Оператор и связь.
Оператор Citizen и контролёр данных — EdProtocol LLC, Domestic Limited Liability Company, Wyoming, United States. Filing ID: 2026-001234567. Основной адрес: 30 N Gould St, Ste R, Sheridan, WY 82801, United States.
Запросить доступ, исправление, удаление, изменение необязательного согласия или задать вопрос можно через support@citizen.cy.
Аккаунт и обучение.
Мы храним email, идентификатор аккаунта, защищённый хеш пароля, данные сессий и подтверждения адреса, основной прогресс, личное состояние Words и Culture, ситуационную практику и связанную учебную историю. Это необходимо для предоставления запрошенного сервиса. Пароль не передаётся поставщикам учебной проверки или озвучки.
Необязательное личное обращение задаётся в профиле отдельно от публичного никнейма. Оно видно только владельцу аккаунта и используется в личном приветствии и коротком знакомстве без оценки. Его можно скачать, изменить или удалить в профиле. Оно не передаётся в Admin, аналитику, рекламу, проверку ответов или озвучку. Рекламный SDK не загружается в кабинете.
Основной аккаунт и основная учебная история хранятся, пока существует аккаунт. Автоматического удаления из-за неактивности сейчас нет. Выход, очистка cookies или удаление PWA не удаляют аккаунт и серверный прогресс.
Сервисы и партнёры.
Railway размещает приложение и базу данных; текущий регион инфраструктуры — Singapore. Brevo доставляет подтверждение email, сброс пароля и уведомления безопасности: получает email, идентификатор шаблона, ссылку действия и необходимые параметры письма, без учебной истории. Служебная почта не подписывает на маркетинг.
OpenAI API проверяет запрошенный письменный ответ: получает текущую реплику, необходимые предыдущие ответы внутри того же задания и учебное условие, без email, пароля, полного профиля и посторонних уроков. Мы используем store:false; это не означает нулевое хранение у провайдера. Стандартные журналы контроля злоупотреблений API могут храниться до 30 дней, с предусмотренными провайдером правовыми и безопасностными исключениями.
ElevenLabs создаёт аудио из разрешённого греческого учебного текста. Мы специально не передаём email, account ID, прогресс, ответы или идентификатор сессии. Общие аудио остаются учебными материалами, пока используется соответствующая версия содержания.
Необязательная аналитика и рекламные измерения.
Google Analytics включается только после отдельного согласия на аналитику. Он не получает сырой ответ ученика, email, application user_id или полную учебную историю и не является источником истины для прогресса.
OpenAI Ads имеет отдельный выбор рекламных измерений. Согласие на аналитику не включает Ads, а согласие на Ads не включает аналитику. Измерения могут использовать сведения о регистрации, переходе и браузере. При advanced matching механизм может распознать email на странице и передать его хеш: это не делает данные анонимными. Мы не добавляем контактные данные вручную в payload события.
Отказ не блокирует продукт. Изменить или отозвать каждый выбор можно на странице Cookies и настройки. Эти выборы сохраняются в соответствующем браузере.
Источник регистрации и размеченного возврата.
По отдельному необязательному разрешению first_party_acquisition мы сохраняем источник регистрации и последний переход по размеченной ссылке. Согласие на Google Analytics или рекламу не включает этот выбор. Источник используется для сравнения регистрационных когорт и предложений, отдельно от промокода и предоставленных прав. Сохраняются только разрешённые метки, публичный host и путь без полной ссылки, поискового текста или идентификаторов рекламы.
Каждый snapshot хранится 90 дней от серверной даты его фиксации. Поздний вход не продлевает срок источника регистрации. Первый разрешённый сигнал переносится в пределах одной вкладки не более 30 минут без продления. Скопированная ссылка не доказывает источник публикации или право на предложение.
