Политика конфиденциальности

Действует с 3 сентября 2026 года. Todi — платформа с играми и обучением для детей, семей и классов. Здесь написано, какие сведения о вас и о вашем ребёнке мы получаем, зачем они нужны, кому передаются и как их удалить. Мы описываем то, как сервис устроен на самом деле, а не то, как обычно пишут в таких документах. Правила пользования — в отдельном документе, [Пользовательское соглашение](/terms). Вопросы, просьбы об удалении и выгрузке данных — через форму обратной связи на сайте или письмом на info@todi.club.

Todi работает в режиме бета-тестирования

Сервис ещё не достроен: разделы появляются, меняются и исчезают, а вместе с ними меняется и то, какие данные нужны. Поэтому эта политика будет меняться чаще, чем у зрелого сервиса, и описывает она положение дел на дату вверху, а не навсегда. Из этого следует и практическое: **не доверяйте Todi того, потеря чего для вас была бы значимой.** Мы делаем резервные копии и стараемся ничего не терять, но обещать сохранность на этапе беты было бы нечестно.

Чего мы не делаем

Начнём с этого, потому что оно важнее списков.

Яндекс.Метрики, Facebook Pixel, Sentry и любых иных сторонних систем наблюдения за посетителями.

памяти, чтобы ограничить частоту запросов, и никуда не записывается.

см. ниже.

детская, и запись — это отдельный разговор про согласие, которого мы не вели.

Какие данные мы получаем

Учётная запись взрослого

адрес. Почта необязательна, не является для нас опознавательным признаком и по ней мы никого не ищем.

два поля: постоянный идентификатор пользователя и подтверждённую почту.

оформления, значок или загруженная картинка профиля и обложка. Профиль по умолчанию закрыт и не виден посторонним.

браузер предлагает сам, вы их подтверждаете. Дата рождения нужна ровно для одного — вычислить год обучения в мини-школе на 1 сентября, чтобы ребёнок получил программу своего возраста.

активности, суммарное время на платформе, ваши настройки, выданные вам права.

Учётная запись ребёнка

Ребёнка заводит взрослый в разделе «Семья». Устроена такая запись иначе:

видит и передаёт ему родитель.

что к нему привязано.

Мы не проверяем возраст при регистрации и не собираем отдельного согласия родителя, кроме самого факта, что учётную запись ребёнка заводит взрослый из своей. Ограничение даты рождения диапазоном от 3 до 100 лет — защита от опечатки, а не возрастной ценз.

Вход

не сам ключ, а его необратимая свёртка, рядом — строка вашего браузера (обрезанная) и срок действия. Сессия живёт 90 дней.

иначе по ссылке нельзя было бы войти. Обращайтесь с такой ссылкой как с паролем: у кого она есть, тот и войдёт.

Что вы создаёте сами

помечается, но прежний текст не сохраняется — истории версий у нас нет.

и написанный ребёнком текст.

родителю. Отдельного хранилища у отчёта нет, он считается по этим же данным.

не вошли в учётную запись.

Где всё это физически лежит

Объектного хранилища у нас нет. Большая часть загруженного — картинки профиля и обложки, изображения в переписке и на доске, карточки, архивы игр и фотографии детских работ — хранится байтами внутри самой базы данных и попадает в её обычную резервную копию. Отдельно, файлами на диске сервера, лежат только файлы доски класса и звук с документами загруженных материалов. Резервное копирование выполняется средствами сервера.

Кому мы передаём данные

Получателей мало, и по каждому мы говорим, что именно уходит.

Google — вход

При входе через Google мы проверяем выданный им токен и берём из него идентификатор и подтверждённую почту. Дальше работает наша собственная сессия.

Google Календарь — если вы его подключили

Только по вашему явному действию. Наружу уезжают: название урока с названием класса, заметка к уроку, ссылка на него, время и часовой пояс. Список участников в событие не записывается никогда — иначе Google разослал бы приглашения на адреса, которых мы ему не давали. Ключ продления доступа хранится у нас в зашифрованном виде.

