Политика конфиденциальности

Последнее обновление: июнь 2026 г.

1. Ответственное лицо

DR Development and Media LLC, Vazha Pshavela Avenue No 20, 0112 Tbilisi, Georgia
Управляющий директор: Dimitri Roschkowski
Электронная почта: info@mypep.app

2. Основной принцип: «нулевое разглашение» (Zero-Knowledge)

myPeptides построен по принципу «нулевого разглашения» (Zero-Knowledge). Ваши содержательные данные (например, ваши записи о пептидах, планы, данные трекера, вводимые в калькулятор данные) хранятся преимущественно локально в вашем браузере (IndexedDB) и не покидают ваше устройство, пока вы не активируете опциональную облачную синхронизацию. Мы не осуществляем отслеживание, не используем инструменты аналитики, рекламные cookie-файлы и не передаём данные третьим лицам в целях маркетинга.

3. Какие данные обрабатываются

a) Локальные данные (на вашем устройстве, IndexedDB). Содержимое, созданное вами в приложении, хранится локально в вашем браузере. Мы как оператор не имеем к нему доступа. Вы можете в любой момент самостоятельно удалить эти данные, удалив их в приложении или очистив данные браузера для этого веб-сайта. Правовое основание: ст. 6(1)(b) GDPR.

b) Опциональная облачная синхронизация (со сквозным шифрованием). Если вы активируете синхронизацию, ваши данные перед тем, как покинуть ваше устройство, шифруются сквозным шифрованием с помощью ключа, известного только вам, и передаются на наш сервер синхронизации (sync.mypep.app) исключительно в виде зашифрованных блоков данных (шифротекст). Сервер ни в какой момент не может получить доступ к открытому тексту ваших данных и хранит только зашифрованное содержимое, а также технические метаданные, необходимые для синхронизации (например, идентификатор учётной записи/устройства, временные метки передачи). Мы не можем расшифровать ваше содержимое. Правовое основание: ст. 6(1)(a) GDPR (согласие), а также ст. 6(1)(b) GDPR.

c) Строго необходимые cookie-файлы. Мы используем только строго необходимые cookie-файлы, не требующие согласия: mp_lang (выбор языка) и значение для сохранения цветовой схемы (светлая/тёмная). Они не содержат персональных профилей и не используются для отслеживания. Правовое основание: ст. 6(1)(f) GDPR; § 25 (2) TDDDG.

d) Журналы сервера / хостинг. При обращении к веб-сайту наш хостинг-провайдер (серверы расположены в ЕС) автоматически обрабатывает технические данные доступа (например, IP-адрес, дату/время, запрошенный ресурс, код состояния, user-agent), технически необходимые для предоставления веб-сайта и обеспечения его стабильности и безопасности. Правовое основание: ст. 6(1)(f) GDPR.

e) Обработка платежей (Paddle). Покупки myPeptides Pro в браузере проводит Paddle.com Market Limited. Paddle выступает продавцом и merchant of record и в этом качестве является самостоятельным контролёром данных, а не нашим обработчиком. Уже при открытии страницы покупки Paddle обрабатывает твой IP-адрес, чтобы определить страну, валюту и ставку налога; при покупке добавляются адрес электронной почты, платёжные и расчётные данные. Мы передаём при этом псевдонимный идентификатор аккаунта (случайный UUID), чтобы покупку можно было связать с твоим аккаунтом. Сам по себе этот идентификатор ничего не говорит о твоей личности, но Paddle и RevenueCat хранят его вместе с твоим адресом электронной почты и платёжными данными, и там он соотнесён с идентифицированным лицом. Для нас он соотносим с твоим аккаунтом. Поэтому в любом случае это персональные данные, а не анонимные. Содержимое приложения не передаётся — оно зашифровано сквозным шифрованием и нечитаемо ни для Paddle, ни для нас. Правовое основание: ст. 6 (1) (b) GDPR. Политика конфиденциальности Paddle: https://www.paddle.com/legal/privacy

3a. Аккаунт с адресом электронной почты и паролем

Когда ты создаёшь аккаунт с адресом электронной почты, мы впервые обрабатываем данные, по которым тебя можно опознать. Ниже перечислено всё, что при этом сохраняется.

Какие данные. Твой адрес электронной почты; производное значение от пароля (сам пароль никогда не попадает на наш сервер и нигде не хранится); данные сессии, пока ты остаёшься в аккаунте; время и случайный идентификатор браузеров, которым ты явно доверяешь; а также зашифрованная связка ключей, открыть которую можешь только ты — для нас это последовательность нечитаемых байтов.

Цель и правовое основание. Обработка служит исполнению пользовательского договора: без аккаунта нет доступа к синхронизированным данным. Правовое основание: ст. 6(1)(b) GDPR.

Получатели. Коды подтверждения и входа отправляются через собственный почтовый сервер контролёра данных (smtp.dr-gruppe.net). Внешний почтовый провайдер не задействован: твой адрес не передаётся ни обработчику, ни третьим лицам.

Раздельные наборы данных. Почтовый сервис и сервис синхронизации (sync.mypep.app) находятся в разных наборах данных без общего идентификатора. Поэтому из наших собственных записей невозможно определить, какой адрес почты относится к какому синхронизированному аккаунту. Скажем честно: у платящих клиентов платёжный провайдер знает адрес почты, а сервис подписок — идентификатор аккаунта; там сопоставление технически возможно.

