Политика обработки персональных данных Jelyfin

1. Общие положения

Редакция № 10 от 22 октября 2026 года. На дату подготовки редакции приложение проходит внутреннее тестирование; публичный запуск не объявлен. Политика описывает обработку данных сайта и текущие механизмы приложения. Её публикация не заменяет отдельные согласия и обязательные процедуры перед открытием Сервиса внешним пользователям. Эта редакция заменяет размещённую на сайте 12 октября 2026 года Редакцию № 9 от 12 октября 2026 года: описано, что Анкеты подбираются только между мужчинами и женщинами по полу, указанному в Анкете, выбора, кого показывать, нет, а симпатию можно отправить только Пользователю противоположного пола (пп. 2.5, 4.2); общие счётчики прохождения входа старше 30 дней хранятся как число за месяц (пп. 2.10-тер, 4.2, 5.2); проекты Оператора в PostHog и Sentry удалены, уведомление о трансграничной передаче направлено (п. 5.4). Новых целей обработки и новых получателей данных эта редакция не добавляет (п. 1.6). Редакция действует с даты её размещения на сайте.

1.1. Эта Политика описывает, как владелец мобильного приложения Jelyfin обрабатывает персональные данные пользователей: какие данные собираются, зачем, на каком основании, как долго хранятся, кому передаются и как их удалить.

1.2. Политика издана и опубликована во исполнение ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ). Она находится в неограниченном доступе: на сайте https://jelyfin.com/privacy и в приложении — в разделе «Правовые документы».

1.3. Оператор персональных данных:

Рахимов Сергей Павлович — физическое лицо, применяющее специальный налоговый режим «Налог на профессиональный доход» (самозанятый). E-mail для вопросов о персональных данных (в том числе отзыв согласий и запросы по разделу 6): privacy@jelyfin.com

1.4. Термины:

• Сервис, Пользователь, Анкета, Аккаунт — в значениях, определённых в разделе 1 Соглашения. Анкета — профиль Пользователя с карточками, предназначенный для показа другим Пользователям; порядок показа и статус отдельных согласий описаны в п. 3.3;
• Оператор — владелец Сервиса (реквизиты — п. 1.3);
• Соглашение — пользовательское соглашение Сервиса;
• Политика — настоящий документ;
• персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (ст. 3 152-ФЗ);
• обработка — любое действие с персональными данными: сбор, запись, хранение, использование, передача, удаление и другие (ст. 3 152-ФЗ).

1.5. Политика действует в отношении всех субъектов, чьи персональные данные обрабатывает Оператор, включая посетителей сайта и лиц, которые начали вход, но не завершили создание Анкеты (п. 4.1). Общие счётчики прохождения входа (п. 2.10-тер) не содержат идентификаторов, и Оператор не сопоставляет их с конкретными людьми. Форма раннего доступа на текущем сайте сохраняет введённый адрес электронной почты только в браузере: Оператор его не получает, запись в список рассылки не создаётся и письмо не отправляется. Запись остаётся до очистки данных сайта браузером или посетителем либо до замены при повторном вводе. В текущей редакции сайта необязательные счётчики статистики, записи сеансов и рекламы отключены; согласие на их будущее подключение не собирается. Ссылка «Настройки cookie» показывает этот статус. Подготовленный механизм предусматривает отдельный выбор посетителя с сохранением на 180 дней без уникального идентификатора и без отправки этой записи Оператору. Его дальнейшее подключение требует обновления редакции и явного согласия посетителя; посещение сайта само по себе не считается согласием. Состав предусмотренных данных, получатели, сроки и управление настройками — https://jelyfin.com/cookies.

Настройки счётчиков относятся только к сайту https://jelyfin.com и не изменяют согласия в приложении. Описание возможных счётчиков в пп. 2.11-бис и 5.3-бис не означает их подключения в этой редакции. При обычном открытии сайта хостинг получает IP-адрес, запрошенный адрес страницы и технические заголовки, необходимые для доставки страницы и защиты от злоупотреблений.

1.6. Оператор может обновлять Политику. Новая редакция публикуется там же, где эта, с указанием даты. О новой редакции Оператор уведомляет Пользователей в порядке, установленном разделом 12 Соглашения, — не менее чем за 7 дней до даты её вступления в силу. Изменения, добавляющие новые цели обработки или новых получателей данных, применяются к Пользователю после принятия им новой редакции в приложении, а обработка, основанная на согласии, — после получения нового согласия.

2. Цели обработки персональных данных

Оператор обрабатывает данные только для перечисленных ниже целей. Для каждой цели указаны свои категории данных.

