Политика конфиденциальности

Обновлено 20 октября 2026

Кто отвечает за данные

Оператор (controller) ваших персональных данных по GDPR — calmposts, оператор сервиса calmposts (https://calmposts.com).

Часть данных об операторе ещё добавляется на эту страницу.

Что охватывает эта политика

Эта политика относится к сайту calmposts, приложению по адресу https://calmposts.com/app, REST API, MCP-серверу и письмам, которые мы отправляем. У соцсетей, которые вы подключаете, свои политики для того, что происходит на их стороне.

Какие данные мы обрабатываем

Данные аккаунта: адрес почты, имя, пароль (хранится только в виде хеша), язык и часовой пояс. Если вы входите через Google, Google сообщает нам адрес почты, имя и идентификатор аккаунта.
Подключённые аккаунты соцсетей: ID аккаунта в соцсети, имя пользователя, отображаемое имя, аватар и тип аккаунта, а также токены доступа и обновления, которые выдаёт соцсеть. Токены хранятся зашифрованными.
У X мы запрашиваем ровно эти права: tweet.read, tweet.write, users.read, media.write и offline.access. Доступ к личным сообщениям мы не запрашиваем и никогда их не читаем.
Ваш контент: посты, треды, черновики, расписание, загруженные медиа и их альт-текст, а также результаты публикации (ссылки на вышедшие посты, ошибки).
Оплата: тариф и статус подписки. Платёжные данные получает Polar, который проводит платёж; номер вашей карты мы не видим.
Агенты: API-ключи (мы храним хеш SHA-256 и первые 12 символов, а не сам ключ) и приложения, подключённые по MCP.
Технические данные: IP-адрес, браузер и параметры запросов в логах сервера — чтобы сервис был безопасным и работал, и чтобы соблюдались лимиты запросов.
Сообщения, которые вы нам присылаете.

Cookie и локальное хранилище

Сайт не ставит рекламных и аналитических cookie. Приложение хранит вход, язык и тему в локальном хранилище вашего браузера. Вход через Google использует одну кратковременную cookie только на время этого входа.

Зачем мы обрабатываем данные и на каком основании

Мы не продаём ваши данные и не используем их для рекламы.

Чтобы оказывать сервис, на который вы зарегистрировались: аккаунт, планирование и публикация постов, API и MCP (ст. 6(1)(b) GDPR, исполнение договора). Публикуем в соцсеть мы только после того, как вы подключили аккаунт и разрешили доступ на экране самой соцсети.
Чтобы сервис был безопасным, предотвращать злоупотребления, исправлять сбои и отправлять служебные письма, например о невышедшем посте или аккаунте, который надо переподключить (ст. 6(1)(f) GDPR, законный интерес).
Чтобы хранить платёжные и налоговые записи (ст. 6(1)(c) GDPR, обязанность по закону).

Кто получает данные

Мы передаём данные только поставщикам, без которых calmposts не работает, и только по договорам, которые обязывают их соблюдать GDPR, когда они действуют по нашему поручению (ст. 28 GDPR):

Polar (polar.sh): платежи, в роли нашего merchant of record. Polar обрабатывает платёжные данные по своей политике конфиденциальности.
X Corp.: когда вы публикуете пост, он и его медиа уходят в X через официальный X API; на то, что происходит в X, распространяется политика конфиденциальности X.
Google: только если вы решите входить через Google.
Загруженные медиафайлы хранятся на сервере, на котором работает calmposts.
Сервис доставки почты: письма, которые мы вам отправляем.
Дата-центр, где работают наш сервер и база данных, и хранилище наших резервных копий вне сервера.

Передача за пределы ЕС

Некоторые из этих поставщиков, в том числе X и Polar, обрабатывают данные в США. Такая передача опирается на EU–US Data Privacy Framework, если поставщик сертифицирован по нему, а иначе — на стандартные договорные условия Европейской комиссии.

Сколько мы храним данные

Аккаунт и контент: пока вы не удалите их или аккаунт.
Токены аккаунта соцсети: пока вы его не отключите, соцсеть их не отзовёт или вы не удалите аккаунт.
Платёжные записи: столько, сколько требует налоговое и бухгалтерское законодательство; аккаунт, к которому они относятся, обезличивается.
Логи сервера и резервные копии: ограниченное время, затем они перезаписываются.

Ваши права

По GDPR вы можете получить доступ к своим данным, исправить или удалить их, ограничить их обработку или возразить против неё и получить их в переносимом формате. Если мы опираемся на ваше согласие, вы можете отозвать его в любой момент. Чтобы воспользоваться правами, напишите на адрес поддержки, который скоро появится на этой странице или см. страницу «Удаление данных».

Вы также вправе пожаловаться в надзорный орган по защите данных, в первую очередь в стране ЕС, где вы живёте или работаете.

Безопасность

Соединения шифруются TLS. Токены соцсетей и секреты интеграций хранятся зашифрованными, пароли и API-ключи — только в виде хешей. Доступ к рабочим системам есть только у тех, кто управляет сервисом.

Дети

calmposts не предназначен для тех, кому меньше 16 лет, и мы сознательно не собираем их данные.

Изменения

Когда политика меняется, мы обновляем дату вверху. О существенных для вас изменениях мы сообщаем по почте.