Политика конфиденциальности

Редакция от 10.11.2026. Действует для Telegram-бота @Pilotravelbot , сайта https://pilo.travel и приложения Pilo для iPhone.

1. Общие положения

1.1. Эта политика объясняет, какие персональные данные обрабатывает сервис Pilo (далее — Сервис), зачем, как долго, кому и на каком основании они передаются и как вы можете ими управлять.

1.2. Оператор персональных данных — Мальцев Алексей Владимирович (далее — Оператор, «мы»). Связаться с Оператором по вопросам данных: pilotravelbot@gmail.com.

1.3. Сервис состоит из Telegram-бота, сайта и приложения для iPhone. Это один сервис с общей базой данных: поездка, созданная в боте, видна на сайте и в приложении, и наоборот.

1.4. Доступ к Сервису открыт: войти может любой человек старше 18 лет (раздел 16). Оператор может закрыть доступ при злоупотреблениях.

1.5. Начиная пользоваться Сервисом, вы подтверждаете, что прочитали эту политику. Согласие на обработку персональных данных оформляется отдельным документом — до того, как Сервис начнёт сохранять ваши поездки.

1.6. Политика опубликована в открытом доступе по адресу этой страницы и действует бессрочно до замены новой редакцией.

2. Термины

Персональные данные — любая информация, прямо или косвенно относящаяся к определённому или определяемому физическому лицу (вам).

Обработка — любое действие с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение.

Поездка — запись в Сервисе, которая включает ответы анкеты, план (обзор, дни, расписание по часам), переписку с Pilo и связанные с ними файлы PDF.

ИИ-модель — языковая модель, которая формирует планы и ответы: основная — Claude компании Anthropic PBC, резервные — GPT компании OpenAI и Kimi компании Moonshot AI (раздел 7.1а).

Трансграничная передача — передача персональных данных на территорию другого государства.

3. Какие данные мы обрабатываем

3.1. Данные Telegram-аккаунта

Числовой идентификатор (Telegram ID), имя, фамилия и имя пользователя (ник) — их передаёт Telegram, когда вы пишете боту или входите на сайт через Telegram. Фотографию профиля и номер телефона мы не получаем и не храним.

3.1а. Вход через Apple, Google или Яндекс

Если вы входите через Apple (в приложении для iPhone), через Google (на сайте или в приложении) или через Яндекс ID (на сайте), мы получаем от них постоянный идентификатор аккаунта, имя и адрес электронной почты (Apple может передать скрытый адрес-пересылку). Почту и имя мы используем, чтобы узнать вас при следующем входе и показать владельцу заявку на доступ. Рекламных рассылок не делаем. Если до вас не доходят уведомления в приложении или браузере и нет Telegram, на эту почту может прийти служебное письмо про вашу поездку — например, что маршрут готов и можно расписать дни. В каждом письме есть ссылка «Не присылать письма» — после неё писем не будет. Пароль от Apple ID или Google мы не получаем — вход подтверждают сами Apple и Google. При удалении аккаунта имя и почта стираются; остаётся только идентификатор, чтобы при новом входе не создавался чужой номер.

3.1б. Голосовой ввод

Если вы нажимаете «Сказать голосом» на сайте или в приложении либо присылаете боту голосовое сообщение, запись передаётся на распознавание (раздел 7.3б) и превращается в текст, который вы видите в поле ввода; дальше с ним обращаются как с набранным текстом. Сами записи Сервис не хранит: они удаляются сразу после распознавания. Микрофон включается только по вашему нажатию и выключается, когда вы нажимаете «Готово».

3.2. Данные поездок

Ответы анкеты: направление, город отправления, даты, транспорт, кто едет, темп, бюджет, жильё, обязательные дела, брони, ограничения и интересы. Эти поля вы заполняете сами и свободным текстом — пожалуйста, пишите только то, что нужно для планирования.

Если вы сами указываете сведения о здоровье, питании, возрасте детей или других обстоятельствах — мы используем их только для того, чтобы учесть их в плане, и не обрабатываем их ни для чего другого.

Планы поездок, сформированные Сервисом: маршрут, дни, места, рестораны, варианты жилья, факты с источниками.

Файлы броней и билетов. Если вы загружаете на сайт или присылаете боту файл (фото, скриншот, PDF, письмо), он хранится на сервере в разделе «Брони» этой поездки и доступен только вам — пока вы не удалите его, поездку или аккаунт. Чтобы добавить бронь в план, содержимое файла передаётся модели Claude (раздел 7). Перед загрузкой закройте номера паспортов и платёжные данные — они Сервису не нужны.

