Политика обработки персональных данных

Версия: 1.0 · Дата вступления в силу: 2026-08-28.

Порядок внесения изменений описан в разделе 13.

1. Кто обрабатывает ваши данные

Оператором персональных данных является Мельников Александр Алексеевич, налоговый режим — налог на профессиональный доход (самозанятый), ИНН 501905575900 — далее «мы», «Оператор».

Продукт называется Diffbell и состоит из Telegram-бота, консольной утилиты и веб-интерфейса. Он проверяет внешний периметр сайта и сообщает, что на нём изменилось.

Как с нами связаться по любому вопросу об обработке данных:

• электронная почта: hello@diffbell.ru
• Telegram: @diffbell_bot

Оператор — физическое лицо, работающее самостоятельно, поэтому организацией обработки персональных данных занимается он же: Мельников Александр Алексеевич, контакты те же.

Почтовый адрес не публикуется: у оператора-физического лица им является адрес места жительства, и публикация такого адреса на открытой странице несоразмерна цели. Для официальной переписки адрес предоставляется по запросу, направленному любым из указанных выше способов.

Это единственный канал для запросов о данных. Мы отвечаем на каждый — сроки в разделе 10.

2. Что этот документ описывает

Документ описывает, какие сведения о вас мы получаем, зачем, на каком основании, сколько храним, кому передаём и как вы можете это изменить или прекратить.

Он действует для всех, кто пользуется продуктом: через Telegram-бота, через веб-интерфейс, через консольную утилиту.

Он не описывает обработку данных в самом мессенджере Telegram — там действует политика Telegram, и на неё мы не влияем.

Документ написан так, чтобы его можно было прочитать целиком. Если что-то в нём непонятно — напишите нам, это дефект документа, а не ваш.

3. Главное в трёх абзацах

Мы почти ничего о вас не знаем и не хотим знать. У продукта нет регистрации, паролей, номера телефона и адреса. Когда вы пишете боту, Telegram сообщает нам ваш числовой идентификатор — по нему мы отличаем вас от другого человека и помним ваши проверки. Больше ничего для работы продукта не нужно.

Основные данные, которые мы храним, — это не данные о вас, а данные о сайтах, которые вы проверяли. Список доменов, дата проверки, оценка и найденные технические недостатки. Эти сведения мы считаем конфиденциальными: они полезны тому, кто чинит сайт, и полезны тому, кто на него нападает.

Мы не публикуем результаты проверок и не показываем их посторонним. Результат проверки видит только тот, кто её запросил. Мы не строим публичных рейтингов сайтов и не продаём данные.

4. Какие данные мы обрабатываем

4.1. Данные, которые мы получаем от вас и о вас

Про адрес электронной почты. Сам продукт почту не спрашивает и не хранит: боту она не нужна. Почта появляется только в одном месте — если вы сами отправили форму заявки на сайте и указали её как способ связи. Тогда она используется ровно для того, зачем вы её оставили: прислать вам разбор и ответить. В рекламные рассылки она не попадает: рассылка требует отдельного согласия, которое даётся отдельным действием и которого мы у отправителей формы не спрашиваем.

Чего мы не собираем нигде и никогда: номер телефона, фамилию, дату рождения, платёжные реквизиты, геолокацию, содержимое ваших переписок вне бота, сведения из специальных категорий (здоровье, убеждения, биометрия). Ни одно из этих полей в продукте не существует.

Про мини-приложение в Telegram. При открытии интерфейса внутри Telegram мессенджер передаёт нам подписанный набор данных о вас, который может включать имя, фамилию, имя пользователя, язык и ссылку на фотографию профиля. Мы используем этот набор только чтобы проверить подпись и убедиться, что запрос действительно пришёл из Telegram, после чего он уничтожается вместе с обработкой запроса. Ничего из него мы не сохраняем.

Про консольную утилиту. Если вы пользуетесь Diffbell как программой на своём компьютере, ваши данные остаются на вашем компьютере. Утилита создаёт локальный идентификатор в вашем домашнем каталоге и локальную базу; нам они не передаются. При этом сама проверка сайта обращается к внешним сервисам — см. раздел 7.

4.2. Данные о проверяемых сайтах

Это отдельная категория, и она заслуживает прямого разговора.

Что попадает внутрь отчёта. IP-адрес сайта, определённые технологии и версии библиотек, параметры сертификата и шифрования, заголовки ответа, наличие защитного экрана, публичные записи DNS и журналов прозрачности сертификатов, а в активном режиме — открытые порты и обнаруженные доступные пути. Отчёт также фиксирует контактные данные, которые сайт публикует сам: адрес из файла политики раскрытия уязвимостей security.txt и адреса из записей DMARC. Если такой адрес принадлежит конкретному человеку, он попадает к нам вместе с отчётом — мы его не ищем целенаправленно, но и не можем гарантировать, что его там не будет.

Обнаруженные утечки. Если проверка находит открытый доступ к файлу с паролями или ключами, мы не сохраняем сам пароль. Сохраняются: название параметра, место находки, длина значения, несколько первых и последних символов и криптографический отпечаток — ровно столько, чтобы вы могли опознать нужный ключ и отозвать его.

