Политика конфиденциальности

Дата вступления в силу: 5 мая 2026 г. | Последнее обновление: 10 октября 2026 г.

1. Общие положения

Настоящая Политика конфиденциальности (далее — Политика) разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и определяет порядок обработки и защиты персональных данных пользователей сервиса Devitex ID (далее — Сервис).

Оператор персональных данных: Стрелов Матвей Александрович, плательщик налога на профессиональный доход, ИНН 384800701298 (далее — Оператор).

Контактный email: support@devitex.software

Местонахождение: Российская Федерация.

Сервис Devitex ID является единой системой аутентификации (OAuth 2.0 Authorization Code Flow) для всех продуктов экосистемы Devitex (Studyform, Everytutor и др.).

1.1. Оператор ставит своей важнейшей целью и условием деятельности соблюдение прав и свобод человека при обработке персональных данных, включая защиту права на неприкосновенность частной жизни, личную и семейную тайну.

1.2. Настоящая Политика распространяется на всю информацию, которую Оператор может получить о пользователях сайтов id.devitex.software и id-api.devitex.software.

1.3. Персональные данные граждан Российской Федерации первично обрабатываются и хранятся на серверах, расположенных на территории Российской Федерации, в соответствии со статьёй 18 Закона.

2. Какие данные мы собираем

2.1. Данные, предоставляемые пользователем при регистрации и использовании Сервиса:

Имя — для отображения в профиле и передачи подключённым сервисам
Адрес электронной почты (email) — для аутентификации, верификации, уведомлений и восстановления доступа
Пароль — хранится исключительно в необратимо хешированном виде (bcrypt, salt factor 12). Оператор не имеет технической возможности получить пароль в открытом виде
Фото профиля (аватар) — загружается пользователем добровольно, хранится на сервере Оператора. Не является биометрическими персональными данными в смысле ст. 11 Закона
Имя пользователя (username) — публичный псевдоним, необязательное поле

2.1.1. Данные, получаемые при привязке Яндекс ID:

Пользователь вправе добровольно привязать свой аккаунт Яндекс ID к учётной записи Devitex ID для упрощённого входа. При привязке Сервис получает от ООО «Яндекс» (ОГРН 1027700229193) следующие данные через протокол OAuth 2.0:

Идентификатор пользователя Яндекс (yandexId) — уникальный числовой идентификатор, используется исключительно для сопоставления учётных записей.
Адрес электронной почты Яндекс — получается при авторизации, используется только для верификации процесса привязки. Не сохраняется отдельно, если отличается от email учётной записи Devitex ID

Привязка Яндекс ID не является обязательной и осуществляется исключительно по инициативе пользователя. Пользователь может отвязать Яндекс ID в любой момент в настройках аккаунта (раздел «Данные»). Регистрация через Яндекс ID невозможна — учётная запись Devitex ID создаётся только через прямую регистрацию с указанием email и пароля.

2.1.2. Данные, получаемые при привязке Telegram:

Пользователь вправе добровольно привязать свой аккаунт Telegram к учётной записи Devitex ID. Привязка осуществляется через Telegram-бота @DevitexID_bot с использованием одноразового кода подтверждения. При привязке Сервис получает следующие данные через Telegram Bot API:

Идентификатор пользователя Telegram (telegramId) — уникальный числовой идентификатор, используется исключительно для сопоставления учётных записей
Имя пользователя Telegram (username) — публичный псевдоним в Telegram, отображается в настройках аккаунта Devitex ID для информирования пользователя о привязанном аккаунте

Привязка Telegram не является обязательной и осуществляется исключительно по инициативе пользователя. Пользователь может отвязать Telegram в любой момент в настройках аккаунта (раздел «Данные»). Вход через Telegram невозможен — привязка используется только для идентификации. Одноразовые коды привязки автоматически уничтожаются по истечении 5 минут.

