Что мы храним — и чего никогда не делаем с этим

Что мы собираем

• Аккаунт и доступ: email, пароль (обрабатывается по TLS при регистрации/входе, но хранится только как Argon2-хэш), Discord ID/ник, статус и срок Private-доступа.
• Ваш дневник (облачный режим): торговые счета, сделки, бэктесты, скриншоты, заметки и теги.
• Запросы к ИИ (только при использовании): ваш вопрос, до 12 последних сообщений диалога и сводная статистика за выбранный период — например количество сделок, прибыль/убыток, винрейт, просадка и результаты по сетапам, торговым сессиям и инструментам. Чтобы находить закономерности в ваших же формулировках, могут передаваться и некоторые ваши недавние сделки с заметками — их дата, символ, направление, результат, теги и написанная вами заметка. Идентификаторы аккаунта и пользователя ИИ не передаются — ни email, ни IP, ни id пользователя, ни платёжные данные. При этом текст, который вы пишете сами — вопрос и ваши заметки, — может сам содержать персональные данные; что в него включать, решаете вы. Для вопросов о проп-фирмах вместо статистики передаются нужные данные из каталога проп-фирм. Сервер не сохраняет переписку с ассистентом в БД дневника; текущая вкладка держит до 30 сообщений в session storage, пока вы не очистите историю или не завершите браузерную сессию.
• Метаданные Private-доступа: идентификаторы пользователя/тенанта, сроки доступа и lease, односторонний SHA-256-идентификатор устройства. Исходный Windows MachineGuid мы не получаем.
• Технические: IP и user-agent при регистрации/входе, cookies сессии и CSRF, логи ошибок. Содержимого сделок в логах ошибок нет.

Зачем мы это обрабатываем (цели и основание)

По Закону Республики Казахстан № 94-V «О персональных данных и их защите» Demetra осуществляет сбор и обработку персональных данных на основании согласия пользователя, кроме случаев, когда законодательство прямо допускает обработку без согласия. Заключение и исполнение договора — это цель и контекст обработки, а не замена согласию. Для пользователей, к которым применяется GDPR, соответствующие основания GDPR указаны в скобках.

• Работа сервиса — аккаунты, вход, дневник, аналитика (GDPR: исполнение договора).
• Безопасность и защита от злоупотреблений — IP/user-agent, лимиты, мониторинг ошибок (GDPR: наш законный интерес).
• Контроль доступа — проверка Private-доступа, устройства и Discord-роли (GDPR: исполнение договора / ваше согласие).
• ИИ-ассистент — обработка вопроса и контекста, которые вы решаете отправить при его вызове (ваш отдельный выбор им пользоваться; о трансграничной передаче — ниже).
• Транзакционные письма — коды подтверждения и сброс пароля (GDPR: исполнение договора).

Как защищены облачные данные — и честный предел

В облачном режиме ваш дневник защищён несколькими слоями:

• TLS (HTTPS) на каждом соединении.
• Авторизация — Argon2-хэш пароля + подписанные JWT-сессии.
• Rate-limiting и защита от злоупотреблений.
• Строгий контроль доступа и внутренние политики.
• Шифрование диска у хостинг-провайдера.

Честный предел: облачный режим — это не zero-knowledge. Дневник хранится в виде, который сервис может прочитать, чтобы работали аналитика, ИИ-ассистент и шеринг. Значит, оператор с доступом к серверу/БД технически способен прочитать ваши данные. Мы этого не делаем — нас связывают политики и раздел «чего мы никогда не делаем» ниже — но не будем делать вид, что это криптографически невозможно.

Demetra Private / Local Vault уменьшает объём данных, попадающих к нам: дневник остаётся на вашей машине и не загружается в Demetra Cloud. Базы дневника зашифрованы при хранении с помощью SQLCipher. Случайный 256-битный ключ базы, сохранённые учётные данные и подписанный lease защищены Windows DPAPI для текущего пользователя Windows. Локальный бэкап сохраняет SQLCipher-шифрование и содержит DPAPI-защищённый конверт ключа; облачного бэкапа и переноса ключа между учётными записями пока нет.

Cloud vs Private — выберите своё

Private / Local Vault на текущем этапе раннего доступа бесплатен и выдаётся вручную после запроса. Текущий билд использует SQLCipher-шифрование, локальный зашифрованный бэкап и подписанный lease, привязанный к устройству. Облачного бэкапа и синхронизации пока нет.

Кто ещё обрабатывает данные (суб-процессоры)

Несколько инфраструктурных сервисов обрабатывают данные только для работы приложения. Мы не передаём им данные для перепродажи или обучения моделей Demetra; также применяются их собственные условия и политики конфиденциальности.