Сроки хранения. Данные аккаунта остаются до тех пор, пока ты их не удалишь. Регистрации, которые так и не были подтверждены, удаляются через 48 часов. Подтверждённые аккаунты, настройка которых не была завершена, удаляются через 7 дней. Доверие к браузеру истекает через 60 дней. Если ты запросишь полный перезапуск аккаунта, зашифрованные ключи будут удалены через 72 часа; любой успешный вход в этот срок отменяет процедуру.

Приложение-аутентификатор и ключи доступа. Если ты настроишь приложение-аутентификатор, мы сохраним зашифрованный секрет TOTP и зашифрованные резервные коды. Ни то, ни другое не покидает наш сервер и ничего не говорит о твоём устройстве. Если ты добавишь ключ доступа (passkey), мы сохраним его открытый ключ, идентификатор учётных данных, счётчик, имя, которое ты дашь, и идентификатор модели аутентификатора (AAGUID) — никаких биометрических данных. Отпечаток пальца или лицо никогда не покидают твоё устройство; мы узнаём лишь то, что устройство выполнило проверку. Ключи доступа и приложение-аутентификатор сохраняются, пока ты не удалишь их в настройках, и исчезают вместе с аккаунтом.

Удаление. Ты в любой момент можешь удалить аккаунт сам: «Настройки» → «Аккаунт». После этого синхронизированное содержимое окончательно нечитаемо — в том числе для нас, ведь ключ был только у тебя.

Управление подписками (RevenueCat). Если ты покупаешь myPeptides Pro, компания RevenueCat, Inc. (США) обрабатывает покупку по нашему поручению, чтобы управлять твоим доступом Pro на всех устройствах, — как обработчик по ст. 28 GDPR и по нашим указаниям. Передаются псевдонимный идентификатор аккаунта и данные о покупке от Paddle, включая твой адрес электронной почты; никакого содержимого приложения. Кто ничего не покупает, с RevenueCat дела не имеет. Правовое основание: ст. 6 (1) (b) GDPR. Передача в США опирается на применимый в каждом случае механизм передачи (EU-US Data Privacy Framework либо стандартные договорные положения). Политика конфиденциальности: https://www.revenuecat.com/privacy

3b. Запись на бета-тест

Если вы записываетесь на бета-тест на странице mypep.app/beta, мы сохраняем ваше имя, адрес электронной почты, выбранную платформу (iPhone или Android), язык страницы и время записи.

Цель и правовое основание. Эти данные нужны нам только для того, чтобы пригласить вас в бета-тест. Правовое основание — ваше согласие (ст. 6 п. 1 лит. a GDPR), которое вы даёте, отправляя форму, и можете в любой момент отозвать на будущее.

Получатели. О каждой новой записи мы получаем уведомление по электронной почте через наш собственный почтовый сервер. Для самого приглашения мы передаём ваш адрес электронной почты: для iPhone — Apple (TestFlight), для Android — Google (список тестировщиков закрытого тестирования в Google Play). Apple или Google рассылают приглашение и обрабатывают адрес как самостоятельные ответственные лица по своим правилам конфиденциальности, в том числе в США. Имя, язык и время записи остаются у нас.

Срок хранения и удаление. Мы храним эти данные до окончания бета-теста или до отзыва вашего согласия — в зависимости от того, что наступит раньше. Чтобы отозвать согласие или удалить данные, достаточно короткого письма на info@mypep.app; тогда мы также удалим вас из списка тестировщиков у Apple или Google.

4. Без отслеживания, без аналитики, без рекламы

Мы не используем сервисы аналитики или отслеживания (нет Google Analytics или аналогичных), рекламные cookie-файлы, профилирование и автоматизированное принятие решений. Передача ваших данных третьим лицам в рекламных или маркетинговых целях не осуществляется.

5. Получатели / обработчики

Передача осуществляется только нашему провайдеру хостинга/серверов, который предоставляет инфраструктуру в пределах ЕС; с ним заключён договор об обработке данных по поручению согласно ст. 28 GDPR. Поскольку содержимое облачной синхронизации зашифровано сквозным шифрованием, этот провайдер также не имеет доступа к открытому тексту вашего содержимого.

6. Срок хранения

Локальные данные остаются на вашем устройстве до их удаления вами. Зашифрованные данные синхронизации хранятся до тех пор, пока вы не удалите их через приложение или не прекратите синхронизацию. Журналы сервера хранятся только в течение короткого срока, необходимого для обеспечения безопасности.

7. Ваши права

Доступ (ст. 15), исправление (ст. 16), удаление (ст. 17), ограничение (ст. 18), переносимость данных (ст. 20), возражение (ст. 21). Любое согласие (например, на облачную синхронизацию) может быть отозвано в любой момент с действием на будущее (ст. 7(3) GDPR). Поскольку мы не можем расшифровать ваше содержимое, вы можете в любой момент самостоятельно и полностью удалить его. Кроме того, вы имеете право подать жалобу в надзорный орган по защите данных.

8. Контакты

По запросам на предоставление информации и для реализации ваших прав: info@mypep.app