2.1.1. Способы входа. В Сервисе предусмотрены четыре способа входа; Пользователь выбирает из способов, доступных в его сборке и на его устройстве:

Для выбора аккаунта Сервис использует привязанный идентификатор сервиса входа и подтверждённый адрес электронной почты с проверками безопасности. Совпадение текста адреса само по себе не гарантирует вход в существующий аккаунт или объединение аккаунтов. Результат зависит от подтверждения адреса и уже установленных привязок.

Если сервис входа не передал адрес, создаётся служебная запись; приложение предлагает привязать доступную Пользователю почту и подтвердить её кодом. Обычное предложение можно отложить; оно повторяется через три дня. Привязка и смена адреса доступны в настройках аккаунта. При прекращении работы использованного способа входа подтверждение почты может потребоваться до продолжения работы с приложением, чтобы сохранить доступ.

Адрес Apple вида @privaterelay.appleid.com считается рабочим адресом: письма пересылает Apple, пока Пользователь не отключил пересылку. Сам по себе такой адрес не вызывает предложение привязать другой. Он может относиться к отдельному аккаунту, если не совпадает с ранее использованным адресом. Если при ручной привязке подтверждённый адрес уже занят другим аккаунтом, аккаунты, переписка и симпатии не объединяются. После проверки кода приложение предложит войти в существующий аккаунт; текущий аккаунт автоматически не удаляется.

Оператор не получает от сервисов входа пароль Пользователя и не имеет доступа к его учётной записи в этих сервисах. Состав данных, которые сервис входа передаёт Оператору, определяется разрешениями, которые Пользователь даёт в самом сервисе входа, и может быть изменён Пользователем в его настройках. Отзыв разрешения в сервисе входа не удаляет аккаунт в Сервисе — порядок удаления описан в разделе 7.

2.12. Сервис не предусматривает обязательных полей о здоровье, расовой или национальной принадлежности, политических взглядах, религиозных и философских убеждениях. Пользователю не следует размещать такие сведения или чужие персональные данные в свободном тексте и в записи голоса. Обработка изображений при проверке описана в п. 2.7; отсутствие автоматического распознавания само по себе не является выводом о правовой квалификации этой обработки. Запись голоса в карточке «Мой голос» не используется для установления личности: Сервис не распознаёт речь, не сравнивает голоса и не создаёт по записи голосовой шаблон; Оператор не устанавливает по записи, кому принадлежит голос, в том числе при рассмотрении жалоб (Правила сообщества, п. 6.3). Сервер проверяет формат, размер и длительность файла и не анализирует звук; приложение во время записи измеряет громкость — чтобы нарисовать огибающую и не сохранить беззвучную запись. При согласии на статистику (п. 2.10) о беззвучной записи передаются только её пиковая громкость и длительность, без самой записи.

3. Правовые основания обработки

3.1. Договор с Пользователем (пп. 5 ч. 1 ст. 6 152-ФЗ). Соглашение — договор между Оператором и Пользователем. На этом основании обрабатываются данные, без которых Сервис работать не может: данные для входа любым из способов, перечисленных в п. 2.1.1 (п. 2.1), контроль возраста (п. 2.3), автоопределение города по запросу Пользователя (п. 2.4), рекомендательный подбор (п. 2.5), обмен сообщениями, выражение симпатии и ведение альбома марок в части данных его владельца (пп. 2.6, 2.6-бис), доставка уведомлений (п. 2.9). Показ данных Анкеты другим Пользователям, в том числе в виде марок и вложений в переписке, — п. 3.3. Это же основание охватывает обработку данных для входа до принятия Соглашения: она необходима для заключения договора по инициативе Пользователя (пп. 5 ч. 1 ст. 6 152-ФЗ).

3.2. Согласие, когда обработка основана на нём, должно предоставляться отдельно от Соглашения и других подтверждений. Ознакомление с этой Политикой само по себе не является согласием на все перечисленные действия. На дату редакции отдельный механизм согласия на обработку данных Анкеты ещё не введён в тестовой версии. Это требует завершения до привлечения внешних пользователей; настоящее описание не объявляет такое согласие уже полученным.

3.3. Показ Анкеты. Его фактический состав и настройки описаны на https://jelyfin.com/data-distribution. В текущем внутреннем тестировании отдельные согласия на показ Анкеты не собираются. До внешнего запуска Оператор должен определить надлежащее основание и порядок получения необходимых согласий. Регистрация получателя в приложении сама по себе не означает, что доступ предоставляется определённому кругу лиц, и не заменяет требований статьи 10.1 152-ФЗ, когда они применимы. Марки (п. 2.6-бис) и вложения в переписке (п. 2.6) показывают материалы Анкеты только одному определённому Пользователю — владельцу альбома или собеседнику; для этого показа действует то же основание, что и для показа Анкеты.

