Политика конфиденциальности

1. Общие положения

Настоящая Политика конфиденциальности и обработки персональных данных (далее — «Политика») разработана и применяется Хлыбовым Александром Вячеславовичем (далее — «Оператор») в соответствии с требованиями Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее — «152-ФЗ»), включая статью 18.1.

Политика действует в отношении всех персональных данных, обрабатываемых Оператором при использовании пользователями сайта songless.ru и связанных с ним сервисов (далее — «Платформа» или «Сервис»).

Оператор внесён в реестр операторов, осуществляющих обработку персональных данных (Роскомнадзор), регистрационный номер 59-26-041523, на основании приказа № 70 от 25.05.2026. Дата регистрации уведомления — 04.05.2026.

Настоящая редакция Политики действует с даты, указанной в шапке документа.

2. Термины и определения

Термины, используемые в настоящей Политике, применяются в значениях, определённых статьёй 3 152-ФЗ:

• Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту ПДн).
• Оператор — лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки и состав ПДн.
• Обработка ПДн — любое действие с ПДн: сбор, запись, систематизация, хранение, уточнение, использование, передача, обезличивание, блокирование, удаление, уничтожение.
• Субъект ПДн — физическое лицо, которому принадлежат соответствующие персональные данные.
• Обезличивание ПДн — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность ПДн конкретному субъекту.
• Трансграничная передача ПДн — передача ПДн на территорию иностранного государства иностранному физическому или юридическому лицу.
• Согласие на обработку ПДн — конкретное, предметное, информированное, сознательное и однозначное волеизъявление субъекта на обработку его ПДн.

Биометрические и специальные категории ПДн (раса, национальность, политические взгляды, религиозные и философские убеждения, состояние здоровья, интимная жизнь, судимость) Оператором не обрабатываются.

3. Реквизиты Оператора

• Оператор: Хлыбов Александр Вячеславович, физическое лицо
• Регистрационный номер в реестре операторов Роскомнадзора: 59-26-041523 (приказ № 70 от 25.05.2026)
• Контактный email для запросов по ПДн: contact@songless.ru
• Сайт: songless.ru

Ответственный за организацию обработки персональных данных — Оператор лично.

4. Принципы и основания обработки

Оператор обрабатывает ПДн на принципах, установленных ст. 5 152-ФЗ:

• законность и справедливость;
• ограничение обработки заранее определёнными и законными целями;
• недопустимость объединения баз данных с несовместимыми целями обработки;
• точность, достаточность и актуальность ПДн;
• хранение ПДн не дольше, чем требуется для целей обработки.

Правовые основания обработки (ст. 6 ч. 1 152-ФЗ):

• Согласие субъекта ПДн (п. 1) — основание для обработки большинства данных Пользователей.
• Исполнение договора (п. 5) — для оказания услуги Сервиса (Пользовательское соглашение является публичной офертой).
• Законные интересы Оператора (п. 7) — для обеспечения безопасности Сервиса: защита от ботов, антифрод, журналы.

5. Категории субъектов ПДн

• Зарегистрированные пользователи — физические лица, создавшие учётную запись через Яндекс ID, Twitch или Telegram.
• Анонимные посетители — лица, использующие Сервис без регистрации. Идентифицируются по технической сессии и IP-адресу.
• Лица, оказавшие поддержку — физические лица, добровольно оказавшие денежную поддержку проекту через сервисы DonationAlerts или DonatePay.
• Правообладатели и иные обратившиеся лица — лица, направившие Оператору обращение по электронной почте.

6. Категории обрабатываемых ПДн

Оператор обрабатывает следующие категории ПДн:

