ПОЛИТИКА КОНФИДЕНЦИАЛЬНОСТИ

Trace — это инструмент обратного поиска по лицу. То, что вы нам даёте, — это фотография лица, а по GDPR и турецкому закону о защите персональных данных (KVKK) это особая категория персональных данных. На этой странице прямо и без обиняков сказано, что с ней происходит — никакого пункта, который на деле означает противоположное тому, что написано.

Этот текст — перевод. При расхождениях преимущество имеет английская версия.

Кто мы

Trace управляется компанией Trace Labs («мы»). Связаться с нами можно через форму поддержки. Trace Labs является контролёром данных для всего, что описано ниже.

Что мы собираем

Фотография, которую вы загружаете. Она обрезается в вашем браузере до квадрата вокруг лица ещё до отправки, поэтому с вашего устройства уходит именно то лицо, которое вы выделили рамкой, а не весь снимок.
Результаты вашего поиска. Оценки совпадения, платформа и имя пользователя для каждого совпадения, ссылка и небольшая миниатюра-превью каждого найденного изображения.
Ваш аккаунт. Идентификатор аккаунта и хеш вашего ключа восстановления. Самого ключа восстановления у нас нет — только хеш, из которого ключ восстановить нельзя.
Баланс ваших кредитов и журнал покупок и поисков, который стоит за ним.
Хешированная форма вашего IP-адреса, используемая для ограничения частоты бесплатных сканирований и создания аккаунтов. Необработанные IP-адреса мы не храним.
Ваш идентификатор пользователя Telegram, но только если вы платите Telegram Stars — по нему платёж сопоставляется с вашим аккаунтом, а поддержка позже может помочь вам снова войти.
Запись об оплате, если вы платите картой: сумма, бренд карты и последние четыре цифры, идентификатор платежа и адрес электронной почты, который вы вводите на странице оплаты. Номер вашей карты мы никогда не видим. Страница размещена у Pocketsflow, которая выступает продавцом записи (merchant of record) для этой продажи — именно она принимает платёж и занимается налогами по собственной политике конфиденциальности, а платёжные данные, которые для этого нужны, до нас не доходят.
Запись об оплате, если вы платите криптовалютой: сумма, монета и идентификатор платежа, который нам передаёт наш криптопроцессор. Адрес кошелька мы никогда не видим, страницу оплаты размещает процессор — сам перевод мы не обрабатываем.

Мы не спрашиваем ваше имя, номер телефона или пароль, потому что у Trace нет формы регистрации. Нам просто нечего дать. Единственное исключение — адрес электронной почты, и только если вы выбираете оплату картой: страница оплаты просит его, чтобы отправить вам квитанцию, и он попадает в запись о платеже. Он не используется для входа, и мы никогда не отправляем на него рекламу; удаление аккаунта убирает его из записи о платеже вместе с адресом, с которого пришёл платёж.

Куда уходит ваша фотография

Trace выполняет поиск на собственном движке, на нашем собственном сервере — это наш собственный индекс, наша собственная модель лиц, наша собственная система оценки. Это не тонкая обёртка над чужой поисковой строкой.

Но фотография всё же покидает наш сервер, и мы предпочитаем сказать об этом прямо, а не дать фразе «собственный движок» звучать так, будто снимок никуда не отправляется. Чтобы найти, где встречается лицо, движок от вашего имени обращается к публичным поисковым системам изображений, а если собственный результат оказывается скудным — также к коммерческому сервису поиска по лицам. Этот второй шаг задействуется примерно в половине платных поисков. Спросите нас через форму поддержки, и мы скажем, какие именно это сервисы. Эти поисковые системы сами загружают изображение, а не принимают его напрямую, поэтому на время одного поиска — до примерно десяти минут — обрезанный квадрат отдаётся по подписанному, непредсказуемому веб-адресу. Этот адрес нигде не публикуется, не индексируется нами, и перестаёт работать, когда окно поиска закрывается. Это осознанный компромисс — и единственный способ, которым подобный поиск вообще может работать.

Чего мы не можем обещать — это то, что происходит с этой копией на их стороне. Эти системы ведут собственные журналы и кэши, и мы не можем их контролировать; действуют их собственные правила. Если вы хотите точно знать, какие системы задействует поиск, спросите нас через форму поддержки, и мы ответим.

