Политика обработки персональных данных

Версия: 2026-06-12-v2 Дата последней редакции: 29 сентября 2026 г. Правовая основа: Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ»)

Настоящая Политика описывает, какие персональные данные обрабатывает Telegram-бот для текстовых ролевых игр (далее — «Сервис», «Бот»), для каких целей, на каком основании, как они защищаются, сколько хранятся и как Пользователь может реализовать свои права.

1. Оператор

Оператором персональных данных является физическое лицо, управляющее Сервисом (далее — «Оператор»). Контакт для обращений по вопросам обработки персональных данных, включая отзыв согласия и реализацию прав субъекта: @octavian_dev (также доступен по команде /help в Боте).

2. Какие персональные данные обрабатываются

Оператор обрабатывает минимально необходимый объём данных:

Идентификатор пользователя Telegram (числовой Telegram user id) и, при наличии, username и имя — для идентификации Пользователя и привязки настроек;
Содержание сюжетов (контент ролевых игр) — сообщения Пользователя и ответы языковой модели, настройки тем, лор-файлы, карточки персонажей, персоны и заметки. Хранится в зашифрованном виде (см. раздел 6);
API-ключи сторонних LLM-провайдеров, введённые Пользователем, — хранятся в зашифрованном виде;
Платёжные данные — при оплате подписки. В зависимости от выбранного способа: при оплате скриншотом перевода из изображения автоматически распознаются сумма, дата и последние 4 цифры карты отправителя (байты скриншота хранятся в зашифрованном виде; полный номер карты не запрашивается и не хранится); при оплате через платёжные платформы (раздел 9) Оператор получает только факт и параметры платежа (сумма, идентификатор), но не реквизиты карты;
Журналы использования (usage-логи) — расход токенов, модели, метрики работы, технические события;
Технические фрагменты для качества Сервиса — Сервис может временно сохранять на сервере Оператора служебные копии фрагментов диалога (например, выборки для фоновой обработки памяти и диагностики сбоев); они используются только для работы, отладки и улучшения Сервиса (включая обучение собственной модели памяти Сервиса), удаляются при удалении Пользователя (/forget_me) и могут передаваться третьим лицам лишь в случае, описанном в разделе 9 (разметка обучающих данных собственной модели памяти Сервиса);
Записи об инцидентах безопасности — факты срабатывания защитной фильтрации, связанные с возможными нарушениями (в т.ч. ст. 242.1/242.2 УК РФ);
Запись о согласии — факт и дата принятия документов, версия принятого Соглашения, факт и дата отзыва согласия.

Оператор не запрашивает целенаправленно специальные категории персональных данных. Содержание сюжетов формируется самим Пользователем; Пользователь самостоятельно отвечает за то, какие сведения он туда вводит.

3. Цели обработки

предоставление и работа функциональности Сервиса (оркестрация ролевой игры, память сюжета, настройки);
идентификация Пользователя и разграничение доступа к его данным;
учёт расхода токенов и работоспособности Сервиса;
диагностика сбоев и улучшение качества работы Сервиса;
защита Сервиса, Оператора и третьих лиц от противоправного контента и выполнение требований закона (в т.ч. ст. 242.1/242.2 УК РФ);
приём и подтверждение оплаты платной подписки;
ведение доказательства соблюдения 152-ФЗ (запись о согласии и его отзыве).

4. Правовое основание обработки

Основным правовым основанием является согласие субъекта персональных данных (ст. 6 ч. 1 п. 1 152-ФЗ), выражаемое отдельной галочкой «Согласие на обработку ПД (152-ФЗ)» при первом запуске Бота. Обработка отдельных категорий данных (записи об инцидентах безопасности, запись о согласии) также основывается на необходимости исполнения возложенных на Оператора законом обязанностей и защите прав Оператора и третьих лиц (ст. 6 ч. 1 п. 2, п. 7 152-ФЗ).

5. Хранение данных и трансграничная передача

5.1. Данные хранятся в базах данных, развёрнутых Оператором на арендованных выделенных серверах (self-hosted MongoDB и векторная БД с резервными зеркалами). Серверы предоставляются европейским хостинг-провайдером, и их инфраструктура располагается за пределами территории Российской Федерации (Европейский союз), то есть имеет место трансграничное хранение и/или передача данных. Резервные копии хранятся в зашифрованном виде у сторонних провайдеров хранения (раздел 9).

5.2. Требование ч. 5 ст. 18 152-ФЗ предусматривает, что запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации должны осуществляться с использованием баз данных, находящихся на территории Российской Федерации (правило локализации).

5.3. Оператор честно признаёт, что текущая конфигурация хранения может не в полной мере соответствовать правилу локализации п. 5.2. В качестве мер снижения рисков применяются: сквозное шифрование чувствительного контента и ключей (раздел 6), шифрование резервных копий, минимизация объёма данных, отсутствие продажи и нецелевой передачи данных, возможность немедленного удаления данных Пользователем. Используя Бот и давая согласие, Пользователь информирован о трансграничном хранении и принимает его.

