Политика конфиденциальности

1. Общие положения

Настоящая Политика конфиденциальности (далее — «Политика») определяет порядок обработки и защиты персональных данных пользователей сервиса Cosmo VPN (далее — «Сервис»). Используя Сервис, вы подтверждаете, что ознакомлены с условиями данной Политики и даёте своё согласие на обработку персональных данных в соответствии с описанными ниже условиями.

Администрация Сервиса вправе вносить изменения в настоящую Политику без предварительного уведомления пользователей. Новая версия Политики вступает в силу с момента её размещения на данной странице, если иное не предусмотрено текстом Политики. Рекомендуем периодически проверять данную страницу на предмет изменений.

                            Ключевой принцип: мы собираем минимально необходимый объём данных и никогда не используем их в коммерческих целях. Ваша приватность — наш приоритет.
                        

2. Собираемые данные

Для обеспечения работы Сервиса мы собираем следующие категории данных:

Данные аккаунта: email-адрес, имя пользователя, хеш пароля. Эти данные необходимы для авторизации и управления учётной записью. Мы не храним пароль в открытом виде — используется алгоритм bcrypt.
Данные авторизации через соцсети: идентификатор пользователя из социальной сети (VK ID, Google, Yandex). Полномочия ограничены минимально необходимым набором: email и базовая информация профиля.
Данные об оплате: информация о транзакциях (сумма, дата, статус). Финансовые данные (номер карты и т.д.) обрабатываются платёжной системой напрямую и не проходят через наши серверы.
Служебные данные: IP-адрес при входе, тип браузера, операционная система. Эти данные используются исключительно для обеспечения безопасности и предотвращения мошенничества.

Что мы НЕ собираем: историю browsing-активности, DNS-запросы, содержимое передаваемого трафика, геолокацию.

3. VPN-трафик и логирование

                            Zero-log политика: Cosmo VPN не ведёт и не хранит логи VPN-соединений. Мы не фиксируем, какие сайты вы посещаете, какие файлы скачиваете или с кем общаетесь через VPN.
                        

Наши серверы настроены таким образом, что:

Журналы подключений (connection logs) отключены на уровне операционной системы
DNS-запросы обрабатываются через AdGuard DNS и не сохраняются
Трафик шифруется с использованием AES-256-GCM и не инспектируется
Серверы используют RAM-диски для временных данных, которые уничтожаются при перезагрузке

Единственная информация, которая технически доступна — это время подключения и отключения, а также объём переданного трафика за сессию. Эти метрики используются исключительно для мониторинга нагрузки на сервер и обеспечения стабильности сервиса.

4. Файлы cookie

Сервис использует файлы cookie исключительно для поддержания авторизованной сессии и обеспечения функциональности веб-интерфейса. Мы не используем рекламные cookie, трекинговые пиксели или аналитические инструменты третьих сторон.

Сессионные cookie (PHPSESSID): необходимы для идентификации пользователя между запросами. Уничтожаются при закрытии браузера или по истечении времени сессии.
Cookie авторизации: хранят токен сессии для автоматического входа при повторном посещении. Зашифрованы и имеют ограниченный срок действия.

Вы можете отключить cookie в настройках браузера, однако это может привести к ограничению функциональности Сервиса (невозможность авторизации, потери настроек).

5. Передача данных третьим лицам

Мы не продаём, не обмениваем и не передаём ваши персональные данные третьим лицам для коммерческих целей.

Передача данных возможна только в следующих исключительных случаях:

Платёжные системы: для обработки оплат мы передаём минимально необходимую информацию платёжному провайдеру (ЮKassa). Операции проводятся по защищённому протоколу HTTPS.
Социальные сети: при авторизации через VK, Google или Yandex передаются только идентификатор и email, полученные через официальные OAuth API.
Требования законодательства: мы можем предоставить данные по официальному запросу правоохранительных органов Российской федерации в соответствии с действующим законодательством.

6. Хранение и защита данных

Данные пользователей хранятся на серверах, расположенных в сертифицированных дата-центрах Финляндии. Мы применяем следующие меры защиты:

Шифрование базы данных: все чувствительные данные (пароли, email) хранятся в зашифрованном виде
SSL/TLS: весь обмен данными между клиентом и сервером защищён сертификатом TLS
Ограничение доступа: доступ к серверам имеет только ограниченный круг лиц через двухфакторную аутентификацию
Регулярное резервирование: автоматические бэкапы базы данных с шифрованием хранятся отдельно от основного сервера

Данные аккаунта хранятся в течение всего времени существования учётной записи. После удаления аккаунта все связанные данные удаляются безвозвратно в течение 30 дней, за исключением данных, которые необходимы для соблюдения законодательства.

7. Права пользователя

Вы как пользователь Сервиса имеете следующие права в отношении своих персональных данных:

Доступ: вы можете просмотреть и изменить свои данные в разделе настроек личного кабинета
Удаление: вы можете удалить свой аккаунт в разделе «Опасная зона» настроек. При этом все данные будут удалены навсегда
Исправление: вы можете обновить email, пароль и другие данные профиля в любой момент
Экспорт: по запросу в поддержку мы предоставим полную выгрузку ваших данных в машинночитаемом формате
Отзыв согласия: вы можете отказаться от обработки данных, обратившись в поддержку

Для реализации любого из этих прав обратитесь в поддержку через личный кабинет. Мы обработаем ваш запрос в течение 72 часов.

8. Информационная безопасность

Мы принимаем комплексные организационные и технические меры для защиты ваших данных от несанкционированного доступа, изменения, раскрытия или уничтожения:

Двухфакторная аутентификация (2FA) для доступа к аккаунту и серверам администрирования
Регулярный аудит безопасности и обновление программного обеспечения
Мониторинг подозрительной активности и автоматическая блокировка при попытке brute-force
Изолированная сетевая архитектура с разделением production и development сред

В случае обнаружения утечки данных мы уведомим затронутых пользователей в течение 72 часов через email и уведомление в личном кабинете.

9. Платежи и возвраты

Оплата услуг Сервиса осуществляется через платёжную систему ЮKassa. Мы не получаем и не храним данные банковских карт — все финансовые операции проводятся на стороне платёжного провайдера в соответствии со стандартом PCI DSS.

Возврат средств: возможен в течение 24 часов с момента оплаты при условии, что VPN-подключение не использовалось. Для запроса обратитесь в поддержку
Чеки: электронный чек направляется на email, указанный при регистрации или оплате
Автопродление: не предусмотрено. Каждый тариф оплачивается вручную

10. Детская политика

Сервис не предназначен для использования лицами, не достигшими 16-летнего возраста. Мы сознательно не собираем данные о детях и не нацелены на детскую аудиторию. Если нам станет известно, что аккаунт принадлежит лицу младше 16 лет, мы примем меры по удалению такой учётной записи в кратчайшие сроки.

Если вы являетесь родителем или опекуном и обнаружили, что ваш ребёнок зарегистрировался в Сервисе, пожалуйста, обратитесь в поддержку — мы удалим аккаунт и все связанные данные.