Являются ли эти сведения персональными данными. Прямого ответа «всегда да» или «всегда нет» здесь не существует, и мы не будем его изображать:

• Сам по себе домен — не персональные данные.
• Связка «конкретный пользователь + список доменов, которые он проверял» — данные о вас: она описывает вашу профессиональную деятельность и круг ваших клиентов. Мы относимся к ней как к персональным данным независимо от того, чьи это домены.
• Сведения о недостатках чужого сайта — данные об информационной системе, а не о человеке. Но если сайт принадлежит физическому лицу или индивидуальному предпринимателю, эти сведения относятся к определяемому человеку, и мы обращаемся с ними как с персональными данными: не публикуем, не передаём третьим лицам и удаляем в те же сроки.

Мы не получаем эти данные от владельца сайта. Их вводите вы. Поэтому обязанности перед владельцем проверяемого сайта — раздел 6.

4.3. Сетевые адреса

Веб-интерфейс определяет IP-адрес обращающегося, чтобы ограничить частоту запросов. Адрес хранится только в оперативной памяти в пределах скользящего окна в одну минуту, в базу не записывается и в файлы не выгружается.

Технические журналы сервера ведутся с ограничением объёма и перезаписываются по кругу; постоянного архива журналов мы не держим.

Счётчиков посещаемости и сторонних систем аналитики на наших страницах нет.

5. Зачем мы это делаем и на каком основании

Отдельно: отказ от рекламных сообщений ничего вам не стоит. Он не отключает уведомления о ваших доменах и не ограничивает работу продукта. Это два разных согласия, и второе не обусловлено первым.

6. Владельцу сайта, который у нас проверили

Этот раздел — для человека, который сам к нам не приходил, но чей сайт кто-то проверил.

Что произошло. Наш пользователь ввёл адрес вашего сайта. Пассивная проверка сделала то же, что делает браузер обычного посетителя: запросила страницы, прочитала заголовки ответа и сертификат, обратилась к публичным реестрам DNS и журналам прозрачности сертификатов. Ни одного запроса, которого не отправляет обычный посетитель, при этом не делается.

Что мы сохранили. Адрес сайта, дату и результат проверки. Если в отчёт попал контактный адрес, который ваш сайт публикует сам, — он тоже сохранён внутри отчёта.

Активные проверки — только с подтверждением владения. Проверка портов, перебор путей, тесты на открытые перенаправления и разбор программных интерфейсов запускаются исключительно после того, как заказчик проверки технически подтвердил, что домен его: записью в DNS или файлом, размещённым на самом сайте. Разрешения подрядчика для этого недостаточно — опубликовать запись или файл может только тот, у кого есть доступ к домену или к сайту.

Мы никогда не публикуем результат проверки вашего сайта. Ни в открытом виде, ни в рейтинге, ни в списке. Публичного каталога проверенных сайтов у нас нет и не будет.

Что вы можете потребовать. Написать нам по контактам из раздела 1 и потребовать:

• сообщить, есть ли у нас записи о вашем домене и какие;
• удалить их;
• внести ваш домен в список исключений — тогда любые проверки этого домена через наш продукт будут отклоняться.

Мы выполним это в сроки из раздела 10. Подтверждать право на домен для запроса на удаление и исключение мы попросим тем же техническим способом (запись в DNS или файл на сайте) — иначе удалением чужих записей мог бы управлять кто угодно.

7. Кому мы передаём данные

Мы не продаём данные, не передаём их рекламным сетям и брокерам данных.

Передача происходит только в объёме, без которого продукт не работает:

Три последних сервиса в таблице получают только адрес проверяемого сайта, без каких-либо сведений о вас: они не знают, кто заказал проверку.

Передача за границу. Часть перечисленных получателей находится за пределами Российской Федерации. Мы уведомляем уполномоченный орган о трансграничной передаче в порядке, установленном законом, и передаём минимально необходимый объём.

По требованию государственных органов мы передаём данные только при законно оформленном запросе и только в затребованном объёме.

8. Сколько мы храним данные

Принцип: храним ровно столько, сколько нужно для цели, и удаляем, когда цель отпала.

Про резервные копии. Мы делаем ежедневную резервную копию базы: копии за последние 14 дней и еженедельные копии за последние 90 дней. Данные, удалённые из рабочей базы, могут сохраняться в резервных копиях до истечения этих сроков — восстановить оттуда что-либо мы можем только целиком, при аварии. Если восстановление происходит, ранее выполненные удаления применяются к восстановленной базе повторно.

По истечении срока данные уничтожаются без возможности восстановления.

9. Как мы защищаем данные

• Доступ к серверу — только по криптографическому ключу, без входа по паролю.
• База данных находится в каталоге, недоступном извне, резервные копии хранятся с правами доступа только для владельца.
• Обмен с вами идёт по зашифрованному каналу.
• Пароли и ключи, найденные при проверке вашего сайта, сохраняются только в замаскированном виде и в виде отпечатка — восстановить из них исходное значение нельзя.
• Продукт устроен так, чтобы отказывать при сомнении, а не разрешать: отсутствие настроенного ключа доступа закрывает интерфейс, а не открывает его.
• Круг лиц с доступом к данным ограничен и минимален.

