Политика конфиденциальности

Настоящая Политика конфиденциальности объясняет, что собирает RankMeFast, зачем, как это защищено, и какие у вас есть варианты. Она применяется к хостовому Сервису на rankme.fast и к самостоятельно размещённым экземплярам того же ПО.

Для самостоятельно размещённых развёртываний организация RankMeFast не имеет доступа к вашим данным — всё работает на вашей инфраструктуре. Информация ниже описывает хостовый Сервис.

Данные аккаунта. Имя, email, пароль (только хеш scrypt), предпочитаемый язык, роль и статус подтверждения email. Опционально профиль Google OAuth, если вы входите через Google.

Данные сессии. Токен сессии, IP-адрес и user agent, хранящиеся с каждой сессией для безопасности и предотвращения злоупотреблений.

Данные использования. Ежемесячные счётчики по аккаунту для отслеживаемых ключей, аудитов, страниц аудита, строк обратных ссылок, AI-сводок и мест. Эти счётчики применяют лимиты тарифа.

Продуктовые данные. Домены, которые вы добавляете, отслеживаемые ключи, история позиций, отчёты аудитов, строки обратных ссылок, наборы конкурентов и результаты исследования ключей. Это рабочие данные, которые Сервис создаёт для вас.

Платёжные данные. Тариф подписки, счета и записи кредит-леджера. Данные карт обрабатывает Polar; RankMeFast не хранит полные номера карт.

Учётные данные вендоров. Refresh-токены Google Search Console и учётные данные DataForSEO, когда вы их настраиваете. Они шифруются в покое через AES-256-GCM под мастер-ключом.

Сообщения из контактной формы. Если вы используете контактную форму, содержимое сообщения и ваш email доставляются в наш ящик поддержки через Resend.

Мы используем данные выше, чтобы:

• Развернуть и обслуживать ваш аккаунт, сайты и аудиты.
• Применять лимиты тарифа и предотвращать злоупотребления через лимитирование запросов и изоляцию аккаунтов.
• Обрабатывать платежи через Polar и вести историю счетов и кредит-леджера.
• Отправлять транзакционные email: подтверждение, сброс пароля, завершение аудита, оповещения о падении позиций и предупреждения об удалении. Маркетинговые email — с opt-out и отправляются только при включении соответствующего предпочтения.
• Генерировать AI-сводки, когда функция включена. В AI-модель отправляются только сгенерированный текст правил и домен сайта — никогда сырой HTML, данные вендоров или ваши персональные данные.
• Вести журналы аудита для безопасности. Журналы аудита никогда не записывают адреса email, тела запросов, заголовки или чувствительные параметры.

Cookie сессии. Одна cookie httpOnly, SameSite=Lax (better-auth.session_token) поддерживает ваш вход. В продакшне помечается как Secure.

CSRF cookie. Токен двойной отправки (x-csrf-token по умолчанию) защищает формы. Помечен SameSite=Strict и Secure в продакшне.

Cookie языка. Cookie lang сохраняет ваше предпочтение языка интерфейса на один год.

Если на размещённом сайте настроен Google Analytics, Google получает сведения о браузере и использовании и может устанавливать аналитические идентификаторы. RankMeFast не использует рекламные файлы cookie.

RankMeFast передаёт данные только суб-обработчикам, необходимым для работы Сервиса:

• Polar — обработка платежей и управление подписками. Получает ID продуктов, ссылки на клиентов и события вебхуков. Не получает данные ваших аудитов или позиций.
• DataForSEO — сигналы ключей, позиций, обратных ссылок, конкурентов и лабораторной скорости Lighthouse. Получает отправленные домены, ключевые слова и публичные URL аудита.
• Google APIs (OAuth, Search Console и Analytics; опционально PageSpeed Insights и CrUX при настройке) — получает данные подключённых ресурсов. Проверка URL в Search Console отправляет выборку общедоступных URL сайта для подключённого ресурса; PageSpeed отправляет публичные URL аудита только при выборе Google как провайдера скорости.
• Firecrawl (Cloud) — обход публичных страниц для аудита, мониторинга и Content Intelligence. Получает только выбранные вами публичные адреса.
• Провайдеры ИИ обрабатывает резюме ИИ и брифы или черновики Content Intelligence через утверждённый оператором список провайдеров: GLM, DeepSeek, Kimi, OpenAI, Gemini и Anthropic Claude. Ограниченные очищенные фрагменты передаются только после явного согласия. Сырой HTML не отправляется. Условия использования данных зависят от действующего соглашения и конфигурации оператора.
• Resend — доставка транзакционных и уведомительных email.

Если на размещённом сайте настроен Google Analytics, Google также получает события браузера и использования сайта.

Каждый суб-обработчик связан собственными условиями защиты данных. RankMeFast не продаёт ваши данные.

