Политика конфиденциальности

Учётные данные: адрес электронной почты; при входе через Google — также отображаемое имя, ссылка на изображение профиля и неизменный идентификатор Google (subject ID). Используются исключительно для входа и для обращения к Вам в интерфейсе.

Профиль: выбранная Вами печать, раскладка по умолчанию, язык. Астрологические функции и карта рождения вычисляются на сервере из введённых Вами сведений, а сохраняются только производные значения — коды солнечного, лунного и восходящего знаков и идентификаторы карты души и карты личности. Дата рождения, время, место и координаты в исходном виде никогда не записываются в нашу базу данных: это проверяемое обязательство, а не настраиваемая опция. Единственное исключение — натальная карта, которую Вы сами решили сохранить; о ней — в следующем пункте.

Сохранённые натальные карты: только если Вы выбираете «Сохранить в мою рукопись» под картой на странице натальной карты, — данное Вами название, время сохранения, дата рождения, время рождения в том виде, в каком Вы его указали (точное, двухчасовой интервал или не указано), выбранное место рождения (название, код страны и координаты) с его часовым поясом и запрошенная система домов. Они хранятся, чтобы карту можно было открыть снова, пока Вы не удалите карту в Профиле или не удалите аккаунт, и входят в экспорт Ваших данных. Если Вы выбираете сохранение, не войдя в аккаунт, браузер держит те же данные в сеансовом хранилище этой вкладки только на время входа и удаляет их, как только Вы перейдёте на любую другую страницу. Не более 12 карт.

Расклады и дневник: пока Вы находитесь в своём аккаунте, каждый расклад автоматически сохраняется в нём, как только толкование дописано до конца, — выпавшие карты, тип расклада, заданный Вами вопрос, толкование, созданное языковой моделью, а также чтец и голос, которыми оно написано. Заметки, метки и отметка о настроении сохраняются, когда Вы их добавляете. Токен публичной ссылки сохраняется только тогда, когда Вы создаёте ссылку, — вместе с изображением предпросмотра, которое Ваш браузер рисует для неё: название расклада и его карты, но никогда не Ваш вопрос и не текст толкования. При отзыве ссылки удаляется и то и другое. Удалить расклады можно в любой момент: по одному — на странице расклада или в «Дневнике», все сразу — через «Профиль → Удалить гримуар». Вместе с раскладом удаляются и его публичная ссылка, и изображение предпросмотра.

Текст карточки ссылки: когда Вы создаёте или обновляете публичную ссылку, Ваш браузер также отправляет текст для карточки предпросмотра этой ссылки — название расклада с названиями не более чем трёх его карт и фрагмент толкования, выбранный Вами при публикации, — но никогда не Ваш вопрос. Этот текст хранится только для показа карточки и удаляется, когда Вы отзываете ссылку или удаляете расклад.

Возвращения к шагу: когда Вы включаете под раскладом «Вернуться к этому шагу через 7 дней», — дата, когда подходит срок (через семь дней после расклада), время отправки напоминания и, после Вашего ответа, удалось ли сделать этот шаг, а также Ваше собственное размышление (до 2000 символов). Одновременно хранится только одно возвращение без ответа: новое заменяет его, а выключение удаляет. Возвращение с ответом остаётся при своём раскладе, пока Вы не удалите этот расклад или учётную запись.

Разговоры: когда Вы беседуете с чтецом о раскладе или начинаете разговор напрямую, — каждое Ваше сообщение и каждый ответ (включая быстрые действия, например смену ракурса или чтеца), чтец и язык, а также итоги разговора, которые составляет чтец: Вы можете их править, и они же служат памятью о более ранних репликах. Разговор хранится, пока Вы его не очистите — тогда он удаляется вместе со всеми сообщениями и итогами, — или пока Вы не удалите его расклад или учётную запись. При очистке разговора мы сохраняем без какого-либо содержания только время вопросов, заданных за последние 24 часа, чтобы дневной лимит сообщений продолжал их учитывать; эти отметки удаляются при следующей очистке разговора, когда 24 часа уже прошли, или вместе с учётной записью.

