Дата актуализации: 7 октября 2026 года. Редакция 1.0. Документ применяется с момента публикации; согласие распространяется только на принятый пользователем текст.
1. Защита аккаунта
Оператор: физическое лицо — Андрей Федорович Бобунов.
Запросы, заявления об отзыве согласия на обработку персональных данных и иные обращения по вопросам обработки и защиты персональных данных направляются в электронной форме по адресу: privacy@bitxlab.ru.
Адрес для направления корреспонденции на бумажном носителе: 127055, г. Москва, ул. Новослободская, д. 49/2, а/я 123. Получатель: Бобунов Андрей Федорович.
Сервер проверяет подпись и срок подтверждения MAX, ограничивает попытки входа, хранит пароли в виде стойких хешей с индивидуальной солью, а токены сессий и восстановления — в виде хешей. Смена или восстановление пароля завершает прежние сессии. Первоначальный пароль передаётся в личный чат MAX; открытый пароль в базе не хранится. Защитите MAX и смените первоначальный пароль в настройках.
Для входа используются необходимые cookie сессии, регистрации и подтверждения MAX: в обычном браузере SameSite=Lax, во встроенном окне MAX — отдельные защищённые cookie SameSite=None; Partitioned. Cookie недоступны JavaScript (HttpOnly) и в рабочей HTTPS-конфигурации передаются только по защищённому соединению (Secure). Сессия действует не более 168 часов, подтверждение регистрации — до 10 минут, запрос входа через MAX-бота — до 5 минут. Если встроенное окно блокирует cookie, пользователь может по своему действию открыть одноразовую ссылку входа в браузере: она действует 90 секунд, требует подтверждения показанного аккаунта и не может использоваться повторно. Истёкшие технические записи очищаются фоновым обслуживанием.
В localStorage сохраняются состояние бокового меню и выбранные фильтры; в sessionStorage — параметры текущей навигации и поиска, прокрутка и отметка попытки входа. Это технические настройки, а не рекламное отслеживание. Данные localStorage остаются до их замены или очистки данных сайта пользователем; sessionStorage — на время сеанса вкладки. Пароли и постоянные токены входа в этих хранилищах не сохраняются. Рекламные и аналитические cookie самим Поток+ не используются; собственная обработка данных внешней платформой MAX определяется её политикой. Cookie и локальные настройки можно удалить средствами браузера; блокировка необходимых cookie препятствует входу.
2. Доступ к файлам и переписке
Профиль, одобренную фотографию и сведения об общих группах видят сам пользователь, администратор и участники общих учебных групп, включая их преподавателей. Для добавления в группу преподавателю и администратору доступен поиск зарегистрированных и одобренных студентов по ФИО, логину или MAX ID; результаты содержат эти идентификаторы. Работы, все попытки, оценки и обратная связь доступны автору, преподавателю соответствующей группы и администратору. Личный диалог в интерфейсе доступен его участникам; сообщения канала — пользователям с доступом к соответствующей группе. Удаление группы не удаляет личные диалоги её бывших участников; возможность открыть такой диалог зависит от действующих прав доступа. Публичного размещения профилей и работ для неограниченного круга лиц нет.
Сообщения хранятся и обрабатываются на сервере Поток+. Сквозное шифрование (end-to-end, E2EE) не реализовано: защищённое HTTPS-соединение не исключает технического доступа оператора к данным на сервере. Доступ оператора допускается только в необходимом объёме для эксплуатации, устранения сбоев, рассмотрения обращений и выполнения требований закона. Сервис не обещает тайну переписки от самого оператора или невозможность доступа по законному требованию уполномоченного органа.