3.4. Согласие на проверку фотографий — отдельное подтверждение перед включением камеры. Пользователю доступны краткое уведомление и полный текст конкретной редакции. Кнопка «Продолжить» подтверждает только это согласие; «Пройти позже» не даёт нового согласия. Пока действующая редакция согласия не опубликована, начать проверку нельзя. Отказ не закрывает основные возможности знакомств, но отметка о проверке влияет на поиск и показ карточки социальных сетей другим Пользователям. Порядок и последствия отзыва — пп. 6.1, 6.3.

3.5. Законные интересы Оператора и третьих лиц (пп. 7 ч. 1 ст. 6 152-ФЗ): модерация, безопасность, доказательство принятия документов, защита от злоупотреблений, ограниченный учёт удалений и возвратов, проверка и доставка обновлений приложения, в том числе до входа (п. 2.9-бис), диагностика ошибок и обеспечение работоспособности Сервиса (п. 2.10-бис), а также ограничение частоты при приёме общих счётчиков входа и сами счётчики, если они будут признаны персональными данными (п. 2.10-тер), — каждое в минимальном для своей цели составе. Это основание применяется только при соблюдении прав и свобод Пользователей, с ограничением состава и сроков данных; оно не подменяет согласие там, где оно обязательно.

3.6. Публичные документы доступны в разделе «Правовые документы» приложения и на сайте https://jelyfin.com. Конкретная редакция Соглашения и Политики для принятия сохраняется сервером отдельно. Полный текст согласия на проверку фотографий открывается с экрана проверки до подтверждения, «Условия аналитики» — с экрана принятия Соглашения и из настроек (п. 3.7); опубликованная редакция каждого из них имеет собственный постоянный серверный адрес. Это отдельные документы, не страницы лендинга, и их публикация не выполняется автоматически при обновлении сайта.

3.7. Согласие на статистику использования (пп. 1 ч. 1 ст. 6 152-ФЗ; цель — п. 2.10). Пока Пользователь не давал и не отзывал это согласие, экран принятия Соглашения содержит рядом с Соглашением и Политикой ссылку на «Условия аналитики» и поясняет, что кнопка «Принять» принимает Соглашение и «Условия аналитики». Согласие выражается нажатием этой кнопки — показ экрана и публикация условий согласием не являются — и сохраняется отдельной записью, не связанной с записью о принятии Соглашения: редакция условий, дата и время, способ (экран принятия или настройки). Сбор начинается после того, как сервер подтвердил согласие; пока согласие не дано, статистика не собирается. Полный текст — «Условия аналитики»: ссылка находится на том же экране и в настройках, опубликованная редакция хранится на сервере в неизменяемом виде. Отключить статистику, то есть отозвать согласие, можно в любой момент: «Настройки» → «Статистика» → «Делиться статистикой»; там же её можно включить снова. Отключение не ограничивает возможности Сервиса, последствия — п. 6.3. Кто уже дал или отозвал согласие, при следующих обновлениях Соглашения об этом повторно не спрашивается. Отчёты об ошибках (п. 2.10-бис) от статистики не зависят.

3.8. Обращения, сайт и администрирование. Обращения и запросы (п. 2.13) обрабатываются для исполнения Соглашения (пп. 5 ч. 1 ст. 6 152-ФЗ), для исполнения обязанностей Оператора по статьям 14, 20 и 21 152-ФЗ (пп. 2 ч. 1 ст. 6) и в законном интересе защиты прав (пп. 7 ч. 1 ст. 6); работа и защита сайта (п. 2.14) и администрирование (п. 2.15) — в законном интересе Оператора (пп. 7 ч. 1 ст. 6).

4. Категории субъектов и перечень персональных данных

4.1. Категории субъектов:

1. Пользователи Сервиса (18+);
2. лица, начавшие вход, но не завершившие создание Анкеты (обрабатывается адрес электронной почты и код подтверждения, а при входе через сервис входа — идентификатор учётной записи в этом сервисе и полученные от него адрес электронной почты и имя);
3. Пользователи, запросившие удаление аккаунта (после семидневного периода отмены применяется порядок удаления и ограниченного дальнейшего хранения из раздела 7);
4. администраторы и модераторы Сервиса (служебные учётные записи; их действия и IP-адреса фиксируются в журнале аудита);
5. посетители сайта https://jelyfin.com — технические данные запроса для доставки страницы и защиты сайта; дополнительные сведения для счётчиков — только при их согласии (п. 2.11-бис);
6. лица, запускающие приложение, в том числе до входа в Сервис, — технические сведения запросов обновлений (п. 2.9-бис) и IP-адрес соединения при приёме общих счётчиков входа — только для ограничения частоты, без записи (п. 2.10-тер).

