Политика конфиденциальности

1. Общие положения

Настоящая Политика определяет порядок обработки персональных данных в сервисе Сейфо: сайт seifo.ru (веб-кабинет), расширение для браузера и приложение для Android. Политика исполняет обязанность оператора, установленную частью 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

Политика применяется ко всем персональным данным, которые оператор получает от пользователей сервиса. Используя сервис, вы подтверждаете, что ознакомились с настоящей Политикой.

Термины «персональные данные», «обработка персональных данных», «оператор», «субъект персональных данных», «обезличивание», «уничтожение персональных данных» используются в значениях, определённых статьёй 3 152-ФЗ.

2. Сведения об операторе

Оператор: Шепелев Кирилл Анатольевич.

Адрес для юридически значимых сообщений: г. Курск.

Ответственный за организацию обработки персональных данных (статья 22.1 152-ФЗ): Шепелев Кирилл Анатольевич. Контакт для обращений: support@seifo.ru.

Реестр операторов Роскомнадзора: сведения об операторе вносятся в реестр операторов, осуществляющих обработку персональных данных (статья 22 152-ФЗ). Регистрационный номер будет указан в этом разделе после внесения сведений в реестр.

3. Как защищено содержимое хранилища

Содержимое записей шифруется на вашем устройстве до отправки на сервер. На устройстве из мастер-пароля вычисляется ключ (алгоритм Argon2id), из него — ключ хранилища (HKDF); записи шифруются алгоритмом XChaCha20-Poly1305. Оператор хранит и синхронизирует только шифротекст: логины, пароли, TOTP-секреты и заметки записей оператору недоступны.

Отдельный мастер-пароль не покидает ваше устройство и не передаётся оператору ни в открытом виде, ни в виде, из которого его можно восстановить. Чтобы приложения могли отличить верный мастер-пароль от неверного, на сервере хранится зашифрованная контрольная строка и хеш производного от ключа значения — по ним нельзя восстановить ни мастер-пароль, ни ключ хранилища.

Режим «один пароль». Если при регистрации вы выбрали один пароль и для входа, и для хранилища, этот пароль передаётся на сервер при каждом входе (по защищённому соединению) для проверки и хранится там только в виде криптографического хеша. В этом режиме тот, кто получил бы доступ к серверу в момент вашего входа, технически мог бы вычислить ключ хранилища. Чтобы исключить такую возможность, мы рекомендуем отдельный мастер-пароль.

Прямое следствие шифрования: восстановить забытый мастер-пароль невозможно. Оператор не может сбросить его за вас и не может расшифровать содержимое хранилища ни по вашему запросу, ни по требованию третьих лиц. Сброс пароля для входа по коду из письма меняет только пароль учётной записи и доступа к записям не даёт.

4. Категории субъектов и состав обрабатываемых данных

Категории субъектов: пользователи сервиса, зарегистрировавшие учётную запись, участники семейных групп и команд, а также лица, обратившиеся в поддержку.

4.1. Данные учётной записи. Адрес электронной почты, дата регистрации, проверочное значение пароля учётной записи (криптографический хеш, не сам пароль), криптографическая соль, проверочные значения мастер-пароля (раздел 3), сведения о тарифном плане и сроке подписки, роль в семейной группе или команде. Если вы включили двухфакторную аутентификацию или вход по ключу доступа — секрет для кодов приложения-аутентификатора и публичные ключи доступа (WebAuthn). Одноразовые коды из писем (подтверждение почты, вход по коду, сброс пароля) хранятся до истечения их срока действия.

4.2. Содержимое хранилища. Обрабатывается исключительно в зашифрованном виде (раздел 3), вместе со служебными метаданными: идентификатор записи, дата создания и изменения, размер шифротекста, счётчик обращений. Для обмена записями внутри семейной группы или команды хранятся ваш публичный ключ и закрытый ключ, зашифрованный ключом хранилища; запись, которой вы поделились, хранится зашифрованной для получателя.