Записи о взаимодействии: ежедневные карты (по одной карте на пользователя за каждые сутки по его местному времени), продвижение в 21-дневной практике, открытые достижения и результаты викторин. Эти сведения нужны для отображения страниц /profile, /journey и /wrapped и для присуждения достижений, описанных в Условиях использования. Когда Вы начинаете 21-дневную практику, мы сохраняем вместе с ней Ваш часовой пояс (название из базы IANA, например Europe/Moscow), чтобы дни практики считались по Вашей местной дате.

Прогресс в викторинах: пока Вы в аккаунте, — звёзды, полученные на каждой станции, насколько хорошо Вы знаете каждую карту (в какой коробке повторения она лежит), дни, когда Вы занимались (из них складывается серия занятий), и Ваш лучший результат в блице на три минуты. Нужен, чтобы продолжать с того же места на любом устройстве; хранится, пока Вы не удалите учётную запись.

Прогресс чтения путеводителя: пока Вы в аккаунте, — какие страницы /guide Вы прочитали и когда, чтобы показывать Ваше продвижение по путеводителю на любом устройстве; хранится, пока Вы не удалите учётную запись.

Напоминание о чтении: если Вы задали время напоминания в профиле, — это время и часовой пояс, по которому оно отправляется (название из базы IANA, например Europe/Moscow, берётся из браузера при сохранении), чтобы письмо-напоминание о карте дня приходило в этот час по Вашему местному времени. При выключении напоминания время стирается; часовой пояс остаётся вместе с другими настройками, пока Вы не удалите учётную запись.

Подписки на push-уведомления: только если Вы включаете их на странице /profile — выданный браузером адрес конечной точки и открытые ключи устройства p256dh и auth (выпускаются браузером и сами по себе персональными данными не являются). При выключении переключателя эти записи удаляются.

Приглашения: когда Вы создаёте или активируете пригласительный код — строка кода и одна запись о каждом принятом приглашении; они нужны для начисления дополнительного месяца, описанного в Условиях использования.

Расчёты по подписке: для платного уровня — уровень подписки, дата продления, срок льготного периода, если он открыт, и идентификаторы клиента и подписки, присвоенные Dodo Payments — нашим зарегистрированным продавцом. Номер карты, срок её действия и код проверки подлинности нам недоступны.

Баллы — для учётных записей, которые ими пользуются: каждое начисление (откуда оно — подарок при регистрации, ежемесячное начисление, ежедневная отметка или пакет баллов; сколько; сколько осталось; когда сгорает) и каждое списание (сколько, на какой расклад, вопрос в беседе или страницу дня и было ли оно возвращено). Используются только для того, чтобы вести Ваш баланс и показывать, на что ушёл каждый балл.

Списания за расклад: каждый раз, когда расклад расходует баллы, — идентификатор расклада, хеш SHA-256 того, что выпало (тип расклада, язык, вопрос и карты; сам вопрос здесь не хранится), и число возобновлений, чтобы повторная загрузка или повторная попытка того же расклада в течение 24 часов не оплачивалась дважды. Записи старше 24 часов удаляются, когда расклад в следующий раз расходует Ваши баллы, остальные — вместе с учётной записью.

Аналитика: записи о событиях, привязанные к псевдонимизированному идентификатору учётной записи (случайному идентификатору, а не Вашему имени или адресу электронной почты). В них нет ни текста вопроса, ни содержания карт, ни прозы толкований.

Запросы кодов для входа: каждый раз, когда мы отправляем код для входа по электронной почте, и каждый раз, когда вводится неверный код, мы сохраняем короткую запись для защиты от злоупотреблений: хеш адреса электронной почты с секретным ключом (HMAC), такой же хеш IP-адреса и время. Ни адрес, ни IP-адрес не хранятся в читаемом виде.