3.3. Переписка

Сообщения, которые вы пишете Pilo в боте, на сайте или в приложении, ответы Pilo и ваши оценки ответов (👍/👎). Также запросы на изменение маршрута.

3.4. Геолокация

Только когда вы сами отправляете её в бот, чтобы получить подсказку «что делать сейчас». Координаты используются для одного ответа и не сохраняются отдельно; они могут остаться в тексте запроса, переданного ИИ-модели.

3.5. Настройки

Время утренней сводки, включена ли она, какая поездка сейчас активна, язык интерфейса, дата и время согласия на обработку данных.

3.6. Технические данные

Журнал действий (когда вы начали анкету, получили план, скачали PDF, отправили сообщение; ошибки и срабатывание ограничений), объём обработанного ИИ текста и стоимость запросов, служебные данные сессии на сайте (хэш случайного токена и срок его действия). IP-адреса посетителей сайта приложение не записывает; сервер может кратковременно хранить их в системных журналах и в памяти для защиты от атак (например, блокировки подбора паролей и потока запросов).

4. Каких данных мы не собираем

Сервису не нужны и не запрашиваются: номера паспортов и других документов, данные банковских карт, пароли, номера бронирований с кодами доступа, точные адреса проживания, биометрия. Если вы всё же отправили такие данные в сообщении, удалите поездку — вместе с ней удалится и переписка. Не присылайте ссылки из писем о бронировании: в них часто зашиты коды доступа к брони.

Мы не используем рекламные сети и пиксели социальных сетей. На сайте работает Яндекс Метрика (ООО «Яндекс», Россия): она получает обезличенные данные о посещении — адрес страницы, откуда пришли, тип устройства и браузера, нажатия на кнопки «Собрать план» и «Войти» — и ставит свои cookie. Мы смотрим только сводные отчёты, чтобы понять, какие страницы и объявления приводят людей; текст ваших запросов и планов в Метрику не передаётся. Отказаться можно, запретив cookie в браузере или установив блокировщик. Подробнее — в политике Яндекса.

Кроме того, посещаемость открытых страниц сайта (главная, «Маршруты», «Визы») считаем сами, на своём сервере и без cookie: сколько раз открыли страницу и откуда пришли (например, из поиска Яндекса). Чтобы не считать одного человека дважды за день, используем одноразовый отпечаток — хеш от адреса и браузера с солью, которая меняется каждый день; сам адрес не сохраняем, отпечатки удаляем через два дня.

5. Цели обработки

1. Составление, хранение, показ и изменение планов ваших поездок, в том числе по вашим сообщениям в пути.
2. Проверка фактов (часы работы, расписания, квоты) через веб-поиск и расчёт дороги по картам.
3. Утренние сводки, PDF и другие функции, которые вы включили.
4. Вход на сайт и защита аккаунта.
5. Ограничение нагрузки и расходов: лимиты сообщений и планов, защита от злоупотреблений и попыток взлома ИИ.
6. Улучшение качества: разбор ошибок и ответов с плохой оценкой, обезличенная статистика (сколько поездок, какие направления популярны, сколько стоит обработка).
7. Исполнение требований закона и ответы на ваши запросы о данных.

Мы не принимаем на основе ваших данных решений, которые порождают для вас юридические последствия, и не используем их для профилирования в рекламных целях.

6. Правовые основания

• Ваше согласие — для обработки данных поездок и переписки, передачи их ИИ-модели и трансграничной передачи (текст согласия).
• Исполнение договора — пользование Сервисом по вашему запросу: без обработки анкеты и сообщений составить план невозможно.
• Законный интерес Оператора — защита Сервиса, учёт расходов, обезличенная статистика.
• Требования закона — хранение сведений, которые обязывает хранить применимое право.

7. Как устроена обработка: ИИ и другие сервисы

7.1. ИИ-модель Claude (Anthropic PBC, США). Чтобы составить план или ответить на сообщение, Сервис отправляет в Claude API текст вашего запроса, анкету и нужную часть плана. Anthropic обрабатывает эти данные как поставщик услуги по своим коммерческим условиям; по условиям Anthropic для коммерческого API данные клиентов по умолчанию не используются для обучения моделей и хранятся ограниченное время. Подробнее — в документах Anthropic на anthropic.com.