В локальном режиме казахстанский хостинг обрабатывает метаданные аккаунта и доступа, а Discord — серверную проверку членства. Сам дневник этим провайдерам не отправляется; ИИ и шеринг отключены.

💳 Платёжные данные

Demetra не видит вашу карту. Номер, срок действия и CVV вводятся на странице платёжной системы, не передаются нам и не хранятся на наших серверах. Мы не смогли бы их раскрыть, даже если бы нас об этом попросили.

Что мы храним по каждому платежу: идентификатор платежа у платёжной системы, сумму и валюту, дату, оплаченный период и аккаунт, к которому он относится. При оплате через Tribute мы дополнительно храним идентификатор вашего аккаунта Telegram — это единственное, чем их уведомление обозначает плательщика, и без него платёж невозможно сопоставить с вами.

Эти записи хранятся как учётные документы и после удаления аккаунта — со снятой привязкой к аккаунту там, где это допускает закон. Порядок возврата описан в документе Оплата и возврат.

Сколько храним

Облачные данные аккаунта и дневника хранятся, пока существует аккаунт. Метаданные Private-доступа также хранятся вместе с аккаунтом. При удалении аккаунта серверные данные сразу удаляются из действующих систем. Исключение — платёжные записи: они сохраняются как учётные документы со снятой привязкой к аккаунту (см. Платёжные данные). Уже отправленные в Sentry отчёты об ошибках истекают по собственному сроку (до 90 дней), а суб-процессоры удаляют свои копии по их собственным срокам хранения. Private-дневник на вашем устройстве остаётся под вашим контролем и удаляется локально. Код при регистрации действует 10 минут, код подтверждения email в аккаунте — 30 минут, ссылка для сброса пароля — 60 минут. Отчёты об ошибках в Sentry могут храниться до 90 дней. Серверные логи хранятся до ротации или замены контейнера и отдельно не архивируются. Содержимое сделок намеренно не записывается в логи ошибок.

Чёткая политика данных — экспорт, удаление и окончание доступа

• Экспорт в любой момент. Скачайте всё — счета, сделки, бэктесты, заметки, теги — одним JSON-файлом в Настройки → Данные и приватность. Без заявок и ожидания.
• Удаление в любой момент, безвозвратно. Один клик в настройках сразу удаляет аккаунт и данные дневника из действующих систем — сделки, бэктесты, скриншоты, шеринги. Отменить нельзя. Платёжные записи, обязательные как учётные документы, сохраняются со снятой привязкой к аккаунту — см. Платёжные данные и «Сколько храним».
• Если бесплатный ранний Private-доступ заканчивается: локальный дневник не удаляется. Ведение Private-дневника блокируется до продления доступа, но локальный бэкап/экспорт остаётся доступен. Серверные данные аккаунта управляются обычными средствами экспорта и удаления.
• Никаких заложников. Экспорт и удаление всегда доступны вам.

Локальный / Private-десктоп: дневник живёт на вашей машине, поэтому экспорт и удаление тоже локальны — и даже если доступ истёк, данные на устройстве и экспорт остаются доступны.

Cookies

Строго необходимые cookies — ставятся всегда, согласия не требуют, рекламных пикселей нет:

• Сессия — держит вас в аккаунте.
• CSRF — защищает формы от подделки межсайтовых запросов.
• Язык и короткоживущие cookies процесса регистрации (подтверждение email/Discord).
• Локальное/session storage браузера — настройки интерфейса, значения калькулятора, удобство регистрации и история ИИ-чата текущей вкладки. Для рекламы или межсайтового отслеживания оно не используется.

Cookies аналитики и рекламы — только на публичных страницах (лендинг, справочник проп-фирм, страница шаблона) и только после того, как вы нажали «Принять» в баннере cookies. Тогда Яндекс Метрика и Google Analytics считают посещения и клики на этих страницах, а пиксель Meta измеряет отдачу нашей рекламы в Facebook/Instagram (рекламная cookie); внутри приложения ничего подобного не работает. Если вы их приняли, а потом зарегистрировались или оплатили подписку, наш сервер сообщает Meta о самом факте регистрации или оплаты (с суммой), чтобы засчитать рекламу, которая вас привела, — без email, имени и данных дневника. «Только необходимые» оставляет их выключенными; выбор хранится в вашем браузере и сбрасывается очисткой данных сайта.

Строго необходимые cookies согласия не требуют. Аналитика запрашивается заранее, как здесь и обещано, и никогда не является условием пользования сервисом.