Журнал отправки писем: по одной записи на каждое автоматическое письмо (например, коды для входа, уведомления об учётной записи и подписке, еженедельные письма и рассылка новостей): какое это было письмо, когда оно отправлено, доставлено ли оно, а также идентификатор сообщения или код ошибки от службы отправки. Текста письма в записи нет никогда. Получатель указывается как Ваша учётная запись, а если письмо не связано ни с какой учётной записью, — как хеш адреса с секретным ключом. Для писем, связанных с учётной записью, которые может потребоваться отправить повторно, запись также хранит данные, из которых письмо было составлено (например, Ваш тариф и дату продления или первое слово Вашего отображаемого имени), и Ваш часовой пояс.

Еженедельные письма: если Вы подписались через форму на сайте (подписка подтверждается по ссылке из письма, которое мы Вам отправим) или, войдя в учётную запись, присоединились с её адресом (по умолчанию этого не происходит): адрес электронной почты, язык писем, откуда Вы подписались, время подписки и время подтверждения, время отправки последнего письма с подтверждением, сколько писем Вы уже получили и когда было отправлено последнее, а также время отписки. Ответы на lunaris@lunarcana.app пересылаются в почтовый ящик владельца сервиса и хранятся там; мы читаем их, чтобы делать письма лучше, и никогда не используем для личных раскладов.

Первый расклад в гостевом режиме: если Вы пробуете расклад без входа в аккаунт, — выпавшие карты, тип расклада, Ваш вопрос, язык, использованные параметры толкования и чтец, само толкование и модель, которая его написала, предложенные к нему вопросы, Ваши бесплатные уточняющие вопросы с ответами, а если сообщение вызывает опасения за Вашу безопасность и вместо толкования на него приходит наше неизменное сообщение о поддержке, — до трёх таких сообщений вместе с этим ответом. Чтобы ограничить число гостевых раскладов из одной сети, мы также храним хеш Вашего IP-адреса с секретным ключом (HMAC) — но никогда сам IP-адрес, — а Ваш браузер 30 дней хранит подписанный файл cookie (lunarcana-guest) с идентификатором расклада. Если Вы войдёте в аккаунт в течение этих 30 дней, расклад можно сохранить: он вместе с уточняющими вопросами копируется в Вашу учётную запись как обычный расклад с разговором. Гостевая запись не содержит ни имени, ни адреса электронной почты.

Исполнение договора (ст. 6(1)(b) GDPR): учётная запись, профиль, расклады, расчёты по подписке. Без этих данных мы не сможем оказать услугу, о которой Вы нас попросили.

Законный интерес (ст. 6(1)(f) GDPR): минимальная аналитика для наблюдения за работоспособностью сервиса и противодействия злоупотреблениям, агрегированная веб-аналитика через Google Analytics, записи о запросах кодов для входа — для защиты от злоупотреблений, и журнал отправки писем — чтобы убедиться, что наши письма доходят. Баланс с Вашим правом на частную жизнь обеспечивается хешированием идентификаторов, удалением этих записей в установленные сроки и возможностью выйти из учётной записи.

Согласие (ст. 6(1)(a) GDPR): астрологическое дополнение запросов к модели, push-уведомления, рассылка новостей, еженедельные письма и письмо с картой дня. Всё это по умолчанию отключено и включается Вами самостоятельно.

Исполнение правовой обязанности (ст. 6(1)(c) GDPR): расчётные документы хранятся в сроки, предписанные налоговым законодательством, применимым к Dodo Payments.

Все записи, привязанные к пользователю (учётная запись, профиль, расклады, дневник, сохранённые карты, ежедневные карты, продвижение в практике, достижения, результаты викторин, прогресс в викторинах, прогресс чтения путеводителя, списания за расклад, возвращения к шагу, тексты карточек ссылок, разговоры и их итоги, время и часовой пояс напоминания о чтении, подписки на push-уведомления, записи о приглашениях, месячные счётчики использования, начисленные баллы и история их списания, а также записи журнала отправки писем, связанные с Вашей учётной записью и её адресом), — до момента, когда Вы удалите учётную запись: тогда они все вместе удаляются одной транзакцией, которая также исключает Ваш адрес из списка еженедельных писем.

Записи о запросах кодов для входа: 24 часа.

