Политика конфиденциальности

Framely — конструктор статических сайтов и лендингов: дашборд для создания и редактирования сайтов, хостинг опубликованных сайтов, приём заявок с форм и связанные функции («Сервис»). Сервис работает из Европейского союза; им управляет сервис Framely («Framely», «мы»).

В этой Политике «Пользователь» — лицо с аккаунтом Framely, «Владелец сайта» — Пользователь, создавший сайт в Сервисе, «Посетитель» — лицо, открывающее сайт, опубликованный в Сервисе, «Заявка» — данные, которые Посетитель отправил через форму на сайте Владельца сайта.

Порядок использования Сервиса определяется Пользовательским соглашением: https://framely.site/ru/terms-and-conditions. Термины «персональные данные», «контролёр», «обработчик» и «обработка» используются в значении, установленном GDPR.

Все обращения, в том числе по вопросам персональных данных, принимаются через форму https://app.framely.site/ru/report.

Framely — контролёр данных Пользователей (аккаунт, вход, настройки, переписка), лиц, направивших жалобу на сайт, и технических данных посетителей дашборда и сайта Framely.

В отношении Заявок и иных данных Посетителей, которые собираются на сайте Владельца сайта, контролёром является Владелец сайта: он решает, какие поля есть в форме, зачем ему эти данные и что он с ними делает. Framely выступает обработчиком: обрабатывает такие данные только по указаниям Владельца сайта и только для того, чтобы оказывать ему Сервис, — принять Заявку, сохранить её, показать в разделе «Заявки», выгрузить в CSV и отправить уведомления, которые настроил Владелец сайта. Условия обработки, которых требует статья 28 GDPR, входят в Пользовательское соглашение.

Владелец сайта отвечает за наличие правового основания, за информирование Посетителей через собственную политику конфиденциальности (ссылку на неё можно указать в настройках формы), за получение согласия, когда оно нужно, и за ответы на обращения Посетителей. Посетитель, который хочет получить, исправить или удалить данные из Заявки, должен обратиться к владельцу соответствующего сайта. Если такое обращение поступит к нам, мы передадим его Владельцу сайта и поможем ему ответить.

Пользователи: • имя и адрес электронной почты; • пароль — хранится только в виде хеша; • подтверждена ли почта, язык интерфейса, роль и статус блокировки аккаунта; • при входе через Google: идентификатор аккаунта Google, имя, почта, адрес фото профиля и токены доступа, которые Google выдаёт при входе; • данные сессии: IP-адрес, сведения о браузере (user agent), время создания и окончания сессии; • контент, который вы размещаете в Сервисе: сайты, страницы, статьи блога, тексты, загруженные изображения, настройки доменов, адреса почты для уведомлений о заявках, ID чата и токен бота Telegram (токен хранится в зашифрованном виде); • описание бизнеса, которое вы вводите для генерации сайта с помощью ИИ.

Посетители сайтов Владельцев сайтов (мы — обработчик): • данные, введённые в форму; поля выбирает Владелец сайта (обычно имя, телефон, почта и комментарий; для заказов из каталога — ещё товар, размер и цвет); • текст согласия, показанный рядом с формой, и время отправки формы; • IP-адрес, user agent и адрес страницы, с которой отправлена форма (referrer).

Лица, направившие жалобу через форму /report: • адрес сайта, причина и описание жалобы; • почта, если она указана; • IP-адрес.

Все, кто посещает дашборд, сайт Framely или опубликованный сайт: • IP-адрес и технические данные запроса — чтобы отдавать страницы, защищаться от злоупотреблений и ограничивать частоту запросов; • данные, которые собирает Google reCAPTCHA на страницах регистрации и сброса пароля (раздел 5).

Мы не используем веб-аналитику и рекламные трекеры. Мы не запрашиваем специальные категории персональных данных. Владельцам сайтов запрещено собирать через формы пароли, данные банковских карт и иные учётные данные.

• Регистрация, вход и управление аккаунтом, в том числе вход через Google: исполнение договора с вами (статья 6(1)(b) GDPR). • Служебные письма (подтверждение почты, сброс пароля, подтверждение смены почты, уведомление о смене пароля, уведомления о новых заявках): исполнение договора (статья 6(1)(b)). • Создание, хранение, публикация и хостинг сайтов и статей блога, загрузка изображений, подключение своих доменов: исполнение договора (статья 6(1)(b)). • Генерация сайта с помощью ИИ по введённому вами описанию, по вашему запросу: исполнение договора (статья 6(1)(b)). • Приём и хранение Заявок и уведомление о них Владельца сайта по почте или в Telegram: по указаниям Владельца сайта в роли обработчика; за правовое основание этой обработки отвечает Владелец сайта. • Защита Сервиса от спама, ботов и злоупотреблений (reCAPTCHA, ограничение частоты запросов, блокировка одноразовых адресов почты, проверка ссылок на опубликованных сайтах через Google Safe Browsing, проверка форм на признаки фишинга): наш законный интерес, а также интерес других Пользователей и Посетителей в безопасной работе Сервиса (статья 6(1)(f)). • Рассмотрение жалоб, модерация и блокировка сайтов и аккаунтов, нарушающих правила: наш законный интерес (статья 6(1)(f)) и, где применимо, исполнение обязанностей по закону (статья 6(1)(c)). • Ответы на ваши обращения и реализация ваших прав: исполнение договора и требований GDPR (статья 6(1)(b) и (c)). • Установление, осуществление и защита правовых требований: наш законный интерес (статья 6(1)(f)).