Google Gemini — помощник Тоди

Это самая существенная передача данных, и мы просим прочитать её внимательно. Помощник Тоди работает на модели Google Gemini. Когда вы или ваш ребёнок пишете Тоди, в Google уходят: вся переписка с помощником целиком, возрастная группа, язык, роль и адрес открытой страницы. Перед отправкой мы подменяем то, что подставляем сами: имя, ссылку @имя и названия классов заменяют метки вида [[ИМЯ1]]. **Но это не защищает свободный текст.** Если ребёнок напишет «меня зовут Маша, я живу в таком-то городе», это уйдёт в Google дословно. Сейчас мы используем бесплатный тариф Google. По его условиям **содержание переписки может просматриваться сотрудниками Google и использоваться для улучшения их продуктов, в том числе для обучения моделей**. Мы считаем это временным положением и намерены его пересмотреть, но обязаны сказать о нём прямо сейчас. Помощник доступен не всем: он включается отдельным правом. Если вы не хотите, чтобы данные вашего ребёнка попадали в Google, **не пользуйтесь помощником Тоди** и объясните это ребёнку.

Почтовый сервер

Отправляется одно письмо — ваше обращение из формы поддержки, с вашим адресом для ответа.

Push-уведомления

Если вы разрешили уведомления, служба вашего браузера — Google, Mozilla или Apple, в зависимости от браузера — видит адрес доставки и факт отправки. Содержимое уведомления зашифровано и ей недоступно.

Звонки

Разговор идёт между участниками напрямую, а когда прямое соединение невозможно — через наш собственный промежуточный сервер, который стоит рядом с платформой и не принадлежит третьим лицам. Учётные данные к нему временные, на один час. Публичный сервер определения адреса не получает ни байта разговора. Запись не ведётся.

Единственная утечка адреса наружу

Игры, загруженные пользователями, могут подключать шрифты Google. Это значит, что при открытии такой игры IP-адрес и сведения о браузере вашего ребёнка попадут на серверы Google. Загрузка сторонних сценариев и обращения к любым другим внешним адресам из таких игр запрещены нами навсегда.

Кто видит данные внутри платформы

профиля видны только счётчики без имён; проведённые часы показываются лишь у преподавателей.

план дня и отчёт.

посещаемость и прогресс, а при связанном классе — план и отчёт мини-школы. Заметки преподавателя об ученике видит только он сам.

и число детей. Вход администратора «от имени» другого человека протоколируется. О чём важно знать родителю: переписка в классах и комнатах не проходит модерации. В комнату владелец может пригласить любого человека ссылкой, в том числе не имеющего учётной записи. Если ваш ребёнок пользуется классами и комнатами, он может переписываться со взрослыми, которых пригласили туда не вы.

Сколько данные хранятся

шага: убрать, вернуть, стереть. В архиве они лежат 7 дней, после чего стираются безвозвратно.

ежедневно.

задания, пункты плана, работы ребёнка, переписка — удаляются следом.

владельца удаляются.

Ваши права

Вы вправе узнать, какие данные о вас у нас есть, потребовать их исправления или удаления, отозвать согласие и возразить против обработки. Скажем прямо, как это работает сегодня: кнопки «скачать мои данные» и «удалить учётную запись» в интерфейсе пока нет. Напишите нам через форму обратной связи, и мы сделаем это вручную. Учётную запись ребёнка родитель может удалить сам, из раздела «Семья», в любой момент. Мы понимаем, что автоматические выгрузка и удаление — это не удобство, а ваше право, и намерены их добавить.

Изменения

Мы можем менять эту политику. Дата вверху документа показывает, когда изменялась последняя редакция. О существенных изменениях мы сообщим в интерфейсе.

Как с нами связаться

Через форму обратной связи на сайте или письмом на info@todi.club. Мы отвечаем на просьбы об удалении и выгрузке данных.

Игры для компании и обучение для детей