Content Intelligence — по согласию на каждый анализ. Во время выполнения мы обрабатываем следующее:

• Firecrawl Cloud обходит выбранные вами публичные URL — вашу страницу и до трёх публичных страниц конкурентов, которые вы приняли. Никаких страниц под авторизацией и скриншотов.
• Очищенные ограниченные фрагменты страниц и производные факты сохраняются для формирования карточки, брифа и цитат.
• Очищенные фрагменты отправляются только после согласия на бриф или черновик ИИ через утверждённый оператором список провайдеров: GLM, DeepSeek, Kimi, OpenAI, Gemini и Anthropic Claude. Список берётся из статического юридического источника, а не из настроек среды выполнения.
• Сырой HTML не хранится. Очищенные фрагменты истекают через 7 дней. Производные факты, хэши, брифы, черновики, цитаты и использование следуют правилам хранения аккаунта.
• Публичный контент конкурентов используется как короткое цитируемое доказательство и не воспроизводится существенно. Условия использования данных определяются действующими соглашениями оператора; эта Политика не даёт более широкого обещания об обучении.

Ничего не публикуется автоматически. Брифы и черновики живут в RankMeFast как редактируемые рабочие копии; экспортируйте или удаляйте их в любой момент.

• Секреты вендоров и refresh-токены шифруются в покое через AES-256-GCM мастер-ключом.
• Пароли хешируются через scrypt силами Better Auth; пароли в открытом виде никогда не хранятся.
• Изоляция аккаунтов: каждый продуктовый маршрут проверяет владение и возвращает 404 (не 403) для чужих ресурсов, так что существование не утекает.
• Лимиты запросов на маршрутах аутентификации и вебхуков снижают брутфорс и объёмные атаки.
• Двухфакторная аутентификация (TOTP + резервные коды) доступна на всех аккаунтах и обязательна для админов.
• CSRF обеспечивается проверками Origin и trusted-origins плюс cookie двойной отправки.

Ни одна система не является идеально безопасной. Если вы считаете, что нашли уязвимость, свяжитесь с security@rankme.fast до публичного раскрытия.

Производные факты, хэши, оценочные карточки, брифы, черновики, цитаты, история рекомендаций, результаты мониторинга и записи использования хранятся по правилам аккаунта до экспорта или удаления. Сырой HTML не хранится, очищенные фрагменты истекают через 7 дней.

Платёжные записи (счета, кредит-леджер) хранятся в течение срока, требуемого налоговым законодательством в юрисдикции работы.

Журналы аудита с метаданными, относящимися к безопасности, хранятся по скользящему принципу и никогда не содержат адресов email или тел запросов.

В зависимости от вашей юрисдикции (ЕС/ЕЭЗ, Великобритания, Калифорния и др.) у вас могут быть права:

• Получить копию своих персональных данных.
• Исправить неточные данные.
• Экспортировать данные аккаунта, включая аудиты, историю позиций, анализы Content Intelligence, инвентаризации, конкурентные запуски, мониторы, историю рекомендаций, результаты и связанные события использования.
• Удалить аккаунт. Удаление начинает 30-дневный льготный период, в течение которого можно отменить. Финальное предупреждение по email отправляется за 24 часа до очистки. Юридическое требование о хранении может отсрочить удаление, если так требует закон.
• Возражать против определённой обработки или ограничивать её и в любое время отзывать согласие на маркетинговые email через настройки уведомлений.
• Подать жалобу в надзорный орган, если считаете, что обработка нарушает применимый закон.

Чтобы воспользоваться любым из этих прав, используйте эндпоинты прав на данные в приложении (/api/legal/*) или свяжитесь с privacy@rankme.fast.

Ваши данные могут обрабатываться RankMeFast и его суб-обработчиками в юрисдикциях за пределами страны вашего проживания. Там, где задействован ЕС/ЕЭЗ, передачи опираются на соответствующие гарантии, такие как Стандартные договорные положения или иной законный механизм передачи.

Самостоятельно размещённые развёртывания оставляют все данные на вашей инфраструктуре; передачи в RankMeFast не происходит.

Сервис не адресован детям младше 16 лет. RankMeFast сознательно не собирает персональные данные детей. Если вы считаете, что несовершеннолетний зарегистрировался, свяжитесь с privacy@rankme.fast, и аккаунт будет удалён.

На самостоятельно размещённом экземпляре вы контролируете инфраструктуру, ключи шифрования и интеграции с вендорами. Организация RankMeFast не получает данные с вашего экземпляра. Вы отвечаете за соблюдение обязательств этой Политики (включая запросы субъектов данных) в отношении данных, обрабатываемых на вашем собственном развёртывании.

Мы можем периодически обновлять настоящую Политику конфиденциальности. О существенных изменениях мы сообщим по email (для подтверждённых аккаунтов) или в приложении не менее чем за 30 дней до вступления в силу. Дата «Последнее обновление» ниже отражает самую последнюю ревизию.

Вопросы по этой Политике конфиденциальности или запрос субъекта данных? Свяжитесь с privacy@rankme.fast.