7.1а. Резервные ИИ-модели: GPT (OpenAI, США) и Kimi (Moonshot AI, Китай). Если Claude недоступен (сбой у Anthropic, перегрузка, техническая ошибка), тот же запрос — текст запроса, анкета и нужная часть плана — автоматически передаётся резервной модели, чтобы Сервис продолжал работать: сначала GPT через API OpenAI, а если недоступна и она — Kimi через API Moonshot AI. Резервные модели получают те же данные, что Claude в разделе 7.1, без пароля и платёжных данных. По условиям OpenAI для API присланные данные не используются для обучения моделей и хранятся ограниченное время для защиты от злоупотреблений. Moonshot AI обрабатывает данные по своим условиям для API; данные могут обрабатываться на серверах в Китайской Народной Республике. Когда Claude снова доступен, Сервис возвращается к нему сам.

7.2. Веб-поиск. Для проверки фактов ИИ-модель выполняет поисковые запросы через инструмент веб-поиска своего поставщика (Anthropic, OpenAI или Moonshot AI). В поисковые запросы попадают названия мест, даты и темы (например, «часы работы музея в октябре»), а не ваше имя или Telegram ID.

7.3. Карты, погода и фото. Названия мест и координаты отправляются в OpenStreetMap (сервисы Nominatim и OSRM) для расчёта дороги и определения направления, и в Open-Meteo — для прогноза погоды. Название направления (например, «Казань Россия») отправляется в фотобанк Wikimedia Commons (или Pexels), чтобы подобрать фото для обложки; фото хранится на нашем сервере, поэтому ваш браузер к фотобанку не обращается. Чтобы показать фото мест дня, сервер открывает официальные сайты этих мест из плана и берёт их картинку-превью. Личные данные в эти сервисы не передаются.

7.3а. Apple, Google и Яндекс. Вход через Apple, Google или Яндекс ID проходит на их страницах и подчиняется их политикам; Сервис получает от них только данные из раздела 3.1а и проверяет, что они пришли именно от них (подпись или ключ приложения).

7.3б. Распознавание речи (OpenAI, США). Голосовые записи передаются в API OpenAI только для перевода в текст — без имени, Telegram ID и других данных аккаунта. По условиям OpenAI для API присланные данные не используются для обучения моделей и хранятся ограниченное время для защиты от злоупотреблений.

7.3в. Письма (Yandex Cloud Postbox, ООО «Яндекс.Облако», Россия). Служебные письма из раздела 3.1а отправляются через сервис Postbox: он получает адрес почты, тему и текст письма (название поездки и ссылку на неё) и хранит журнал отправки по своим правилам. Для других целей адрес не передаётся.

7.4. Telegram. Переписка с ботом проходит через Telegram и подчиняется также политике Telegram. Вход на сайт через Telegram проверяется по криптографической подписи Telegram.

7.5. Хостинг. База данных и файлы хранятся на сервере хостинг-провайдера в Республике Казахстан. Сайт работает по HTTPS; сертификат выдаёт Let's Encrypt.

7.6. Оплата. Если вы покупаете поездку или подписку, платёж обрабатывает платёжный сервис: Telegram (оплата звёздами в боте), Robokassa или ЮKassa (банковские карты и СБП), Apple (покупки в приложении для iPhone через App Store). Данные карты вводятся на странице платёжного сервиса — Сервис их не получает и не хранит. Сервис хранит только номер платежа, сумму, дату и что куплено — для баланса и учёта доходов самозанятого.

7.7. Ограничения ИИ. Ответы формирует модель, они могут содержать ошибки. Сервис помечает непроверенные факты, но решения о поездке — ваши. Сервис не является турагентом и не бронирует услуги.

8. Кто видит ваши данные

• Вы — свои поездки, планы и переписку, в боте, на сайте и в приложении.
• Оператор — через закрытую админку: список пользователей, их поездки, запросы и ответы, журнал действий и расходы. Доступ к админке есть только у Оператора, он защищён входом через Telegram.
• Те, кому вы отправили ссылку на маршрут. Для готового плана Сервис сам создаёт ссылку «только просмотр» с длинным случайным адресом; поисковики такие страницы не индексируют. По ссылке видно название, маршрут и дни поездки — без броней, файлов, переписки и вашего имени. Пока вы сами не отправили ссылку, её знаете только вы. Отключить ссылку можно на странице поездки («Отключить ссылку»): после этого она перестаёт открываться, а новая сама не создаётся, пока вы её не включите.
• Поставщики услуг из раздела 7 — в объёме, нужном для их работы.
• Государственные органы — только по законному требованию и в установленном законом объёме.

