Конфиденциальность и безопасность

Шифрованная передача

Связь с Evylla идёт по HTTPS/TLS.

Пароли IMAP приложения и ящика, а также токены OAuth хранятся в шифре AES-256-GCM. Пароль аккаунта Evylla хранится только как необратимый хеш.

Доступ по принципу наименьших прав

Evylla должна обращаться только к данным, нужным для конкретной функции.

Внутренние права доступа выдаются по принципу наименьших полномочий.

Защита сохранённых данных

Персональные и иные подлежащие защите данные защищаются техническими и организационными мерами. В зависимости от вида данных к ним относятся, в частности:

• TLS encryption for every connection to the application
• AES-256-GCM for stored credentials of connected accounts
• Password hashing according to the current state of the art
• CSRF protection, session hardening and server-side permission checks on every request
• Separate roles and permissions for regular accounts and administration
• Regular backups with limited retention
• Logging of security-relevant events with short retention

Конкретные меры зависят от характера, объёма и риска обработки.

Evylla разрабатывается так, чтобы защита данных учитывалась уже при проектировании функции.

Это означает, например:

Privacy by design
New features are designed from the outset to work with as little personal data as possible.

Privacy by default
The data-minimising setting is the default. Additional processing only happens when you actively trigger it.

Purpose limitation
Data collected for your purchase history is not reused for other purposes.

Deletability
Every kind of data that is created must also be removable – individually or completely.

Transparency
You should not have to guess what happens. That is why this page exists.

This follows the principle of “data protection by design and by default” in Art. 25 GDPR.

Это зависит от функций, которыми вы пользуетесь.

Учётная запись

Для аккаунта Evylla могут обрабатываться, например, такие данные:

• First and last name
• Username and email address
• Country and – if provided – phone number
• Password hash as well as session and security attributes
• Plan, payment status and billing identifiers
• Timestamps such as registration, last sign-in or verification

Подключения почты

Если вы подключаете почтовый ящик, Evylla может обрабатывать разрешённые вами сообщения, чтобы распознать сведения о покупках.

К ним могут относиться, например:

• IMAP server, port and username of the connection
• Encrypted app password used for retrieval
• Sender, subject, date and identifiers of the recognised emails
• Recognised order data: merchant, order number, items, amounts, currency, status
• Time and result of the last synchronisation

Evylla стремится обрабатывать только сведения, нужные для функции, и не больше.

Платёжные и финансовые службы

Если позже вы подключите платёжную или финансовую службу, в зависимости от провайдера и выданных прав могут обрабатываться, например, такие сведения:

• Customer and subscription identifiers of the payment provider
• Status of payment and term
• References to invoices and receipts

Конкретный объём зависит от провайдера и подключения.

🤖 ИИ и автоматическая обработка

Evylla может применять автоматические и при необходимости ИИ-методы, чтобы распознавать и структурировать сведения в ваших данных.

Например, подтверждение покупки может распознаваться автоматически:

« Заказ у продавца X – 14.09.2026 – 79,99 € – товар Y »

Автоматическая обработка нужна, чтобы подготовить сведения для запрошенных вами функций Evylla.

Автоматический анализ не означает, что в отношении вас принимается юридически значимое автоматизированное решение.

Если Evylla введёт функции с автоматизированными решениями или профилированием по ст. 22 GDPR, необходимые сведения будут предоставлены отдельно.

🧠 Ваши данные не используются для других целей

Предоставленные вами данные в принципе обрабатываются для целей, ради которых вы пользуетесь Evylla.

Данные о покупках и аккаунте не должны использоваться для любых других целей.

Использование для дополнительных целей, например отдельных видов анализа, маркетинга или обучения, происходит только при наличии правового основания и соблюдении требований защиты данных.

🚫 Персональные данные не продаются

Evylla не продаёт персональные данные пользователей.

Передача может быть нужна, если для работы Evylla привлекаются исполнители или этого требует закон.

Такие исполнители получают только доступ, нужный для их задачи.

Evylla может поддерживать разные внешние службы.

К ним могут относиться, например:

• Email accounts via IMAP (active)
• Sign-in via OAuth without an app password (in preparation)
• PayPal receipts (in preparation)
• Bank and card transactions (in preparation)

При подключении службы вам показывают, какие разрешения нужны.

Отключение останавливает новые загрузки; сохранённые покупки остаются. Удаление почтового аккаунта стирает подключение, письма и связанные покупки.

Можно удалить только импортированные данные подключения; само подключение при этом остаётся.

🗑️ Удаление ваших данных

В аккаунте в разделе «Конфиденциальность и безопасность» вы точно выбираете, что удаляется.

При удалении законные сроки хранения или необходимые резервные копии могут привести к тому, что часть данных не исчезнет сразу из всех систем.

Такие данные удаляются или обезличиваются по окончании сроков хранения или резервного копирования, если иное правовое основание не требует дальнейшего хранения.

