1. Кто обрабатывает данные

Оператором персональных данных является ООО «ЛПВ-ГРУПП», ИНН 7325111355, КПП 732501001, ОГРН 1127325001022, адрес: 432000, Ульяновская область, г. Ульяновск, ул. Гончарова, д. 42.

Контакт для обращений пользователей и вопросов о персональных данных: support@onlytwoapp.ru.

2. Где применяется политика

Политика применяется к сайту https://onlytwoapp.ru, мобильному приложению OnlyTwo, backend-сервисам OnlyTwo, поддержке, разовой покупке «Магия пары», подписке «Искра+» и связанным сценариям оплаты.

OnlyTwo не является универсальным чатом или социальной сетью. Основной продуктовый сценарий - приватное пространство ровно для двух связанных пользователей.

3. Какие данные мы обрабатываем

В зависимости от используемых функций OnlyTwo может обрабатывать:

• данные аккаунта: email или телефон, пароль в виде хеша, отображаемое имя, идентификатор пользователя, даты создания и обновления аккаунта;
• данные авторизации: коды подтверждения в хешированном виде, сессионные токены в хешированном виде, статусы сессий, сроки действия сессий;
• данные пары: идентификаторы пользователей в активной паре, короткий ID пары, статус пары, дата создания пары, статус доступа FREE, TRIAL, MAGIC, «Искра+» или иной доступный статус, дата начала и окончания пробного расширенного доступа;
• данные взаимодействий внутри пары: сигналы внимания, предложения активностей, быстрые ответы, завершенные события, лапки, календарные даты, вишлист, выбранные пользователем фотографии для раздела «История нашей пары», подписи, даты фото и связанные отметки времени;
• данные ассистента Искры+: ответы анкеты ассистента пары, предпочтения по подаркам и идеям, текст пользовательского запроса или описания ситуации, выбранный фокус подсказки и сгенерированные ассистентские ответы;
• данные устройства для уведомлений: push-токен, платформа устройства, версия приложения, статус регистрации устройства, время последнего обновления;
• данные поддержки: email или иной контакт, текст обращения, технический контекст, нужный для разбора запроса;
• данные клиентских ошибок: описание ошибки, технические параметры запроса или экрана, время события, а также привязку к пользователю, если запрос был отправлен с действующей авторизацией;
• данные оплаты: ID пары, локальный номер заказа, сумма, валюта, тип продукта или подписки, срок доступа, статус заказа, идентификаторы и статусы платежного провайдера, технический журнал webhook-событий и результат их обработки.

При добавлении фотографий в раздел «История нашей пары» пользователь самостоятельно выбирает изображения через системный интерфейс устройства. OnlyTwo получает доступ только к выбранным пользователем файлам и не сканирует фотопленку устройства без отдельного разрешения.

OnlyTwo не собирает биометрические данные, специальные категории персональных данных, данные банковской карты и детальную телеметрию устройства сверх того, что нужно для работы приложения, уведомлений, фотоальбома пары и диагностики ошибок.

4. Зачем нужны данные

Мы обрабатываем данные, чтобы:

• создавать аккаунт, выполнять вход, поддерживать сессию и восстановление доступа;
• создавать и обслуживать приватную пару из двух пользователей;
• показывать историю взаимодействий, предложения, ответы, календарь, вишлист, лапки, достижения, коллекцию и статус партнера;
• загружать, хранить, сжимать, отображать, редактировать метаданные и удалять выбранные пользователем фотографии в разделе «История нашей пары»;
• обеспечивать работу Искры+: дополнительные идеи, вопросы, мини-игры, ассистентские подсказки и иные расширенные сценарии пары, в том числе генерировать подсказки с использованием AI-поставщика;
• доставлять push-уведомления и realtime-события внутри пары;
• предоставлять и завершать 3-дневный пробный расширенный доступ при создании новой активной пары;
• обрабатывать покупку цифровой опции «Магия пары», подписку «Искра+», статусы заказов, webhook-события, возвраты, отмены подписок и спорные ситуации;
• отвечать на обращения поддержки, исправлять ошибки и защищать сервис от злоупотреблений;
• выполнять требования законодательства, договоров с платежными и инфраструктурными поставщиками.

5. Правовые основания

Обработка выполняется на основании согласия пользователя, необходимости исполнения пользовательского сценария или договора, законного интереса по обеспечению безопасности и стабильности сервиса, а также требований применимого законодательства.

Пользователь может не предоставлять необязательные данные, но часть функций OnlyTwo без нужных данных работать не сможет: например, аккаунт требует идентификатор для входа, а push-уведомления требуют push-токен устройства.