4.3. Настройки автозаполнения по сайтам. Чтобы автозаполнение работало одинаково во всех браузерах, синхронизируются ваши настройки для конкретных сайтов (автозаполнение при загрузке, автоотправка формы, отказ от предложения сохранить). В этих настройках доменное имя сайта хранится в открытом виде — только домен, без логинов, паролей и адресов конкретных страниц. Для сайтов, настройки которых вы не меняли, записи не создаются.

4.4. Данные об устройствах и сессиях. Название устройства, строка User-Agent, публичный ключ устройства, дата создания и последней активности сессии, IP-адрес последнего входа. Эти данные необходимы, чтобы показать вам перечень активных входов и дать возможность прекратить чужую сессию.

4.5. Технические журналы и события безопасности. Факты входа, смены пароля, подозрительной активности (например, серии неудачных попыток входа): тип события, дата и время, IP-адрес, маршрут запроса. Веб-сервер также ведёт технический журнал запросов (адрес запроса, IP-адрес, время, User-Agent). Пароли и содержимое записей в журналы не попадают.

4.6. Обращения в поддержку. Текст обращения, указанные вами контакты для ответа и приложенные вами файлы. Вместе с обращением сохраняются IP-адрес и строка User-Agent, с которых оно отправлено, и технические сведения о среде: адрес открытой страницы, язык браузера и размер окна, версия системы или приложения. Сообщение о проблеме, отправленное с сайта, содержит также журнал консоли браузера за последний час (об этом сказано в форме) — он помогает воспроизвести ошибку. Сроки хранения — в разделе 11.

4.7. Данные о платежах. Сейчас платный тариф подключается через поддержку. Если оплата проходит через платёжного провайдера, реквизиты банковских карт обрабатывает он по своим правилам — оператор их не получает и не хранит. У оператора остаются факт и сумма платежа, срок оплаченного периода.

Специальные категории персональных данных (статья 10 152-ФЗ) и биометрические персональные данные (статья 11 152-ФЗ) оператор не обрабатывает. Вход по отпечатку пальца или лицу проверяется самим устройством — оператор получает только результат проверки ключа доступа.

5. Цели обработки и правовые основания

Обработка ведётся исключительно в перечисленных целях; данные, несовместимые с этими целями, не собираются.

• Предоставление сервиса — регистрация и вход, синхронизация зашифрованного хранилища между устройствами, автозаполнение, значки сайтов в списке записей, проверка паролей на утечки, обмен записями в группе. Основание: пункт 5 части 1 статьи 6 152-ФЗ (исполнение договора, стороной которого является субъект).
• Защита учётных записей и сервиса — журналы входов, выявление подозрительной активности, перечень активных сессий, защита форм входа, регистрации и сброса пароля от автоматических запросов. Основания: пункты 5 и 7 части 1 статьи 6 152-ФЗ.
• Ответы на обращения — рассмотрение запросов в поддержку. Основание: пункт 1 части 1 статьи 6 152-ФЗ (согласие, выраженное направлением обращения).
• Расчёты по подписке — учёт оплат и срока действия тарифа. Основание: пункт 5 части 1 статьи 6 152-ФЗ.
• Служебные письма — коды входа, подтверждение почты, сброс пароля, существенные изменения. Основание: пункт 5 части 1 статьи 6 152-ФЗ.

Оператор не использует персональные данные для рекламы и маркетингового профилирования, не подключает рекламные и аналитические счётчики и не принимает решений исключительно на основании автоматизированной обработки, порождающих юридические последствия (статья 16 152-ФЗ).

6. Порядок и условия обработки

Обработка ведётся смешанным способом — автоматизированно и без использования средств автоматизации — и включает сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу в объёме разделов 8–10, блокирование, удаление и уничтожение.

Оператор не осуществляет обработку в целях, не совместимых с заявленными, и не объединяет базы данных, содержащие персональные данные, обработка которых ведётся в несовместимых целях.