Фотография профиля используется для оформления профиля и отображения пользователя в интерфейсе общения. Можно использовать своё фото или другое правомерно используемое изображение, не содержащее чужих персональных данных. Загрузка изображения добровольна и производится по инициативе пользователя; отсутствие изображения не ограничивает доступ к учебным функциям. Пользователь может оставить профиль без фотографии. Не загружайте изображения паспортов, интимные, непристойные или незаконные изображения, а также фотографии других лиц без необходимого правового основания. Новое изображение проходит ручную проверку администратором на соблюдение правил сервиса. До одобрения его видят только владелец и администратор; остальные участники видят прежнюю одобренную фотографию либо инициалы. Проверка оценивает соблюдение правил содержания и не подтверждает личность или возраст. Пользователь видит статус и причину отказа и может оспорить решение через support@bitxlab.ru; по обработке и удалению изображения — через privacy@bitxlab.ru. Одобренная фотография доступна самому пользователю, администратору и авторизованным участникам общих учебных групп, включая преподавателей этих групп; в открытом доступе она не размещается. Фотография не используется в рекламе, публичных материалах, обучении моделей или передаче в MAX-уведомлениях. Сервис не использует фотографию для установления или подтверждения личности, аутентификации либо биометрического распознавания лица.
Загрузки проверяются по расширению, MIME-типу, сигнатуре, объёму и количеству. Документы с макросами, исполняемые файлы и обычные архивы отклоняются. Файлы и фотографии находятся вне публичного каталога и выдаются после проверки прав. Фотографии не используются для распознавания лица. Эти проверки не заменяют антивирус; открывайте материалы в обновлённых приложениях.
3. Технические и организационные меры
Основная база данных, пользовательские файлы и локальные резервные копии Поток+ размещаются на собственном оборудовании оператора на территории Российской Федерации. Администрирование осуществляется оператором самостоятельно. База данных находится на SSD, пользовательские файлы и резервные копии — на отдельном HDD того же Mac mini. Создание копий настроено при запуске приложения и каждые 24 часов его работы; срок хранения — не более 30 календарных дней. Копия на том же компьютере не обеспечивает независимую защиту от утраты всего оборудования. Фактическое размещение базы данных и копий подлежит указанию в уведомлении Роскомнадзора и учёту в закрытых документах оператора. Почтовый адрес для корреспонденции не является адресом размещения базы данных.
Используются параметризованные запросы, экранирование пользовательского текста, проверка источника изменяющих запросов, защитные HTTP-заголовки и журнал событий. Пароли, токены и содержание работ не записываются в журнал безопасности. Роли и принадлежность к группам проверяет сервер, а не только интерфейс. Монитор приложения проверяет свежесть копий, доступность хранилищ и отдельные подозрительные события; при обнаружении условий тревоги направляет оператору уведомление в MAX. Такие сигналы требуют проверки и не означают автоматически утечку. Наблюдение не гарантирует выявления каждого инцидента.
Резервные копии хранятся не более 30 календарных дней с автоматической ротацией; доступ ограничивается правами файловой системы и доступом к серверу. При удалении аккаунта или работ по сроку копии с удаляемыми данными исключаются из восстановления и удаляются. Шифрование диска и внешних копий требует отдельной настройки и не объявляется автоматически включённым.
За HTTPS, обновления, настройку сервера, доступ обслуживающих лиц и проверку восстановления отвечает оператор. Технические меры не являются сертификатом, аттестацией или заключением о выполнении всех организационных требований.
4. Как сообщить о проблеме
Об уязвимости, подозрении на утечку или несанкционированный доступ напишите на security@bitxlab.ru: время, страницу, последовательность действий и безопасное описание результата. Не прикладывайте пароли, токены, чужие работы или переписку. Не продолжайте доступ к чужим данным после обнаружения ошибки. Оператор ограничивает последствия, расследует инцидент и при наличии оснований ч. 3.1 ст. 21 152-ФЗ уведомляет Роскомнадзор в течение 24 часов, а о результатах расследования — в течение 72 часов с момента выявления.
«Поток+» является независимым информационным сервисом и не является официальной информационной системой РУТ (МИИТ).