Политика конфиденциальности

Настоящая политика распространяется на сайт OTPRun, веб-панель управления, HTTP API и MCP-сервер (вместе — сервис). OTPRun позволяет компаниям отправлять своим пользователям сообщения и одноразовые коды подтверждения в WhatsApp и Telegram.

Здесь участвуют две группы лиц. Клиенты — это компании и разработчики, которые создают аккаунт. Получатели — это люди, которым приходят сообщения, отправленные клиентами через OTPRun. Политика охватывает данные и тех, и других.

Оператор сервиса: OTPRun (далее — «мы»). В отношении данных аккаунтов клиентов мы определяем цели и способы обработки и выступаем контролёром данных.

В отношении номеров телефонов получателей и содержания сообщений клиент сам решает, что и кому отправлять. Контролёром этих данных является клиент, а мы обрабатываем их по его поручению исключительно для доставки сообщений и отображения их истории. Если вы получили сообщение и у вас есть вопрос о нём, сначала обратитесь в компанию, которая его отправила. Мы, со своей стороны, поможем, чем сможем.

Мы обрабатываем только данные, необходимые для работы сервиса:

• Данные аккаунта: ваше имя, адрес электронной почты и пароль. Пароль хранится только в виде хеша и никогда — в читаемом виде.
• Настройки кабинетов и проектов, включая участников команды и их роли.
• API-ключи. Мы храним только хеш каждого ключа; полностью ключ показывается один раз — при создании.
• Номера телефонов получателей, текст сообщений и статусы доставки, например «отправлено», «доставлено», «прочитано» или «ошибка».
• Входящие сообщения, поступающие на номера WhatsApp, которые вы привязали к OTPRun.
• Контакты, которые вы сохраняете или импортируете: имена, номера телефонов, прозвища и заметки, в том числе имена, импортированные из адресной книги привязанного номера WhatsApp.
• Записи о верификациях: получатель, канал, статус и время. Коды подтверждения никогда не хранятся в открытом виде, только в виде хеша.
• Ключи сеансов связанных устройств WhatsApp, благодаря которым ваши номера остаются подключёнными; где это применимо, они хранятся в зашифрованном виде.
• Секреты каналов, например токены Telegram-ботов, зашифрованные с помощью AES-256-GCM.
• Технические журналы: IP-адрес, путь запроса без строки параметров и заголовок User-Agent.

Мы используем данные только для того, чтобы:

• предоставлять сервис и обеспечивать работу вашего аккаунта;
• доставлять ваши сообщения и коды подтверждения и показывать их статус и историю;
• обеспечивать безопасность сервиса и предотвращать мошенничество, спам и другие злоупотребления;
• выставлять счета по платным планам;
• отвечать на ваши обращения в поддержку.

Мы не продаём персональные данные, не показываем рекламу и не используем содержание сообщений ни для каких целей, кроме их доставки и отображения вам.

Мы обрабатываем данные для исполнения договора с вами, выполнения требований закона, а также в нашем законном интересе — чтобы сервис оставался безопасным и защищённым от злоупотреблений.

Мы передаём данные только тем сторонам, без которых невозможно предоставлять сервис:

• WhatsApp (Meta) и Telegram, которые доставляют сообщения получателям. Сообщения WhatsApp отправляются с ваших собственных привязанных номеров, сообщения Telegram — через бота @OTPRun_bot. К обрабатываемым ими данным применяются их собственные политики конфиденциальности.
• Наш хостинг-провайдер — облако ps.kz в Казахстане, где работают наши серверы и базы данных.
• Платёжный провайдер, когда включена оплата, — для приёма платежей по платным планам.
• Сторонние приложения, которые вы подключаете сами, как описано в следующем разделе.

Мы также можем раскрывать данные, когда этого требует закон, например во исполнение законного решения суда или требования государственного органа.

Вы можете подключать к OTPRun сторонние приложения через OAuth, например чтобы пользоваться MCP-сервером. Авторизованное вами приложение получает доступ только к тому проекту, который вы выберете на экране согласия.

Список подключённых приложений доступен в панели управления, и любое из них можно отключить в любой момент. После этого приложение больше не сможет получить доступ к вашим данным. То, как подключённое приложение использует уже полученные данные, регулируется его собственными условиями и политикой конфиденциальности.

Наши серверы находятся в Казахстане. Если вы пользуетесь сервисом из другой страны, ваши данные передаются в Казахстан и обрабатываются там. При отправке сообщения WhatsApp или Telegram могут обрабатывать его в других странах на своих собственных условиях.

• Соединения с сервисом шифруются по протоколу HTTPS.
• Пароли, API-ключи и коды подтверждения хранятся только в виде хешей.
• Секреты каналов шифруются с помощью AES-256-GCM, а ключи сеансов WhatsApp, где это применимо, хранятся в зашифрованном виде.
• Коды подтверждения никогда не попадают в наши журналы, а строки параметров запросов в журналах не записываются.

Ни одна система не защищена полностью. Если нам станет известно об утечке, затрагивающей ваши данные, мы уведомим вас без неоправданной задержки.

Мы храним данные только столько, сколько нужно для работы сервиса и отображения вашей истории:

• данные аккаунта — пока существует ваш аккаунт;
• содержание сообщений и записи о доставке — до 90 дней;
• записи о верификациях — до 30 дней;
• технические журналы — до 30 дней.

По истечении этих сроков данные удаляются. Вы можете в любой момент удалить проекты, привязанные номера или весь аккаунт. При удалении аккаунта мы удаляем его данные, за исключением записей, которые мы обязаны хранить по закону, например платёжных документов.

В зависимости от того, где вы проживаете, вы вправе:

• получить доступ к вашим персональным данным, которые у нас хранятся;
• исправить неточные данные;
• потребовать удаления ваших данных;
• получить ваши данные в переносимом формате;
• возразить против отдельных видов обработки или потребовать её ограничения.

Многие из этих действий доступны непосредственно в панели управления. По остальным вопросам напишите нам с адреса электронной почты вашего аккаунта, и мы ответим в течение 30 дней. Если вы получатель, вы также можете обратиться в компанию, которая отправила вам сообщение. Кроме того, вы вправе подать жалобу в местный орган по защите персональных данных.

Мы используем только те файлы cookie, без которых сервис не может работать: чтобы вы оставались в системе и чтобы запоминать ваш язык и настройки отображения. Мы не используем рекламные cookie и cookie для межсайтового отслеживания.

OTPRun — сервис для бизнеса, он не предназначен для детей. Мы сознательно не открываем аккаунты лицам младше 16 лет.

Мы можем обновлять эту политику при изменении сервиса или законодательства. Дата вступления в силу вверху страницы указывает на актуальную редакцию. Если изменение существенно затрагивает порядок обработки ваших данных, мы сообщим вам об этом по электронной почте или в панели управления до его вступления в силу.

С вопросами об этой политике и запросами, касающимися ваших данных, пишите на support@otprun.com.