7. Что хранится на вашем устройстве

Расширение для браузера работает на открываемых вами страницах, чтобы находить формы входа и подставлять сохранённые данные. Разрешение на доступ ко всем сайтам необходимо именно для этого: заранее неизвестно, для какого сайта у вас есть запись. Расширение не собирает историю просмотров: перечень открытых вкладок, содержимое страниц и адреса посещённых страниц оператору не передаются. Домен текущей вкладки используется локально — для подбора подходящей записи — и передаётся оператору только в составе настроек из пункта 4.3, если вы сами их изменили.

Локально расширение хранит токен сессии, копию хранилища для работы без сети — записи в ней зашифрованы так же, как на сервере, — ваши настройки и кэш значков сайтов. Расшифрованные записи, пока хранилище открыто, находятся только в памяти браузера. Если выбранный режим блокировки оставляет хранилище открытым после перезапуска браузера, ключ хранилища сохраняется на устройстве в зашифрованном виде; в строгом режиме он на диск не записывается, если не включена разблокировка по PIN-коду или биометрии (см. ниже).

Сайт хранит в браузере токен сессии, зашифрованную копию хранилища и очередь изменений, сделанных без сети (тоже в зашифрованном виде), выбранные язык и тему. Ключ хранилища в режимах «Строго» и «Обычно» не переживает перезапуск браузера; в режиме «Удобно» он хранится в браузере в зашифрованном виде до выхода из учётной записи. Исключение — браузеры, которые при запуске сами открывают прошлые вкладки: они восстанавливают и данные прошлого сеанса, поэтому после такого перезапуска хранилище может остаться открытым, пока не истечёт выбранное время без действий.

Приложение для Android хранит на устройстве токен сессии и копию хранилища для работы без сети; записи в ней зашифрованы так же, как на сервере.

Разблокировка по PIN-коду или биометрии. Если вы её включили, ключ хранилища хранится на этом устройстве в любом режиме блокировки — зашифрованным ключом, который получается из PIN-кода или из биометрии; в приложении для Android он дополнительно защищён хранилищем ключей телефона (Android Keystore). Короткий PIN-код проще подобрать тому, кто получит копию данных браузера, поэтому выбирайте PIN-код подлиннее. При выходе из учётной записи этот ключ удаляется.

Перечисленные данные удаляются при выходе из учётной записи, а также при удалении расширения или приложения.

Встроенный менеджер паролей браузера. Расширение проверяет, включено ли в браузере предложение сохранять пароли, и показывает в своих настройках, как отключить его вручную, — чтобы не было двух конкурирующих подсказок. Саму настройку расширение не изменяет и оператору не передаёт.

8. Внешние сервисы, к которым обращаются приложения

8.1. Значки сайтов. Чтобы показывать узнаваемые значки в списке записей:

• расширение запрашивает значок у сервиса Google (t3.gstatic.com) напрямую с вашего устройства. Google получает доменное имя сайта и IP-адрес устройства, но не получает сведений о вашей учётной записи Сейфо и об учётных данных. Ответ кэшируется на 30 дней, а загрузку значков можно выключить в настройках расширения — тогда внешние запросы не выполняются;
• приложение для Android по умолчанию значки не загружает — у записей показывается первая буква названия. Если включить «Значки сайтов» (Настройки → Оформление), телефон скачивает значок напрямую с самого сайта (например, vk.com/favicon.ico): каждый сайт из ваших записей получает IP-адрес устройства и узнаёт только о запросе своего значка. Google и другие посредники в этом не участвуют, оператор такие запросы не видит;
• сайт запрашивает значки через сервер оператора: браузер отправляет на seifo.ru доменные имена сайтов из ваших записей (без логинов, паролей и адресов страниц), сервер загружает значок у Google, DuckDuckGo или с самого сайта и кэширует его. Оператор использует эти домены только для загрузки значков: не сохраняет их в учётной записи и не записывает в журналы. Внешние сервисы видят запрос сервера оператора, а не ваш IP-адрес.

