Конфиденциальность
Какие данные мы собираем
Если вы подписываетесь на новости, мы записываем адрес электронной почты, выбранный язык, дату и время запроса, IP-адрес, дату и время подтверждения, источник запроса (наш сайт), параметры кампании (UTM), если они есть в запросе, дату и время последнего отправленного письма и количество отправленных писем с подтверждением. IP-адрес хранится только до подтверждения подписки и удаляется при подтверждении.
Если вы просите сообщить о появлении наборов, мы записываем адрес электронной почты, выбранный язык, дату и время запроса, IP-адрес, а также названия и количество выбранных наборов.
В обоих случаях, если вы согласились на анализ путей посещения, мы также записываем связь с идентификатором вашего браузера. Эти формы предназначены для взрослых. Мы не запрашиваем имена, возраст и другие персональные данные детей.
Тестовая оплата (когда включена)
При тестовой оплате вы переходите в Stripe и вводите тестовые платёжные, контактные данные и данные доставки. Настоящего списания не происходит. Используйте только вымышленные данные и тестовые карты Stripe. Данные карты обрабатывает Stripe; наш сервер их не получает и не хранит.
Мы сохраняем состав тестового заказа, рассчитанные сервером суммы, ссылочный идентификатор сеанса Stripe и статус оплаты. После проверенного успешного тестового платежа мы также сохраняем указанные электронную почту, имя получателя и адрес доставки в закрытой базе тестовых заказов. Эти записи хранятся до удаления и не связываются с необязательными данными о путях посещения сайта.
Для продолжения тестовой оплаты мы используем sessionStorage: в нём хранятся непрозрачный токен проверки статуса заказа, идентификатор запроса, язык, время создания и копия отправленной корзины. Маркер версии корзины в localStorage не позволяет подтверждённой оплате удалить более поздние изменения корзины. Запись об оплате хранится в течение сеанса вкладки до подтверждения или проверенного конечного результата; само по себе прошедшее время не означает неудачу оплаты. Наш код оплаты не сохраняет данные карты в браузере.
Заказы и оплата (когда включены)
При настоящей оплате вы переходите на страницу Checkout, размещённую у Stripe. Stripe собирает электронную почту и платёжные данные; NIF указывается по желанию. Для доставки на дом нужны полный адрес в Португалии и платёжные реквизиты. Для самовывоза и PDF почтовый адрес не требуется. Данные карты обрабатывает Stripe; наш сервер их не получает и не хранит.
Наш сервер проверяет товары, количество, цены и доставку. Мы сохраняем номер и состав заказа, суммы и валюту, идентификаторы сеанса Checkout и платежа Stripe, статус оплаты, а после проверенного уведомления Stripe — указанные контактные, платёжные данные, необязательный NIF и сведения о доставке. Эти данные позволяют подтвердить оплату, подготовить доставку, отвечать на обращения и вести учёт заказа. Автоматическое выставление счёта или иного налогового документа не реализовано.
Для заказов персональных карточек мы сохраняем ответы на вопросы и необязательные комментарии вместе с данными заказа, чтобы подготовить набор.
После подтверждения оплаты мы отправляем вам письмо о заказе и уведомляем нашу команду, передавая сведения для подготовки доставки или самовывоза. Эти служебные письма не подписывают вас на рассылку. Мы храним статус подготовки и результат отправки писем; почтовый провайдер обрабатывает адресатов и содержимое сообщений. Квитанцию об оплате Stripe отправляет отдельно.
В локальном хранилище этого браузера мы сохраняем непрозрачный токен заказа, идентификатор запроса, язык, время создания и копию отправленной корзины. Сервер хранит только односторонний отпечаток токена. Токен позволяет браузеру повторно проверять статус и скачивать оплаченный PDF; он никогда не помещается в URL. Его можно удалить в настройках браузера, но доступ на этом устройстве будет утрачен.