Журнал отправки писем: 90 дней. При удалении учётной записи записи, связанные с ней и с её адресом, сразу удаляются; остаётся лишь запись о письме, подтверждающем удаление, — она хранится по хешу адреса и удаляется через 90 дней.

Список еженедельных писем: Ваша запись хранится, пока Вы не попросите её удалить. Отписка — по ссылке в один клик в конце каждого письма или при удалении учётной записи — сразу исключает Ваш адрес из списка; сама запись остаётся с отметкой об отписке, пока Вы не напишете на support@lunarcana.app.

Первые расклады в гостевом режиме: хранятся без ограничения срока, без имени и адреса электронной почты, как обезличенные данные для анализа того, с какими вопросами приходят люди и как на них отвечают толкования. Хеш IP-адреса стирается, когда раскладу исполняется 30 дней (партиями, по мере того как начинаются новые гостевые расклады); после этого его уже нельзя перенести в учётную запись. Если Вы его перенесли, удаление учётной записи лишь разрывает связь между Вами и гостевой записью; копия в Вашей учётной записи удаляется вместе с ней.

Резервные копии базы данных: скользящий срок 30 дней.

Журналы сервера и журналы доступа: 30 дней.

Аналитические события: скользящее окно 12 месяцев.

Google Analytics: данные о событиях на уровне пользователя хранятся 2 месяца, агрегированные отчёты на их основе — дольше.

Расчётные документы: после удаления учётной записи их хранит Dodo Payments столько, сколько требуют его налоговые и аудиторские обязанности (см. его политику конфиденциальности).

Записи о возвратах: когда платёж возвращается или оспаривается (чарджбэк), мы сохраняем запись об этом (сумма, валюта, дата, причина, а также относящиеся к нему платёжный адрес электронной почты, идентификатор Google и идентификаторы клиента / подписки в Dodo Payments). Она не удаляется вместе с учётной записью — разрывается лишь её связь с учётной записью, — чтобы аудиторский след сохранялся семь лет.

Cloudflare (США, глобальная периферийная сеть): вычисления Workers, база данных D1, хранилище ресурсов R2. Здесь находятся все рабочие данные. Через Cloudflare Email Service доставляются наши автоматические письма, например коды для входа, уведомления об учётной записи и подписке, еженедельные письма и рассылка новостей (мы передаём адрес электронной почты и готовый текст письма); Cloudflare Email Routing пересылает почту, адресованную на support@ и lunaris@lunarcana.app, в почтовый ящик владельца сервиса; а Cloudflare Turnstile перед отправкой кода и перед тем, как вытянуть карты для первого расклада в гостевом режиме, проверяет, что запрос делает человек.

Google (США): вход через OAuth — мы получаем адрес электронной почты, имя, изображение профиля и идентификатор subject ID, и ничего сверх этого. Кроме того, почтовый ящик владельца сервиса, куда пересылаются письма на support@ и lunaris@lunarcana.app, размещён в Gmail.

DeepSeek (Сингапур / Китай): поставщик толкований, создаваемых языковой моделью. Мы передаём выпавшие карты, тип расклада, вопрос, язык интерфейса и — если Вы это разрешили — астрологический контекст. В разговоре — включая уточняющие вопросы в гостевом режиме — мы также передаём текст толкования, итоги, в последний раз составленные чтецом (но никогда Ваши собственные правки к ним), последние сообщения этого разговора и Ваше новое сообщение, чтобы модель написала ответ и итоги. Адрес электронной почты, имя и историю Ваших обращений мы не передаём никогда.

Resend (США): только письмо-напоминание о карте дня, которое отправляется, если Вы указали в профиле время напоминания о чтении. Мы передаём адрес электронной почты и готовый текст письма. Рассылка новостей и еженедельные письма через Resend не проходят.

Ретрансляторы push-уведомлений (Apple Push Notification service / Firebase Cloud Messaging / Mozilla Push Service): задействуются, только если Вы включили уведомления. Мы отправляем содержимое уведомления на адрес конечной точки, выданный Вашим браузером, а ретранслятор доставляет его на устройство.