Конкретные сроки удаления:

• Account data: until the account is deleted
• Order and mail data: until you delete it or remove the account
• Server logs: as a rule up to 14 days
• Administrative SQL backups: a maximum of 20 versions, older ones are pruned automatically – with regular backups typically up to about 90 days
• Invoices and payment records: as long as statutory retention obligations apply

📦 Экспорт данных

Вы в принципе вправе получить свои персональные данные в структурированном, общепринятом и машиночитаемом формате, если выполнены условия переносимости.

Для этого Evylla может предоставить функцию экспорта.

Право на переносимость данных предусмотрено ст. 20 GDPR.

В зависимости от законных условий у вас есть, в частности, следующие права:

Доступ

Вы можете запросить, какие персональные данные мы о вас обрабатываем.

Исправление

Вы можете потребовать исправить неточные персональные данные.

Удаление

Вы можете, если выполнены законные условия, потребовать удаления своих персональных данных.

Ограничение обработки

При определённых условиях вы можете потребовать ограничить обработку ваших данных.

Возражение

Вы можете, если выполнены законные условия, возразить против обработки.

Переносимость

Вы можете, если выполнены законные условия, получить предоставленные вами персональные данные в структурированном, общепринятом и машиночитаемом формате.

Отзыв согласия

Если обработка основана на вашем согласии, вы можете отозвать его в любой момент на будущее. Законность обработки до отзыва сохраняется.

⚖️ На каком основании Evylla обрабатывает данные

Конкретное правовое основание зависит от операции обработки.

В зависимости от функции могут применяться, в частности, такие основания:

ст. 6 абз. 1 п. a GDPR
Согласие.

ст. 6 абз. 1 п. b GDPR
Обработка, необходимая для исполнения договора или преддоговорных мер.

ст. 6 абз. 1 п. c GDPR
Обработка для исполнения правовой обязанности.

ст. 6 абз. 1 п. f GDPR
Обработка на основании законного интереса, если выполнены законные условия.

Какое основание относится к какой операции, объяснено в полной политике конфиденциальности.

🏢 Ответственный

Ответственным за обработку персональных данных является:

URBAN
Friedensplatz 13
SAN-39164 Seehausen Börde
Deutschland

Представлено: Udo Urban

Эл. почта

…

🛡️ Уполномоченный по защите данных

Уполномоченный по защите данных сейчас не назначен, поскольку законные условия для этого не выполнены.

🔧 Обработчики и технические исполнители

Для работы Evylla могут привлекаться технические исполнители.

К ним могут относиться, в частности:

• Hosting and infrastructure providers for servers, database and backups
• Stripe as payment service provider for passes and subscriptions
• Mail delivery service for system emails such as confirmations and password links

Если эти провайдеры обрабатывают персональные данные по нашему поручению, это происходит на основании необходимых соглашений о защите данных.

Актуальный обзор исполнителей и обработки есть в полной политике конфиденциальности.

🌍 Где обрабатываются ваши данные

Обработка может происходить в Европейском союзе или в Европейской экономической зоне.

Если исполнители обрабатывают данные за пределами ЕС или ЕЭЗ, передача происходит только с соблюдением требований защиты данных.

Текущие места хранения и обработки:
Приложение, база данных и резервные копии работают в Германии или в Европейском союзе.

Передача в третьи страны:
Stripe (США) может обрабатывать платёжные данные за пределами ЕС и опирается на надлежащие гарантии, в частности стандартные договорные положения. Подробности: https://stripe.com/privacy

💳 Платёжные данные

Платежи за платные тарифы Evylla могут проводиться через внешних платёжных провайдеров.

Обработка платёжных данных тогда следует условиям и правилам конфиденциальности этого провайдера.

Evylla не хранит полные номера карт, если это не требуется функцией и технический платёж идёт через специализированного провайдера.

Используемые платёжные провайдеры:
Stripe Payments Europe, Ltd. и связанные компании группы; подробности: stripe.com/privacy.

🔒 Технические и организационные меры

Evylla принимает надлежащие технические и организационные меры, чтобы защитить персональные данные от утраты, уничтожения, изменения и несанкционированного доступа.

К ним могут относиться, в частности:

• Encryption in transit (TLS) and for sensitive stored values (AES-256-GCM)
• Role and permission model with server-side checks on every access
• Protection against CSRF, brute-force attempts and session hijacking
• Separation of development and production environments
• Regular backups with a limited number of versions
• Updates of the components and dependencies in use
• Logging of security-relevant events with short retention

Меры проверяются и развиваются с учётом уровня техники и риска.

Ст. 32 GDPR требует надлежащих технических и организационных мер с учётом, среди прочего, уровня техники, затрат, характера и объёма обработки и риска для прав и свобод людей.

🚨 Инциденты безопасности

Несмотря на обширные меры безопасности, ни один интернет-сервис не может гарантировать систему совсем без риска.

При нарушении защиты персональных данных Evylla незамедлительно оценивает инцидент и принимает необходимые меры.

Если этого требует закон, надзорные органы и затронутые лица информируются по применимым правилам.