Политика конфиденциальности сервиса Veylo
1 Общие положения
1.1. Настоящая Политика определяет порядок обработки и защиты персональных данных посетителей и пользователей сервиса Veylo на сайте https://veylovpn.xyz (далее — Сервис). Сервис позволяет оформить подписку на VPN-доступ, получить ключи для устройств и продлить подключение.
1.2. Оператор персональных данных и владелец Сервиса — Егерев Александр Константинович, физическое лицо (далее — Оператор). Его реквизиты и контакты указаны в разделе 11.
1.3. Политика применяется к регистрации, кабинету, заказам, платежам, работе сайта и обращениям в поддержку. Обработка осуществляется в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и иными применимыми нормами законодательства Российской Федерации.
1.4. Данные обрабатываются только для определённых законных целей и в необходимом объёме. Когда основанием обработки служит согласие, оно оформляется отдельно от Пользовательского соглашения и иных подтверждаемых пользователем документов.
2 Какие данные обрабатываются
2.1. Для регистрации и входа обрабатываются адрес электронной почты, идентификатор учётной записи, хеш пароля, соль, сведения подтверждения почты и сессии авторизации. Пароли сохраняются в виде хеша scrypt с индивидуальной случайной солью; исходный пароль в БД не записывается. Код подтверждения сохраняется в виде HMAC, действует 10 минут и допускает не более пяти попыток ввода. Пользователь создаётся в таблице учётных записей только после подтверждения кода; до этого сохраняется временный запрос регистрации.
2.2. Для предоставления услуг: идентификаторы заказов, выбранная страна, название VPN, срок подключения, статус настройки, даты начала и окончания доступа, сведения о VPN-инфраструктуре, сетевых адресах, конфигурациях и ключах устройств.
2.3. Для расчётов обрабатываются идентификаторы заказа и счёта, технический идентификатор пользователя, сумма и валюта, статус платежа и время изменения статуса. Платёж оформляется на странице RollyPay. Сервис проверяет статус через API RollyPay и обрабатывает подписанные уведомления. Полные реквизиты банковской карты и CVV/CVC Сервис не запрашивает и не хранит.
2.4. Для защиты сайта обрабатываются сетевой адрес запроса и сведения о попытках входа. Ограничители частоты хранят технические идентификаторы, счётчики и сроки блокировки в основной БД. Диагностика приложения предназначена для поиска ошибок и защиты Сервиса; пароли, коды подтверждения, ключи VPN и текст обращений не должны включаться в диагностические сообщения.
2.5. Для поддержки сохраняются автор обращения, тема, текст переписки, прикреплённые пользователем фотографии, их имена и типы, идентификаторы обращения и сообщений, даты и статус. Переписка и фотографии хранятся в основной БД в Новосибирске. Пользователь видит только свои обращения; уполномоченный сотрудник поддержки имеет доступ к очереди обращений. Перед отправкой следует скрывать пароли, коды подтверждения, секретные ключи и лишние данные третьих лиц.
2.6. При обычной регистрации Сервис не запрашивает паспортные данные, биометрические данные или сведения о здоровье. Если подтверждение личности потребуется по закону, Оператор объяснит основание и необходимый объём сведений.
3 Цели и основания обработки
3.1. Регистрация, подтверждение почты, вход, оформление заказа, настройка VPN, выдача ключей, продление, поддержка и сообщения о состоянии услуги осуществляются для заключения и исполнения договора с пользователем.
3.2. Обработка платежей и возвратов осуществляется для исполнения договора. Хранение документов о расчётах, исполнение налоговых обязанностей и рассмотрение предусмотренных законом запросов осуществляются на основании соответствующих требований законодательства.
3.3. Технические данные используются для обеспечения работоспособности, диагностики ошибок, защиты учётных записей и предотвращения злоупотреблений. Основание — исполнение договора и, в применимых случаях, законные интересы Оператора при соблюдении прав пользователя.
3.4. Дополнительные системы аналитики и рекламные рассылки в текущей версии Сервиса не используются. Если такие функции вводятся, Оператор предварительно раскрывает состав данных, цели и основание обработки и получает необходимое согласие отдельно.
3.5. Обработка может включать сбор, запись, систематизацию, хранение, уточнение, извлечение, использование, предоставление или доступ на законных основаниях, блокирование, удаление и уничтожение. Основной способ обработки — автоматизированный; обращения и документы могут также обрабатываться без средств автоматизации.