Кроме этого, другие пользователи Сервиса ваших данных не видят. Мы не продаём и не сдаём данные в аренду.

9. Трансграничная передача

Данные хранятся в Республике Казахстан и передаются в США (Anthropic, а при сбое — OpenAI) и, если недоступны обе, в Китай (Moonshot AI) для обработки ИИ-моделью; Telegram обрабатывает переписку в своей инфраструктуре. США и Китай не входят в перечни государств, которые российское и казахстанское законодательство признаёт обеспечивающими адекватную защиту персональных данных. Передача выполняется на основании вашего согласия и только в объёме, необходимом для работы Сервиса.

10. Где и сколько хранятся данные

11. Удаление данных

11.1. Поездка — кнопка «Удалить поездку» на её странице на сайте или в приложении. Удаляются анкета, план, переписка и PDF.

11.2. Аккаунт — «Удалить аккаунт» в профиле или команда /delete_me в боте. Удаляются все поездки, переписка, имя, ник, настройки и согласие. Суммы расходов и отметки в журнале остаются без какой-либо привязки к вам (обезличиваются).

11.3. Удаление выполняется сразу. Из резервных копий данные исчезают при их плановой перезаписи (в течение 14 дней).

11.4. Удалить данные можно и по запросу Оператору: pilotravelbot@gmail.com.

11.5. Данные, уже переданные Anthropic, OpenAI или Moonshot AI, удаляются по их условиям; Сервис больше их не передаёт.

12. Ваши права

• Знать, какие данные о вас обрабатываются, зачем и кем, и получить их копию — кнопка «Скачать мои данные» в профиле выдаёт всё, что хранится о вас, в формате JSON.
• Уточнить данные — изменить анкету можно, создав или поправив поездку; имя и ник обновляются из Telegram.
• Удалить данные и отозвать согласие — раздел 11.
• Возразить против обработки и ограничить её — запросом Оператору.
• Обжаловать действия Оператора в уполномоченном органе по защите прав субъектов персональных данных или в суде.

Мы отвечаем на запросы в срок не более 10 рабочих дней с момента получения. Срок может быть продлён не более чем на 5 рабочих дней с объяснением причины. Для ответа нам может понадобиться убедиться, что запрос пришёл от владельца аккаунта (например, попросить написать из того же Telegram).

13. Cookies и похожие технологии

Главная cookie сайта — tn_session: случайный токен сессии, нужный для входа. Она недоступна скриптам страницы (HttpOnly), передаётся только по HTTPS (Secure) и не уходит на сторонние сайты (SameSite=Lax). Срок — 90 дней с последнего визита (пока вы пользуетесь сервисом, сессия продлевается) или до выхода. Если вы выбрали язык внизу страницы, сайт запоминает его в cookie lang. Если вы написали фразу о поездке до входа, она хранится в cookie pilo_phrase до 3 часов — чтобы после входа сразу продолжить; если открыли ссылку с промокодом — код хранится в cookie promo до 7 дней. Ещё сайт хранит в вашем браузере (localStorage и кэш) страницы поездок для офлайна, отметки в списках до отправки на сервер и закрытые подсказки; сохранённые поездки стираются при выходе из аккаунта.

Кнопка «Войти через Telegram» загружается с сайта telegram.org; Telegram может использовать собственные cookies по своей политике. Аналитические cookie ставит только Яндекс Метрика (раздел 4); рекламных cookie нет.

14. Как мы защищаем данные

• Шифрование соединения (HTTPS) на сайте, защищённый протокол Telegram в боте.
• админка — только Оператору.
• В базе хранятся не токены входа, а их хэши; ссылки входа одноразовые и живут 10 минут. В профиле есть кнопка «Выйти на всех устройствах» — если телефон потерян или вы входили с чужого компьютера.
• Защита форм от подделки запросов (CSRF), политика безопасности содержимого (CSP), запрет встраивания сайта в чужие страницы.
• Изоляция данных: ИИ-модель видит только поездку того, кто пишет, и не имеет доступа к базе и данным других людей.
• Фильтрация ответов модели и защита от попыток заставить ИИ нарушить правила.
• Ограничение попыток входа на сервер и частоты запросов к сайту, обновления безопасности ОС, ежедневные резервные копии базы.

