Конфиденциальность

Аккаунт: адрес почты, которым вы входите. Пароля у Котомки нет вовсе — вход по одноразовому коду из письма, через Яндекс ID (в этом случае Яндекс передаёт нам подтверждённый адрес вашей почты) или, в приложении для iPhone, через «Вход с Apple» (Apple передаёт адрес почты и имя, если вы их разрешили; можно выбрать «Скрыть e-mail» — тогда мы получим адрес-пересылку Apple, а не настоящий). Ещё храним сессию входа и строку браузера — из неё экран «Устройства» показывает, откуда вы вошли, чтобы лишний вход можно было завершить.

Дашборд: сферы, проекты, задачи, идеи, ресурсы, привычки, навыки, записи дневника, финансы — чтобы данные были доступны с любого устройства.

Приложение работает на Vercel, база данных — Neon (PostgreSQL). Копия данных также хранится в вашем браузере — благодаря ей Котомка работает быстро и переживает перебои сети.

Только если вы сами подключили Google Календарь в настройках. Котомка запрашивает права https://www.googleapis.com/auth/calendar, openid и email, и получает вот что:

• адрес почты вашего Google-аккаунта — показываем его на экране интеграции, чтобы было видно, какой аккаунт подключён;
• список ваших календарей (названия и идентификаторы) — из него вы выбираете, какие календари привязать к сферам;
• события только тех календарей, которые вы привязали: идентификатор события, название, дата и время начала и конца (или пометка «на весь день»), правило повторения, время создания и последнего изменения, признак удаления и служебная метка Котомки с идентификатором задачи.

Больше ничего. Содержимое календарей, которые вы не привязали, Котомка не читает; описания событий, списки участников и вложения не используются. Почту, контакты, файлы Google Диска, фотографии и другие сервисы Google Котомка не запрашивает вовсе.

Единственное назначение — двусторонняя синхронизация ваших задач с привязанными календарями:

• задача с датой становится событием календаря: Котомка создаёт его, обновляет вслед за задачей (название, время, повтор, отметка «выполнено») и удаляет, когда вы удаляете задачу;
• по вашей команде Котомка заводит в Google Календаре отдельный календарь под сферу и переименовывает его вслед за сферой — трогает только те календари, которые создала сама;
• события, которые вы создали или изменили в привязанных календарях, Котомка читает и предлагает превратить в задачи или перенести правку в задачу.

Данные Google не используются для рекламы, не продаются, не передаются третьим лицам, не используются для профилирования и для обучения AI-моделей. Сотрудники Котомки содержимое ваших календарей не читают. При отключении интеграции ключ доступа отзывается на стороне Google и удаляется у нас, а события и календари в вашем Google-аккаунте остаются нетронутыми.

Использование Котомкой информации, полученной через Google API, соответствует Google API Services User Data Policy, включая требования Limited Use.

• данные передаются только по защищённому соединению (TLS/HTTPS);
• ключи доступа к календарям (OAuth-токены Google, пароль приложения Apple) хранятся в базе зашифрованными алгоритмом AES-256-GCM; ключ шифрования лежит в защищённой переменной окружения и в коде не хранится;
• данные разделены по владельцу: каждый серверный запрос проверяет, что аккаунт обращается к своим данным;
• вход — по одноразовому коду, который живёт 10 минут и гасится после использования; частота попыток входа ограничена;
• сессия хранится на сервере — любой вход можно завершить с любого устройства на экране «Устройства»;
• при отключении интеграции ключи доступа удаляются немедленно, токен Google дополнительно отзывается на его стороне;
• секретная ссылка MCP-коннектора хранится в базе только в виде необратимого хеша и отзывается в один клик;
• содержимое календарей и дашборда не читают люди; в журналы сервера попадают только технические ошибки.

Обе возможности выключены по умолчанию и включаются только вами.