6. Передача третьим лицам

Мы не продаем персональные данные и не передаем их для публичных социальных функций. Доступ к данным может предоставляться только в объеме, необходимом для работы сервиса:

• платежному провайдеру ЮKassa - для проведения оплат, подписок, отмен, возвратов и разборов спорных ситуаций;
• поставщикам push-уведомлений - для доставки уведомлений на устройство;
• инфраструктурным поставщикам, хостингу, Kubernetes-кластеру, базе данных, Selectel Object Storage/S3 для выбранных фотографий и системам мониторинга - для размещения и поддержки сервиса;
• поставщикам AI-сервисов, включая YandexGPT/Yandex Cloud, - для генерации ассистентских подсказок Искры+ по пользовательскому запросу;
• уполномоченным государственным органам - если это требуется по закону.

При использовании AI-функций Искры+ OnlyTwo может передавать AI-поставщику только контекст, необходимый для конкретной подсказки: ответы анкеты, текст запроса, выбранный фокус и связанные данные пары. В такие запросы не включаются пароль, сессионные токены, платежные реквизиты и данные банковской карты.

Данные банковской карты вводятся на стороне платежного провайдера и не сохраняются в основной базе данных OnlyTwo.

7. Хранение и удаление

Мы храним данные не дольше, чем это нужно для целей обработки, работы аккаунта, активной пары, истории взаимодействий, поддержки, платежного учета, безопасности и выполнения требований закона.

• история взаимодействий хранится как приватная история пары;
• истекшие или отозванные сессии и временные коды подлежат очистке после технологического окна хранения;
• push-токены могут быть отключены или удалены, если устройство больше не используется или токен стал недействительным;
• фотографии альбома хранятся в объектном хранилище, а в базе данных сохраняются метаданные и ключ объекта; при удалении фотографии или аккаунта удаляются объект и связанные метаданные, если дальнейшее хранение не требуется по закону или для защиты прав и законных интересов;
• платежные записи, статусы подписок и webhook-журнал хранятся столько, сколько нужно для учета, споров, возвратов, отмен подписок и требований законодательства;
• по запросу пользователя мы рассмотрим возможность удаления или обезличивания данных, если их дальнейшее хранение не требуется по закону или для защиты прав и законных интересов.

8. Безопасность

OnlyTwo применяет организационные и технические меры для защиты данных: ограничение доступа к backend API, проверку прав участника пары, хранение паролей и сессионных токенов в хешированном виде, TLS для публичных endpoints, секреты вне кода, контроль логирования и минимизацию данных в операционных журналах.

Push-уведомления формулируются так, чтобы не раскрывать лишнее приватное содержание на экране устройства.

9. Права пользователя

Пользователь может обратиться в OnlyTwo, чтобы:

• получить информацию об обработке своих персональных данных;
• уточнить, обновить или исправить данные профиля;
• попросить удалить аккаунт или отдельные данные, если это технически и юридически возможно;
• отозвать согласие на обработку данных в случаях, где обработка основана на согласии;
• задать вопрос о безопасности, поддержке, оплате, подписке, возврате или удалении аккаунта.

Для обращения напишите на support@onlytwoapp.ru. Чтобы защитить аккаунт, мы можем попросить подтвердить, что запрос отправил владелец соответствующего аккаунта.

10. Изменения политики

Мы можем обновлять эту политику при изменении продукта, платежных сценариев, подписки Искра+, инфраструктуры или требований законодательства. Новая версия публикуется на странице https://onlytwoapp.ru/privacy/ с новой датой публикации.

1. Who processes the data

The personal data operator is LPV-GRUPP, OOO, INN 7325111355, KPP 732501001, OGRN 1127325001022, address: 42 Goncharova St., Ulyanovsk, Ulyanovsk Region, 432000, Russian Federation.

Contact for user requests and personal data questions: support@onlytwoapp.ru.

2. Where this policy applies

This policy applies to https://onlytwoapp.ru, the OnlyTwo mobile app, OnlyTwo backend services, support, the one-time Magic purchase, the Spark+ subscription, and related payment scenarios.

OnlyTwo is not a general chat or social network. The core product scenario is a private space for exactly two connected users.