2.2. Данные, генерируемые автоматически:

Дата регистрации и последнего входа — технические записи для обеспечения безопасности
Токены верификации email и сброса пароля — временные, автоматически уничтожаются по истечении срока действия (не более 24 часов)
Сессионные JWT-токены — подписаны алгоритмом RS256, срок действия ограничен

2.3. Данные, собираемые сервисом аналитики:

Сервис использует Яндекс.Метрику для анализа посещаемости. Яндекс.Метрика собирает сведения о посещённых страницах, IP-адрес, сведения о браузере и устройстве, данные cookie. Подробнее: yandex.ru/legal/confidential. Отключить сбор данных можно с помощью блокировщиков рекламы или режима «Do Not Track».

3. Цели обработки

Регистрация, аутентификация и авторизация пользователей через протокол OAuth 2.0
Управление профилем пользователя
Обеспечение безопасности аккаунта (верификация email, сброс пароля)
Отправка служебных уведомлений (подтверждение email, сброс пароля)
Передача данных профиля подключённым сервисам экосистемы Devitex при авторизации
Обеспечение возможности входа через Яндекс ID (привязка внешнего OAuth-провайдера к существующей учётной записи)
Привязка аккаунта Telegram к учётной записи Devitex ID для идентификации пользователя
Защита от автоматической регистрации (Devitex Captcha — самостоятельная математическая проверка, не передающая данных третьим лицам)
Анализ посещаемости (Яндекс.Метрика)

4. Правовые основания обработки

Обработка персональных данных осуществляется на основании:

Согласия субъекта персональных данных (ст. 6 ч. 1 п. 1 Закона)
Необходимости исполнения договора — Пользовательского соглашения (ст. 6 ч. 1 п. 5 Закона)
Необходимости осуществления законных интересов Оператора при условии соблюдения прав субъекта (ст. 6 ч. 1 п. 7 Закона)

5. Передача данных третьим лицам

5.1. При авторизации через OAuth 2.0 подключённым сервисам экосистемы Devitex (Studyform, Everytutor и др.) передаются: имя, email, статус верификации email, URL аватара. Передача осуществляется только с согласия пользователя (путём прохождения авторизации).

5.2. При привязке Яндекс ID Сервис получает данные от ООО «Яндекс» (оператор сервиса Яндекс ID) в рамках протокола OAuth 2.0. Взаимодействие с Яндекс ID регулируется Условиями использования Яндекс ID и Политикой конфиденциальности Яндекса. Оператор не передаёт данные пользователя Devitex ID в сторону Яндекса, за исключением технического взаимодействия в рамках OAuth-протокола (передача авторизационного кода).

5.3. При привязке Telegram Сервис получает идентификатор и имя пользователя через Telegram Bot API. Взаимодействие осуществляется через официального бота @DevitexID_bot. Оператор не передаёт данные пользователя Devitex ID в сторону Telegram. Использование Telegram регулируется Условиями использования Telegram и Политикой конфиденциальности Telegram.

5.4. Данные не передаются иным третьим лицам без согласия пользователя, за исключением случаев, предусмотренных законодательством Российской Федерации.

5.5. База данных учётных записей (имя, email, хеш пароля, аватар, привязки Яндекс ID и Telegram) хранится и обрабатывается на серверах ООО «Яндекс.Облако» в Российской Федерации. Серверы Яндекс ID, с которыми осуществляется техническое взаимодействие, также расположены на территории Российской Федерации. Техническое взаимодействие с серверами Telegram осуществляется через Telegram Bot API; данные учётной записи Devitex ID при этом не передаются.

5.6. Трансграничная передача персональных данных осуществляется в Республику Беларусь — государство, обеспечивающее адекватную защиту прав субъектов персональных данных (ст. 12 Закона). Получатель — ООО «ТриИнком» (hb.by, УНП 391493811, г. Минск), которое по договору с Оператором:

размещает статические файлы сайта id.devitex.software (страницы, скрипты, изображения). При открытии сайта веб-сервер записывает в технический журнал IP-адрес, сведения о браузере (User-Agent), дату и время запроса, запрошенный адрес и адрес ссылающейся страницы;
обеспечивает работу электронной почты Оператора: через неё отправляются письма для подтверждения email и сброса пароля и принимаются обращения на support@devitex.software. При этом передаются адрес электронной почты, имя (если указано) и содержание писем.