8.2. Проверка паролей на утечки. Сайт и приложение для Android проверяют, не встречались ли ваши пароли в известных утечках. Для этого на устройстве вычисляется хеш SHA-1 пароля, и в сервис Have I Been Pwned (api.pwnedpasswords.com, запросы обслуживает сеть Cloudflare) отправляются только первые 5 символов хеша. По ним нельзя восстановить пароль: сервис возвращает список похожих хешей, а сравнение выполняется на устройстве. Сервис получает IP-адрес устройства.

8.3. Защита от автоматических запросов. На страницах входа, регистрации и сброса пароля может показываться проверка Cloudflare Turnstile. Сервис Cloudflare получает IP-адрес и технические сведения о браузере, чтобы отличить человека от программы.

9. Передача персональных данных третьим лицам

Оператор не продаёт персональные данные, не передаёт их брокерам данных и не использует в целях, не связанных с работой сервиса. Персональные данные получают только следующие лица и только в объёме, необходимом для указанных целей:

• Провайдер, предоставляющий серверы и каналы связи, — в части размещения серверов и баз данных (обработка по поручению оператора, часть 3 статьи 6 152-ФЗ);
• Почтовый сервис получателя. Служебные письма отправляет собственный почтовый сервер оператора; дальше письмо доставляет почтовый сервис, в котором зарегистрирован ваш адрес;
• Платёжный провайдер — когда оплата проходит через него: сведения, необходимые для приёма оплаты;
• Google LLC — доменное имя сайта и IP-адрес устройства при загрузке значков расширением для браузера (раздел 8.1);
• Cloudflare, Inc. — IP-адрес и технические сведения о браузере при проверке Turnstile (раздел 8.3), IP-адрес и первые 5 символов хеша пароля при проверке на утечки (раздел 8.2).

Предоставление данных по запросу государственных органов осуществляется в объёме и порядке, предусмотренных законодательством Российской Федерации. Содержимое записей хранилища и в этом случае остаётся зашифрованным: расшифровать его оператор технически не в состоянии.

10. Место обработки и трансграничная передача

Базы данных, в которых осуществляются сбор, запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации, расположены на территории Российской Федерации, как того требует часть 5 статьи 18 152-ФЗ. Фактическое место размещения серверов: Российская Федерация.

Трансграничная передача (статья 12 152-ФЗ) возникает, когда вы пользуетесь функциями из раздела 8: IP-адрес устройства и доменные имена сайтов при загрузке значков расширением получает Google LLC (США), IP-адрес и технические сведения о браузере — Cloudflare, Inc. (США). Сведения о такой передаче включаются в уведомление оператора в Роскомнадзор. Передачу доменных имён Google из расширения можно исключить, выключив загрузку значков в его настройках. Приложение для Android сведений Google не передаёт.

11. Сроки обработки и уничтожение данных

Данные учётной записи и хранилища обрабатываются в течение срока существования учётной записи. Учётная запись, почта которой не подтверждена, удаляется через 7 дней после регистрации.

Удалить учётную запись можно самостоятельно в настройках сервиса (раздел «Безопасность»: нужно ввести пароль и адрес почты) или по письменному обращению на support@seifo.ru. При удалении сразу удаляются записи хранилища, сведения об устройствах, сессиях, настройках и событиях безопасности, обращения в поддержку с их файлами, а все входы завершаются. Восстановить удалённую учётную запись нельзя.

Журналы событий безопасности хранятся не более 90 дней. Обращения в поддержку вместе с приложенными файлами и сохранёнными с ними сведениями (пункт 4.6) удаляются через 180 дней после последнего изменения обращения. Резервные копии базы данных перезаписываются по ротации: копии на сервере — в течение 2 суток, внешняя зашифрованная копия — не позднее чем через 12 месяцев. В эти сроки удалённые данные исчезают и из резервных копий; до этого копии используются только для восстановления после сбоя.

При достижении цели обработки, отзыве согласия или выявлении неправомерной обработки персональные данные уничтожаются в сроки, установленные статьёй 21 152-ФЗ.