Контент Пользователя (фотографии, тексты, записи голоса, сообщения) может содержать сведения о третьих лицах. Загружать чужие фотографии и раскрывать чужие данные без согласия запрещено Соглашением; для нарушений работает механизм жалоб.

4.2. Полный перечень обрабатываемых данных по группам:

4.3. Локальное хранение на устройстве. Часть данных хранится только на устройстве Пользователя и Оператору не передаётся: настройки интерфейса, служебные флаги и кэши изображений — в локальных хранилищах приложения; там же хранится локальная копия фильтров поиска (сами параметры поиска обрабатываются на сервере — пп. 2.5, 4.2). Токены сессии выдаются сервером и хранятся на устройстве в системном защищённом хранилище (Keychain); на сервере хранится только хэш SHA-256 токена обновления (п. 4.2). Данные из локальных хранилищ удаляются при удалении приложения средствами операционной системы, за исключением системного защищённого хранилища (Keychain): его записи операционная система очищает по собственным правилам и может сохранять после удаления приложения. Хранящиеся там токены сессии в любом случае прекращают действовать по истечении сроков, указанных в п. 5.2. Кроме того, записи, сделанные для карточки «Мой голос», в том числе не отправленные на сервер, остаются во временных файлах приложения на устройстве автора до их очистки системой или удаления приложения.

5. Порядок и условия обработки

5.1. Действия и способы

Оператор собирает, записывает, систематизирует, накапливает, хранит, уточняет, извлекает, использует, передаёт (предоставляет, даёт доступ), блокирует, удаляет и уничтожает персональные данные. Обработка автоматизированная, с передачей по сети Интернет.

Лента Анкет упорядочивается автоматически по правилам рекомендательного подбора (п. 2.5). Результат проверки фотографий определяет человек. Для защиты от нарушений также применяются автоматические ограничения показа Анкеты и взаимодействий до проверки, а при повторной регистрации может сохраняться ранее назначенная блокировка: для этого используется ограниченная запись, описанная в п. 7.4, только в пределах её срока хранения. Пользователь может обратиться на support@jelyfin.com для рассмотрения ограничения человеком и обжалования ошибки. Это описание не означает, что любые ограничения работы Сервиса всегда предварительно проверяются человеком.

5.2. Сроки хранения

По достижении цели обработки или истечении срока данные удаляются или обезличиваются. Указанное расписание автоматической очистки предполагает работоспособность сервера и хранилища. При сбое Оператор должен восстановить обработку очереди и устранить просрочку; наличие технической ошибки не освобождает от применимых требований закона.

Указанный поставщиком срок хранения копий почты описывает работу сервиса и сам по себе не продлевает установленные законом сроки прекращения обработки и уничтожения. Если письмо и вложения подлежат уничтожению, Оператор удаляет их из ящика — включая корзину, ответы и копии в цепочке — в срок, установленный для уничтожения (ч. 3–5.1 ст. 21 152-ФЗ). Удаление письма из ящика не подтверждает уничтожения всех копий у поставщика. Если уничтожить данные в установленный срок невозможно, Оператор обеспечивает их блокирование и уничтожение в срок не более шести месяцев (ч. 6 ст. 21 152-ФЗ). Подтверждения того, что копии у поставщика блокируются и уничтожаются в этом порядке, у Оператора пока нет; по запросу субъекта Оператор запрашивает его у поставщика.

5.3. Поручение обработки другим лицам

Для инфраструктуры и связи Оператор использует следующих поставщиков. Условия услуг и поручения обработки, где оно необходимо, должны соответствовать ч. 3 ст. 6 152-ФЗ; эта таблица описывает фактические роли и не заменяет договоры:

Поручение обработки для целей Сервиса необходимо отличать от собственных операций поставщика по обеспечению его услуг. Объём поручения и обязанности сторон определяются применимым договором и законом, а не одной лишь ссылкой в этой Политике.

5.3-бис. Иные получатели на территории России

При входе через VK ID Оператор и VK обмениваются данными, необходимыми для входа: Оператор направляет в VK ID код авторизации и идентификатор своего приложения, VK ID в ответ сообщает идентификатор учётной записи Пользователя и — в объёме разрешения, данного Пользователем в самом VK ID, — адрес электронной почты и имя. VK при этом действует не как обработчик по поручению Оператора (ч. 3 ст. 6 152-ФЗ), а как самостоятельный оператор: обработку данных на стороне VK регулируют документы VK, с которыми Пользователь соглашается в самом сервисе VK ID.