Иные данные учётной записи в Республику Беларусь не передаются. Оператор уведомил Роскомнадзор о трансграничной передаче в порядке ст. 12 Закона.

6. Хранение и защита данных

Пароли хранятся в виде bcrypt-хешей (salt factor 12)
JWT-токены подписываются алгоритмом RS256 (асимметричная криптография)
Данные хранятся на защищённых серверах с ограниченным доступом в Российской Федерации (Yandex Cloud)
Применяются организационные и технические меры защиты в соответствии со ст. 19 Закона

Сроки хранения:

Данные аккаунта (имя, email, аватар) — в течение всего срока существования аккаунта
После удаления аккаунта — уничтожаются в течение 30 дней
Токены верификации и сброса пароля — не более 24 часов
Технические журналы веб-сервера — в соответствии с настройками хостинга ООО «ТриИнком»
Данные Яндекс.Метрики — в соответствии с политикой Яндекса

7. Права пользователя

В соответствии с главой 3 Закона пользователь имеет право:

Получать информацию об обработке своих персональных данных
Требовать уточнения, блокирования или уничтожения данных
Отозвать согласие на обработку, направив запрос на support@devitex.software
Обжаловать действия Оператора в Роскомнадзор (rkn.gov.ru) или в суд

Для удаления аккаунта направьте запрос на support@devitex.software с темой «Delete Account».

8. Используемые сервисы

Yandex Cloud — хостинг серверной части и базы данных. ООО «Яндекс.Облако», 119021, г. Москва, ул. Льва Толстого, д. 16. Серверы расположены в Российской Федерации
hb.by — хостинг статических файлов сайта и электронной почты. ООО «ТриИнком», УНП 391493811, 211446, Республика Беларусь, Витебская обл., г. Новополоцк, ул. Юбилейная, д. 2а, каб. 308. Серверы расположены в г. Минске (см. п. 5.6)
Devitex Captcha — собственная математическая проверка для защиты от автоматической регистрации. Не передаёт данных третьим лицам, не использует внешние сервисы
Яндекс.Метрика — веб-аналитика. Политика: yandex.ru/legal/confidential
Яндекс ID (OAuth 2.0) — внешний провайдер аутентификации. Используется для привязки учётной записи Яндекс к аккаунту Devitex ID и последующего входа. Оператор сервиса: ООО «Яндекс» (ОГРН 1027700229193, место нахождения: 119021, г. Москва, ул. Льва Толстого, д. 16). Условия: yandex.ru/legal/id_termsofuse. Политика: yandex.ru/legal/confidential
Telegram Bot API — используется для привязки аккаунта Telegram к учётной записи Devitex ID через бота @DevitexID_bot. Оператор сервиса Telegram: Telegram FZ-LLC (Дубай, ОАЭ) / Telegram Messenger Inc. Сервис получает только идентификатор и имя пользователя Telegram. Условия: telegram.org/tos. Политика: telegram.org/privacy

9. Обработка данных несовершеннолетних

Сервис доступен пользователям с 14 лет. Пользователи младше 14 лет могут использовать Сервис только с согласия родителя или законного представителя в соответствии со ст. 9 ч. 6 Закона.

10. Изменение Политики

Оператор вправе вносить изменения в настоящую Политику. Изменения вступают в силу с момента публикации новой редакции. Актуальная версия доступна по адресу: id.devitex.software/privacy-policy.

11. Контакты

По вопросам обработки персональных данных: support@devitex.software

Роскомнадзор: rkn.gov.ru

Privacy Policy

Effective date: May 5, 2026 | Last updated: October 10, 2026

1. General Provisions

This Privacy Policy (hereinafter — Policy) is developed in accordance with Federal Law No. 152-FZ of 27.07.2006 "On Personal Data" (hereinafter — the Law) and defines the procedures for processing and protecting personal data of users of the Devitex ID service (hereinafter — Service).

Data controller: Matvey Alexandrovich Strelov, self-employed (professional income tax payer), TIN 384800701298 (hereinafter — Operator).