Чего мы никогда не делаем

• Хранить номер вашей карты, срок действия или CVV — они не попадают на наши серверы.
• Мы не продаём ваши данные. Ни брокерам, ни проп-фирмам, никому.
• Мы не обучаем ИИ на ваших сделках. Ваш дневник — не датасет.
• Мы не публикуем ваш дневник. Он виден другим, только если вы сами создали ссылку-шеринг.

Локальный режим — и как это проверить

Локальный режим на текущем этапе — бесплатный режим десктоп-приложения, который выдаётся по запросу. Дневник живёт на вашем компьютере: сделки, бэктесты, скриншоты и заметки хранятся в локальной SQLite-базе и не отправляются в Demetra Cloud; фоновой загрузки или синхронизации дневника нет.

При активации и обычно при запуске desktop обращается к entitlement-endpoint Demetra. Он передаёт данные авторизации и односторонний идентификатор устройства; сервер проверяет выданный доступ и Discord-роль, уже связанную с аккаунтом, и возвращает подписанный lease, привязанный к устройству. Сеть также может использоваться для обновления токена и проверки версии приложения. Эти запросы не содержат сделок, заметок, скриншотов или бэктестов.

Действующий lease позволяет работать офлайн до 7 дней или до окончания выданного срока раннего доступа — что наступит раньше. Затем Private-дневник блокируется до подключения и продления доступа. Локальные данные сохраняются, а бэкап/экспорт остаётся доступен.

Не нужно верить на слово — вы можете проверить сами:

• Включите режим «в самолёте» / отключите интернет — журнал продолжает работать, сделки пишутся локально (в пределах 7 дней).
• Посмотрите трафик сетевым монитором — Wireshark, Fiddler или лог соединений/файрвола вашей ОС — и убедитесь, что entitlement/update-трафик не содержит данных дневника.

Текущая граница шифрования: базы дневника зашифрованы SQLCipher; учётные данные, кэш lease и ключ базы защищены Windows DPAPI. Во время работы Private ключ находится в памяти процесса. Локальный зашифрованный бэкап восстанавливается в той же учётной записи Windows. Облачный бэкап, синхронизация и отдельный ключ переноса между устройствами ещё не выпущены.

Применимое право и трансграничная передача

Оператор — индивидуальный предприниматель, зарегистрированный в Республике Казахстан; обработка регулируется Законом Республики Казахстан № 94-V «О персональных данных и их защите», а также GDPR — в части пользователей из ЕС/ЕЭЗ.

Правовое основание. Demetra осуществляет сбор и обработку персональных данных на основании согласия пользователя, кроме случаев, когда законодательство Республики Казахстан прямо допускает обработку без согласия. Целями обработки являются заключение и исполнение договора, функционирование сервиса, обеспечение безопасности и выполнение выбранных пользователем функций. Для пользователей из ЕС/ЕЭЗ применяются основания GDPR, перечисленные выше.

Где обрабатываются данные. Первичная база данных и само приложение размещены на сервере, расположенном в Республике Казахстан (Алматы), в соответствии с требованием о локализации персональных данных. При использовании ИИ-ассистента вопрос и сводная статистика, описанные выше, обрабатываются за рубежом нашим ИИ-провайдером (Anthropic, США); идентификаторы аккаунта и пользователя при этом не передаются, однако текст и заметки, которые вы отправляете сами, могут содержать персональные данные. Ассистент ничего не отправляет, пока вы не дадите отдельное согласие на такую трансграничную передачу — приложение запрашивает его перед первым вопросом, а дата и версия этого согласия сохраняются в аккаунте. Отказ не влияет на остальной сервис; копия, обрабатываемая за рубежом, не меняет ваших прав, описанных ниже.

Уполномоченный орган. Вы вправе подать жалобу в уполномоченный орган по защите персональных данных Республики Казахстан (по состоянию на сентябрь 2026 года — Комитет по информационной безопасности Министерства искусственного интеллекта и цифрового развития Республики Казахстан), а если вы в ЕС/ЕЭЗ — в местный орган по защите данных.

Ваши права и контроль

• Доступ и экспорт — скачать все свои данные одним JSON в любой момент (Настройки → Данные и приватность).
• Удаление — один клик безвозвратно удаляет аккаунт и данные дневника; единственное исключение — платёжные записи как учётные документы, описанное выше.
• Исправление — редактируйте профиль и дневник прямо в приложении.
• Возражение / жалоба — свяжитесь через Контакты; вы также вправе пожаловаться в местный орган по защите данных.

Private local-only бесплатен на этапе раннего доступа и выдаётся вручную после запроса. Доступ зависит от одобрения, Discord и поддерживаемой desktop-версии. Любая будущая цена потребует отдельного уведомления и обновлённых условий.