3. What data we process

Depending on the features used, OnlyTwo may process:

• account data: email or phone, password hash, display name, user identifier, account creation and update dates;
• authentication data: hashed confirmation codes, hashed session tokens, session statuses, and expiration dates;
• pair data: identifiers of users in the active pair, short pair ID, pair status, creation date, FREE, TRIAL, MAGIC, Spark+, or other available access status, and trial access start and end dates;
• interaction data inside the pair: attention signals, activity proposals, quick responses, completed events, Paws events, calendar dates, wishlist items, photos selected by the user for Pair history, captions, photo dates, and related timestamps;
• Spark+ assistant data: pair assistant questionnaire answers, gift and date preferences, text of the user's request or situation, selected prompt focus, and generated assistant responses;
• device data for notifications: push token, device platform, app version, device registration status, and last update time;
• support data: email or other contact, support request text, and technical context needed to process the request;
• client error data: error description, technical request or screen parameters, event time, and user reference when the request is sent with active authorization;
• payment data: pair ID, local order number, amount, currency, product or subscription type, access term, order status, payment provider identifiers and statuses, webhook event logs, and processing results.

When adding photos to Pair history, the user selects images through the device system interface. OnlyTwo receives access only to the files selected by the user and does not scan the device photo library without separate permission.

OnlyTwo does not collect biometric data, special categories of personal data, bank card data, or detailed device telemetry beyond what is needed for the app, notifications, pair album, and error diagnostics.

4. Why the data is needed

We process data to:

• create accounts, sign users in, maintain sessions, and restore access;
• create and maintain a private pair of two users;
• show interaction history, proposals, responses, calendar, wishlist, Paws events, achievements, collection, and partner status;
• upload, store, compress, display, edit metadata for, and delete photos selected by the user in Pair history;
• operate Spark+ features: additional ideas, questions, mini-games, assistant prompts, and other extended pair scenarios, including generating prompts through an AI provider;
• deliver push notifications and realtime events inside the pair;
• provide and end 3-day extended trial access when a new active pair is created;
• process purchase of the digital Magic option, the Spark+ subscription, order statuses, webhook events, refunds, subscription cancellations, and disputes;
• respond to support requests, fix errors, and protect the service from abuse;
• comply with legal requirements and agreements with payment and infrastructure providers.

5. Legal bases

Processing is based on user consent, the need to perform the user scenario or agreement, legitimate interest in service security and stability, and applicable legal requirements.

A user may choose not to provide optional data, but some OnlyTwo features cannot work without required data: for example, an account needs an identifier for sign-in, and push notifications require a device push token.

6. Sharing with third parties

We do not sell personal data or share it for public social features. Access may be provided only to the extent needed for the service:

• to YooKassa for payments, subscriptions, cancellations, refunds, and dispute handling;
• to push notification providers for delivery to the device;
• to infrastructure providers, hosting, the Kubernetes cluster, database, Selectel Object Storage/S3 for selected photos, and monitoring systems for service operation and support;
• to AI service providers, including YandexGPT/Yandex Cloud, to generate Spark+ assistant prompts at the user's request;
• to authorized state bodies where required by law.

When Spark+ AI features are used, OnlyTwo may send the AI provider only the context needed for the specific prompt: questionnaire answers, request text, selected focus, and related pair data. Passwords, session tokens, payment credentials, and bank card data are not included in these requests.

Bank card data is entered on the payment provider side and is not stored in the main OnlyTwo database.

7. Storage and deletion

We store data no longer than needed for processing purposes, account operation, active pair features, interaction history, support, payment accounting, security, and legal compliance.

• interaction history is stored as the pair's private history;
• expired or revoked sessions and temporary codes are cleaned after the technical retention window;
• push tokens may be disabled or deleted if the device is no longer used or the token becomes invalid;
• album photos are stored in object storage, while metadata and the object key are stored in the database; when a photo or account is deleted, the object and related metadata are deleted unless further storage is required by law or to protect rights and legitimate interests;
• payment records, subscription statuses, and webhook logs are stored as long as needed for accounting, disputes, refunds, subscription cancellations, and legal requirements;
• upon user request, we will review deletion or anonymization where further storage is not required by law or to protect rights and legitimate interests.

8. Security

OnlyTwo uses organizational and technical measures to protect data: restricted access to backend API, pair participant permission checks, hashed passwords and session tokens, TLS for public endpoints, secrets outside code, logging controls, and data minimization in operational logs.

Push notifications are worded to avoid exposing unnecessary private content on the device screen.

9. User rights

A user may contact OnlyTwo to:

• receive information about processing of their personal data;
• clarify, update, or correct profile data;
• request deletion of the account or specific data where technically and legally possible;
• withdraw consent where processing is based on consent;
• ask a question about security, support, payment, subscription, refund, or account deletion.

Contact us at support@onlytwoapp.ru. To protect the account, we may ask you to confirm that the request was sent by the owner of the relevant account.

10. Policy changes

We may update this policy when the product, payment scenarios, Spark+ subscription, infrastructure, or legal requirements change. The new version is published at https://onlytwoapp.ru/privacy/ with a new publication date.