6. Меры защиты (шифрование, crypto-shred)

6.1. Чувствительные данные (содержание сюжетов, API-ключи, байты скриншотов платежей) шифруются. Для каждого Пользователя используется отдельный производный ключ шифрования, выводимый из мастер-ключа и индивидуальной соли Пользователя; разные типы данных шифруются в разных криптографических пространствах имён.

6.2. Crypto-shred (криптографическое уничтожение). При удалении данных индивидуальная соль Пользователя уничтожается. Без неё производный ключ невозможно восстановить, и зашифрованный контент превращается в нечитаемый шум — расшифровать его не может никто, включая Оператора. Физическое присутствие зашифрованных байтов на диске до их естественной перезаписи не позволяет получить доступ к содержанию. Дополнительно при удалении стираются незашифрованные служебные копии (поисковые индексы текста, лор-файлы, служебные фрагменты диагностики и выборки фоновой обработки).

6.3. Резервные копии создаются в зашифрованном виде (шифрование на стороне Оператора до выгрузки) и хранятся в закрытых репозиториях/хранилищах, недоступных посторонним.

7. Сроки хранения

Содержание сюжетов, настройки, API-ключи — хранятся до удаления Пользователем (/forget_me) либо до прекращения использования Сервиса; крипто-уничтожаются при отзыве согласия;
Корзина удаления: данные, удалённые командами /clear, /undo или при удалении темы, помещаются во временную корзину и хранятся ещё до 14 дней (для возможности восстановления по запросу), после чего удаляются автоматически. Полное удаление через /forget_me распространяется и на корзину немедленно;
Записи в собранном обучающем наборе собственной модели памяти (раздел 9) — до удаления Пользователя; после /forget_me удаляются из набора при его ближайшей пересборке, но не позднее 30 дней;
Служебные диагностические копии повреждённых фрагментов памяти — до 30 дней (автоудаление), при /forget_me удаляются немедленно;
Журналы использования — после удаления Пользователя обезличиваются (Telegram id заменяется на необратимый псевдоним) и далее хранятся в обезличенном виде для статистики и учёта;
Записи об инцидентах безопасности — хранятся не менее одного года (для возможного предоставления правоохранительным органам по ст. 242.1/242.2 УК РФ); при удалении Пользователя привязка к его идентификатору обнуляется, но сам факт инцидента сохраняется;
Запись о согласии и его отзыве — хранится как доказательство соблюдения 152-ФЗ.

8. Права субъекта персональных данных

Пользователь вправе: получать информацию об обработке своих данных, требовать их уточнения, отозвать согласие и потребовать полного удаления данных.

Отзыв согласия и удаление реализуются командой /forget_me в Боте:

Пользователь вводит /forget_me и подтверждает словом «удалить»;
Запускается таймер 24 часа (период «остывания»), в течение которого удаление можно отменить кнопкой;
По истечении 24 часов выполняется crypto-shred (раздел 6) и обезличивание: содержание сюжетов, ключи, настройки становятся нечитаемыми навсегда; незашифрованные служебные копии стираются; журналы использования обезличиваются; в записях об инцидентах безопасности обнуляется привязка к идентификатору; фиксируется факт и дата отзыва согласия. Записи Пользователя в уже собранном обучающем наборе модели памяти удаляются в срок, указанный в разделе 7 (не позднее 30 дней).

Команда /forget_me доступна всегда, в том числе если требуется повторное принятие обновлённых документов (право на отзыв согласия не ограничивается).

9. Передача данных третьим лицам (субобработчики)

Оператор не продаёт персональные данные и не передаёт их для целей, не предусмотренных настоящей Политикой. Для работы Сервиса данные могут получать следующие категории получателей; конкретные поставщики внутри категории выбираются и заменяются Оператором по мере необходимости (надёжность, цена, доступность), и такая замена не меняет состав передаваемых данных и цели их обработки:

Поставщик моделей ИИ, выбранный самим Пользователем (при использовании собственного ключа) — получает текст запросов (содержание сюжета) для генерации ответа; отношения Пользователя с этим поставщиком регулируются его условиями; Оператор лишь направляет запрос по ключу Пользователя;
Поставщики моделей ИИ инфраструктуры Сервиса (по ключам Оператора) — получают содержание сюжета (в том числе описание персонажа игрока, если оно задано) для генерации ответов в тарифах Сервиса, для фоновой обработки памяти (извлечение и проверка фактов сюжета, построение поисковых векторов, подбор фактов к ходу) и для внутренней оценки качества ответов и памяти; а также фрагменты диалога из служебного архива фоновой обработки памяти (раздел 2) для разметки обучающих данных собственной модели памяти Сервиса. Состав данных при этом тот же, что при самой обработке памяти; размеченные данные используются только для обучения модели памяти Сервиса; в обучающий набор попадают только истории Пользователей, давших согласие на обработку персональных данных (раздел 4) и не удаливших аккаунт, а записи Пользователя, удалившего аккаунт (/forget_me) после сборки набора, удаляются из него при ближайшей пересборке, но не позднее 30 дней с момента удаления аккаунта;

