Действует с 3 сентября 2026 года. Todi — платформа с играми и обучением для детей, семей и классов. Здесь написано, какие сведения о вас и о вашем ребёнке мы получаем, зачем они нужны, кому передаются и как их удалить. Мы описываем то, как сервис устроен на самом деле, а не то, как обычно пишут в таких документах. Правила пользования — в отдельном документе, [Пользовательское соглашение](/terms). Вопросы, просьбы об удалении и выгрузке данных — через форму обратной связи на сайте или письмом на info@todi.club.
Сервис ещё не достроен: разделы появляются, меняются и исчезают, а вместе с ними меняется и то, какие данные нужны. Поэтому эта политика будет меняться чаще, чем у зрелого сервиса, и описывает она положение дел на дату вверху, а не навсегда. Из этого следует и практическое: **не доверяйте Todi того, потеря чего для вас была бы значимой.** Мы делаем резервные копии и стараемся ничего не терять, но обещать сохранность на этапе беты было бы нечестно.
Начнём с этого, потому что оно важнее списков.
Яндекс.Метрики, Facebook Pixel, Sentry и любых иных сторонних систем наблюдения за посетителями.
памяти, чтобы ограничить частоту запросов, и никуда не записывается.
см. ниже.
детская, и запись — это отдельный разговор про согласие, которого мы не вели.
адрес. Почта необязательна, не является для нас опознавательным признаком и по ней мы никого не ищем.
два поля: постоянный идентификатор пользователя и подтверждённую почту.
@имя, цветоформления, значок или загруженная картинка профиля и обложка. Профиль по умолчанию закрыт и не виден посторонним.
браузер предлагает сам, вы их подтверждаете. Дата рождения нужна ровно для одного — вычислить год обучения в мини-школе на 1 сентября, чтобы ребёнок получил программу своего возраста.
активности, суммарное время на платформе, ваши настройки, выданные вам права.
Ребёнка заводит взрослый в разделе «Семья». Устроена такая запись иначе:
видит и передаёт ему родитель.
что к нему привязано.
Мы не проверяем возраст при регистрации и не собираем отдельного согласия родителя, кроме самого факта, что учётную запись ребёнка заводит взрослый из своей. Ограничение даты рождения диапазоном от 3 до 100 лет — защита от опечатки, а не возрастной ценз.
не сам ключ, а его необратимая свёртка, рядом — строка вашего браузера (обрезанная) и срок действия. Сессия живёт 90 дней.
иначе по ссылке нельзя было бы войти. Обращайтесь с такой ссылкой как с паролем: у кого она есть, тот и войдёт.
помечается, но прежний текст не сохраняется — истории версий у нас нет.
и написанный ребёнком текст.
родителю. Отдельного хранилища у отчёта нет, он считается по этим же данным.
не вошли в учётную запись.
Объектного хранилища у нас нет. Большая часть загруженного — картинки профиля и обложки, изображения в переписке и на доске, карточки, архивы игр и фотографии детских работ — хранится байтами внутри самой базы данных и попадает в её обычную резервную копию. Отдельно, файлами на диске сервера, лежат только файлы доски класса и звук с документами загруженных материалов. Резервное копирование выполняется средствами сервера.
Получателей мало, и по каждому мы говорим, что именно уходит.
При входе через Google мы проверяем выданный им токен и берём из него идентификатор и подтверждённую почту. Дальше работает наша собственная сессия.
Только по вашему явному действию. Наружу уезжают: название урока с названием класса, заметка к уроку, ссылка на него, время и часовой пояс. Список участников в событие не записывается никогда — иначе Google разослал бы приглашения на адреса, которых мы ему не давали. Ключ продления доступа хранится у нас в зашифрованном виде.
Это самая существенная передача данных, и мы просим прочитать её внимательно. Помощник Тоди работает на модели Google Gemini. Когда вы или ваш ребёнок пишете Тоди, в Google уходят: вся переписка с помощником целиком, возрастная группа, язык, роль и адрес открытой страницы. Перед отправкой мы подменяем то, что подставляем сами: имя, ссылку @имя и названия классов заменяют метки вида [[ИМЯ1]]. **Но это не защищает свободный текст.** Если ребёнок напишет «меня зовут Маша, я живу в таком-то городе», это уйдёт в Google дословно. Сейчас мы используем бесплатный тариф Google. По его условиям **содержание переписки может просматриваться сотрудниками Google и использоваться для улучшения их продуктов, в том числе для обучения моделей**. Мы считаем это временным положением и намерены его пересмотреть, но обязаны сказать о нём прямо сейчас. Помощник доступен не всем: он включается отдельным правом. Если вы не хотите, чтобы данные вашего ребёнка попадали в Google, **не пользуйтесь помощником Тоди** и объясните это ребёнку.
Отправляется одно письмо — ваше обращение из формы поддержки, с вашим адресом для ответа.
Если вы разрешили уведомления, служба вашего браузера — Google, Mozilla или Apple, в зависимости от браузера — видит адрес доставки и факт отправки. Содержимое уведомления зашифровано и ей недоступно.
Разговор идёт между участниками напрямую, а когда прямое соединение невозможно — через наш собственный промежуточный сервер, который стоит рядом с платформой и не принадлежит третьим лицам. Учётные данные к нему временные, на один час. Публичный сервер определения адреса не получает ни байта разговора. Запись не ведётся.
Игры, загруженные пользователями, могут подключать шрифты Google. Это значит, что при открытии такой игры IP-адрес и сведения о браузере вашего ребёнка попадут на серверы Google. Загрузка сторонних сценариев и обращения к любым другим внешним адресам из таких игр запрещены нами навсегда.
профиля видны только счётчики без имён; проведённые часы показываются лишь у преподавателей.
план дня и отчёт.
посещаемость и прогресс, а при связанном классе — план и отчёт мини-школы. Заметки преподавателя об ученике видит только он сам.
и число детей. Вход администратора «от имени» другого человека протоколируется. О чём важно знать родителю: переписка в классах и комнатах не проходит модерации. В комнату владелец может пригласить любого человека ссылкой, в том числе не имеющего учётной записи. Если ваш ребёнок пользуется классами и комнатами, он может переписываться со взрослыми, которых пригласили туда не вы.
шага: убрать, вернуть, стереть. В архиве они лежат 7 дней, после чего стираются безвозвратно.
ежедневно.
задания, пункты плана, работы ребёнка, переписка — удаляются следом.
владельца удаляются.
Вы вправе узнать, какие данные о вас у нас есть, потребовать их исправления или удаления, отозвать согласие и возразить против обработки. Скажем прямо, как это работает сегодня: кнопки «скачать мои данные» и «удалить учётную запись» в интерфейсе пока нет. Напишите нам через форму обратной связи, и мы сделаем это вручную. Учётную запись ребёнка родитель может удалить сам, из раздела «Семья», в любой момент. Мы понимаем, что автоматические выгрузка и удаление — это не удобство, а ваше право, и намерены их добавить.
Мы можем менять эту политику. Дата вверху документа показывает, когда изменялась последняя редакция. О существенных изменениях мы сообщим в интерфейсе.
Через форму обратной связи на сайте или письмом на info@todi.club. Мы отвечаем на просьбы об удалении и выгрузке данных.