Разрешение можно изменить в регистрации и Профиле. Выбор действует до отзыва или изменения версии notice. Отзыв сразу удаляет сохранённые метки; сведения можно скачать или удалить в Профиле. Отказ, отзыв и истечение срока не мешают регистрации, учёбе или обычному промокоду. Подтверждённое применение, членство и права хранятся отдельно как необходимые записи выбранного предложения; удаление аккаунта удаляет связанные с ним записи. Без разрешения attribution не сохраняется в cookies или sessionStorage. Версия назначения: acquisition_2026_10_13_v1.
Технические записи.
Журнал операций прогресса имеет срок 30 дней; копии прогресса для сброса или rollback — 90 дней; сообщения об ошибках в заданиях — 180 дней. Это отдельные сроки, а не срок хранения основного аккаунта и учебной истории.
Сессии, action tokens, ограничения частоты и технические записи используются для работы аккаунта, безопасности, надёжности и предотвращения злоупотреблений. Где применима терминология правового основания, это предоставление сервиса или законный интерес в безопасности; обязательное хранение по закону основано на соответствующей обязанности.
Обращения поддержки.
Почта поддержки проходит через Cloudflare Email Routing в рабочий почтовый ящик. Мы используем переписку для ответа на твой запрос и операционной поддержки. Обычная переписка хранится 12 месяцев после последнего сообщения, затем удаляется по рабочей процедуре. Можно попросить удалить её раньше, если она больше не нужна.
Для конкретного инцидента безопасности, мошенничества, незавершённого спора или правовой обязанности необходимые сообщения могут храниться дольше, только пока сохраняется эта необходимость. Не присылай пароль, секреты входа, ненужные удостоверения личности, списки учеников или чувствительные документы.
Запросы и проверка личности.
Мы подтверждаем получение запроса в течение 7 календарных дней и выполняем обычный запрос в течение 30 календарных дней. Если объективно требуется дополнительное время и применимое право это допускает, сообщим причину и новый срок.
Обычно достаточно подтвердить контроль email аккаунта или действующую авторизованную сессию. Паспорт по умолчанию не нужен. Дополнительное подтверждение запрашивается только при реальном риске выдать или удалить данные другого человека.
Можно запросить копию данных аккаунта, личного прогресса и сохранённых личных учебных и технических записей. Пароли, секреты и данные других пользователей не включаются. Для исправления email обратись в поддержку; мы проверим запрос и сообщим порядок изменения.
Удаление аккаунта.
После подтверждённого запроса основные персональные данные удаляются из активного основного хранилища не позднее 30 календарных дней: аккаунт, email, хеш пароля, сессии, verify/reset tokens, основной прогресс, личное обращение и личные состояния Words, Culture и ситуационной практики. Общий учебный банк, общие аудио и действительно обезличенные агрегаты не удаляются как данные аккаунта.
Отдельные записи могут сохраняться, если для них есть конкретная обязательная правовая причина. Удаление из основного хранилища не означает мгновенного удаления каждой записи у внешнего поставщика; его сроки и доступные механизмы могут отличаться.
Резервные копии.
Резервные копии используются для восстановления инфраструктуры, а не как рабочий архив пользователя. Текущий Railway PITR удерживает четыре еженедельные полные копии — примерно четыре недели по правилам провайдера. Ручные снимки контролируются отдельно; наша рабочая процедура ограничивает их хранение 30 днями. Мы не обещаем точное автоматическое удаление всех провайдерских копий на 30-й день.
Удалённые данные могут оставаться в копиях до их ротации или удаления. Перед возвратом восстановленной базы в работу необходимо повторно применить ранее принятые удаления по записям подтверждённых запросов.
Обработка в других странах.
Поставщики сервиса и измерительные партнёры могут обрабатывать информацию за пределами твоей страны, включая страны вне ЕЭЗ. Используются применимые договорные условия и механизмы защиты международной передачи. Мы не обещаем исключительно европейское размещение или одинаковые сроки хранения у всех поставщиков.
Правовые основания и доступные права зависят от применимого законодательства. Основная работа аккаунта, проверки и аудио связана с запрошенными функциями сервиса; необязательные аналитика и Ads основаны на отдельных согласиях.