Contact: support@devitex.software

Location: Russian Federation.

Devitex ID is a unified authentication system (OAuth 2.0 Authorization Code Flow) for all Devitex ecosystem products (Studyform, Everytutor, etc.).

1.1. The Operator considers the protection of human rights and freedoms during personal data processing, including the right to privacy, as a top priority.

1.2. This Policy applies to all information that the Operator may obtain about users of id.devitex.software and id-api.devitex.software.

1.3. Personal data of Russian Federation citizens are primarily stored and processed on servers located in the Russian Federation, in accordance with Article 18 of the Law.

2. Data We Collect

2.1. Data provided by the user:

Name — displayed in profile and shared with connected services
Email address — for authentication, verification, notifications, and password recovery
Password — stored exclusively as an irreversible bcrypt hash (salt factor 12). The Operator has no technical ability to retrieve plaintext passwords
Profile photo (avatar) — voluntarily uploaded, stored on the Operator's servers. Not biometric data under Article 11 of the Law
Username — optional public display name

2.1.1. Data received when linking Yandex ID:

Users may voluntarily link their Yandex ID account to their Devitex ID account for simplified sign-in. When linking, the Service receives the following data from Yandex LLC (OGRN 1027700229193) via the OAuth 2.0 protocol:

Yandex user identifier (yandexId) — a unique numeric identifier used solely for matching accounts.
Yandex email address — received during authorization, used only for verifying the linking process. Not stored separately if it differs from the Devitex ID account email

Linking Yandex ID is not mandatory and is performed solely at the user's initiative. Users can unlink Yandex ID at any time in account settings (Data section). Registration via Yandex ID is not available — a Devitex ID account can only be created through direct registration with email and password.

2.1.2. Data received when linking Telegram:

Users may voluntarily link their Telegram account to their Devitex ID account. Linking is performed via the Telegram bot @DevitexID_bot using a one-time verification code. When linking, the Service receives the following data via the Telegram Bot API:

Telegram user identifier (telegramId) — a unique numeric identifier used solely for matching accounts
Telegram username — the user's public Telegram handle, displayed in Devitex ID account settings to indicate the linked account

Linking Telegram is not mandatory and is performed solely at the user's initiative. Users can unlink Telegram at any time in account settings (Data section). Sign-in via Telegram is not available — the link is used for identification only. One-time linking codes are automatically destroyed after 5 minutes.

2.2. Automatically generated data:

Registration and last login dates — technical records for security
Email verification and password reset tokens — temporary, automatically destroyed within 24 hours
Session JWT tokens — signed with RS256, limited expiration

2.3. Analytics data:

The Service uses Yandex.Metrica for traffic analysis. Yandex.Metrica collects visited pages, IP address, browser and device information and cookie data. Details: yandex.ru/legal/confidential.

3. Purpose of Processing

User registration, authentication and authorization via OAuth 2.0
User profile management
Account security (email verification, password reset)
Service notifications (email confirmation, password reset)
Sharing profile data with connected Devitex ecosystem services during authorization
Enabling sign-in via Yandex ID (linking an external OAuth provider to an existing account)
Linking a Telegram account to a Devitex ID account for user identification
Bot protection (Devitex Captcha — self-hosted math verification, no data sent to third parties)
Traffic analysis (Yandex.Metrica)

4. Legal Basis

User consent (Art. 6(1)(1) of the Law)
Contract performance — the Terms of Use (Art. 6(1)(5) of the Law)
Legitimate interests of the Operator (Art. 6(1)(7) of the Law)

5. Third-Party Data Sharing

5.1. During OAuth 2.0 authorization, the following data is shared with connected Devitex ecosystem services: name, email, email verification status, avatar URL. Sharing occurs only with user consent (by completing authorization).

5.2. When linking Yandex ID, the Service receives data from Yandex LLC (operator of the Yandex ID service) via the OAuth 2.0 protocol. Interaction with Yandex ID is governed by the Yandex ID Terms of Use and Yandex Privacy Policy. The Operator does not transmit Devitex ID user data to Yandex, except for the technical exchange of an authorization code as part of the OAuth protocol.

