Политика конфиденциальности

Редакция от 29 сентября 2026 года

Кто обрабатывает данные

Оператор — команда демонстрационного проекта mesto. Адрес для вопросов и запросов об удалении данных: [email оператора будет указан до запуска]. Рестораны и тойханы в каталоге вымышленные: брони и заявки не передаются настоящим заведениям, деньги не списываются.

Какие данные мы получаем и зачем

Бронь столика в ресторане

Имя и email, которые вы вводите при оформлении, дата и время визита, столик, число гостей, блюда предзаказа и суммы демонстрационной оплаты. Данные нужны, чтобы оформить бронь и показать её вам. Бронь привязана не к аккаунту, а к гостевой сессии браузера или приложения: случайному токену в cookie или в защищённом хранилище телефона. На сервере хранится только хеш этого токена.

Аккаунт

Email, имя (если вы его указали) и отметка о подтверждении email. Для каждого входа сервер хранит время создания и окончания, IP-адрес и строку браузера (User-Agent): так работает вход по коду и список активных устройств в разделе «Безопасность». Одноразовый код хранится 5 минут, и только в виде HMAC-хеша.

Банкетная заявка и план мероприятия

Имя и email из аккаунта, телефон, тип события, дата, время, длительность, число гостей, зал и пожелания. Менеджер может добавить комментарий и коммерческое предложение (состав и цена). В плане мероприятия хранятся расстановка, имена гостей за столами, меню и примечания к нему. Данные нужны, чтобы заведение подготовило ответ и событие.

Команда заведения

Email приглашённого сотрудника, его роль и даты приглашения. Ссылка приглашения хранится только в виде хеша.

Технические данные

• IP-адрес используется для ограничения частоты запросов. Для каталога, проверки свободного времени и новых броней счётчики живут только в памяти сервера, от минуты до часа. Для входа лимиты хранятся в базе вместе с IP-адресом и адресом запроса.
• Для ограничения числа кодов на один email хранится не сам адрес, а его HMAC-хеш.
• Журналы сервера не записывают тела запросов, контакты и коды — только тип и место ошибки. Известное исключение, которое ещё исправляется: при сбое отправки письма библиотека входа может записать адрес получателя.
• Мы не используем рекламу, аналитику и сторонние трекеры. Письмо с кодом отправляется через почтовый сервер оператора, поэтому почтовый провайдер получает ваш email и текст письма.

Только на вашем устройстве

На сайте имя гостевого профиля и избранные рестораны хранятся в браузере (localStorage) и не отправляются на сервер. Приложение Android хранит токены входа, черновик банкетной заявки (до 7 дней) и незавершённое оформление брони в защищённом хранилище телефона.

Кто видит данные

• Вы — свои брони (в том браузере или приложении, где их оформили), заявки и планы мероприятий.
• Владелец и менеджер заведения — заявки в свои залы: имя, email, телефон, пожелания, план с именами гостей и меню. Владелец также видит email приглашённых сотрудников.
• Сотрудник заведения с ролью «staff» — заявки в свои залы: номер, имя клиента, дату, время и длительность, зал, число гостей, статус, сумму и статус коммерческого предложения. Тип события он видит, только если тот выбран из списка формы, иначе — «Другое событие». Телефон, email, пожелания и комментарии ему не показываются. В плане мероприятия вместо имён гостей он видит «Гость 1», «Гость 2» и так далее, без примечаний к меню.
• Администратор сервера оператора — базу данных и резервные копии.

Где хранятся данные

В базе данных PostgreSQL на сервере оператора. В локальном демонстрационном режиме — в файлах на компьютере, где запущен сервер. Резервные копии создаются вручную и хранятся там, где их сохранил оператор.

Сколько мы храним данные

• Через 365 дней (срок настраивает оператор) после окончания события, визита или приглашения из записей удаляются контакты, свободный текст и имена гостей. Имя заменяется на «Данные удалены», email, телефон, пожелания и комментарии очищаются, в плане остаются номера гостей вместо имён. Даты, зал, число гостей и суммы сохраняются.
• Это не полное обезличивание: заявка остаётся связанной с вашим аккаунтом и видна вам в «Моих заявках», пока вы не удалите аккаунт. Бронь ресторана так же остаётся связанной с гостевой сессией и видна в «Моих бронированиях» на устройстве, где хранится её токен. Только после удаления аккаунта у заявки остаётся внутренний номер, который больше ни с кем не связан.
• Вход действует 7 дней и продлевается при активности. Истёкшие входы, коды и записи лимитов входа удаляются при той же очистке.
• Очистку оператор запускает сам по расписанию; фоновой автоматической очистки в приложении нет. В резервных копиях данные остаются до удаления самих копий.

Как удалить данные

• Удалить аккаунт можно на сайте в разделе «Тойханы» → «Безопасность» или в приложении во вкладке «Аккаунт». Для этого нужен вход не старше 10 минут. Сначала отмените заявки на рассмотрении и будущие подтверждённые события. Если у вас есть роль в заведении, попросите владельца её отозвать.
• После удаления стираются аккаунт, все входы и коды. Ваши заявки и планы обезличиваются так же, как по истечении срока хранения, а приглашения на ваш email отзываются.
• Брони ресторанов не связаны с аккаунтом. Будущую бронь можно отменить в разделе «Мои бронирования». Контакты брони обезличиваются по сроку хранения, а раньше — по запросу на адрес оператора.
• Данные на устройстве удаляются выходом из аккаунта в приложении или очисткой данных сайта в браузере.

Согласие

На сайте и в приложении уведомление со ссылкой на эту страницу стоит рядом с кнопками входа по коду, оформления брони столика и отправки банкетной заявки. Нажимая эти кнопки, вы соглашаетесь на обработку указанных в уведомлении данных для этой цели.

На сайте такое же уведомление есть в рассадке плана мероприятия и в форме приглашения сотрудника. Имена гостей и email сотрудника вводит организатор или владелец заведения, а не сам человек: отдельного согласия этих людей приложение не запрашивает.

Запросить доступ к своим данным, их исправление или удаление можно по адресу оператора выше.