация и её способ (почта, Яндекс ID, VK ID, вход компании, логин от оператора), подключение агента и тип клиента (например, Claude, ChatGPT, Codex, токен), сохранение работы, создание ссылки, открытие ссылки получателем, показ подсказки «сделали с ИИ и сохранили на Полку» получателю ссылки или читателю Ленты и нажатие в ней (только какая кнопка и какая из двух страниц, без ссылки, материала и читателя), заметка к работе, заявка компании, источник перехода и дни, в которые аккаунт чем-то пользовался. Источник перехода — это метка `ref` из ссылки, по которой пришли (до 40 латинских букв, цифр и знаков `._-`), и домен сайта, с которого пришли, без полного адреса страницы.
- Как: Полка считает эти события сама, на своих серверах, без cookies, сторонних сервисов и IP-адресов. Адреса страниц целиком, данные браузера, почта, имя и содержимое работ в статистику не попадают. Идентификатор аккаунта хранится только в виде необратимого хеша (HMAC с секретным ключом оператора). Получатель ссылки никак не отмечается: считается только, что ссылку открыли, и не чаще раза в сутки на ссылку. Открытия страниц ботами, предпросмотрами ссылок и вошедшими пользователями не считаются. Источник перехода вкладка браузера хранит до регистрации (раздел 8).
- Зачем: понимать, на каких шагах людям трудно, и улучшать сервис.
- Основание: законный интерес оператора в улучшении сервиса (п. 7 ч. 1 ст. 6 152-ФЗ).
- Сколько хранится: сырые события — 13 месяцев, затем удаляются автоматически. Дольше хранятся только суммарные счётчики по дням, в которых нет ни аккаунтов, ни хешей.
- Возражение: если вы не хотите попадать в статистику, напишите на privacy@polochka.app. Оператор удалит события вашего аккаунта и больше не будет их записывать. При удалении аккаунта его события удаляются тоже.

**Резервные копии**

- Копия базы делается в отдельное хранилище каждый час, журнал изменений базы копируется туда же непрерывно, файлы работ копируются в отдельное хранилище, недоступное приложению. Копии базы удаляются автоматически через 30 дней, журнал изменений — через 8 дней, удалённые файлы работ — из копии не позже чем через 30 дней.
- Основание: законный интерес не потерять данные при сбое (п. 7 ч. 1 ст. 6 152-ФЗ).

## 4. Чего Полка не делает

- На страницах Полки нет рекламы, трекеров, сторонних счётчиков посещений и сторонних скриптов. Статистику использования Полка считает сама, на своих серверах, без cookies и IP-адресов (раздел 3, «Статистика использования»).
- Веб-сервер не ведёт журнал запросов. Приложение не пишет в журналы адреса страниц, IP-адреса и тела запросов. Ошибки записываются кодом, без содержимого.
- Оператор не продаёт данные и не использует ваши работы для рекламы или обучения ИИ-моделей.
- Полка не рассылает рекламу и новости. Она отправляет только служебные письма: код входа и уведомления о комментариях (их можно отключить).

## 5. Где хранятся данные и кому они передаются

- **Хранение в России.** Все данные Полки записываются и хранятся в России, в Yandex Cloud (ООО «Яндекс.Облако»). База PostgreSQL работает на виртуальной машине в регионе ru-central1. Файлы и резервные копии лежат в Yandex Object Storage. Письма отправляются через Yandex Cloud Postbox. Yandex Cloud обрабатывает данные по поручению оператора как поставщик инфраструктуры.
- **Автоматическая проверка содержимого.** Тексты, изображения и сжатый вид кода работ передаются для проверки моделям искусственного интеллекта в Yandex Cloud AI Studio (ООО «Яндекс.Облако», Россия) по поручению оператора. Запросы помечаются так, чтобы Яндекс их не сохранял в своих журналах; модели на данных Полки не обучаются. Трансграничной передачи нет.
- **Почта оператора.** Адреса privacy@polochka.app и hello@polochka.app обслуживает Яндекс 360 для бизнеса, данные хранятся в России. Туда попадают письма, которые вы отправляете оператору, заявки со страницы «Для компаний» и служебные письма о модерации (что в них есть, описано в разделе 3). Трансграничной передачи нет.
- **Ваш почтовый сервис.** Код входа и уведомления уходят на адрес, который вы указали. Дальше письмо обрабатывает ваш почтовый сервис.
- **Яндекс ID и VK ID.** Если вы входите через них, вы авторизуетесь у Яндекса (ООО «Яндекс») или VK (ООО «ВК») по их правилам. Полка сообщает им только, что вы входите в Полку: идентификатор приложения и адрес возврата. От них Полка получает данные, перечисленные в разделе 3. Трансграничной передачи нет.
- **Google.** Если вы входите через Google, вы авторизуетесь у Google LLC (США) по его правилам: ваш браузер сам переходит на страницу Google и возвращается в Полку. В этой переадресации Google видит только, что вы входите в Полку: идентификатор приложения и адрес возврата. Чтобы получить данные о входе, сервер Полки отправляет Google одноразовый код входа, идентификатор и секрет приложения — персональных данных в этом запросе нет. Ваших данных Полка Google не передаёт. От Google Полка получает данные, перечисленные в разделе 3, и хранит их в России.
- **Ваши ИИ-агенты.** Полка сама ничего не отправляет разработчикам ИИ-моделей. Если вы подключаете агента (Claude, ChatGPT, Codex и т. п.), он получает доступ к полке по вашему поручению и в пределах выбранных вами прав. То, что агент прочитал или сохранил, обрабатывает его поставщик по вашему договору с ним. Отключить агента можно в разделе «Агенты».
- **Сервисы без доступа к данным.** DNS-записи доменов Полки ведёт Cloudflare, но трафик через Cloudflare не идёт. TLS-сертификаты выдаёт Let's Encrypt. Код хранится на GitHub. Данные пользователей этим сервисам не передаются.
- **По требованию закона.** Другим лицам данные передаются, только если этого требует закон.