5.3. When linking Telegram, the Service receives the user's identifier and username via the Telegram Bot API. The interaction is performed through the official bot @DevitexID_bot. The Operator does not transmit Devitex ID user data to Telegram. Use of Telegram is governed by the Telegram Terms of Service and Telegram Privacy Policy.

5.4. Data is not shared with other third parties without user consent, except as required by law.

5.5. The account database (name, email, password hash, avatar, Yandex ID and Telegram links) is stored and processed on Yandex.Cloud LLC servers in the Russian Federation. Yandex ID servers involved in the technical interaction are also located in the Russian Federation. Technical interaction with Telegram servers is performed via the Telegram Bot API; no Devitex ID account data is transmitted in this process.

5.6. Personal data is transferred cross-border to the Republic of Belarus, a country that ensures adequate protection of data subjects' rights (Article 12 of the Law). The recipient is TriInkom LLC (hb.by, UNP 391493811, Minsk), which under a contract with the Operator:

hosts the static files of id.devitex.software (pages, scripts, images). When the site is opened, the web server records the IP address, browser information (User-Agent), date and time of the request, the requested URL and the referring page in a technical log;
runs the Operator's email: email verification and password reset messages are sent through it, and requests to support@devitex.software are received through it. The email address, name (if provided) and message content are transferred.

No other account data is transferred to Belarus. The Operator has notified Roskomnadzor of the cross-border transfer under Article 12 of the Law.

6. Storage and Security

Passwords stored as bcrypt hashes (salt factor 12)
JWT tokens signed with RS256 (asymmetric cryptography)
Data stored on secure servers with restricted access in the Russian Federation (Yandex Cloud)
Organizational and technical protection measures per Article 19 of the Law

Retention periods:

Account data (name, email, avatar) — for the lifetime of the account
After account deletion — destroyed within 30 days
Verification and reset tokens — no more than 24 hours
Web server logs — per TriInkom LLC hosting settings
Yandex.Metrica data — per Yandex's policy

7. User Rights

Under Chapter 3 of the Law, users have the right to:

Request information about their data processing
Demand correction, blocking, or deletion of data
Withdraw consent by contacting support@devitex.software
Appeal to Roskomnadzor (rkn.gov.ru) or court

To delete your account, email support@devitex.software with subject "Delete Account".

8. Services Used

Yandex Cloud — hosting of the backend and database. Yandex.Cloud LLC, 16 Lva Tolstogo St., Moscow, 119021, Russia. Servers are located in the Russian Federation
hb.by — hosting of the site's static files and email. TriInkom LLC, UNP 391493811, office 308, 2a Yubileynaya St., Novopolotsk, Vitebsk Region, 211446, Republic of Belarus. Servers are located in Minsk (see 5.6)
Devitex Captcha — self-hosted math verification for bot protection. No data is sent to third parties
Yandex.Metrica — web analytics. Policy: yandex.ru/legal/confidential
Yandex ID (OAuth 2.0) — external authentication provider. Used for linking a Yandex account to a Devitex ID account and subsequent sign-in. Service operator: Yandex LLC (OGRN 1027700229193, address: 16 Lva Tolstogo St., Moscow, 119021, Russia). Terms: yandex.ru/legal/id_termsofuse. Policy: yandex.ru/legal/confidential
Telegram Bot API — used for linking a Telegram account to a Devitex ID account via the @DevitexID_bot bot. Service operator: Telegram FZ-LLC (Dubai, UAE) / Telegram Messenger Inc. The Service receives only the Telegram user identifier and username. Terms: telegram.org/tos. Policy: telegram.org/privacy

9. Minors

The Service is available to users aged 14 and older. Users under 14 may use the Service only with parental or legal guardian consent per Article 9(6) of the Law.

10. Policy Changes

The Operator may update this Policy. Changes take effect upon publication. Current version: id.devitex.software/privacy-policy.

11. Contact

Data processing inquiries: support@devitex.software

Roskomnadzor: rkn.gov.ru