Мы не обещаем абсолютной безопасности — её не бывает. Если произойдёт утечка, мы уведомим уполномоченный орган в установленные законом сроки (о самом факте — в течение 24 часов, о результатах внутреннего расследования — в течение 72 часов) и сообщим вам, если инцидент затронул ваши данные.

10. Ваши права и как ими воспользоваться

Вы вправе:

1. Узнать, что у нас есть — получить подтверждение обработки, перечень данных, цели, сроки, сведения о получателях и об источнике данных.
2. Исправить неточное — если данные неполны, устарели или неточны.
3. Потребовать удаления — если данные обрабатываются незаконно или больше не нужны для цели.
4. Отозвать согласие — целиком или только в части рекламных сообщений.
5. Возразить против рекламных сообщений — в любой момент и без объяснения причин.
6. Обжаловать наши действия — в уполномоченный орган по защите прав субъектов персональных данных или в суд.

Как обратиться. Напишите на почту или в Telegram по контактам из раздела 1. Достаточно указать, что вы хотите, и обратиться с того же аккаунта Telegram, о котором идёт речь, — этого нам хватит, чтобы вас узнать. Если пишете с почты, укажите ваш идентификатор Telegram или имя пользователя.

Сроки. Мы отвечаем в течение 10 рабочих дней с даты обращения. Срок может быть продлён не более чем на 5 рабочих дней с уведомлением вас о причине.

Что происходит при удалении учётной записи. Мы удаляем: профиль, всю историю проверок, список наблюдаемых доменов, подтверждения владения, журнал уведомлений и счётчики. Сохраняются только записи о финансовых операциях — в объёме, которого требует законодательство об учёте, и без связи с вашей дальнейшей активностью. Наблюдение за вашими доменами прекращается, уведомления перестают приходить. Восстановить удалённое нельзя.

Отзыв согласия на рекламные сообщения прекращает рассылку и не влияет ни на что другое.

11. Чего мы не делаем

Список коротких обещаний, каждое из которых проверяемо:

• Не публикуем результаты проверок. Публичного рейтинга или каталога проверенных сайтов не существует.
• Не показываем результат проверки никому, кроме того, кто её запросил.
• Не продаём и не передаём данные рекламным сетям и брокерам данных.
• Не размещаем на своих страницах счётчики сторонних систем аналитики.
• Не принимаем автоматизированных решений, порождающих для вас юридические последствия, и не занимаемся профилированием в этом смысле.
• Не собираем данные детей: продукт предназначен для профессионального использования и не адресован лицам младше 18 лет.
• Не запускаем активные проверки чужого сайта без технического подтверждения владения доменом.

Про обезличенную отраслевую статистику. Мы можем публиковать сводные показатели по рынку — например, «доля сайтов без такой-то настройки». В такой публикации никогда не появляется ни одного доменного имени, ни одного результата конкретной проверки и ни одного признака, по которому участника можно опознать; в сводку не попадают результаты активных проверок. Если по срезу возможно опознать участника, срез не публикуется.

Про публичный знак о пройденной проверке. Если мы введём возможность разместить у себя на сайте отметку о пройденной проверке, она будет доступна только владельцу подтверждённого домена и только по его отдельному явному согласию на публикацию, оформленному отдельно от настоящей политики. Отозвать такое согласие можно в любой момент.

12. Если вы передаёте нам данные о чужих сайтах

Если вы проверяете сайты своих клиентов, вы передаёте нам сведения, относящиеся к чужой инфраструктуре, а иногда — к другим людям.

Мы просим вас исходить из того, что:

• вы вправе передавать нам эти сведения и проверять эти сайты;
• ваши клиенты знают, что их сайты проверяются внешним инструментом;
• для активных проверок вы получили подтверждение владения доменом — технически, а не на словах.

Мы, со своей стороны, не публикуем эти сведения и не используем их ни для чего, кроме предоставления вам результата.

Для организаций, которые ведут парк клиентских сайтов, мы предоставляем отдельный документ — согласие на проведение проверок, который можно подписать с клиентом. Запросите его по контактам из раздела 1.

13. Изменения политики

Мы можем изменять этот документ. Актуальная редакция всегда доступна по постоянному адресу https://diffbell.ru/privacy/.

О существенных изменениях — новые цели обработки, новые категории данных, новые получатели — мы сообщим отдельным сообщением в боте до того, как изменение вступит в силу, и не позднее чем за 10 дней. Мелкие правки (уточнение формулировок, контактов) публикуются с указанием новой даты редакции.

Прошлые редакции сохраняются и доступны по запросу.

14. Куда жаловаться

Если вы считаете, что мы нарушили ваши права, напишите нам первыми — это быстрее. Если наш ответ вас не устроил, вы вправе обратиться в уполномоченный орган по защите прав субъектов персональных данных или в суд.

Редакция 1.0 от 2026-08-28. Действующая. Оператор: Мельников Александр Алексеевич, ИНН 501905575900. Постоянный адрес документа: https://diffbell.ru/privacy/