Политика обработки персональных данных

Какие данные собирает сайт, зачем они нужны, сколько хранятся и как их удалить.

Редакция от 6 октября 2026 г.

Этот документ рассказывает, какие данные собирает сайт Penlab (https://penlab.space), зачем они нужны, сколько хранятся и как их удалить. Он составлен по требованиям Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и доступен всем без ограничений.

1. Кто обрабатывает данные

Оператор персональных данных — владелец сайта, он назван в разделе 12. Дальше в тексте — «Администрация сайта».

Адрес для запросов о персональных данных и юридически значимых сообщений: penlab.legal@yandex.com. Сведения о владельце — на странице Сведения о владельце сайта.

Penlab — бесплатный некоммерческий сервис. Писать код в редакторе и открывать чужие пены можно без аккаунта; аккаунт нужен, чтобы сохранять пены, делать форки и ставить лайки.

2. Какие данные мы получаем

Что вы вводите сами

Адрес электронной почты — при входе. На него приходит код.
Имя пользователя (username) — вы выбираете его при первом входе и можете сменить в профиле.
Описание профиля (bio) — по желанию, до 200 символов.
Язык интерфейса — русский или английский.
Пены — код HTML, CSS и JavaScript, названия пенов, ваши лайки.

Паролей на сайте нет: каждый вход подтверждается одноразовым кодом из письма.

Что сайт записывает автоматически

Даты регистрации и последнего входа, дата и редакция согласия на обработку персональных данных.
Сессия входа: IP-адрес и строка браузера (User-Agent), с которых выполнен вход, время последней активности. Сам ключ сессии в базе не хранится — только его хеш.
Коды входа: адрес почты, на который отправлен код, IP-адрес запроса, хеш кода. Сам код в базе не хранится.
Счётчики защиты от перебора и злоупотреблений: число запросов за последнее время, привязанное к IP-адресу или к хешу адреса почты.
Статистика посещений. При открытии страницы сайт сохраняет: дату, страну (определяется по IP-адресу по локальному справочнику), тип устройства, операционную систему и браузер (из User-Agent), язык браузера, сайт, с которого вы пришли (только имя хоста), раздел сайта и число просмотров за день. Сам IP-адрес в статистику не записывается. Вместо него хранится суточный хеш: он меняется каждый день, и по нему нельзя связать визиты разных дней. Если вы вошли в аккаунт, визит помечается как визит участника.
Журналы. Копии отправленных писем (в них есть адрес получателя), журнал запросов к API (время, адрес запроса, результат, номер аккаунта), журнал ошибок сайта.

Сайт не собирает специальные категории персональных данных (о здоровье, убеждениях и подобном) и биометрические данные и просит не размещать такие сведения в пенах и профиле.

3. Зачем нужны данные и на каком основании

Создать аккаунт и пускать вас в него — адрес почты, username, сессия, коды входа. Основание — ваше согласие на обработку персональных данных (пункт 1 части 1 статьи 6 Закона № 152-ФЗ) и исполнение Пользовательского соглашения, которое вы принимаете при входе (пункт 5 части 1 статьи 6).
Хранить и показывать ваши пены — код, названия, лайки, username, описание профиля. Основание — исполнение Пользовательского соглашения.
Отправлять служебные письма — код входа, подтверждение нового адреса, уведомление о смене адреса или о блокировке. Рекламных писем сайт не отправляет.
Защищать сайт от перебора кодов, спама и злоупотреблений — IP-адрес, счётчики запросов, журналы. Основание — законный интерес Администрации сайта и других пользователей (пункт 7 части 1 статьи 6).
Понимать, как пользуются сайтом — обезличенная статистика посещений. Основание — законный интерес Администрации сайта.

Решений, которые принимаются только автоматически и порождают для вас юридические последствия, сайт не принимает.

4. Что видно всем, а что нет

Публично: username, описание профиля, ваши пены (код, название, число лайков и просмотров), страница профиля со списком пенов. Пен открывается у любого, у кого есть ссылка, и может попасть на витрину сайта.

Не публикуется: адрес электронной почты, IP-адрес, данные о сессиях и входах. Их видит только Администрация сайта.

Не размещайте в пенах, username и описании профиля сведения, которые не хотите делать общедоступными, и чужие персональные данные.