Если обработка основана на законном интересе, вы можете возразить против неё (раздел 9). Если обработка основана на согласии, вы можете отозвать его в любой момент; это не влияет на обработку, проведённую до отзыва.

Мы не отправляем маркетинговые письма и не принимаем решений, основанных исключительно на автоматизированной обработке, которые влекут юридические или аналогично значимые последствия. Автоматические проверки при публикации могут остановить публикацию или отметить сайт для проверки; решение о блокировке принимает человек.

Мы не продаём персональные данные. Мы передаём их только следующим получателям и только в объёме, нужном для целей выше: • Google (Google LLC, США, и Google Ireland Limited): вход через Google, если вы его выбрали; reCAPTCHA v3 на страницах регистрации и сброса пароля — получает данные браузера и ваш IP-адрес (загружается через www.recaptcha.net); Google Safe Browsing — получает адреса ссылок на публикуемых страницах. Политика конфиденциальности Google: https://policies.google.com/privacy. • Resend (США): доставка служебных писем и уведомлений о заявках, включая адрес получателя и текст письма. На платном тарифе письмо о заявке содержит все её поля; на бесплатном — только сообщение о том, что пришла новая заявка. • DeepSeek (Китайская Народная Республика): генерация сайта с помощью ИИ. Передаётся только введённый вами текст описания. Пожалуйста, не указывайте в нём персональные данные. • Telegram: только на платном тарифе и только если Владелец сайта подключил собственного бота Telegram; содержимое каждой Заявки отправляется в указанный им чат. Этот канал выбирает Владелец сайта. • Cloudflare (Cloudflare, Inc., США): дашборд app.framely.site работает через сеть Cloudflare, поэтому запросы к дашборду, включая IP-адреса и передаваемые данные, проходят через неё. Опубликованные сайты и отправка форм через Cloudflare не проходят. • Наш хостинг-провайдер, у которого мы арендуем серверы с базой данных, файловым хранилищем и опубликованными сайтами. • Профессиональные консультанты и государственные органы — когда этого требует закон или это нужно для установления, осуществления или защиты правовых требований.

Администраторы Сервиса могут просматривать аккаунты и сайты и входить в аккаунт от имени Пользователя — только для поддержки по запросу Пользователя, рассмотрения жалоб и модерации.

Часть получателей находится за пределами Европейской экономической зоны (ЕЭЗ), в частности в США (Google, Resend, Cloudflare) и Китае (DeepSeek); Telegram может обрабатывать данные в разных странах.

Мы передаём персональные данные за пределы ЕЭЗ только в соответствии с главой V GDPR: • в страны, в отношении которых Европейская комиссия приняла решение об адекватности, в том числе компаниям США, сертифицированным по EU-US Data Privacy Framework; • в остальных случаях — на основе Стандартных договорных условий (SCC), утверждённых Европейской комиссией, где они применимы, вместе с дополнительными мерами, когда они нужны; • в отдельных случаях — когда передача необходима для исполнения договора с вами или по вашему запросу (статья 49(1)(b) GDPR), например когда вы просите сгенерировать сайт с помощью ИИ или Владелец сайта выбирает уведомления в Telegram.

Для Китая решения об адекватности нет. Для DeepSeek мы ограничиваем передачу текстом описания, который вы вводите сами, и просим не указывать в нём персональные данные. Сведения о гарантиях для конкретной передачи можно запросить через форму обращений.

• Данные аккаунта: пока существует аккаунт. После удаления аккаунта его данные стираются в течение 30 дней, если закон не требует хранить их дольше. • Сессии: до 30 дней с последнего продления. Выход из аккаунта завершает сессию; сброс пароля или блокировка аккаунта завершают все сессии, смена пароля — сессии на других устройствах. • Ссылки для подтверждения почты и сброса пароля: 24 часа и 1 час соответственно. • Счётчики ограничения частоты запросов, которые могут содержать IP-адрес или почту: от 1 минуты до 24 часов. • Заявки: пока Владелец сайта не удалит их в разделе «Заявки» или пока не удалён сайт или аккаунт Владельца сайта. Сервис не удаляет заявки автоматически; срок их хранения определяет Владелец сайта как контролёр. • Сайты, страницы, статьи блога и загруженные изображения: пока Пользователь их не удалит. Копии опубликованных версий и загруженных файлов могут недолго оставаться в файловом хранилище после удаления, пока не будут из него убраны. • Жалобы: сколько нужно для их рассмотрения и защиты от повторных нарушений. • Журналы сервера: ограниченный срок, нужный для работы и безопасности Сервиса.