12. Права субъекта персональных данных

В соответствии со статьями 14–17 152-ФЗ вы вправе получать сведения об обработке ваших персональных данных, требовать их уточнения, блокирования или уничтожения в случае, если они неполны, устарели, неточны, незаконно получены или не являются необходимыми для заявленной цели, а также обжаловать действия оператора.

Запрос направляется на support@seifo.ru либо по адресу из раздела 2. Согласно части 3 статьи 14 152-ФЗ запрос должен содержать номер основного документа, удостоверяющего личность заявителя, сведения о дате его выдачи и выдавшем органе, сведения, подтверждающие ваше участие в отношениях с оператором (например, адрес электронной почты учётной записи), и вашу подпись. Оператор отвечает в течение 10 рабочих дней с даты получения запроса; срок может быть продлён не более чем на 5 рабочих дней с уведомлением о причинах.

Расшифрованное содержимое записей оператору недоступно, поэтому в ответ на запрос оно не предоставляется. Выгрузить свои записи в расшифрованном виде вы можете сами в настройках сервиса (раздел «Экспорт»).

13. Отзыв согласия

Согласие на обработку персональных данных, если обработка ведётся на его основании, может быть отозвано в любой момент — направлением обращения на support@seifo.ru. Удаление учётной записи в настройках прекращает и обработку, основанную на договоре. После отзыва согласия оператор прекращает обработку и уничтожает данные в сроки, установленные статьёй 21 152-ФЗ, за исключением случаев, когда обработка продолжается на ином правовом основании, предусмотренном частью 2 статьи 9 152-ФЗ.

14. Меры по обеспечению безопасности

Оператор принимает правовые, организационные и технические меры, предусмотренные статьями 18.1 и 19 152-ФЗ, в том числе:

• сквозное шифрование содержимого хранилища на устройстве пользователя (Argon2id, HKDF, XChaCha20-Poly1305) — оператор не располагает ключами расшифрования;
• передача данных между устройством и сервером только по защищённому каналу (HTTPS);
• хранение проверочных значений паролей учётных записей в виде криптографических хешей;
• разграничение доступа к серверам и базам данных, журналирование доступа;
• двухфакторная аутентификация (код из приложения-аутентификатора после пароля) и вход по ключу доступа (WebAuthn);
• блокировка хранилища после периода бездействия, который вы выбираете в настройках, а в строгом режиме — и при закрытии браузера; очистка локальных данных при выходе;
• регулярное резервное копирование и контроль целостности данных.

Назначено лицо, ответственное за организацию обработки персональных данных (раздел 2); утверждён порядок доступа к персональным данным и реагирования на инциденты.

15. Cookie и локальное хранилище браузера

В файлах cookie сайт хранит только выбранный язык интерфейса и технический признак сеанса браузера (чтобы понять, что браузер перезапускали, и вовремя заблокировать хранилище). Токен сессии, тема оформления, настройки и зашифрованная копия хранилища хранятся в локальном хранилище браузера (раздел 7). Рекламные и аналитические cookie и счётчики не используются. Проверка Cloudflare Turnstile (раздел 8.3) работает по правилам Cloudflare. Расширение и приложение для Android используют локальное хранилище устройства для тех же целей.

16. Несовершеннолетние

Сервис не предназначен для лиц младше 16 лет, и оператор не собирает их персональные данные осознанно. Если вам стало известно о такой учётной записи, сообщите на support@seifo.ru — данные будут удалены.

17. Изменения Политики

Оператор вправе изменять настоящую Политику. Новая редакция публикуется на этой странице с указанием даты и вступает в силу с момента публикации. О существенных изменениях оператор дополнительно уведомляет по адресу электронной почты учётной записи.

18. Обращение в надзорный орган

Если вы считаете, что оператор нарушает требования законодательства о персональных данных, вы вправе обратиться в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор): 109992, г. Москва, Китайгородский проезд, д. 7, стр. 2, rkn.gov.ru. Вы также вправе защищать свои права и законные интересы в судебном порядке (статья 17 152-ФЗ).