Конфиденциальность

Аккаунт и способы входа

Выбранный провайдер передаёт идентификатор аккаунта, email и доступное имя. Они нужны для входа и разделения пользователей. Google запрашивает только openid, email и profile, без доступа к Google Drive и Google Sheets. Для входа через Google аккаунт ChatGPT не требуется. При входе по email Кинотека отправляет восьмизначный одноразовый код через Brevo. Адрес и текст служебного письма передаются Brevo только для доставки. Код вводится на сайте, действует 10 минут и допускает пять попыток. В базе хранится его криптографический HMAC, а не сам код. Пароль почты сайту не нужен. Для защиты от автоматических отправок используется Cloudflare Turnstile; действуют ограничения частоты отправки.

Знакомый способ открывает сохранённый профиль. При первом входе с новым email профиль создаётся автоматически. Если подтверждённый email совпадает с email существующего профиля, сайт предлагает связать аккаунты или создать отдельную Кинотеку. Автоматической привязки по email нет: для связи требуется подтверждение второго входа.

При таком совпадении вошедшему владельцу этого email показываются имя, юзернейм, аватар и счётчики фильмов, оценок и отзывов найденного профиля, в том числе закрытого. Сами фильмы, оценки и тексты этим экраном не раскрываются.

Аккаунты с разными email можно объединить в профиле, подтвердив владение вторым аккаунтом. Если существуют два профиля, пользователь явно выбирает один: другой профиль архивируется без удаления личных данных и без переноса их в оставленный. Все подтверждённые способы входа открывают оставленный профиль; его данные и настройки не меняются. Эта операция не запускает повторный перенос из таблиц.

Веб-сессия хранится в защищённом HttpOnly cookie. Выход завершает текущую сессию Кинотеки, но не выходит из Google или ChatGPT в других приложениях.

Личные данные и общий каталог

Оценки, отзывы, персональные аннотации, список «Смотреть позже» и память вкусов сохраняются на сервере в зашифрованных личных записях. Карточки фильмов — название, год, описание, постер и внешние рейтинги — общие для всех. Личные тексты не становятся частью общего каталога.

При подключении обновлённого плагина через OAuth ты входишь в нужный профиль на сайте и отдельно подтверждаешь доступ приложения к его данным. Можно использовать любой способ входа, подключённый к этому профилю; связывать его с аккаунтом ChatGPT для такого подключения не требуется. Установка плагина сама по себе не связывает аккаунты. Прежний встроенный плагин Sites использует подтверждённую привязку аккаунта ChatGPT.

OAuth-подключение хранит владельца, разрешения, сроки и сведения об отзыве доступа; коды и токены сохраняются как необратимые отпечатки. Подключение можно отозвать в профиле. Выход из исходной веб-сессии, истечение её срока или изменение защиты профиля также прекращают это подключение.

Плагин и ChatGPT

Когда ты обращаешься к подключённому плагину, Кинотека возвращает ChatGPT данные, запрошенные его инструментами в рамках доступа твоего аккаунта. В зависимости от задачи это могут быть фильмы, оценки, отзывы, персональные аннотации, список «Смотреть позже», память вкусов, профиль и доступные сведения о друзьях. ChatGPT использует полученные данные, чтобы ответить на запрос, например подобрать фильмы или объяснить рекомендацию.

Данные, переданные ChatGPT, обрабатываются OpenAI в соответствии с применимыми условиями сервиса и настройками твоего аккаунта: политика конфиденциальности OpenAI и условия использования OpenAI. Удаление записи из Кинотеки не удаляет уже переданные сообщения и результаты из истории ChatGPT. Управлять ими нужно отдельно в ChatGPT.

Поиск и внешние сервисы

Сайт размещён в OpenAI Sites. Поисковые названия и ID фильмов могут отправляться ПоискКино API, Kinopoisk Unofficial и OMDb. Личные оценки, отзывы и память вкусов этим сервисам не отправляются. Постеры загружаются по адресам поставщиков киноинформации.

Личный ключ поиска хранится зашифрованным. Его использование другими пользователями из общего пула возможно только с отдельного согласия. Отключение ключа удаляет его из Кинотеки; для отзыва самого ключа используй настройки поставщика.