PDF становится доступен только после подтверждения оплаты сервером. Защищённое скачивание можно повторять, пока токен оплаченного заказа проходит проверку; файл не размещается в публичном хранилище сайта. Для оплаченных заказов фиксированный срок удаления пока не установлен. Неудачные или просроченные заказы могут удаляться из рабочей базы через 30 дней при ограниченной очистке во время последующих записей. Зашифрованные резервные копии могут сохранять данные ещё до семи дней после удаления из рабочей базы.
Как мы используем данные
Мы используем отправленные сведения для регистрации вашего запроса и интереса к новостям или наборам Tagarela. IP-адрес помогает ограничивать повторные запросы и защищать сервис от злоупотреблений.
Для защиты форм подписки и уведомления о наличии от автоматизированных злоупотреблений мы используем Cloudflare Turnstile; Cloudflare выступает обработчиком данных по нашему поручению. Turnstile загружается только тогда, когда вы начинаете вводить электронную почту в одной из этих форм. В этот момент Cloudflare получает технические сигналы браузера, в том числе IP-адрес, чтобы оценить, поступил ли запрос от человека. Перед принятием запроса наш сервер проверяет результат у Cloudflare.
Подписка на новости требует двойного подтверждения: мы отправляем письмо со ссылкой, действующей 24 часа. На каждый адрес отправляется только одно письмо с подтверждением; если вы не подтвердите подписку, повторного письма не будет. Чтобы избежать повторных отправок, мы бессрочно храним односторонний отпечаток адреса с ключом (HMAC), а не сам адрес. Чтобы подписаться позже, напишите на hello@tagarela.cards. Неподтверждённая запись удаляется через семь дней после письма с подтверждением.
Когда вы подтверждаете подписку, наша команда получает внутреннее письмо с вашей электронной почтой, языком, источником и датой и временем подтверждения, без IP-адреса. При запросе уведомления о наличии команда получает внутреннее письмо с вашей электронной почтой, выбранными наборами и количеством, языком, датой и временем и IP-адресом.
Данные подписки на новости обрабатываются на основании вашего согласия, которое можно отозвать в любой момент, отписавшись. IP-адрес неподтверждённой подписки хранится на основании нашего законного интереса в предотвращении злоупотреблений только до подтверждения или удаления записи.
Подтверждённая подписка хранится, пока вы не отпишетесь. При отписке мы удаляем электронную почту, IP-адрес, UTM-параметры и связь с браузером, сохраняя лишь техническую запись без этих данных — язык, даты и источник — в течение 30 дней. Запросы уведомления о наличии, включая IP-адрес, хранятся до удаления; отписка от новостей их не удаляет, но можно запросить удаление по адресу privacy@tagarela.cards. Зашифрованные резервные копии хранятся семь дней и могут сохранять эти данные ещё до семи дней после удаления из рабочей базы.
Наш почтовый провайдер Forward Email (forwardemail.net) отправляет письма сайта и принимает сообщения на наши адреса, включая privacy@tagarela.cards. В очереди отправки адресат и содержимое письма хранятся только до отправки или окончательной ошибки; неотправленное письмо становится просроченным через 72 часа. После этого остаётся только техническая запись без адресата и содержимого; она удаляется через 7 дней после отправки или через 30 дней после ошибки.
Отправка форм подписки или уведомления о наличии не является покупкой или оплатой. Когда включена настоящая оплата, заказ считается оплаченным только после проверенного сервером подтверждения Stripe.
Настройки на вашем устройстве
Сайт сохраняет язык и выбранные наборы в локальном хранилище браузера, чтобы помнить их между посещениями. Если включена настоящая оплата, также сохраняются описанные выше непрозрачный токен и технические данные попытки оплаты. Эти данные можно удалить в настройках браузера.
Мы не используем рекламные файлы cookie.
