Политика конфиденциальности

Rivo (me.rivo.day) — сервис-«командный центр предпринимателя»: деньги, план платежей, обязательства, инвестиции, ваулт паролей, календарь, ИИ-ассистент, контакты, документы — в одном инстансе, тремя способами поставки. Юридическое лицо/ИП оператора находится в процессе регистрации; пока действующий контакт по всем вопросам, включая обработку данных, — [email protected]. Как только регистрация завершится, реквизиты появятся в этом разделе.

Rivo — один и тот же продукт, поставляется тремя способами, и они по-разному отражаются на конфиденциальности.

• Self-host. Вы устанавливаете Rivo на собственный сервер. Все данные — деньги, пароли ваулта, документы, история ассистента — остаются там и никогда не попадают на наши серверы. Единственный обмен с нами — ежесуточная проверка лицензионного ключа license-server’ом (см. п. 4): передаётся только сам ключ и идентификатор инстанса.
• Свой VPS. Инстанс работает на выделенной виртуальной машине на нашей Proxmox-инфраструктуре, но root-доступ по SSH — у вас. Технически ваши данные хранятся на нашем железе, но мы не заходим в вашу VM и не читаем содержимое базы данных в рамках обычной эксплуатации; доступ используется только для администрирования хоста (обновления, бэкапы инфраструктуры, устранение инцидентов) и по вашему запросу в поддержку.
• Облако. Мультитенантный инстанс на общем кластере: у вас своя изолированная схема базы данных (`t_<slug>`), но она физически находится в общей СУБД под нашим управлением. Мы обеспечиваем изоляцию между клиентами на уровне схемы и техническую эксплуатацию (бэкапы, обновления, безопасность), и не используем содержимое ваших данных ни для чего, кроме предоставления вам самого сервиса.

• Аккаунт и оплата (license-server, все тарифы). Email, история лицензионных ключей, статус подписки, платёжные записи в USDT (адрес и хеш транзакции нашего собственного watch-only-кошелька — сторонний платёжный процессор не используется, банковских и карточных данных мы не получаем и не храним).
• Лист ожидания Облака. Если вы просили сообщить о запуске Облака: email, выбранный тариф, необязательная заметка, источник перехода (utm-метки и внешний referrer) и хеш IP-адреса — только для защиты от злоупотреблений, сам адрес не храним. Без подтверждения кодом запись удаляется через 7 дней. Используем один раз — чтобы написать о запуске; удалить запись можно по письму на адрес из п. 14.
• Содержимое инстанса (только Свой VPS и Облако). То, что вы сами вносите в продукт: операции и счета, обязательства, записи ваулта (в зашифрованном виде, см. п. 5), документы, переписка с ассистентом, контакты.
• Технические логи. Стандартные логи веб-сервера и API (IP, время запроса, код ответа) для эксплуатации и безопасности, ротируются автоматически.
• Данные Google-аккаунта (по вашему согласию). См. отдельно п. 4.

Модуль календаря в Rivo умеет синхронизироваться с вашим Google Calendar: показывать события, создавать и редактировать встречи, добавлять Google Meet, обрабатывать бронирования через публичную страницу записи. Это работает только если вы сами подключаете аккаунт через Google OAuth в настройках — без вашего явного согласия доступа нет.

• Мы запрашиваем только доступ к календарю (событиям), необходимый для перечисленных функций — не к почте, диску или другим сервисам Google.
• Токен доступа хранится в зашифрованном виде на инстансе, к которому вы его подключили (на вашем сервере при Self-host, на нашей инфраструктуре при Своём VPS и Облаке), и используется только для запросов от вашего имени по вашим же действиям в продукте.
• Данные календаря не передаются рекламным сетям, брокерам данных и не используются для обучения моделей.
• Отозвать доступ можно двумя способами: в настройках Rivo («Отключить Google») или напрямую в Google-аккаунте → Безопасность → Стороннее ПО с доступом к аккаунту.

Использование и передача Rivo информации, полученной через Google API, подчиняется Google API Services User Data Policy, включая требования Limited Use.

Ваулт работает в одном из двух режимов, и режим выбираете вы. Новый инстанс начинает с ключа на сервере: секретные поля записей хранятся зашифрованными, но сервер может их расшифровать — на Своём VPS и в Облаке этот сервер находится на нашей инфраструктуре.