Всё это написано прямо на экране сканирования, над кнопкой запуска поиска, а перед вашим первым поиском открывается диалоговое окно с полным текстом того, с чем вы соглашаетесь. Ничего не ищется, пока вы не примете условия. Если этот текст меняется, диалог открывается снова, а в вашем аккаунте фиксируется, какую версию и когда вы приняли.

Мы не делимся вашими данными ни с кем ещё. Мы не продаём их, не используем для рекламы и не строим профиль личности ни на вас, ни на том, чьё лицо вы ищете.

Индекс лиц, который мы ведём

Это та часть, которую большинство сервисов поиска по лицам не раскрывают, поэтому скажем прямо. Когда поиск подтверждает совпадение с высокой уверенностью, мы записываем это лицо в наш собственный индекс: числовое измерение лица, небольшой его кроп и публичный веб-адрес, на котором оно было найдено. Следующий поиск того же человека может быть обработан из этого индекса, а не через повторную оплату поисковой системы — поэтому со временем поиски становятся быстрее и дешевле.

Что это значит, если сказать прямо: мы храним измерения лиц людей, которые никогда сюда не заходили и никогда не просили быть в этом индексе. Так делает любой сервис такого рода; большинство просто не говорит об этом. Индекс строится только из изображений, уже опубликованных в открытом интернете, в нём нет никакого имени, которое нам дали, никаких контактных данных и никакого профиля, и в него попадают только те лица, которые мы могли сопоставить с уверенностью.

Если ваше лицо в этом индексе, вы можете убрать его. Страница удаления удаляет каждую запись, которая соответствует вашему лицу, и добавляет его в постоянный список «не индексировать», чтобы более поздний поиск не вернул его обратно. Для этого нужна одна фотография и не нужен аккаунт, а присланная фотография не сохраняется — мы считываем измерение и удаляем файл. Это не удаляет ничего с сайтов, которые опубликовали ваши фото, — это могут сделать только они сами.

Как долго мы это храним

Загруженные фотографии и превью результатов: 30 дней, затем удаляются автоматически. Они хранятся столько, чтобы вы могли заново открыть уже оплаченное сканирование.
Удаление сканирования сразу удаляет его изображения, а удаление аккаунта удаляет их все сразу — включая копию, которую держала поисковая система во время работы. Ни то, ни другое не «скрытие»: файлы действительно удаляются.
Аккаунты без кредитов, сканирований и платежей удаляются через 30 дней неактивности.
Записи о платежах хранятся столько, сколько требует налоговое и бухгалтерское законодательство, потому что у нас нет законного способа удалить их раньше. Удаление аккаунта отрывает запись от вас: связь с аккаунтом и адрес, с которого был произведён платёж, удаляются, а остаются только сумма, дата и реквизит, нужный для возврата.

Где это хранится

На нашем собственном сервере в Германии, который обслуживает Hetzner Online GmbH, внутри ЕС. Загруженные изображения хранятся за пределами корневой директории сайта и отдаются только по подписанной ссылке, привязанной к вашему аккаунту — знание URL недостаточно, чтобы открыть чужое изображение. Единственное исключение — аналитика использования, описанная в разделе «Файлы cookie», которую PostHog обрабатывает в США и которая никогда не содержит изображений.

Правовое основание и ваши права

Мы обрабатываем фотографию на основании явного согласия, которое вы даёте в этом диалоговом окне перед первым поиском, на экране, где прямо сказано, что принимается, и есть ссылка на эту политику. Этот же текст просит вас подтвердить, что вам 18 лет или больше и что вы не являетесь гражданином или резидентом государства — члена ЕС; жителям ЕС Trace не предлагается. Вы можете отозвать согласие в любой момент, удалив сканирование или аккаунт; это не отменяет уже выполненные поиски, но убирает то, что мы храним. Если эта политика меняется так, что это влияет на судьбу вашей фотографии, мы запрашиваем согласие снова, а не полагаемся на старое согласие.