Мы подсчитываем просмотры страниц, переданные JavaScript, по дням UTC и страницам, включая посещения без согласия на необязательную аналитику, и оцениваем количество браузеров за день на нашем сервере. Основное сопоставление использует полную комбинацию нормализованного IP-адреса, наблюдаемого через проверенный прокси, распознанного семейства браузера, известной операционной системы и класса устройства. Разные идентификаторы браузера с одинаковой комбинацией могут относиться к одному профилю; один идентификатор с разными комбинациями относится к разным профилям. При неполных метаданных существующий случайный идентификатор, созданный с согласия и не имеющий фиксированного срока действия, и известные частичные признаки используются для предварительного сопоставления без объединения противоречивых наблюдений. Без полной комбинации или подходящего идентификатора сопоставление недоступно. Пересечение полных и предварительных профилей неизвестно; мы не предполагаем преемственности между ними. Ключи HMAC действуют в пределах дня; прежние измерения остаются отдельными, исторические соответствия не восстанавливаются. Распознанные заявления о поисковом роботе, предпросмотре или автоматизации учитываются в просмотрах, но исключаются из оценок; эти категории не подтверждают, что посетитель — бот или человек, а неизвестная категория не означает бота. Такие оценки не создают дополнительного идентификатора на устройстве и не используют библиотеки цифровых отпечатков или проверки шрифтов, canvas и оборудования. Общие профили могут объединять не связанные друг с другом браузеры, а изменения сети, браузера, системы или устройства — разделять один браузер. Это оценки, а не установленные личности.
Счётчики просмотров JavaScript хранят итоги и псевдонимные ключи дня, а не исходные IP-адреса, User-Agent или идентификаторы браузеров. Отдельно в течение 30 календарных дней UTC мы храним профили активности JavaScript: нормализованный IP-адрес, наблюдаемый через проверенный прокси, известные семейство браузера, систему и класс устройства, даты и время первого и последнего получения данных, а также счётчики по дням и страницам. Это собственное измерение работает и без согласия на необязательную аналитику и не создаёт cookie или дополнительного идентификатора на устройстве. В профилях не хранятся полный User-Agent, исходные идентификаторы браузеров, содержимое форм, полные URL, параметры и адреса источников перехода. Распознанные заявления о поисковом роботе, предпросмотре или автоматизации исключаются из этих профилей. Данные псевдонимные, но не анонимные: IP-адрес является персональными данными. Просматривать профили могут уполномоченные администраторы; получение активности браузера не подтверждает личность человека. Ключи перестают сопоставляться в полночь UTC и удаляются при записи или ежедневной очистке, обычно в течение 48 часов при работающем сервере. Итоги по дням хранятся 400 дней, а почасовые, классификационные и интервальные агрегаты — 35 дней. Графики используют фиксированные интервалы UTC в 1, 6 или 24 часа, включая наблюдаемые промежуточные итоги текущего интервала. Просмотры, похожие на браузерные, заявления ботов и неизвестные агенты учитываются отдельно; эти категории не подтверждают людей или ботов. Совпавшие браузеры учитываются один раз внутри интервала, без сложения почасовых уникальных значений; сумма дневных оценок за период также не является числом уникальных людей. Неизмеренная история остаётся неизвестной: часы и нулевые значения не выдумываются. Зашифрованные резервные копии могут хранить записи ещё до семи дней после удаления из рабочей базы. Мы не передаём эти счётчики внешним сервисам. Необязательная аналитика Google, HTML-запросы и пути посещения с согласия остаются отдельными измерениями и не суммируются.
Мы отдельно наблюдаем запросы HTML-страниц, включая посещения без JavaScript или согласия на необязательную аналитику. Закрытые серверные записи включают время, нормализованный путь страницы, метод и статус ответа, общие категории агента, браузера, устройства и системы, а также нормализованный IP-адрес, если доверие к прокси проверено. Также сохраняются ограниченные категории протокола HTTP и соединения TLS, заявленный основной язык, доступные признаки платформы и мобильного устройства, проверенные коды кампаний с указанием входа по QR, ссылке или неизвестного источника. Мы не храним полный User-Agent, cookie, заголовки авторизации, полные наборы заголовков, полные URL и параметры, адреса источников перехода или модели оборудования. Мы не проверяем шрифты, canvas и оборудование и не собираем TCP-отпечаток.