• Идентификатор аккаунта внешнего сервиса (Яндекс ID, Twitch ID, Telegram ID) — источник: сервис авторизации; основание: согласие + договор; срок: до удаления аккаунта.
• Логин (username) — источник: сервис авторизации; основание: согласие; срок: до удаления аккаунта.
• Имя или отображаемое имя — источник: сервис авторизации; основание: согласие; срок: до удаления аккаунта.
• URL аватара — источник: сервис авторизации; основание: согласие; срок: до удаления аккаунта.
• Адрес электронной почты — источник: Яндекс ID; основание: согласие; цель: идентификация Пользователя при обращении в поддержку и при рассмотрении запросов о персональных данных; срок: до удаления аккаунта. Для рассылок Оператором не используется.
• Пол — источник: Яндекс ID; основание: согласие; срок: до удаления аккаунта.
• Данные аккаунта Telegram при использовании мини-приложения и бота Сервиса (идентификатор пользователя Telegram, username, имя, URL аватара, идентификатор чата с ботом) — источник: Telegram; основание: согласие + договор; срок: до удаления аккаунта. Идентификатор чата используется исключительно для доставки сообщений, которые Пользователь запросил самостоятельно: уведомлений по включённым им подпискам и сообщений в рамках начатой им игры.
• Настройки подписок на сообщения в Telegram (отдельные признаки согласия на игровые уведомления и на новостную рассылку) — источник: действия Пользователя в настройках профиля; основание: согласие; срок: до удаления аккаунта. Подписки выключены по умолчанию, независимы друг от друга и отключаются Пользователем в любой момент; рассылка направляется исключительно тем, у кого соответствующая подписка включена.
• OAuth access-токены внешних сервисов — источник: сервис авторизации; основание: исполнение договора; срок: используются однократно при авторизации и не сохраняются в базе данных Оператора.
• IP-адрес, User-Agent — источник: HTTP-заголовки запроса; основание: законные интересы (безопасность); срок: до 30 дней в журналах сервера.
• Cookies сервиса (см. раздел 12) — источник: браузер Пользователя; основание: законные интересы (функциональные) / согласие (аналитические); срок: см. раздел 12.
• Игровая статистика (баллы, угаданные треки, рейтинг, история дуэлей, бейджи) — источник: действия Пользователя; основание: согласие + договор; срок: до удаления аккаунта.
• Пользовательский контент (статус в профиле, созданные плейлисты, их названия и описания) — источник: действия Пользователя; основание: согласие + договор; срок: до удаления автором или Оператором.
• Контакт в мессенджере Telegram (имя пользователя или канала, указанное Пользователем добровольно для отображения в публичном профиле) — источник: действия Пользователя; основание: согласие; срок: до удаления Пользователем или Оператором. Указание контакта является добровольным и не требуется для использования Сервиса.
• Данные Яндекс.Метрики (обезличенные) — источник: счётчик Метрики; основание: согласие (cookie-баннер); срок: по правилам ООО «Яндекс».
• Данные о добровольной поддержке (публичный ник и сумма, переданные сервисом DonationAlerts или DonatePay) — источник: DonationAlerts, DonatePay; основание: согласие плательщика; срок: до удаления соответствующей записи Оператором.

Оператор не запрашивает у внешних сервисов авторизации дату рождения, номер телефона, список контактов и иные сведения, не перечисленные выше.

7. Цели обработки

• регистрация и предоставление доступа к Сервису;
• идентификация и аутентификация Пользователя при входе;
• ведение игровой статистики, рейтинга, бейджей;
• проведение дуэлей, формирование таблиц лидеров, отображение публичных профилей;
• хранение и публикация пользовательского контента (плейлистов);
• обеспечение безопасности Сервиса: антифрод, защита от ботов, ведение журналов;
• связь с Пользователем по его обращению;
• предоставление доступа к игровым режимам Сервиса в мессенджере Telegram (мини-приложение и бот), включая доставку аудиофрагментов и ход игры;
• доставка уведомлений и новостной рассылки в Telegram — только по подпискам, включённым самим Пользователем;
• аналитика посещаемости через Яндекс.Метрику;
• отображение публичного списка лиц, оказавших добровольную поддержку.

8. Способы обработки. Поручение третьим лицам

Обработка ПДн осуществляется смешанным способом — с использованием средств автоматизации (база данных, кеш, журналы) и без таковых (при рассмотрении письменных обращений).

В соответствии с ч. 3 ст. 6 152-ФЗ Оператор вправе поручать обработку ПДн третьим лицам с согласия субъекта ПДн на основании заключаемого с этим лицом договора (или публичной оферты).

Перечень обработчиков:

• ООО «ТАЙМВЭБ.КЛАУД» (ИНН 7810945525, ОГРН 1227800052215) — хостинг виртуального сервера, на котором размещаются веб-приложение Сервиса, база данных PostgreSQL, кеш Redis и файловое хранилище. Серверы расположены на территории Российской Федерации (см. раздел 10).
• ООО «ЯНДЕКС» (ИНН 7736207543) — оператор сервиса Яндекс.Метрика, а также поставщик OAuth-провайдера «Яндекс ID» для входа через аккаунт Яндекса. Политика конфиденциальности — yandex.ru/legal/confidential/.
• Twitch Interactive, Inc. (США) — поставщик OAuth-провайдера для входа через аккаунт Twitch. Передаваемые данные и условия обработки описаны в разделе 9 (трансграничная передача).
• Telegram Messenger Inc. / Telegram FZ-LLC — оператор мессенджера Telegram: авторизация Пользователя внутри мини-приложения Сервиса и доставка уведомлений через бота @SonglessTgBot. Передаваемые данные и условия описаны в разделе 9.
• DonationAlerts — сторонний сервис приёма добровольных пожертвований. Все платёжные данные обрабатываются на стороне сервиса; на Платформу передаётся только публичный ник плательщика и сумма для отображения в списке поддержавших.
• DonatePay — сторонний сервис приёма добровольных пожертвований. Все платёжные данные обрабатываются на стороне сервиса; на Платформу передаётся только публичный ник плательщика и сумма для отображения в списке поддержавших.