Непосредственный получатель при этом обмене — российская организация VK, запрос выполняется с сервера Оператора в Российской Федерации. Это не гарантия отсутствия иных потоков в собственных сервисах и у подрядчиков VK: они регулируются документами соответствующего сервиса.

Статистика и диагностика приложения. Для целей пп. 2.10 и 2.10-бис Оператор использует сервис AppMetrica ООО «ЯНДЕКС» (Российская Федерация):

Геолокация, рекламные идентификаторы и сведения о покупках в библиотеке отключены. ООО «ЯНДЕКС» обрабатывает данные на условиях своего сервиса, в том числе в собственных целях в обезличенном виде, а не только по поручению Оператора. По ответу ООО «ЯНДЕКС» от 28 сентября 2026 года персональные данные, собираемые AppMetrica, хранятся на серверах в России, а для предоставления сервиса в России получатель не привлекает иностранных лиц; он назвал площадки во Владимире, Сасове и Калуге. Это заявление получателя, а не отдельная проверка расположения всех его резервных копий и журналов. Оператор может остановить передачу для всех Пользователей сразу; ранее переданные данные остаются у получателя до их удаления по его правилам. Удалить у получателя данные только одного Пользователя технически нельзя: получатель позволяет удалить лишь все данные приложения сразу и не назвал срок окончательного удаления ранее переданных сведений, включая копии.

Счётчики сайта. В текущей редакции отключены (п. 1.5). Для возможного последующего подключения предусмотрены следующие получатели; перед началом обработки потребуются обновление редакции и отдельный выбор посетителя:

Обе организации российские. В части, не охваченной поручением Оператора, каждая действует по своим документам. Российское наименование поставщика само по себе не подтверждает географию всей его инфраструктуры и привлечённых лиц: их условия подлежат отдельной проверке перед подключением. Данные аккаунтов приложения в счётчики сайта целенаправленно не передаются. Текст согласия, состав данных, записи в браузере и отзыв — https://jelyfin.com/cookies.

5.4. Трансграничная передача

Ниже перечислены иностранные сервисы, предусмотренные текущей реализацией, и связанные с ними потоки. Фактическая передача зависит от включения соответствующего сервиса и использования функции; указание сервиса в таблице не означает, что он включён для каждого Пользователя.

Прекращённая передача. До 20 сентября 2026 года события использования передавались PostHog, Inc. (США), до 21 сентября 2026 года отчёты об ошибках — Functional Software, Inc. (Sentry, США). Передача обоим получателям прекращена: новые сведения им не передаются, их библиотеки из приложения удалены. Переданные ранее сведения относились ко времени внутреннего тестирования; проекты Оператора в этих сервисах удалены 17 октября 2026 года.

Вход через Google и Apple включает непосредственный обмен устройства с соответствующим сервисом, минуя российский сервер Оператора. Российское размещение основной базы само по себе не подтверждает соблюдение всех требований к этому потоку. Можно выбрать другой предусмотренный способ входа, но вход по email использует иностранный сервис доставки Resend и потому не является вариантом «без зарубежных получателей».

Пользователь может отключить push-уведомления в настройках устройства и Сервиса. Это не отключает обращения к сервисам входа, загрузку обновлений и уже существующие операции получателей по их собственным условиям.

Трансграничная передача допускается только с соблюдением статьи 12 152-ФЗ: до её начала Оператор обязан оценить получателей, направить в Роскомнадзор отдельное уведомление о намерении осуществлять трансграничную передачу и далее соблюдать установленные этой статьёй сроки и ограничения. Уведомление об обработке персональных данных (статья 22 152-ФЗ) направлено 30 сентября 2026 года; Оператор внесён в реестр операторов под номером 52-26-262241. Уведомление о намерении осуществлять трансграничную передачу направлено 15 октября 2026 года и зарегистрировано Роскомнадзором под № 549348; оно заменило прежнее уведомление (№ 531791 от 2 октября 2026 года), которое, по сообщению Роскомнадзора, рассмотрению не подлежит. Вход через Google и Apple в уведомлении от 15 октября 2026 года не указан, и для этой цели оценка получателей не завершена. При этом во внутреннем тестировании передача получателям из таблицы уже происходит — при входе через Apple и Google, отправке писем с кодами, регистрации и доставке уведомлений и в прежних сборках при проверке обновлений — и касается учётных записей, которые Оператор использует для тестирования. Это фактическое положение, а не порядок, разрешённый законом; публикация Политики его не заменяет. Условия иностранных сервисов, состав их привлечённых обработчиков и применимые страны проверяются в рамках оценки получателей.