5. Сколько хранятся данные

Аккаунт (почта, username, описание, язык, даты, отметка о согласии) — пока вы не удалите аккаунт.
Пены и лайки — пока вы не удалите пен или аккаунт.
Сессия входа — 30 дней с последней активности; при выходе удаляется сразу.
Коды входа — код действует 10 минут, запись о нём удаляется через сутки.
Счётчики защиты — до суток.
Регистрация, не доведённая до выбора username — 7 дней, после чего удаляется.
Статистика посещений — 400 дней.
Копии отправленных писем — 7 дней. Журналы ошибок и запросов — 30 дней.
Резервные копии базы — до 8 недель. Удалённые данные исчезают из копий по мере их замены.

6. Кому передаются данные

Администрация сайта не продаёт данные и не передаёт их для рекламы. Данные получают только те, без кого сайт не может работать:

Хостинг-провайдер — Timeweb, серверы находятся в России (дата-центр в Санкт-Петербурге: 195197, ул. Жукова, д. 43). На его серверах размещены сайт и база данных.
Почтовый сервис — Яндекс Почта, Россия. Через него уходят письма; он получает ваш адрес почты и текст письма с кодом.

Внешних счётчиков посещаемости, рекламных сетей, сторонних шрифтов и скриптов на страницах сайта нет. Справочник стран для статистики хранится на сервере сайта, запросов к сторонним сервисам при его использовании не делается.

Оба сервиса работают в России, база данных сайта размещена на территории России. Трансграничная передача персональных данных не осуществляется.

Данные могут быть раскрыты государственным органам — только по их законному требованию.

Код пенов. Пен — это программа, написанная его автором. Она выполняется в вашем браузере в изолированной рамке и может сама загружать ресурсы со сторонних сайтов (картинки, шрифты, скрипты). Такие сайты получают ваш IP-адрес, как при любом посещении. Администрация сайта этими запросами не управляет.

7. Как защищены данные

соединение с сайтом идёт по HTTPS;
паролей нет, вход — по одноразовому коду, который действует 10 минут и даёт 5 попыток ввода;
в базе хранятся хеши ключей сессий и кодов, а не они сами;
cookie сессии недоступна скриптам страницы (HttpOnly) и передаётся только по HTTPS;
код пенов выполняется в изолированной рамке и не имеет доступа к вашему аккаунту;
число запросов кода и попыток входа ограничено;
доступ к базе и журналам есть только у Администрации сайта.

8. Ваши права

Вы можете:

узнать, какие ваши данные обрабатываются, и получить их копию;
исправить данные — username, описание и адрес почты меняются в профиле;
удалить данные — кнопка удаления аккаунта в профиле. Вместе с аккаунтом удаляются ваши пены, лайки, сессии и коды входа. Форки ваших пенов, сделанные другими участниками, остаются у них — без указания на исходный пен;
отозвать согласие на обработку персональных данных — удалив аккаунт или написав на penlab.legal@yandex.com;
пожаловаться в Роскомнадзор (rkn.gov.ru) или в суд, если считаете, что ваши права нарушены.

Запрос отправляйте на penlab.legal@yandex.com с адреса, к которому привязан аккаунт, — так мы убедимся, что пишете именно вы. Ответ придёт в течение 10 рабочих дней. Если согласие отозвано, данные удаляются в срок до 30 дней, кроме тех, что закон обязывает хранить дольше.

Сайт использует только технические cookie и хранилище браузера — без них не работают вход и настройки редактора. Подробно — в Политике использования cookie.

10. Дети

Сайт рассчитан на пользователей от 14 лет. Тем, кто младше, аккаунт можно создавать только с согласия родителей или других законных представителей. Если вы узнали, что ребёнок зарегистрировался без такого согласия, напишите на penlab.legal@yandex.com — аккаунт будет удалён.

11. Изменение политики

Политика меняется, когда меняется сайт или закон. Новая редакция публикуется на этой странице с новой датой и действует с момента публикации. Если изменения затрагивают то, на что вы давали согласие, сайт попросит согласие заново при следующем входе.

12. Оператор

Оператор персональных данных — индивидуальный предприниматель Харин Юрий Анатольевич. Остальные сведения и адреса для связи — на странице Сведения о владельце сайта.