PostHog (США, доступен европейский регион): продуктовая аналитика. Пока Вы вошли в учётную запись, мы передаём псевдонимизированный идентификатор учётной записи (случайный идентификатор, а не Ваше имя или адрес электронной почты) и выбранную Вами печать. Кроме того, мы передаём названия событий с их подробностями (счётчики, настройки и идентификаторы, например расклада или карты), в том числе то, какие кнопки и ссылки Вы нажимаете, но не их текст; адреса просматриваемых страниц и страницы, с которой Вы перешли, без текста вопроса; тип устройства, операционной системы и браузера, размер экрана, язык и часовой пояс; а также Ваш IP-адрес, по которому PostHog определяет приблизительное местоположение. Записи сеансов фиксируют макет страницы, прокрутку и клики, при этом весь текст и все поля форм скрыты. Ни текста вопроса, ни прозы толкований мы не передаём.

Google Analytics (Google LLC, США): агрегированная веб-аналитика — просмотренные страницы, тип устройства и браузера, приблизительное местоположение, сайт, с которого пришёл посетитель, и несколько продуктовых событий (начало оплаты, завершение оплаты, завершение расклада). Мы никогда не передаём туда ни идентификатор пользователя, ни Ваш адрес электронной почты, ни Ваш вопрос, ни толкование. Google Signals и рекламные функции отключены.

Dodo Payments (зарегистрированный продавец, merchant of record): наш онлайн-реселлер платных подписок; его наименование указывается при оформлении оплаты и в Вашем чеке. Он проводит платежи по картам и отвечает за налоговое соответствие как самостоятельный оператор тех персональных данных, которые собирает непосредственно у Вас при оплате, в соответствии с собственной политикой конфиденциальности (https://dodopayments.com/legal/privacy-policy); мы получаем только его абстрактные идентификаторы клиента и подписки. Передача за пределы ЕЭЗ, когда она происходит, опирается на Стандартные договорные положения ЕС.

authjs.session-token (среда разработки) / __Secure-authjs.session-token (рабочая среда): сессия Auth.js v5, httpOnly, sameSite=lax; необходим для входа.

NEXT_LOCALE: выбранный Вами язык.

lunarcana-ref: носитель пригласительного кода, прекращает действие после его активации.

lunarcana-guest: устанавливается, когда вытягиваются карты первого расклада в гостевом режиме; содержит идентификатор расклада с подписью, чтобы этот браузер мог вернуться к раскладу и сохранить его после входа в аккаунт. httpOnly; действует 30 дней и удаляется, когда Вы после входа переносите расклад в учётную запись или когда попытка переноса показывает, что срок его действия истёк.

lunarcana:tz: Ваш часовой пояс (название из базы IANA, например Europe/Moscow); устанавливается, когда Вы тянете карту дня, чтобы ежедневные страницы знали Вашу местную дату; действует один год.

PostHog distinct_id: аналитический идентификатор первой стороны; устанавливается только при заданном NEXT_PUBLIC_POSTHOG_KEY.

_ga и _ga_<container-id>: аналитические файлы cookie первой стороны, которые устанавливает Google Analytics; хранятся до 2 лет. Посетителям из ЕЭЗ, Великобритании и Швейцарии они не устанавливаются: там Google Analytics работает в режиме согласия (Consent Mode) с запретом на аналитическое хранилище и отправляет только анонимные запросы без файлов cookie.

Мы не устанавливаем рекламные файлы cookie третьих лиц и не участвуем в межсайтовом отслеживании поведения.

Локальное хранилище: не относящиеся к чувствительным настройки, которые остаются на устройстве и никогда не отправляются на наши серверы, — фоновая дорожка и громкость, режим без звука, отказ от предложения установить приложение, счётчик ежедневной медитации. Очистка данных сайта стирает их.

Lunarcana размещена в глобальной сети Cloudflare; Ваши данные могут обрабатываться в регионах за пределами страны Вашего проживания, в том числе в Соединённых Штатах. Передача, исходящая из ЕС, Великобритании или Швейцарии, в применимых случаях опирается на Стандартные договорные положения (SCC).