• AI-панель. Вы вводите собственный API-ключ Anthropic или OpenAI. Ключ хранится только в вашем браузере и на наш сервер не попадает. Запросы идут напрямую из браузера в api.anthropic.com или api.openai.com — наш сервер в этой цепочке не участвует и переписки не видит.
• MCP-коннектор. Вы сами подключаете свой AI-клиент к своему дашборду по секретной ссылке и сами выбираете, какие разделы (сферы и задачи, входящие, дневник, привычки, финансы, развитие и навыки) ему доступны и может ли он их менять. Дальше данные передаёт AI-провайдеру ваш клиент — не мы.

В обоих случаях выбранному вами AI-провайдеру может уйти содержимое дашборда, включая задачи, созданные из событий привязанных календарей. Anthropic и OpenAI по условиям своих API не используют переданные через API данные для обучения моделей (Anthropic, OpenAI). Котомка не использует агрегаторы, шлюзы и model hub-сервисы и не запускает собственных (self-hosted) моделей. Никаких данных Google для обучения или улучшения AI-моделей мы не используем и не передаём.

Apple Календарь подключается паролем приложения iCloud и работает по тем же правилам: Котомка видит список ваших календарей и события только привязанных, использует их исключительно для синхронизации задач, пароль приложения хранит зашифрованным и удаляет сразу при отключении интеграции.

Напоминания приходят, только если вы сами включили их на устройстве. Тогда мы храним адрес доставки уведомлений этого устройства (его выдаёт браузер или приложение) и ваши настройки: какие напоминания и во сколько присылать. Адрес привязан к сессии входа и удаляется, когда вы выключаете напоминания, выходите из аккаунта на этом устройстве или удаляете аккаунт.

Уведомление доставляет служба вашего телефона или браузера (Google, Apple, Mozilla, Microsoft). В браузере текст шифруется до отправки — служба доставки видит только зашифрованные данные. В приложениях для iPhone и Android уведомление идёт через Apple Push Notification service и Firebase Cloud Messaging (Google): эти службы получают его заголовок и текст, как у любого системного уведомления. Расписание напоминаний лежит в Upstash Redis: там хранится только идентификатор аккаунта и время следующего напоминания, без содержимого.

• строго необходимые cookie: сессия входа, а также короткоживущая cookie на время подключения Google Календаря — она защищает подключение от подмены запроса и удаляется сразу после;
• Яндекс Метрика (ставит свои cookie и записывает действия на странице) работает только на публичных страницах: главная, эта страница, условия использования. Внутри дашборда и на экране входа она не запускается вовсе — ваши задачи, календари, дневник и финансы ей не показываются;
• Vercel Analytics и Speed Insights работают на всех страницах — это тот же Vercel, на котором приложение размещено. Они не ставят cookie и не видят содержимого страниц: считают обезличенные обращения и скорость загрузки.
• собственная статистика Котомки — она никуда наружу не передаётся и живёт в нашей базе. Мы храним в памяти браузера (не cookie) случайный идентификатор, чтобы отличать визиты друг от друга, и записываем: время начала и продолжительность визита, страницу входа, откуда пришли, строку браузера и устройства, а также типы действий — «создана задача», «отмечена привычка», «подключён календарь». Содержимое не пишется никогда: ни названий задач и проектов, ни текстов дневника, ни сумм. После входа записи связываются с аккаунтом. Подробные записи хранятся 90 дней, дальше остаются только обезличенные счётчики по дням; при удалении аккаунта связь с ним стирается.

Рекламных cookie нет нигде.

Отключить Google Календарь можно в любой момент в настройках Котомки — ключ доступа сразу отзывается и удаляется. Дополнительно доступ приложения можно отозвать на стороне Google: myaccount.google.com/permissions.

Удалить аккаунт и все данные можно в самой Котомке: профиль → «Удалить аккаунт». Удаление сразу и навсегда, подробности — на странице «Удаление аккаунта». Если вы входили через Apple, при удалении мы отзываем и доступ Котомки к вашему Apple ID. Нет доступа к аккаунту — напишите на hello@kotomka.app с адреса, которым входили.