Данные детей: что храним, что удаляем, чего не делаем

Что мы храним

Столько, сколько нужно, чтобы игра работала, — и ни строчкой больше:

• Учётная запись родителя Логин и пароль. Пароль и ПИН быстрого входа (если вы его задали) хранятся только в виде хэша (scrypt) — даже мы не можем прочитать их.
• Почта семьи (если вы её добавили) Контакт не обязателен: его добавляет родитель в кабинете, и письмо со ссылкой-подтверждением уходит туда один раз. Зачем: чек об оплате по 54-ФЗ, восстановление входа, если забудете пароль, и письма о подписке. Адрес хранится в открытом виде — без него не доставить чек и не вернуть доступ; в служебном журнале и в статистике он показывается укороченно (первые два знака и домен). Сама ссылка из письма в базе не хранится вовсе — только её отпечаток, и она одна: новая гасит прежнюю.
• Вход через Яндекс ID или VK ID (если вы привязали) Только по вашему нажатию в кабинете. От соцсети мы получаем ровно два поля: номер вашего аккаунта у неё и почту — больше от неё ничего не приходит. Сам токен соцсети не хранится вовсе: обменяли его на эти два поля и выбросили. Номер аккаунта отвечает на один вопрос — «какая семья стоит за этим входом»; почта может стать подтверждённым контактом семьи, по правилам пункта выше. Отвязать можно в кабинете одной кнопкой — после этого вход по соцсети закрыт, а записи о привязке не остаётся.
• Код семьи Восемь символов, которыми открывается детский экран. Код можно сменить — и все устройства, где введён старый, закроются сами.
• Сеансы входа Номера открытых сеансов и их срок — чтобы «Выйти на всех устройствах» мог закрыть каждый. Про устройство (модель, адрес сети) мы ничего не пишем: ограничение регистраций живёт в памяти процесса и в базу не попадает.
• Имена Имя ребёнка, имя его героя, эмодзи-аватар и цвет. Фамилию, адрес и телефон мы не спрашиваем никогда.
• Дела и журнал Какие дела выданы, когда ребёнок отметил их сделанными и когда вы зачли. Рядом, своими записями — акты заботы о герое и вклад в банку общей недели. Всё это нужно, чтобы история и наблюдения работали.
• Игровой прогресс Опыт, уровень, монетки, наклейки, купленные и надетые вещи героя, результаты мини-игр. Всё это игра, а не данные о ребёнке.
• Голос героя Одна настройка: какую озвучку вы выбрали для семьи. Сами фразы дел вы задаёте — значит, они уже ваши.
• Сообщения в Телеграм Родитель может включить сообщения в Телеграм (api.telegram.org): когда ребёнок отмечает дело, сервис отправляет туда короткое сообщение — без названия дела и ссылок; имя ребёнка появляется в нём только если родитель сам включил эту галочку. Для доставки сервис передаёт Телеграму идентификатор родительского чата и текст сообщения. Отправленные сообщения отозвать нельзя. Новый код связи отменяет предыдущий; «Отвязать Телеграм» или команда /stop удаляют связь целиком.
• Флаг подписки Включена или выключена — одна цифра. Карточек, истории платежей и автосписаний у нас нет: платежей в сервисе пока нет вообще.
• Журнал согласий Дата и редакция текстов, с которыми вы согласились при регистрации. Хранится как доказательство вашего «да» — в том числе для вас самих.
• Журнал попыток подтверждения Когда семья просит письмо с подтверждением, остаётся запись: когда, с какого адреса сети и чем кончилось. Самого адреса почты в ней нет — только укороченная подпись; секретной ссылки нет тем более. Нужен он для спора («нам приходили письма, которые мы не запрашивали») — поэтому живёт столько же, сколько семья.

Сколько это живёт: почти всё — пока существует ваша семья. Строки сеансов — до «Выйти на всех устройствах» или конца срока. Журнал согласий — столько же, сколько семью: он и есть её доказательство. Почта — пока вы не смените её в кабинете; попытки её подтвердить — тот же срок, журнал для спорных случаев.