Сервисы проверки и классификации текста — получают фрагменты сюжета и факты памяти для проверки того, подтверждаются ли факты текстом, и для оценки качества ходов; результат используется только для работы памяти и внутренней статистики качества. С той же целью — чтобы Бот точнее помнил сюжет — такие сервисы могут также: (а) при сворачивании старой части сюжета в сжатый пересказ — сверяться с исходным фрагментом сюжета, чтобы не потерять важный факт; (б) отмечать факт как достаточно значимый, чтобы Бот помнил о нём дольше обычного; (в) отмечать, что в сюжете остался нерешённый конфликт, секрет или обещание, о которых Бот не должен забывать; (г) перед ответом Бота — решать, нужно ли дополнительно поднять из памяти более старые факты, если реплика игрока, похоже, отсылает к чему-то давнему; (д) для этих проверок получать отобранные поиском фрагменты архива сюжета и справочных заметок о мире (лора), а также черновик готовящегося ответа Бота до его отправки — вместе со строками памяти, с которыми черновик сверяется; (е) при оценке того, какие факты памяти нужнее всего для ответа на текущий ход, получать текст хода Пользователя, два-три предыдущих сообщения сюжета и до 60 фактов памяти этого сюжета; (ж) при оценке того, какие фрагменты архива переписки и материалов мира (лора) нужнее ходу, получать краткое описание сцены и сами эти фрагменты. Во всех случаях передаётся только фрагмент сюжета и/или сами факты либо текущий ход/ответ; результат используется исключительно для решений о хранении и поиске в памяти и внутренней статистики качества, не добавляется в ответ Бота от своего имени и на сами ответы не влияет. Системные инструкции, ключи и идентификаторы Пользователя не передаются. Эти функции включаются постепенно, не на всех сюжетах сразу;
Помощник сообщества «Лим» — вопросы, которые Пользователи задают помощнику сообщества, могут передаваться поставщикам моделей ИИ инфраструктуры Сервиса (для подготовки ответа по справочным материалам о Боте) и сервису проверки и классификации текста (для проверки вопроса и подготовленного ответа). Передаётся текст вопроса и черновика ответа; чтобы ответ учитывал случай самого Пользователя, к вопросу о Боте могут добавляться признаки его настроек (например, выбрана ли персона по умолчанию, какой у него тариф, подключён ли собственный ключ, какая модель выбрана) — без текста игры, описаний персонажей, ключей и платёжных данных; идентификаторы Пользователя, системные инструкции и ключи не передаются. Сообщения участников групп сообщества (текст, подписи к вложениям, расшифровки голосовых сообщений) сохраняются для памяти помощника и могут передаваться тем же получателям для разметки и поиска по истории групп; идентификаторы аккаунтов при этом не передаются — только имя, как оно стоит в тексте;
Сервисы модерации и распознавания — техническая защитная фильтрация контента и распознавание (OCR) скриншотов оплаты. Скриншоты, приложенные к сообщению о проблеме, проходят автоматическую проверку и могут передаваться vision-модели для текстового описания в целях разбора обращения;
Telegram — транспорт сообщений (обработка регулируется политикой Telegram);
Хостинг-провайдеры — предоставляют арендованные серверы, на которых развёрнуты базы данных и сервисы Оператора (раздел 5);
Платёжные платформы и шлюзы — при выборе соответствующего способа оплаты; Оператор не получает реквизитов карт Пользователя;
Провайдеры хранения резервных копий — получают только зашифрованные резервные копии данных и служебные метаданные Сервиса.

Поставщику моделей ИИ передаётся то, что нужно для ответа: сообщения сюжета, системные инструкции и описания персонажей, контекст памяти. Собственный ключ Пользователя передаётся только тому поставщику, которого Пользователь выбрал сам; ключи других пользователей ему не передаются. Поставщикам моделей ИИ, сервисам проверки и классификации текста и сервисам модерации и распознавания не передаются идентификаторы Пользователя — только содержание, необходимое для конкретной операции. Хостинг-провайдеры данные не получают для обработки: на их серверах данные Сервиса (включая идентификаторы) хранятся и обрабатываются только Оператором (раздел 5); провайдерам резервного копирования передаются только зашифрованные копии. Актуальный перечень поставщиков Оператор сообщает по запросу Пользователя (раздел 12).

10. Несовершеннолетние

Сервис не предназначен для лиц младше 18 лет; Оператор не осуществляет целенаправленную обработку данных несовершеннолетних. При выявлении такого случая данные удаляются, доступ блокируется.

11. Изменение Политики

Политика может изменяться. Существенные изменения (новые цели обработки, новые категории данных или новые категории получателей) сопровождаются повышением версии документов и повторным запросом согласия в Боте. Замена или добавление поставщика внутри уже указанной в разделе 9 категории существенным изменением не является и не требует повторного согласия. На период бета-тестирования Сервиса новая редакция Политики вступает в силу с момента её публикации без повышения версии и повторного запроса согласия; накопленные существенные изменения сопровождаются повышением версии и повторным запросом согласия при выходе Сервиса из бета-тестирования.

12. Контакты

Обращения по вопросам обработки персональных данных: @octavian_dev (также /help в Боте).