Издание для Китая (после запуска) работает на Aliyun внутри материкового Китая и не дублирует данные за пределы региона. Трансграничная передача данных, собранных этим изданием, оформляется отдельным согласием.

Право на доступ, на исправление, на удаление и на переносимость данных: напишите на support@lunarcana.app либо воспользуйтесь разделом «Профиль → Удалить гримуар», чтобы немедленно запустить каскадное удаление по всем привязанным к Вам таблицам — user / account / session / reading / readingInterpretation / savedCard / userPreference / subscription / dailyDraw / userChallenge / userAchievement / pushSubscription / referralCode / referralRedemption / usageMonthly / credit_lot / credit_spend / email_send / readingSharePreview / readingShareText / reading_check_in / conversation / conversation_message / conversation_cleared_turn / quiz_progress / guide_read / draw_charge. Удаление выполняется одной транзакцией и необратимо.

Отзыв согласия: в профиле Вы в любой момент можете включить или отключить астрологическое дополнение, push-уведомления, рассылку новостей, письмо с картой дня и синтез речи. Рассылка новостей остаётся выключенной, пока Вы сами её не включите, а в конце каждого её выпуска и каждого еженедельного письма есть ссылка для отписки в один клик.

Право на возражение против обработки и право на ограничение обработки: напишите нам.

Право на жалобу: в надзорный орган по защите данных по месту Вашего нахождения — в ЕЭЗ это национальный надзорный орган, в Великобритании ICO, в Калифорнии Генеральный прокурор штата, в Китае CAC.

Калифорния (CCPA / CPRA): мы не продаём персональную информацию и не передаём её для межконтекстной поведенческой рекламы. Поэтому ссылка «Do Not Sell or Share» не требуется, однако перечисленные выше права Вы сохраняете.

Китай (PIPL): Вы вправе запросить копию своих данных и разъяснение о порядке обработки, а также в любой момент отозвать согласие.

Lunarcana не адресована пользователям младше 13 лет (в Европейском союзе — младше 16 лет). Если нам станет известно, что мы непреднамеренно собрали данные такого пользователя, мы удалим их без промедления.

О существенных изменениях мы объявляем на сайте не менее чем за 14 дней до вступления их в силу. Определяющей является строка «Последнее обновление» в начале этой страницы.

При передаче: TLS 1.3 между Вашим браузером, периферийной сетью Cloudflare и каждым субобработчиком, к которому мы обращаемся. Аутентификационные файлы cookie помечены httpOnly и sameSite=lax; токены сессии — случайные непрозрачные значения, выпускаемые Auth.js v5 и хранящиеся в нашей базе данных лишь как ссылки.

При хранении: наша база данных Cloudflare D1 защищена управляемым Cloudflare шифрованием диска. Мы не храним ни номер карты, ни срок её действия, ни код проверки подлинности, ни какое-либо иное платёжное средство — только абстрактные идентификаторы клиента и подписки, присвоенные Dodo Payments.

Управление доступом: административный доступ к рабочей базе данных ограничен учётной записью Cloudflare сопровождающего проект, защищённой аппаратным ключом. Внутреннего инструмента поддержки с неограниченным правом чтения пользовательских записей у нас нет.

Уведомление о нарушении: если произойдёт нарушение безопасности персональных данных, способное создать риск для Ваших прав, мы уведомим компетентный надзорный орган в течение 72 часов с момента, когда нам стало о нём известно, и без неоправданной задержки свяжемся с затронутыми пользователями по указанному адресу электронной почты — в соответствии со ст. 33 и 34 GDPR и равнозначными нормами.

Толкования карт создаются по запросу сторонней языковой моделью на основании выпавших карт и заданного Вами вопроса. Они предназначены для размышления, дневниковой практики и созерцательной работы. Ничто, касающееся Вашей учётной записи, условий доступа, цены или уровня обслуживания, моделью не решается.

Мы не принимаем решений, основанных исключительно на автоматизированной обработке, включая профилирование, которые порождали бы для Вас юридические последствия или иным образом существенно затрагивали бы Вас, в значении ст. 22 GDPR.