Перечень непосредственных сервисов выше не является заявлением об отсутствии у них субподрядчиков. При изменении целей, получателей или состава данных Оператор обновляет сведения и, где необходимо, получает новое отдельное согласие.

5.5. Локализация баз данных

Основная база приложения, его API и файловые хранилища размещены в Yandex Cloud в Российской Федерации. Резервные копии PostgreSQL создаются средствами Оператора, шифруются до загрузки и хранятся в закрытом Yandex Object Storage в РФ. Это описание размещения собственной инфраструктуры, а не утверждение об отсутствии иностранных потоков: они отдельно раскрыты в п. 5.4 и требуют соблюдения законодательства о локализации и передаче.

6. Права Пользователя

6.1. Пользователь вправе:

• получить подтверждение обработки и сведения о своих данных (ст. 14 152-ФЗ): какие данные обрабатываются, цели, сроки, кому передаются;
• получить копию своих данных — по запросу на privacy@jelyfin.com; ответ — не позднее 10 рабочих дней (п. 6.2);
• уточнить данные — большинство данных Анкеты редактируются прямо в приложении; дата рождения после регистрации изменяется только по обращению к Оператору (защита контроля 18+);
• удалить аккаунт и данные — в настройках приложения (раздел 7) или по запросу на privacy@jelyfin.com;
• удалить сообщения — своё сообщение удаляется у обоих участников кнопкой «Удалить» у сообщения, в том числе после блокировки и завершения переписки (копия хранится для разбора жалоб в срок п. 5.2). «Удалить переписку» убирает переписку только из своего списка и не является требованием об уничтожении данных; такое требование направляется на privacy@jelyfin.com (п. 6.2), Оператор рассматривает его с учётом прав собеседника;
• отозвать согласия — по запросу на privacy@jelyfin.com; согласие на статистику также отзывается в приложении: «Настройки» → «Статистика» → «Делиться статистикой». Удаление аккаунта запускает прекращение связанной с ним обработки по разделу 7;
• возразить против обработки и обжаловать действия Оператора — Оператору, в Роскомнадзор или в суд.

6.2. Запросы направляются с адреса электронной почты, привязанного к аккаунту, либо иным способом, позволяющим убедиться, что запрос подаёт сам Пользователь, — на e-mail Оператора: privacy@jelyfin.com. Срок ответа — 10 рабочих дней с возможностью продления не более чем на 5 рабочих дней с уведомлением Пользователя.

6.3. Последствия отзыва согласий:

• требование прекратить показ данных Анкеты — направляется на privacy@jelyfin.com. Если применима статья 10.1 152-ФЗ, действие согласия прекращается с момента получения требования, а передача прекращается в предусмотренный законом срок, не позднее трёх рабочих дней. Выключение «Показывать в поиске» само по себе убирает Анкету только из ленты и не заменяет требование полностью прекратить показ;
• отзыв согласия на обработку данных Анкеты — Оператор прекращает обработку и уничтожает данные, на которые распространялось согласие, в срок до 30 дней (ч. 5 ст. 21 152-ФЗ), если нет иного законного основания их хранить; практически это равнозначно удалению аккаунта;
• данные, необходимые для исполнения Соглашения (п. 3.1), после отзыва согласия могут обрабатываться до прекращения Соглашения — то есть до удаления аккаунта. Хранение отдельных сведений после удаления аккаунта, в том числе переписки по обращениям, допускается только при наличии самостоятельного законного основания и в пределах целей и сроков пп. 5.2 и 7.4; отзыв согласия не отменяет обязанностей по обработке, прямо установленных законом.

При отключении статистики (отзыве согласия на неё) сбор на устройстве прекращается сразу, собранные, но не отправленные события удаляются с устройства, а ожидающие отправки на сервере Оператора — отменяются; отметка о сеансах удаляется. Если отключение сделано без связи с сервером, оно действует на устройстве сразу, а на сервер передаётся при восстановлении связи или при следующем входе в этот аккаунт на устройстве; до этого сервер может продолжать учитывать серверные события. Запрос, уже отправленный получателю к моменту отключения, отозвать нельзя; переданные ранее события остаются у получателя по его правилам: удалить у него данные только одного Пользователя технически нельзя (п. 5.3-бис). Требование об удалении таких данных можно направить на privacy@jelyfin.com; Оператор рассмотрит его в порядке и сроки раздела 6. Повторное согласие действует только на новые события. Отчёты об ошибках (п. 2.10-бис) продолжают передаваться.