IP-адрес и общие категории браузера, устройства и системы используются для оценки отдельных сетевых профилей за выбранные 7 или 28 дней. Повторные запросы добавляют дневную активность, не увеличивая число профилей; распознанные заявления ботов учитываются отдельно от оценок посетителей. Язык, протоколы и дополнительные признаки не изменяют ключ сопоставления. Люди в общей сети могут иметь один профиль, а смена сети может разделить один браузер; IP-адрес является персональными данными, и эти оценки не устанавливают личность. Журналы ограничены размером 1 МиБ, ежедневно ротируются, имеют не более четырёх резервных копий и хранятся максимум 30 дней. IP-адреса, профили, активность и наблюдаемые кампании в рабочей базе хранятся 30 дней; дневные итоги запросов и категорий — 400 дней. Зашифрованные резервные копии могут сохранять данные ещё до семи дней после удаления из рабочей базы. Подробности доступны только уполномоченным администраторам. История без IP-адреса или профиля остаётся недоступной; мы не восстанавливаем посетителей из счётчиков. Также мы оцениваем страну и город сети для этого IP-адреса по локальным базам DB-IP, не передавая IP-адрес для геолокационного запроса. Это приблизительные оценки для адреса, а не физическое местоположение человека. Технический кеш хранит производные результаты под ключом HMAC, а не исходным IP-адресом, сроком до 30 дней; периодическое обслуживание удаляет просроченные записи при работающем сервере. Срок действия этого кеша не изменяет срок хранения путей посещения, собранных с согласия.
Для HTML-запросов мы связываем кампании только с явно наблюдаемыми и проверенными входами; последующие посещения без этих параметров не считаются продолжением покупательского сеанса автоматически. Новые ссылки и QR-адреса имеют разные маркеры, но старые QR и ссылки использовали один URL, поэтому их источник остаётся неизвестным. Маркер QR описывает созданный URL, но не подтверждает сканирование камерой. Эти измерения не суммируются с просмотрами JavaScript, путями посещения с согласия или Google.
Если проверенный IP-адрес известен, но данных браузера недостаточно, подробности сохраняются в неклассифицированном сетевом профиле. Такие профили и профили с распознанными заявлениями ботов учитываются отдельно и не увеличивают оценку посетителей. Отсутствующие метаданные остаются неизвестными; протокол или отсутствие признаков не доказывают, что запрос пришёл от человека или бота.
Если оператор включает сетевые запросы ipapi.is, наш сервер в фоновом режиме отправляет только публичный IP-адрес, наблюдаемый через проверенный прокси, чтобы получить владельца и тип сети, а также признаки VPN, прокси, Tor или хостинга. Запрос может охватывать посещения без согласия на необязательную аналитику. Мы не передаём cookie, идентификаторы браузера или сеанса, цифровые отпечатки устройства, URL, данные учётных записей или историю событий. Результаты приблизительные и отражают текущее состояние: они не подтверждают человека, бота, физическое местоположение или сеть на момент прежнего действия.
Эти сведения о сети доступны только уполномоченным администраторам. Мы храним лишь выбранные поля в зашифрованном локальном кеше сроком семь дней; периодическое обслуживание удаляет просроченные записи при работающем сервере. Эти запросы не меняют правила согласия на подробные пути посещения или Google Analytics и не используются для рекламы. Обработка данных провайдером описана в его политике конфиденциальности и соглашении об обработке данных.
Когда вы принимаете, отклоняете или отзываете согласие на необязательную аналитику, мы сохраняем выбор, версию настройки, дату и время. Пользоваться сайтом и выбирать наборы можно без согласия. Отозвать его можно через пункт «Отозвать согласие на аналитику» внизу страницы. Отзыв прекращает дальнейший необязательный сбор и удаляет аналитические идентификаторы этого браузера, но не удаляет автоматически ранее собранные данные. Наши собственные счётчики и профили активности JavaScript продолжают работать отдельно.