4 Журналы VPN и данные браузера
4.1. Сведения о заказе, сервере и ключах необходимы для управления подключением. Журналы работы сайта и журналы VPN-соединений имеют разные назначения и сроки хранения.
4.2. AmneziaWG обрабатывает сетевой адрес подключённого устройства, последнее рукопожатие и счётчики переданных байтов в текущем состоянии VPN-интерфейса. Для управления устройствами сохраняются конфигурации, адреса внутри VPN и ключи. Программная часть Veylo не записывает историю посещённых сайтов, DNS-запросы или содержимое пользовательского трафика. Это описание функций Veylo, а не гарантия отсутствия технических журналов у хостинг-поставщика или сторонних сервисов.
4.3. Для авторизации используются cookies семейства __Host-vnet_session со сроком до 7 дней, для подтверждения регистрации — __Host-vnet_pending со сроком до 30 минут; действительность кода ограничена пунктом 2.1. Cookies защищены HTTPS, HttpOnly и SameSite=Strict. Имена cookies могут содержать случайный идентификатор вкладки, чтобы разные аккаунты сохранялись независимо. Сессионное хранилище браузера сохраняет этот идентификатор и параметры выбранного заказа; пароль и токен сессии туда не записываются. Удаление cookies может потребовать повторного входа.
4.4. При регистрации используется Cloudflare Turnstile для проверки безопасности. Cloudflare, Inc. обрабатывает технические сигналы, включая IP-адрес, сведения о браузере, характеристики TLS-соединения и сведения о сайте. Порядок обработки описан в https://www.cloudflare.com/turnstile-privacy-policy/.
4.5. Сторонние сайты, приложения, платёжные и хостинг-сервисы могут самостоятельно обрабатывать данные в рамках собственных функций и документов. Использование VPN само по себе не обеспечивает полной анонимности пользователя.
5 Получатели данных
5.1. Для работы Сервиса используются Timeweb Cloud — размещение основной БД PostgreSQL в Российской Федерации, город Новосибирск; Play2Go — размещение VPN-серверов в выбранной пользователем стране; Resend — отправка служебных писем; Cloudflare Turnstile — проверка регистрации; RollyPay — техническая обработка счетов и статусов платежей. Доступные способы расчётов указываются на платёжной странице RollyPay перед оплатой.
5.2. Timeweb Cloud хранит учётные записи, сессии, заявки регистрации, заказы, сведения о платежах и обращениях. Play2Go получает технические параметры заказа сервера и служебное название; пользовательская почта не передаётся при размещении VPN-инфраструктуры. Resend получает email получателя и содержание служебного письма. Turnstile получает технические сигналы проверки, перечисленные в пункте 4.4. RollyPay получает идентификатор заказа, технический идентификатор пользователя, сумму, валюту и описание заказа; адрес почты пользователя не включается Veylo в запрос создания платежа. Данные передаются только в объёме, необходимом для соответствующей функции, при наличии применимого законного основания. Документы поставщиков: https://resend.com/legal/privacy-policy, https://www.cloudflare.com/turnstile-privacy-policy/, https://docs.rollypay.io.
5.3. Оператор не продаёт персональные данные. Предоставление государственным органам осуществляется при наличии законного основания, в установленном порядке и объёме. Привлечение поставщиков не отменяет обязанностей Оператора перед субъектами персональных данных.
5.4. Реквизиты для оплаты вводятся на платёжной странице RollyPay или в приложении банка. Veylo не хранит полный номер карты и CVV/CVC. Доступные способы и условия расчётов показываются RollyPay до подтверждения платежа.
6 Место обработки и трансграничная передача
6.1. Основная БД регистрации, учётных записей, сессий, заказов, платежей, VPN-устройств и обращений поддержки размещается в Timeweb Cloud в Российской Федерации, город Новосибирск. Она является основным рабочим хранилищем Сервиса, а не копией иностранной БД. Сервер сайта и фоновый обработчик обращаются к ней по защищённому TLS-соединению с проверкой сертификата. Резервного переключения на прежнюю SQLite нет.
