initData.
Все персональные данные граждан РФ обрабатываются и хранятся на серверах в РФ
(Yandex Cloud, регион ru-central1). Резервные копии — там же, на 14 дней.
Аудит-логи действий с ПД (вход, экспорт, удаление, изменение состава пары)
храним 3 года (1095 дней) в соответствии со ст. 22 152-ФЗ —
в выделенном S3-бакете dvoe-prod-audit-logs с жизненным циклом
автоматического истечения, изолированном от dev-контура.
Третьим лицам передаём данные только в минимально необходимом объёме: Telegram — как канал доставки уведомлений.
Перед первым входом в сервис вы видите экран приветствия с краткой выжимкой
из настоящей Политики и явной кнопкой «Принять». Нажатие этой кнопки
фиксируется в системе как явное согласие на обработку
персональных данных в соответствии с ч. 1 ст. 9
Федерального закона № 152-ФЗ. Согласие записывается в таблицу
consent_records со штампом времени (UTC),
consent_version='prod-v1.0' и привязкой к вашему
Telegram-идентификатору. Контур обработки — prod
(живой контур dvoe.pro), изолированный от dev-контура.
Если вы не нажали «Принять» — согласие не зафиксировано, и любая обработка ПД, кроме минимальной аутентификации Telegram WebApp, не производится. Окно согласия удерживается до получения явного opt-in (инвариант: не существует «отклонённого без согласия» состояния — либо вы согласились и продолжаете, либо вы вышли).
Согласие можно отозвать в любой момент через приложение
(Настройки → Удалить аккаунт) или Telegram-бота (команда
/delete_my_data). Отзыв согласия равнозначен полному
удалению аккаунта и связанного контента (см. § 5).
Эти же действия доступны через Telegram-бота. Откройте чат с @getdvoe_bot и отправьте команду:
/export_my_data — получить архив с вашими данными./delete_my_data — удалить аккаунт и связанный контент.
Передача — только по HTTPS (TLS 1.3). Авторизация — JWT с коротким временем жизни
(15 минут access-токен, HttpOnly refresh-cookie). Пароли мы не храним —
авторизация через Telegram. Кросс-контурная изоляция: запросы от prod-бэкенда
не видят строки с contour='dev' и наоборот (DSR-эндпоинты возвращают
404 на чужой контур без раскрытия существования записи).
Опциональная функция «честные цены» (подсказки реальной стоимости подписок с учётом частоты использования) включается только по двойному opt-in: каждый участник пары даёт явное согласие в Настройках. Без согласия функция не запускается и данные о потреблении не агрегируются.
При роспуске пары («Расстаться с половинкой») данные не теряются: каждый участник получает независимую копию общих данных (списки, расходы, подписки и их история) в своём личном пространстве. Живые связи с аккаунтом бывшего партнёра разрываются — его Telegram-идентификатор и связь аккаунтов удаляются.
Для читаемости вашей финансовой истории сохраняется снимок имени бывшего партнёра в атрибуции платежей (например, «Платил: Аня»). Это запись о вашем расходе или подписке, а не данные бывшего партнёра. Правовое основание — законный интерес оператора и пользователя (152-ФЗ ст. 6 ч. 1 п. 5): сохранение точной атрибуции в личной финансовой истории. Применяется минимизация: хранится только имя (без фамилии, Telegram-идентификатора, номеров телефона или карты), цифровые последовательности вырезаются, длина ограничена 100 символами.
Снимок имени сохраняется и после удаления аккаунта бывшего партнёра: его удаление (DSR) стирает его собственные копии данных, а ваши записи остаются вашими. Поведение зафиксировано в архитектурных решениях ADR-0009 и Phase 26 (pair-leave-data-fork).