Чтобы убрать марки, которые другие Пользователи сделали из его карточки или фотографии, Пользователь удаляет эту карточку или фотографию: у владельцев альбомов марки из неё заменятся памятными значками без изображения. Изменить карточку или заменить фотографию для этого недостаточно — марки сохранят прежнее изображение (п. 5.2); можно удалить карточку или фотографию и добавить её заново. Единственную фотографию Анкеты удалить нельзя: сначала нужно добавить другую. Сводка «Пока тебя не было» показывает только марки, сделанные с её прошлого просмотра. Узнать, из каких карточек и фотографий сделаны марки, и потребовать их убрать — в том числе марки из прежних версий карточки или фотографии и марки, на которых изображён заявитель, даже если Анкета принадлежит другому Пользователю, — можно письмом на privacy@jelyfin.com. По такому требованию Оператор заменяет соответствующие марки памятными значками в течение семи рабочих дней с его получения и сообщает об исполнении.

Отзыв согласия на проверку фотографий, направленный письмом, Оператор исполняет вручную не позднее десяти рабочих дней с его получения и сообщает об исполнении; с получения письма снимки для проверки не используются. При отзыве незавершённая проверка отменяется, доступ к снимкам через карточку заявки закрывается, файлы направляются на удаление. Ранее выданная ссылка может работать до одной минуты, если объект ещё не удалён. После десяти неудачных попыток автоматическое удаление останавливается и требует ручного разбора Оператором; запрос отзыва от этого не отменяется. Уже выданный результат проверки сохраняется без снимков до удаления аккаунта. Для новой проверки нужно новое согласие. Отзыв не удаляет аккаунт и не закрывает основные возможности знакомств.

Срок ответа на обращение (п. 6.2), срок прекращения обработки и срок уничтожения данных — разные сроки. Требование прекратить обработку исполняется по ч. 5.1 ст. 21 152-ФЗ, если нет предусмотренного законом основания продолжать её: в течение десяти рабочих дней, с возможным мотивированным продлением не более чем на пять рабочих дней. Отзыв согласия и уничтожение регулируются, в частности, ч. 5 ст. 21; специальные правила имеют приоритет.

7. Уничтожение данных при удалении аккаунта

7.1. Пользователь запускает удаление сам — в настройках приложения. Запрос на удаление доступен всегда, в том числе без принятия новых редакций документов.

7.2. После запроса действует период отмены 7 дней: удаление можно отменить, войдя в аккаунт; Анкета на это время скрывается из ленты, а марки из неё в альбомах других Пользователей не показываются (п. 5.2). Сам запрос на удаление не блокирует вход и использование аккаунта, если доступ не ограничен по другим основаниям, например из-за нарушения Правил.

7.3. По истечении семидневного периода задача очистки удаляет аккаунт и связанные с ним Анкету, сообщения, симпатии, альбом марок, настройки, жалобы и пользовательские подтверждения документов из рабочей базы. Марки, которые другие Пользователи сделали из карточек и фотографий удалённого аккаунта, заменяются у них памятными значками без изображения и без связи с автором. Файловое хранилище очищается отдельно: снимки проверки — через устойчивую очередь, голосовые записи симпатий — ежедневной очисткой; сбои внешнего хранилища могут задержать физическое удаление.

Файлы профильных фотографий, изображений карточек, записей голоса в карточках «Мой голос» и марок привязаны к владельцу (файл марки — к владельцу альбома) и удаляются через устойчивую очередь. Файл фотографии или записи голоса попадает в неё, когда удалена или заменена последняя ссылка на него; файл марки — когда марку убирают из альбома, заменяют памятным значком или удаляют вместе с аккаунтом владельца альбома. Очередь сохраняется и после окончательного удаления аккаунта. Обработка запускается каждую минуту. Незавершённые загрузки, не прикреплённые к Анкете, карточке или альбому марок, направляются на очистку через 24 часа после начала загрузки. При сбое хранилища выполняются повторные попытки; после исчерпания автоматических попыток задачу обязан разобрать Оператор. Ссылки на фотографии и записи голоса выдаются приложению с ограниченным сроком действия (п. 8.1): ранее выданная ссылка может открывать файл до истечения её срока, если файл ещё не удалён. Это не обещание, что все копии исчезают ровно в момент истечения семи дней. По загруженному материалу можно направить запрос на privacy@jelyfin.com.