Ни одна система не защищена абсолютно. Пожалуйста, не отправляйте Сервису данные, которые ему не нужны (раздел 4).

15. Инциденты

Если произойдёт утечка или неправомерный доступ к данным, Оператор примет меры для её устранения, уведомит затронутых пользователей и, где это требуется законом, уполномоченный орган в установленные сроки.

16. Дети

Сервис предназначен для лиц старше 18 лет. Если вы планируете поездку с детьми, указывайте о них только то, что нужно для плана (например, возраст для выбора мест), без имён и документов. Если вы узнали, что ребёнок пользуется Сервисом без согласия родителей, сообщите Оператору — мы удалим данные.

17. Пользователям из Российской Федерации

17.1. К обработке данных граждан РФ применяется Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» в той мере, в какой он распространяется на Оператора и Сервис.

17.2. Согласие на обработку оформляется отдельно от этой политики и любых других документов — отдельной страницей с отдельной отметкой (ч. 1 ст. 9 152-ФЗ). До получения согласия Сервис не сохраняет поездки и не отправляет запросы ИИ-модели.

17.3. Трансграничная передача. Данные хранятся на сервере в Республике Казахстан и передаются в США (Anthropic PBC, при сбое — OpenAI, L.L.C.) и в Китайскую Народную Республику (Moonshot AI — если недоступны обе). США и Китай не включены в перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных. Передача осуществляется с вашего письменного (электронного) согласия (ст. 12 152-ФЗ).

17.4. Место хранения. Обращаем внимание: база данных Сервиса находится не на территории Российской Федерации. Если для вас важно, чтобы данные хранились в России, не используйте Сервис или удалите аккаунт.

17.5. Ваши права по ст. 14–17 152-ФЗ: получить сведения об обработке, потребовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно получены или не нужны для заявленной цели; отозвать согласие; обжаловать действия Оператора в Роскомнадзоре или в суде.

17.6. Сроки. На запрос о сведениях Оператор отвечает в течение 10 рабочих дней (может продлить ещё на 5 рабочих дней с мотивированным уведомлением). При отзыве согласия обработка прекращается, а данные уничтожаются в срок, не превышающий 30 дней, если иное не предусмотрено законом; в Сервисе удаление по кнопке происходит сразу.

17.7. Категории данных. Сервис не запрашивает специальные категории данных (о здоровье и др.) и биометрию. Если вы сами указали такие сведения в анкете или сообщении, они обрабатываются только для учёта в плане поездки, на основании вашего согласия, и удаляются вместе с поездкой.

17.8. Обращения принимаются по адресу: pilotravelbot@gmail.com. В обращении укажите, как к вам обращаться, ваш Telegram ID (его показывает команда /id в боте) или почту, с которой вы входите через Apple или Google, и суть запроса.

18. Пользователям из Республики Казахстан

18.1. К обработке данных граждан Республики Казахстан применяется Закон РК от 21.05.2013 № 94-V «О персональных данных и их защите».

18.2. Персональные данные хранятся в базе данных, расположенной на территории Республики Казахстан.

18.3. Сбор и обработка осуществляются с вашего согласия; трансграничная передача (в США — Anthropic и OpenAI, в Китай — Moonshot AI) — также на основании согласия, в объёме, необходимом для работы Сервиса.

18.4. Вы вправе знать о наличии у Оператора ваших данных и получать их, требовать изменения, дополнения, блокирования и уничтожения, отозвать согласие, обжаловать действия Оператора в уполномоченном органе или в суде.

19. Пользователям из других стран

Если к вам применяется законодательство о защите данных вашей страны (например, Общий регламент ЕС о защите данных — GDPR), вы пользуетесь правами, которые оно предоставляет: на доступ, исправление, удаление, ограничение обработки, переносимость данных (выгрузка в профиле), возражение и отзыв согласия, а также на жалобу в надзорный орган. Основания и цели обработки — разделы 5 и 6.

20. Изменения политики

Мы можем обновлять политику — например, при появлении новых функций или поставщиков. Новая редакция публикуется на этой странице с датой. О существенных изменениях (новые получатели данных, новые цели) мы сообщим в боте заранее, а если изменение требует нового согласия — попросим его.

21. Контакты

Оператор: Мальцев Алексей Владимирович.
Запросы о данных: pilotravelbot@gmail.com.
Бот: @Pilotravelbot. Ваш Telegram ID — команда /id.