Необязательная статистика
Если вы разрешаете статистику, Google Analytics использует cookie и идентификаторы браузера для измерения посещённых страниц, источников перехода, сведений об устройстве, приблизительного региона, взаимодействий с наборами и запросов информации. Эти данные помогают понять, как используется сайт.
Мы не передаём в Google Analytics вашу электронную почту или данные, введённые в формы. Эта статистика не используется для рекламы, Google Signals или персонализации рекламы.
Google Analytics загружается только после вашего согласия на статистические cookie. Согласие разрешает передачу этих данных Google. До согласия или после его отзыва эти данные не отправляются Google. Сайтом можно пользоваться без согласия; серверные счётчики просмотров продолжают работать.
Согласие можно отозвать через пункт «Отозвать согласие на аналитику» внизу страницы. Отзыв прекращает дальнейший сбор Google Analytics в этом браузере и удаляет его аналитические cookie, но не удаляет автоматически ранее собранные данные.
Необязательный анализ путей посещения сайта
Только после нового принятия настроек аналитики версии 2 мы начинаем собирать на нашем сервере пути посещения, связанные случайными идентификаторами. Прежнее согласие на Google Analytics не разрешает этот сбор. Действия до согласия не собираются и не воспроизводятся задним числом.
Мы записываем посещённые страницы, видимые наборы и оценку времени активного просмотра, добавление и удаление товаров в списке интереса, открытие и закрытие списка, попытки отправки форм и их результаты. Мы не записываем содержимое форм, имена, электронную почту, нажатия клавиш, движения указателя или видео экрана. Успешный результат означает лишь принятие запроса API, а не покупку или доставку письма.
Сервер записывает наблюдаемый в запросе IP-адрес при проверенном доверии к прокси, приблизительную страну сети и общие категории браузера, устройства и системы. Также записываются категории заявлений User-Agent без сохранения полного заголовка или подтверждения людей и ботов; отсутствующие данные остаются неизвестными. Страна определяется по локальной базе; при просмотре отчётов мы также получаем приблизительные текущие страну и город сети для этого IP-адреса из локальных баз. Результаты могут кешироваться и не подтверждают физическое местоположение или местоположение в момент действия. Город не меняет коды посетителей или ключи сопоставления; геолокация использует локальные базы DB-IP, и IP-адрес не передаётся Google. Сетевой запрос ipapi.is, если он включён, выполняется отдельно и описан выше. Эти оценки могут быть неточны, например при использовании VPN.
Идентификатор браузера не имеет фиксированного срока действия. Сеанс заканчивается по более раннему из сроков: 24 часа после последнего реального ввода или семь дней с момента создания. Реальный ввод — доверенные действия указателем, клавишами, колесом прокрутки или касанием; их содержимое не сохраняется. Автоматические сигналы, программная прокрутка и чтение без ввода не продлевают срок. Чтение в активной вкладке может учитываться как наблюдаемая длительность. Мы сохраняем исходные идентификаторы, сеансы и события, но группируем наблюдения запросов с одинаковой полной комбинацией проверенного нормализованного IP-адреса, семейства браузера, операционной системы и класса устройства. Разные идентификаторы могут участвовать в одном профиле, а один идентификатор — встречаться в разных профилях; вся история не переписывается под последний профиль. Другой браузер, устройство или очистка хранилища могут создать новый исходный идентификатор, не доказывая, что это другой человек. Код посетителя — справочный идентификатор для поиска, а не средство доступа или подтверждённая личность. Данные псевдонимные, но не анонимные: IP-адрес является персональными данными. Один идентификатор может представлять нескольких людей, а общий IP-адрес не доказывает, что посещения принадлежат одному человеку.
При входе через проверенную кампанию мы записываем кампанию и её маркер QR, ссылки или неизвестного источника. В пределах одного сеанса с согласием сохраняются первое касание, текущая атрибуция и последующие явные касания; прямой визит не меняет сеанс и не переписывает собранную активность. Каждое действие сохраняет свою атрибуцию и постоянную ссылку на кампанию, даже если публичный код меняется. Эти данные хранятся вместе с путём посещения; локальная атрибуция заканчивается вместе с сеансом или при отзыве согласия.