## 6. Кто видит ваши работы

- Работы приватны. По умолчанию их видите только вы и агенты, которых вы подключили.
- По ссылке работу видит любой, у кого есть ссылка. Он видит только ту версию, к которой привязана ссылка, до конца срока или до отзыва. Аккаунт для этого не нужен.
- Копии, которые получатели уже скачали или сохранили, отозвать нельзя.
- Технический доступ к базе и хранилищу есть у оператора. Оператор открывает содержимое только для работы сервиса, восстановления из копий, разбора жалоб и проверки ссылок или если этого требует закон.

## 7. Ваши права

Вы можете:

- узнать, какие ваши данные обрабатываются, зачем и как;
- попросить исправить неточные данные;
- потребовать удалить данные или прекратить их обработку, в том числе удалить весь аккаунт или отдельную работу;
- пожаловаться в Роскомнадзор или в суд, если считаете, что данные обрабатываются с нарушением.

Как это сделать. Напишите на privacy@polochka.app с адреса, к которому привязана полка: так оператор убедится, что запрос от вас. Если вы входите по логину, укажите его. Оператор ответит в течение 10 рабочих дней. Если нужно больше времени, срок может быть продлён ещё на 5 рабочих дней, и оператор заранее сообщит вам причину.

Удаление аккаунта. Кнопки удаления на polochka.app пока нет, оператор удаляет вручную:

- закрывает вход, ссылки и подключения агентов не позже 10 рабочих дней после запроса;
- удаляет аккаунт, работы и связанные с ними записи не позже 30 дней после запроса;
- в резервных копиях данные остаются, пока не истечёт срок копии: ещё до 30 дней.

Оператор хранит данные, только пока действует Пользовательское соглашение. Поэтому если попросить прекратить обработку данных аккаунта, аккаунт будет удалён.

## 8. Cookie и хранилище браузера

Полка ставит только технические cookie, без которых не работает вход. Рекламных и аналитических cookie нет, поэтому баннера о cookie тоже нет.

- `polka_session` — сессия после входа, 7 дней; у временной полки — 30 дней с продлением при каждом посещении; после входа по ссылке от агента — сутки.
- `polka_email_challenge` — связывает запрос кода с вашим браузером, 10 минут.
- `polka_oauth` — связывает подключение агента с вашим браузером, 10 минут.
- `polka_idp` — зашифрованное состояние входа через Яндекс ID, VK ID или Google: защита от подмены запроса и адрес, куда вернуть вас после входа, 10 минут.
- `polka_idp_pending` и `polka_claim` — зашифрованная ссылка на вход, который ждёт вашего ответа («войти в существующую полку или создать новую», «объединить полки»), 10 минут. Данные, которые передал Яндекс, VK или Google, в cookie нет: они 10 минут хранятся в памяти сервера и затем забываются.

Все эти cookie недоступны скриптам страницы (HttpOnly).

Хранилище вкладки (sessionStorage) держит черновик приглашения в библиотеку и импорта по ссылке, пока вкладка открыта. Когда комментарии запустятся: если вы пошли войти, чтобы прокомментировать работу по ссылке, там же до 30 минут хранится эта ссылка, чтобы вернуть вас к ней после входа. Хранилище браузера (localStorage) запоминает, что вы скрыли список первых шагов, а после входа — отображаемое имя полки, способ входа и время входа (без идентификаторов и почты). По этой подсказке Полка спрашивает «Похоже, у вас уже есть полка — войти в неё?», прежде чем открыть новую; на сервер уходит только отметка, что подсказка есть. Эти записи остаются в вашем браузере и на сервер не отправляются.

Ещё в хранилище вкладки (sessionStorage), пока она открыта, лежит источник перехода: метка `ref` из ссылки, по которой вы пришли, и домен сайта, с которого вы пришли. Он уходит на сервер только один раз — вместе с регистрацией новой полки, для статистики использования (раздел 3).

## 9. Как защищены данные

- Соединение идёт только по HTTPS.
- Коды, токены сессий, ссылок и агентов хранятся в виде хешей, пароли — в виде хеша scrypt.
- Бакеты с файлами и копиями закрыты. База доступна только внутри сервера.
- Сохранённые страницы открываются в песочнице с жёсткой политикой безопасности (CSP). Интерактивные версии открываются на отдельном домене polochka.page, куда не передаются cookie Полки.
- Код открыт, его можно проверить.

Полностью исключить риск утечки нельзя. Если утечка произойдёт, оператор:

- уведомит Роскомнадзор в сроки закона (ч. 3.1 ст. 21 152-ФЗ): в течение 24 часов — о самом инциденте и в течение 72 часов — о результатах расследования;
- сообщит по почте тем, чьих данных она касается.

## 10. Возраст

Пользоваться Полкой можно с 14 лет. Если вам меньше 18, нужно согласие родителей или других законных представителей. Если оператор узнает, что полку завёл ребёнок младше 14 лет, он удалит её.

## 11. Изменения политики

Новая редакция публикуется на этой странице с датой и действует с этой даты. О существенных изменениях оператор сообщит письмом на адрес аккаунта не позже чем за 10 дней до их вступления в силу.

Прежние редакции сохраняются в истории открытого кода Полки, в папке docs/legal: [github.com/artkruglov/polka](https://github.com/artkruglov/polka).