Политика конфиденциальности

Vaeli — сервис планирования городских поездок. Этот документ описывает, какие данные о вас сервис собирает, зачем, кому передаёт и что вы можете с этим сделать.

По вопросам обработки данных пишите:

Сервис рассчитан на пользователей из Европы, поэтому написан по правилам Общего регламента о защите данных (GDPR, Регламент ЕС 2016/679), а также с учётом Закона Грузии «О защите персональных данных» № 3144-XIმს.

Данные, которые вы вводите сами:

• имя, которое показывается в интерфейсе;
• адрес электронной почты — он же логин;
• пароль: хранится только в виде хеша, восстановить из него пароль нельзя;
• поездки: города, даты, темп, выбранные места, порядок маршрута;
• параметры поездки: интересы, уровень бюджета, состав компании и, если вы их указали, возраст детей;
• текст запроса, если вы просите собрать маршрут своими словами;
• оценки и отзывы о поездках, если вы их оставляете.

Данные, которые появляются сами:

• IP-адрес, тип браузера и устройства, время обращения;
• события внутри сервиса — создание поездки, генерация маршрута, ошибки, — чтобы видеть, что ломается и что востребовано;
• cookie и локальное хранилище браузера, см. раздел 8.

Данные особых категорий — о здоровье, вере, политических взглядах, происхождении, интимной жизни — сервис не собирает. Не вводите их и в текстовые запросы: свободный текст уходит провайдеру языковых моделей.

Оплату сервис пока не принимает, поэтому платёжных данных не существует.

GDPR требует основания для каждой обработки. Здесь их три.

Исполнение договора (ст. 6(1)(b)) — то, без чего сервиса нет: регистрация и вход, хранение и показ ваших поездок, построение маршрутов, генерация маршрута, публичная ссылка на поездку, ответы на ваши обращения.

Законный интерес (ст. 6(1)(f)) — безопасность и работоспособность: защита от подбора паролей и автоматизированных злоупотреблений, ограничение частоты запросов, диагностика ошибок, обезличенная статистика использования. Интерес здесь в том, чтобы сервис не падал и не был взломан, а на ваши права это влияет минимально.

Требование закона (ст. 6(1)(c)) — если данные придётся сохранить или передать по обязательному предписанию.

Сервис не продаёт ваши данные и не передаёт их для чужой рекламы. Чтобы работали отдельные функции, внешним сервисам уходит необходимый минимум:

• картографические и геокодинговые сервисы OpenStreetMap (Nominatim, Overpass) и MapTiler — названия мест и координаты городов;
• сервис построения маршрутов OSRM — координаты точек маршрута;
• сервис погоды Open-Meteo — координаты города и даты поездки;
• провайдер языковых моделей OpenRouter (США) — город, даты, темп, интересы, бюджет и состав компании; при генерации по текстовому запросу — сам текст запроса;
• Wikidata и Wikipedia — идентификаторы и названия мест, чтобы показать фотографию и справку;
• проверка надёжности пароля Have I Been Pwned — первые пять символов SHA-1-хеша пароля; сам пароль и его полный хеш не передаются;
• партнёрские сервисы путешествий и бронирования — только при переходе по ссылке; о том, что вы там купили, сервис не узнаёт.

Аккаунты, поездки и всё остальное содержимое сервиса хранятся на серверах во Франкфурте (Германия, Европейский союз). Часть перечисленных выше сервисов работает за пределами Европейской экономической зоны — им передаётся только то, что нужно для конкретной функции: например, в сервис языковых моделей уходят город, даты, темп поездки и выбранные интересы, но не имя, не адрес электронной почты и не идентификатор аккаунта.

Аккаунт и его содержимое — пока аккаунт существует. Удаляете вы его сами, в настройках; вместе с ним удаляются поездки, места, маршруты, отзывы, реакции и все активные сессии.

Сессии: access-токен живёт около 30 минут, refresh-токен — 30 дней. При выходе и при смене пароля они отзываются.

События внутри сервиса при удалении аккаунта не исчезают, но отвязываются от вас: ссылка на пользователя обнуляется, и остаётся обезличенная строка вроде «в этот день собрали маршрут по Риму».

Технические журналы серверов живут недолго и перезаписываются по мере поступления новых.

По GDPR вы можете:

• узнать, какие данные о вас есть, и получить копию (ст. 15);
• исправить неточное — имя и email меняются в настройках (ст. 16);
• удалить данные (ст. 17): кнопка «Удалить аккаунт и все данные» в настройках срабатывает сразу, без переписки;
• ограничить обработку (ст. 18);
• получить свои данные в машиночитаемом виде (ст. 20);
• возразить против обработки на основании законного интереса (ст. 21);
• отозвать согласие, если оно когда-либо запрашивалось (ст. 7(3)); сейчас на согласии не работает ничего — сервис обходится тем, без чего он не работал бы вовсе.

Всё, что не делается кнопкой, делается письмом на info@vaeli.app. Отвечаем в пределах месяца, как требует ст. 12(3).

Если ответ вас не устроил, вы вправе пожаловаться в надзорный орган (ст. 77) — в стране своего проживания в ЕС или ЕЭЗ либо в Службу защиты персональных данных Грузии.

Сервис не предназначен для детей младше 16 лет, и аккаунты для них не создаются. Возраст детей в параметрах поездки — это сведения о вашей компании, которые указываете вы, взрослый пользователь, и нужны они только чтобы подобрать подходящие места.

Сервис ставит только те cookie, без которых он не работает: вход, защита запросов от подделки и выбранный язык. Аналитики и сторонних скриптов нет, поэтому и спрашивать разрешения не о чем.

Заблокировать их можно в настройках браузера, но тогда перестанет работать вход в аккаунт.

Соединение с сервисом шифруется (HTTPS). Пароли хранятся хешем с солью. Токены сессий недоступны для JavaScript, изменяющие запросы защищены от подделки, частота попыток входа ограничена. База данных закрыта от внешней сети.

Это снижает риск, но не отменяет его. Не используйте пароль от Vaeli на других сайтах.

Документ будет меняться вместе с сервисом. Актуальная версия всегда по адресу https://vaeli.app/privacy. Существенные изменения не действуют задним числом: то, что уже произошло, оценивается по редакции, действовавшей на тот момент.

Дата последнего обновления: 26.08.2026