Чего мы не делаем

Пять «никогда», каждое из которых — свойство кода, а не добрая воля:

• Ни одного запроса наружу со страниц: шрифты, картинки и голос отдаёт этот же сервер. Ни Google Fonts, ни CDN, ни чужих скриптов — это видно и в настройке безопасности браузера. Письмо с подтверждением доставляет почтовый сервис, и об этом сказано ниже, в своих словах.
• Ни рекламы, ни счётчиков, ни аналитики. В письмах — тоже: без картинок, без слежки за открытием, в письме нечему и загрузиться.
• Никакого входа через сторонние сервисы: только логин и пароль, которые придумали вы.
• Контакт только по вашей руке: почту добавляет родитель в кабинете, телефонов мы не просим вовсе. Рекламы нет ни тому, ни другому.
• Ребёнок не видит денег: на детском экране нет цен. Монетки там игровые и добываются настоящими делами.

Голос героя

Герой говорит задания вслух — дети 2–8 лет в основном не читают. Речь синтезируется на нашем сервере (Silero, русская модель): фразы ребёнка не уходят в сторонние облака. Одна фраза синтезируется один раз и хранится в кэше по своему хэшу — повторные просьбы берутся из кэша, и по кэшу нельзя узнать, кто и когда её слушал.

Честная оговорка: если наша служба голоса временно недоступна, детский экран переключается на встроенный синтез речи самого устройства. В этом единственном случае фраза звучит с планшета, а не с нашего сервера.

Кто может увидеть данные

• Только ваша семья Каждый запрос ограничен своей семьёй: чужого ребёнка нельзя открыть ни по номеру, ни подбором — его просто не возвращает база.
• Сессии — подписанные Куки помечены HttpOnly и SameSite. Кнопка «Выход на всех устройствах» закрывает все сеансы родителя разом.
• Детский экран — только код Код семьи открывает детский раздел и ничего больше: ни кабинет, ни настройки, ни чужие семьи.

Просмотр, выгрузка и ваши права

Посмотреть всё, что хранится, можно в кабинете: история дел, наблюдения по играм, статистика героя. Что умеет делать сам, прямо с экрана: удалить дело, сменить код семьи (детские устройства закроются), выйти со всех устройств.

Выгрузить журнал дел можно кнопкой на странице истории ребёнка — файл открывается в Excel. Выгрузить остальное одним файлом пока нельзя; появись — она будет здесь, а не в обещаниях.

Удалить семью целиком — вместе с именами, делами и прогрессом — можно по одной вашей просьбе, без объяснений и без удержаний. Честно скажем: отдельной кнопки для этого в кабинете пока нет, поэтому просьба уходит тем же способом, каким вы получили адрес этого сервера (раздел «Оператор и связь» ниже).

Закон о персональных данных (152-ФЗ) даёт родителю право знать, какие данные обрабатываются, и требовать их удаления. Эта страница — ответ на первую часть; вторую исполняет оператор по вашей просьбе.

152-ФЗ: что уже так, а что будет к запуску

Российский закон о персональных данных требует точности в словах, поэтому здесь два списка — и они не смешаны.

Пока домена нет, сервис открывается по адресу сервера и браузер предупреждает о временном сертификате — это видно каждому, и прятать это со страницы было бы хуже, чем написать.

Оператор и связь

Оператор сервиса: [ОПЕРАТОР: будет указан после регистрации ИП].

Связь с оператором: [СПОСОБ СВЯЗИ: будет указан вместе с реквизитами оператора]. Пока реквизитов нет, просьбы об удалении данных и вопросы исполняет тот, кто дал вашей семье адрес этого сервера: общего адреса почты или чата у KitKids нет, и написать здесь несуществующий было бы нечестно.

Реквизиты и общий канал связи появятся на этой странице и на странице соглашения одновременно — сразу после регистрации оператора. Заглушка здесь честнее выдуманного имени.