9. Получение данных от внешних сервисов авторизации

Авторизация на Сервисе осуществляется через сторонние сервисы Яндекс ID (ООО «ЯНДЕКС», Российская Федерация) и Twitch (Twitch Interactive, Inc., США). При нажатии Пользователем кнопки «Войти через…» браузер Пользователя самостоятельно перенаправляется на сайт соответствующего сервиса, где Пользователь проходит аутентификацию и предоставляет Оператору согласие на доступ к ограниченному набору данных своего профиля.

Дополнительно вход возможен внутри мини-приложения Сервиса в мессенджере Telegram: при его открытии Telegram передаёт Сервису подписанный набор данных профиля Пользователя (идентификатор, имя, username, URL аватара), подлинность подписи проверяется ключом бота Оператора. Отдельная процедура входа при этом не требуется.

Оператор получает от указанных сервисов идентификатор аккаунта Пользователя, его логин, отображаемое имя и URL аватара, от Яндекс ID также адрес электронной почты и пол — и сохраняет их в собственной базе данных, расположенной на территории Российской Федерации (см. раздел 10).

Оператор не передаёт персональные данные Пользователей в указанные сервисы, за исключением случаев, когда это необходимо для доставки сообщения, запрошенного самим Пользователем. К таким случаям относятся: доставка уведомлений и новостной рассылки, если Пользователь самостоятельно включил соответствующую подписку, и обмен сообщениями в ходе игры, начатой Пользователем в мини-приложении или боте Оператора. В этих случаях на серверы Telegram передаётся идентификатор чата Пользователя с ботом Оператора и содержание сообщения — в объёме, необходимом для его доставки. Подписки отключаются в настройках профиля в любой момент.

При доставке аудиофрагмента голосовым сообщением серверы Telegram самостоятельно обращаются к Платформе за файлом фрагмента по разовой ссылке. Персональные данные Пользователя в составе такого файла и такого запроса не передаются. Иных случаев передачи персональных данных Пользователей за пределы Российской Федерации Оператор не осуществляет.

ООО «ЯНДЕКС», Twitch Interactive, Inc. и Telegram выступают самостоятельными операторами в отношении данных Ваших аккаунтов в их сервисах; обработка этих данных регулируется политиками конфиденциальности соответствующих сервисов.

10. Хранение ПДн на территории РФ

В соответствии с требованием ч. 5 ст. 18 152-ФЗ Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение и извлечение ПДн граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации.

Размещение баз данных: ЦОД по адресу г. Москва, ул. Подольских Курсантов, д. 15Б, оф. 2 (хостинг-провайдер — ООО «ТАЙМВЭБ.КЛАУД», ИНН 7810945525).

11. Меры по защите ПДн

В соответствии с ч. 2 ст. 18.1 и ст. 19 152-ФЗ, а также Постановлением Правительства РФ от 1 ноября 2012 г. № 1119, Оператор определяет уровень защищённости ПДн как УЗ-4 (обработка иных категорий ПДн без специальных и биометрических, число субъектов — менее 100 000), и применяет следующие меры:

• принятие настоящей Политики и её опубликование в свободном доступе на Сервисе;
• отсутствие хранения паролей пользователей: авторизация осуществляется исключительно через внешние сервисы (Яндекс ID, Twitch, Telegram); пароли пользователей Оператору не передаются и не хранятся;
• шифрование всего сетевого трафика по протоколу HTTPS (TLS 1.2 и выше);
• установка флагов HttpOnly и SameSite для сессионных cookies;
• защита от CSRF-атак на изменяющих API-эндпоинтах;
• ограничение частоты запросов (rate-limiting) для защиты от автоматизированных атак;
• регулярное резервное копирование базы данных;
• ограничение доступа к ПДн исключительно Оператором и обработчиками, привлечёнными по договору.

12. Cookies

Сервис использует следующие виды cookies:

Функциональные (необходимые):

• сессионная cookie с зашифрованной сессией авторизованного Пользователя; передаётся только по защищённому соединению HTTPS и недоступна JavaScript-коду в браузере; срок — до 30 дней либо до выхода из учётной записи;
• CSRF-токены и временные cookies OAuth (yandex_oauth_state, twitch_oauth_state, redirect_after_login и аналогичные) — устанавливаются на время прохождения авторизации, удаляются по её завершении.