В настройках хранилища можно включить сквозное шифрование. Тогда ключ от ваших паролей есть только на ваших устройствах: он выводится из мастер-пароля и не покидает устройство, а сервер хранит пароли, логины, заметки, коды 2FA и скрытые поля только в зашифрованном виде и прочитать их не может. Открытыми остаются названия записей, адреса сайтов, теги, даты, имена и нескрытые значения полей, журнал доступа и отметки «слабый», «в утечках», «повторяется» (без самих паролей), а также служебные записи — ключи ботов и интеграций, которые вы сами отметили служебными: их сервер читает, чтобы выдавать без вас. После включения на сервере остаётся снимок хранилища до переноса — для отката; в нём логины и заметки открытым текстом, пароли — под ключом сервера. Сказанное выше о сквозном шифровании действует в полной мере, когда этот снимок удалён.

Ассистент работает либо на вашем собственном ключе LLM-провайдера (BYOK — запросы идут от вас напрямую к провайдеру, мы их не видим), либо через наш прокси по подписке — в этом случае текст запроса и относящийся к нему контекст (например, сводка `fin/summary`) передаётся выбранному LLM-провайдеру для получения ответа и не используется нами ни для чего, кроме этого запроса.

Сайт me.rivo.day и личный кабинет не используют cookies и сторонние счётчики аналитики. Тема оформления и токен доступа в личный кабинет хранятся в localStorage вашего браузера и на сервер автоматически не отправляются. Метки перехода (utm, внешний referrer) держатся в sessionStorage до закрытия вкладки и уходят на сервер, только если вы сами оставите почту в листе ожидания Облака.

Мы не продаём и не передаём ваши данные рекламным сетям или брокерам данных. Данные могут передаваться только: инфраструктурным провайдерам, обеспечивающим хостинг (для тарифов Свой VPS и Облако), сервисам, к которым вы сами подключаетесь из продукта (Google, Telegram, ваш LLM-провайдер), и по прямому законному требованию — если оно придёт.

В Облаке и на Своём VPS: Настройки → Аккаунт и данные → «Собрать архив». Архив ZIP собирается в фоне; когда он готов, приходит уведомление (и письмо — в Облаке). Внутри — всё, что вы вносили: данные дашборда (задачи, контакты, лиды, события, проекты), финблок — книга операций, счета, обязательства, план и конверты (CSV и JSON), брони, документы, загруженные файлы. Архив хранится 24 часа и скачивается один раз по одноразовой ссылке, после чего удаляется; пока он ждёт скачивания, он лежит на сервере в зашифрованном виде. Не больше 3 выгрузок в сутки. Выгрузка работает и тогда, когда подписка закончилась и инстанс перешёл в режим только чтения.

• Пароль аккаунта, сессии, токены устройств и API, passkey и ключи интеграций (банки, Google, Telegram, LLM) в архив не входят: это доступы, а не данные.
• Ваулт — только если вы отметили его при выгрузке. Ваулт со сквозным шифрованием попадает в архив как есть — шифротекстом, открыть его можно только вашим мастер-паролем. Ваулт, который шифрует сервер, попадает в архив открытым текстом и только после подтверждения (Touch ID / Face ID или PIN) — с предупреждением об этом.
• На Self-host выгрузка устроена так же и данные никуда не уходят — архив собирает ваш сервер.

В Облаке: Настройки → Аккаунт и данные → «Удалить аккаунт» (нужно ввести адрес инстанса и подтвердить вход). Удаление наступает через 7 дней — до этого всё работает как прежде, над разделами висит напоминание, на почту приходит письмо, и удаление можно отменить там же. Через 7 дней удаляются база данных инстанса, файлы и архивы выгрузок, отзываются доступы к подключённым сервисам (Google), адрес <slug>.me.rivo.day освобождается, подписка закрывается, а вам приходит письмо об удалении. Резервные копии (финальная и плановые) хранятся не дольше 63 дней только на случай технического сбоя, доступны только нам и затем удаляются. Восстановить удалённый аккаунт по просьбе нельзя.

Неоплаченный инстанс Облака удаляется так же — через 30 дней в режиме только чтения, с предупреждениями за 7 дней и за сутки; его резервные копии хранятся те же не более 63 дней. На Своём VPS удаление — по письму на [email protected]: виртуальная машина и её диски удаляются вместе с данными. На Self-host удаление данных полностью в вашей власти — данные на вашем сервере. Запись в license-server (email, история ключей и платежей) при удалении инстанса остаётся для учёта платежей; удалить её можно по письму на адрес из п. 14.

Соединения идут по HTTPS/TLS, чувствительные поля (ваулт, токены, загруженные файлы, плановые резервные копии Облака) хранятся в зашифрованном виде.

Сервис не предназначен для лиц младше 16 лет, и мы сознательно не собираем их данные.

Если политика существенно изменится, мы обновим дату вверху страницы и, где это уместно, предупредим по email. Продолжение использования сервиса после обновления означает согласие с новой редакцией.

По любым вопросам об обработке данных, включая запрос на удаление или отзыв согласия: [email protected].