7.4. Дольше аккаунта хранятся только:

• ограниченная запись об удалении аккаунта: защищённый отпечаток почты (HMAC с серверным ключом), даты регистрации и удаления, выбранная причина, признак блокировки и дата повторной регистрации. Открытый адрес почты и идентификатор удалённого аккаунта в этой записи не хранятся. Запись используется для учёта возвратов и противодействия обходу блокировок; поскольку она позволяет сопоставить повторную регистрацию, это не анонимная статистика. Срок — один календарный год с удаления аккаунта, в том числе для ранее заблокированных аккаунтов, без продления при возврате. По истечении года запись перестаёт участвовать в сопоставлении и удаляется ближайшей ежедневной задачей. Свободный комментарий очищается ежедневной задачей после 90 дней;
• технические журналы сервера, журнал отправки уведомлений и журнал аудита — в пределах сроков, указанных в п. 5.2;
• переписка по обращениям на контактные адреса Оператора и её копии у Яндекс 360 — в пределах целей, оснований и сроков п. 5.2. Это почтовая переписка, а не сообщения чата приложения. Удаление аккаунта Jelyfin не запускает шестимесячный срок поставщика: он связан с удалением письма или учётной записи почтового сервиса.

Отдельные трёхлетние архивы пользовательских согласий или удалённых жалоб в текущей реализации не создаются. Неизменяемые тексты редакций без сведений о конкретных Пользователях сохраняются независимо от аккаунтов.

Резервные копии. Удалённые из рабочей базы сведения могут оставаться в ранее созданных зашифрованных копиях PostgreSQL. Для объектов копий настроено истечение после 30 дней, для предыдущих версий — отдельный срок семь дней; эти правила применяются облачным хранилищем по его циклу удаления. Это не обещание физического исчезновения всех версий строго на тридцатый день. Копии изолированы от обычной работы приложения. Резервное копирование пользовательских файлов отдельным процессом не выполняется. Данные, ранее полученные сторонними сервисами, требуют отдельного исполнения удаления на стороне этих сервисов: удаление аккаунта в российской базе само по себе не удаляет их копии.

7.5. Уничтожение данных подлежит оформлению в порядке, установленном приказом Роскомнадзора от 28.10.2022 № 179. Наличие этой нормы в Политике не означает, что незавершённые механизмы удаления, указанные выше, уже внедрены.

7.6. Переписка и симпатии в Сервисе при удалении аккаунта удаляются у обоих участников. Марки из удалённого аккаунта у других Пользователей заменяются памятными значками (п. 7.3). Удаление аккаунта не затрагивает сведения, которые другие Пользователи сохранили за пределами Сервиса до удаления (например, снимки экрана), и копии изображений в кэше приложения на их устройствах — до очистки этого кэша.

8. Меры защиты персональных данных

8.1. Оператор принимает правовые, организационные и технические меры по ст. 18.1 и 19 152-ФЗ:

• передача данных между приложением и сервером — по защищённым каналам (TLS);
• хранилища снимков проверки и голосовых записей симпатий закрыты для анонимного доступа. Снимки проверки шифруются на стороне хранилища ключом сервиса управления ключами Yandex Cloud (AES-256, ключ сменяется ежегодно); ссылки для просмотра заявки действуют одну минуту, для голосовых записей симпатий — до 24 часов;
• фотографии профиля, изображения карточек, записи голоса в карточках «Мой голос» и изображения марок хранятся в закрытом файловом хранилище: приложение получает их по подписанным ссылкам с ограниченным сроком действия (до двух суток), прямой доступ без подписи закрыт. В пределах срока полученную ссылку технически можно открыть вне приложения, поэтому её не следует считать секретным способом передачи;
• метаданные загружаемых фотографий (EXIF, включая координаты места съёмки) удаляются на сервере при приёме файла;
• резервные копии базы PostgreSQL шифруются до загрузки и хранятся в закрытом российском хранилище (пп. 5.5, 7.4);
• токены обновления сессии хранятся на сервере только в виде хэша SHA-256; на устройстве токены лежат в системном защищённом хранилище (Keychain);
• доступ администраторов и модераторов разграничен по ролям; действия фиксируются в журнале аудита с указанием IP-адреса;
• целостность опубликованных редакций Соглашения и Политики контролируется по контрольной сумме SHA-256 при каждой выдаче документа;
• ограничение частоты запросов (rate-limit) для защиты от перебора кодов и злоупотреблений;
• организационные процедуры и внутренние документы, необходимые по ст. 18.1 и 19 152-ФЗ, подлежат завершению и проверке до внешнего запуска; перечисленные технические меры не заменяют эту работу.

8.2. Реагирование на инциденты. При установлении факта неправомерной передачи (утечки) персональных данных Оператор уведомляет Роскомнадзор в течение 24 часов о факте инцидента и предпринятых мерах и в течение 72 часов — о результатах внутреннего расследования (ч. 3.1 ст. 21 152-ФЗ). Если инцидент создаёт высокий риск для Пользователей, Оператор может дополнительно информировать затронутых Пользователей.