По GDPR и KVKK у вас есть право на доступ, исправление, удаление и экспорт ваших данных, а также право возразить против обработки. Trace устроен так, что большую часть этого можно сделать одной кнопкой, а не письмом: в панели вы видите всё, что есть в вашем аккаунте, можете удалить отдельные сканирования и полностью стереть аккаунт. Для всего, что панель не может сделать, свяжитесь с нами через форму поддержки.

Файлы cookie

Панель устанавливает два файла cookie, и ни один из них не для отслеживания: сессионный файл cookie и долговременный файл cookie устройства, который держит вас в системе без пароля. В панели нет ни рекламных файлов cookie, ни межсайтового отслеживания.

Чтобы увидеть, где у людей возникают сложности, панель и публичные страницы используют PostHog — сервис продуктовой аналитики, который обрабатывает данные об использовании на серверах в США. Он записывает, какие страницы вы открываете и какие кнопки нажимаете, а также воспроизведение этих действий, привязанное к внутреннему номеру аккаунта, который не совпадает с вашим ID аккаунта. На вашем устройстве он ничего не хранит: ни файла cookie, ни локального хранилища. Запись воспроизведения никогда не содержит изображений — ваша фотография, область обрезки и каждое превью результата показаны как пустые прямоугольники, — а сам список результатов, ваш ключ восстановления, ваши API-ключи и ID аккаунта в неё вообще не попадают. Поля форм маскируются. PostHog никогда не получает имя, которое вы искали, совпадение или ссылку на результат. Блокировка posthog.com или любой блокировщик рекламы отключает его, и всё работает точно так же без него.

Публичные страницы за пределами панели — эта, главная страница и страницы сравнения — загружают Google Analytics и сигнал конверсии Google Ads, чтобы мы могли понять, какая реклама привела сюда посетителя. Оба настроены так, что ничего не хранят на вашем устройстве: ни аналитического файла cookie, ни рекламного файла cookie, ни идентификатора, который следует за вами на другой сайт. Они измеряют страницы, а не людей, и ни один из них никогда не получает фотографию, поиск, результат или ваш ID аккаунта.

Единственное, что публичные страницы могут сохранить, — это одна запись в локальном хранилище вашего браузера, которая создаётся только когда вы закрываете уведомление о цене, чтобы оно больше не появлялось. В ней хранится только название закрытого уведомления — никакого идентификатора, ничего о вас, — она никогда не отправляется нам, и очистка данных браузера её удаляет. Поэтому у этого сайта до сих пор нет баннера про cookie: ничего не сохраняется, чтобы узнавать вас или следить за вами, а единственная запись существует потому, что вы сами её создали. Если вы вообще не хотите, чтобы вас считали, блокировка googletagmanager.com или любой блокировщик рекламы отключает оба механизма, и всё работает точно так же без них.

Когда вы приходите по рекламной ссылке, в адресе содержится идентификатор клика. Если вы затем создаёте аккаунт, этот идентификатор записывается в строку вашего аккаунта, чтобы мы могли увидеть, какая реклама себя окупила. Это не профиль, и он ни с кем не делится: он хранится в нашей собственной базе данных, никогда не отправляется обратно в рекламную сеть и удаляется вместе с аккаунтом.

Поиск других людей

Если вы загружаете фотографию другого человека, вы обрабатываете его персональные данные и несёте ответственность за наличие законного основания для этого. Trace существует, чтобы вы могли проверить, с кем имеете дело, и найти собственные изображения; его нельзя использовать, чтобы идентифицировать, разыскивать, следить за кем-то или преследовать его. См. Условия использования.

Если вы считаете, что кто-то искал ваше лицо через Trace, и хотите воспользоваться своими правами, быстрее всего это сделать через страницу удаления: она убирает ваше лицо из нашего индекса и не даёт ему туда вернуться — без аккаунта и без письма нам. Чего она не может сказать — кто искал вас, и мы тоже не можем: поиск записывается за аккаунтом, который его выполнил, а не за лицом, которое искали, поэтому у нас нет способа пройти от фотографии к списку поисков. По всем остальным вопросам пишите нам через форму поддержки.

Дети

Trace не предназначен для лиц младше 18 лет, и мы не храним данные несовершеннолетних сознательно.

Изменения

Если эта политика меняется так, что это влияет на судьбу вашей фотографии, мы запросим согласие снова, а не просто обновим дату в начале страницы.