Указанные cookies необходимы для работы Сервиса и устанавливаются на основании законных интересов Оператора и исполнения договора.

Аналитические:

• cookies сервиса Яндекс.Метрика, начинающиеся с _ym_ (_ym_uid, _ym_d, _ym_isad, _ym_visorc и иные) — устанавливаются скриптом Яндекс.Метрики для измерения посещаемости и улучшения работы Сервиса.

В составе Яндекс.Метрики используется технология Вебвизор, которая в обезличенном виде записывает действия посетителей (перемещения курсора, клики, прокрутку, нажатия). Записи используются исключительно для анализа удобства интерфейса и не применяются для идентификации личности.

Сбор аналитических данных производится только при наличии вашего согласия, выраженного через cookie-баннер на Платформе, и прекращается при его отзыве. Пользователь вправе в любой момент удалить cookies через настройки браузера, либо использовать дополнение «Блокировщик Метрики».

13. Публикация данных в рейтингах

Платформа содержит публичные таблицы лидеров и результаты соревновательных режимов. Отображение в них вашего ника, аватара и игровой статистики является распространением персональных данных неограниченному кругу лиц (ст. 10.1 152-ФЗ).

Такое распространение осуществляется только на основании вашего отдельного добровольного согласия, которое запрашивается при регистрации отдельно от согласия на обработку ПДн. Отказ от него не ограничивает доступ к функционалу Платформы.

Вы можете в любой момент включить или отключить участие в публичных рейтингах в настройках своего профиля. После отключения ваши данные перестают отображаться в публичных таблицах.

14. Права субъекта ПДн

В соответствии со ст. 14, 17, 21 152-ФЗ субъект ПДн имеет:

• право на получение информации, касающейся обработки его ПДн;
• право на доступ к своим ПДн;
• право на их уточнение, блокирование, уничтожение, если ПДн неполны, устарели, неточны, незаконно получены или не являются необходимыми для заявленной цели;
• право в любой момент отозвать согласие на обработку ПДн;
• право обжаловать действия или бездействие Оператора в Роскомнадзор (109074, г. Москва, Китайгородский проезд, д. 7, стр. 2; rkn.gov.ru) либо в суде.

Срок рассмотрения письменного запроса субъекта ПДн — 10 рабочих дней с момента получения (ст. 14 ч. 4 152-ФЗ).

15. Отзыв согласия. Удаление аккаунта

Пользователь может отозвать согласие на обработку ПДн и потребовать удаления учётной записи:

1. направив письменный запрос на адрес contact@songless.ru с темой «Удаление данных» или «Отзыв согласия»;
2. Оператор удаляет аккаунт и связанные с ним ПДн в срок до 10 рабочих дней.

При удалении учётной записи безвозвратно уничтожаются: идентификаторы аккаунтов внешних сервисов (Яндекс ID, Twitch ID, Telegram ID), никнейм, отображаемое имя, аватар, адрес электронной почты, пол, указанный контакт в Telegram, игровая статистика и история игр, созданные Пользователем плейлисты и иной пользовательский контент, а также журналы, связанные с учётной записью. Восстановление удалённой учётной записи невозможно.

Повторный вход через тот же аккаунт Яндекс ID, Twitch или Telegram создаёт новую учётную запись с нулевой статистикой: прежние идентификаторы в базе данных Оператора отсутствуют, и связать новую учётную запись с удалённой Оператор не может.

После удаления могут сохраняться данные, по которым невозможно определить их принадлежность конкретному лицу. В силу ст. 3 152-ФЗ такие данные персональными не являются:

• обезличенные записи о посещениях и действиях в Сервисе — связь с учётной записью в них разрывается;
• записи о совместных играх с другими Пользователями (дуэли, битвы) — без никнейма, аватара и идентификаторов аккаунтов внешних сервисов удалённого Пользователя, поскольку такие записи одновременно содержат данные других участников игры;
• агрегированные показатели Сервиса (счётчики, статистика посещаемости), не содержащие ПДн.

Резервные копии базы данных хранятся по ротации сроком до 12 месяцев. Удалённые данные исчезают из резервных копий по мере их ротации; для восстановления удалённых учётных записей резервные копии не используются.

16. Несовершеннолетние

Сервис не предназначен для использования лицами младше 18 лет (см. раздел 3 Пользовательского соглашения). В случае, если Оператору станет известно об обработке ПДн несовершеннолетнего без согласия его законного представителя, Оператор немедленно прекращает обработку и удаляет такие ПДн.

17. Изменения настоящей Политики

Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция всегда доступна на этой странице. Продолжение использования Платформы после публикации изменений означает согласие Пользователя с новой редакцией.

18. Контакты

Запросы субъектов ПДн принимаются по адресу contact@songless.ru.