Мы принимаем надлежащие технические и организационные меры по статье 32 GDPR, в том числе: • шифрованные соединения (HTTPS/TLS) для дашборда и опубликованных сайтов; • хранение паролей только в виде хешей, а токенов ботов Telegram — в зашифрованном виде; • подтверждение почты, завершение всех сессий при сбросе пароля и уведомление о смене пароля; • ограничение частоты запросов, защита от ботов и проверка загружаемых файлов по содержимому; • база данных и файловое хранилище недоступны из интернета; наружу открыт только веб-сервер; • разграничение доступа: права администратора есть только у назначенных людей.

Код, который Пользователь добавляет в блок Custom HTML, никогда не выполняется внутри дашборда и выводится только на опубликованном сайте с собственным доменом.

При утечке персональных данных мы уведомим компетентный надзорный орган и затронутых лиц, когда этого требует GDPR, и без неоправданной задержки сообщим затронутым Владельцам сайтов.

По GDPR вы имеете право: • получить доступ к своим персональным данным и их копию; • потребовать исправить неточные данные и дополнить неполные; • потребовать удалить свои данные; • ограничить обработку; • на переносимость данных: получить предоставленные вами данные в структурированном, общепринятом, машиночитаемом формате или передать их другому контролёру; • возразить против обработки, основанной на нашем законном интересе; • в любой момент отозвать согласие, если обработка основана на согласии; • подать жалобу в надзорный орган по защите данных, в частности в государстве — члене ЕС, где вы постоянно проживаете, работаете или где произошло предполагаемое нарушение.

Имя, почту и пароль можно изменить самостоятельно в настройках аккаунта (/settings), а Владельцы сайтов могут удалять сайты и заявки в дашборде. Чтобы удалить аккаунт или воспользоваться другими правами, направьте запрос через https://app.framely.site/ru/report, указав почту, привязанную к аккаунту. Мы можем попросить подтвердить запрос с этого адреса. Мы отвечаем в течение одного месяца; для сложных или многочисленных запросов срок может быть продлён ещё на два месяца — в этом случае мы объясним причину.

Посетителям сайтов, созданных в Сервисе, по вопросам их Заявок следует обращаться к владельцу сайта (раздел 2).

По правилам ePrivacy мы сохраняем и считываем информацию на вашем устройстве без согласия только тогда, когда это строго необходимо для услуги, которую вы запросили. Дашборд (app.framely.site) использует только такие строго необходимые cookie: • cookie сессии нашей системы аутентификации — чтобы вы оставались в аккаунте. Сессия действует до 30 дней и продлевается, пока вы пользуетесь Сервисом; • NEXT_LOCALE — запоминает язык интерфейса (en или ru), хранится 1 год.

Опубликованные сайты на бесплатном тарифе показывают панель «Сайт сделан на Framely». Если вы её скроете, браузер запомнит это в sessionStorage (ключ framely:badge-hidden) до закрытия вкладки. Cookie при этом не ставятся, и ничего не отправляется на наши серверы.

Страницы регистрации и сброса пароля загружают Google reCAPTCHA v3, чтобы защитить эти формы от ботов. Для этого Google может ставить собственные cookie и собирать сведения о браузере и действиях на странице.

Мы не используем аналитические и рекламные cookie. Владелец сайта может добавить на свой сайт сторонние сервисы — например, видео YouTube, карты или собственный HTML-код. Видео YouTube (youtube-nocookie) и карты загружаются только после клика по заглушке. Владелец сайта отвечает за добавленный им сторонний код и за согласие, которое для него требуется.

Сервис не предназначен для лиц младше 16 лет, и мы сознательно не собираем их данные. Если вы считаете, что в Сервисе зарегистрировался ребёнок младше 16 лет, сообщите нам через https://app.framely.site/ru/report, и мы удалим аккаунт.

Мы можем обновлять Политику, например при добавлении функций или субобработчиков. Новая редакция публикуется на этой странице с датой. О существенных изменениях мы заранее сообщаем Пользователям по почте или в дашборде.

Сервис Framely, https://framely.site.

Обращения по любым вопросам, в том числе о персональных данных и реализации ваших прав: https://app.framely.site/ru/report.