Уполномоченные администраторы могут открыть профиль активности из HTML-записи, если собственная активность JavaScript или запросы Journeys с согласием имеют ту же полную комбинацию проверенного нормализованного IP-адреса, семейства браузера, системы и класса устройства. Собственная активность JavaScript может показывать наблюдаемые страницы и получение сигналов без создания локального идентификатора, посетителя Journeys или сеанса. Подробные действия остаются ограничены путями посещения с согласием; исходные идентификаторы, сеансы и события сохраняются. Сеанс со смешанными профилями показывает только действия выбранного профиля. Такая связь не подтверждает личность. Прежний сигнал JavaScript, доступный только за текущий день, может подтвердить активность с HTML-дескриптором, но не восстановить её даты, количество или страницы. Без положительного наблюдения браузерной активности HTML-запись остаётся наблюдением страницы и не доказывает наличие бота.
Мы используем данные, чтобы понять использование сайта, без рекламы и привязки к учётным записям. Путь посещения связывается с данными форм только в описанном ниже порядке. Просматривать пути могут только уполномоченные администраторы. События, сеансы, IP-адреса, атрибуция кампаний и категории сети и устройства хранятся в рабочей базе путей посещения до удаления, пока без фиксированного срока. Зашифрованные резервные копии хранятся семь дней и могут сохранять эти данные ещё до семи дней после удаления из рабочей базы.
Если вы подписываетесь на новости или просите уведомить о наличии из браузера с действующим согласием, вместе с подпиской или запросом сохраняется связь с идентификатором браузера и кодом посетителя. Она помогает понять, какие посещения привели к подписке или запросу наличия, и связаться с вами по поводу запрошенных наборов. Электронная почта остаётся в записи подписки или запроса, а не в событиях пути посещения. Связь сопоставляет адрес почты с наблюдаемым браузером, но не подтверждает личность. Она обрабатывается на основании согласия на необязательный анализ путей посещения, а для новостей — также согласия на подписку. Только уполномоченные администраторы могут просматривать эти связи и открывать связанный путь. Данные пути хранятся до удаления, пока без фиксированного срока; срок хранения связи соответствует сроку подписки или запроса, описанному выше.
Если вы начинаете заказ при действующем согласии, мы передаём серверу только существующий идентификатор браузера, чтобы связать заказ с этим путём посещения. Состояния начала оплаты и оплаченного заказа берутся из разрешённой записи заказа и проверенного подтверждения Stripe, а не из клика или URL возврата. Мы не копируем электронную почту, имя, адреса, NIF, токен и номер заказа или платёжные данные в события пути посещения. Связь не подтверждает личность и следует описанным выше срокам хранения заказа и пути посещения.
Отзыв согласия внизу страницы останавливает будущий сбор путей посещения и создание новых связей с почтой, удаляет очередь событий и локальные идентификаторы. Повторное согласие создаёт новые идентификаторы. Отзыв не удаляет уже сохранённые связи. Чтобы возразить против связи или запросить удаление сохранённых записей, напишите на privacy@tagarela.cards. Для поиска пути нам могут понадобиться идентификатор браузера и соответствующие даты, а если вы подписывались на новости или просили уведомление — использованный адрес электронной почты.
Ваши права и контакты
По вопросам о данных и для запроса доступа, исправления или удаления пишите на privacy@tagarela.cards. Чтобы перестать получать новости, воспользуйтесь ссылкой отписки в один клик в каждом письме рассылки или напишите на privacy@tagarela.cards.
При соблюдении условий GDPR вы можете воспользоваться правами на доступ, исправление, удаление, ограничение обработки, переносимость и возражение, а также отозвать согласие, если обработка основана на нём. Вы можете подать жалобу в надзорный орган Португалии по защите данных — Comissão Nacional de Proteção de Dados (CNPD).