Профиль, друзья и ссылки

Новый профиль закрыт по умолчанию. Можно открыть оценки всем, только вошедшим или оставить доступ только себе. Дружба не обходит приватность. Личные отзывы, аннотации, память вкусов и email не включаются в публичные ответы.

Доступ к списку «Смотреть позже» настраивается отдельно. Ссылки на оценки соблюдают приватность и могут быть отозваны. Ссылки архивированного при объединении профиля перестают открываться; ссылки оставленного профиля сохраняются. Уже увиденную посетителем информацию отозвать нельзя.

Сохранение и удаление

Успешная запись подтверждает сохранение на сервере. При одновременной правке проверяется прежнее значение, чтобы не затереть другое изменение.

Прежние данные подключённых аккаунтов переносятся из сохранённых серверных копий. При обычной работе архивы сохраняются для восстановления; после успешного переноса прежние токены доступа к Google-файлам очищаются. Это архивный механизм, а не синхронизация. Файлы на Google Диске не изменяются и не удаляются.

При подтверждённом объединении личные записи второго профиля сохраняются в базе как закрытый неизменяемый архив. Они не доступны через публичные ссылки и не переносятся в оставленный профиль. Техническая связь прежнего идентификатора с оставленным профилем предотвращает повторное создание прежнего аккаунта. Старые сессии обоих профилей отзываются; сохраняется новая сессия выбранного профиля.

Для быстрых переходов ответы временно сохраняются в sessionStorage вкладки отдельно для каждого аккаунта и очищаются при выходе. Основные данные находятся на сервере. Ошибка загрузки не представляется пустой коллекцией.

Статистика

Для статистики браузер получает случайный идентификатор в localStorage. Сервер сохраняет его необратимый отпечаток, тип страницы и время просмотра. Параметры URL, тексты, оценки и ключи в аналитику не включаются. События хранятся до 90 дней и доступны владельцу и назначенным администраторам в агрегированном виде.

Passkeys

Ключ добавляется только к уже существующему профилю после недавнего подтверждённого входа. На сервере сохраняются публичный ключ, случайный идентификатор, счётчик, название и даты добавления, использования и отключения. Отпечаток, изображение лица, PIN и закрытый ключ Кинотека не получает: подтверждение выполняется устройством или менеджером ключей.

Passkeys действуют только для kinoteka.drestoonplaya.com. Их можно переименовать и отключить в профиле → Данные и поиск → Безопасность. Отключение отзывает сессии этого ключа и сохраняет запись об отключении. Последний работающий способ входа отключить нельзя. При подтверждённом объединении ключи обоих профилей принадлежат выбранному профилю; отключённые ключи не восстанавливаются.

Двухэтапная защита

TOTP подключается добровольно в настройках безопасности после недавнего входа. Секрет аутентификатора хранится зашифрованным; QR-код формируется на сервере без передачи стороннему сервису. Секрет и QR доступны только во время настройки. Защита включается после проверки кода. Сохраняются последний принятый временной шаг, ограничители попыток и версия безопасности для отзыва старых сессий.

Десять резервных кодов показываются один раз; в базе хранятся только их необратимые отпечатки и отметки использования. Повторное использование кода запрещено. Сброс при потере телефона требует подтверждённого обычного входа и резервного кода с явным выбором отключения TOTP. Изменения защиты меняют токен сессии и отзывают прежние сессии. Коды, секреты и QR не записываются в URL, журналы или клиентское хранилище.

При объединении остаётся защита выбранного профиля; секрет второго не переносится и остаётся в недоступном архиве. Каждый защищённый профиль подтверждается своим вторым фактором. Обновлённый OAuth-плагин получает доступ только после входа на сайте с необходимым вторым фактором; код аутентификатора и резервные коды приложению не передаются. Прежний встроенный канал Sites не предоставляет независимое подтверждение второго фактора и остаётся недоступным профилям с TOTP.

Служебные письма

Письма с кодом не являются рекламной рассылкой. Данные доставки обрабатывает Brevo. Сайт сохраняет подтверждение действующих версий условий и политики после успешного подтверждённого входа. Код не включается в адрес ссылки, тему письма, аналитику или клиентское хранилище.

Обращения

Вопросы по данным и запросы на удаление: [email protected].