6.2. VPN-инфраструктура размещается в стране, выбранной пользователем из доступных на сайте. Сервер сайта и внешние хостинг-, платёжные, почтовые и защитные сервисы могут обрабатывать данные за пределами Российской Федерации. Размещение основной БД в России не означает отсутствия обработки внешними поставщиками или трансграничной передачи.
6.3. При трансграничной передаче применяются требования статьи 12 Федерального закона № 152-ФЗ, включая необходимые основания, сведения о получателях и предусмотренные законом уведомления. Публикация этой Политики и выбор иностранной локации VPN не заменяют выполнение этих требований.
7 Сроки хранения и удаление
7.1. Данные учётной записи сохраняются в течение использования Сервиса. После закрытия аккаунта данные сохраняются только в объёме и на срок, необходимые для исполнения оставшихся договорных обязательств, рассмотрения обоснованных требований и выполнения требований закона. Сведения о заказах и расчётах хранятся в течение применимых обязательных сроков. Запрос на удаление принимается через поддержку.
7.2. Переписка поддержки и технические сведения хранятся не дольше, чем необходимо для рассмотрения обращения, устранения неисправности, обеспечения безопасности или выполнения требований закона. Временные заявки регистрации, коды и сессии имеют сроки действия, указанные в пунктах 2.1 и 4.3. Обязанность прекращения обработки и удаления данных распространяется также на архивы и резервные копии с учётом применимых законных оснований хранения.
7.3. По окончании оплаченного срока предоставление VPN-доступа и выдача ключей в кабинете прекращаются. Сохранение прежних параметров подключения после окончания срока не гарантируется. Конфигурации и ключи сохраняются лишь пока необходимы для обслуживания, восстановления доступа при наличии действующего основания или исполнения закона. Прекращение VPN-доступа не означает удаления обязательных документов о расчётах.
7.4. После достижения цели, прекращения законного основания или получения обоснованного требования данные блокируются, удаляются либо уничтожаются в предусмотренные законом сроки. Отзыв согласия прекращает обработку на его основании; обработка, необходимая для договора или исполнения закона, может продолжаться при наличии самостоятельного основания.
8 Защита данных
8.1. Оператор принимает необходимые организационные и технические меры с учётом характера данных и угроз: ограничивает доступ уполномоченными лицами, защищает каналы передачи и средства авторизации, контролирует доступ и принимает меры против несанкционированного использования.
8.2. При выявлении неправомерной передачи или доступа Оператор принимает меры по устранению инцидента и выполняет предусмотренные законом обязанности по уведомлению и взаимодействию с уполномоченными органами.
9 Права пользователя и обращения
9.1. Пользователь вправе получить сведения об обработке своих данных, потребовать уточнения, блокирования или уничтожения в предусмотренных законом случаях, отозвать согласие, возражать против незаконной обработки и обратиться в Роскомнадзор или суд.
9.2. Обращения направляются через https://veylovpn.xyz/support или на aegerev2012@gmail.com. Для обычного обращения достаточно указать email учётной записи и суть запроса. Для формального запроса по статье 14 Федерального закона № 152-ФЗ могут потребоваться предусмотренные этой статьёй сведения и подпись; электронный запрос оформляется в установленном законом порядке. Поддержка сообщает порядок подачи такого запроса и запрашивает только необходимые сведения.
9.3. Оператор проверяет полномочия заявителя и отвечает в сроки, установленные Законом № 152-ФЗ. Дополнительные сведения запрашиваются только в необходимом для проверки объёме. Если удаление данных делает исполнение услуги невозможным, Оператор разъясняет последствия и порядок прекращения договора.
10 Изменение Политики
10.1. Актуальная редакция находится в постоянном открытом доступе на сайте без регистрации. Дата начала её действия указывается в документе. О существенных изменениях Оператор сообщает через сайт, кабинет или электронную почту.
10.2. Новая редакция не заменяет отдельного согласия, когда оно требуется для новой цели или расширения объёма обработки. Оператор сохраняет возможность установить, какая редакция действовала в соответствующий период.
11 Сведения об Операторе и контакты
Оператор: Егерев Александр Константинович.
Организационный статус: физическое лицо.
Контакты: aegerev2012@gmail.com; тикеты https://veylovpn.xyz/support. Поддержка предоставляет первый ответ в течение 24 часов с момента получения обращения; сроки исполнения формальных запросов определяются применимым законодательством.