Безопасность и данные

Обновлено: 3 ноября 2026

Коротко и без юридического жаргона: что где лежит, кто это обрабатывает и как всё удалить. Формальные документы — политика конфиденциальности и положение об обработке персональных данных.

Где хранятся данные

Аккаунты (email, хеш пароля, Kora.id) — на сервере в Москве, Timeweb Cloud.
Память о разговорах и служебные данные — в Cloudflare (KV).
История чатов и настройки — в вашем браузере, в localStorage.

Данные аккаунтов хранятся в России по требованию 152-ФЗ. Память и служебные счётчики — в глобальной инфраструктуре Cloudflare, как и раньше; это честно указано в политике.

Кто обрабатывает

Timeweb Cloud — аккаунты, физически в Москве.
Cloudflare — сайт, воркеры, память и временные счётчики.
Yandex Cloud — модель, распознавание текста на фото и эмбеддинги памяти; серверы в России.
Resend — письма с кодом подтверждения; видит адрес, не видит пароль.
Яндекс.Метрика — посещаемость публичных страниц; внутри чата не используется.

Как защищено

Пароль хранится только как необратимый хеш (PBKDF2, 100 000 итераций).
Соединение с сайтом и API — по HTTPS.
Доступ к аккаунту подтверждается сессионным токеном, а не одним лишь Kora.id.
Запросы к API ограничены по частоте, чтобы не выжигать лимиты и не перебирать пароли.
Карты и платежи мы пока не принимаем — платёжных данных у нас нет.

Чего мы не делаем

Не продаём данные и не показываем рекламу внутри чата.
Не загружаем PDF и DOCX на сервер: текст извлекается в вашем браузере.
Не просим телефон, паспорт или реальное имя — только email.

Удаление данных

Очистка данных сайта в браузере удаляет локальную историю. Чтобы удалить аккаунт и долгосрочную память на сервере, напишите на privacy@korachat.ru, указав Kora.id (виден в настройках) или email регистрации.

Сообщить о проблеме

Если нашли уязвимость — напишите на privacy@korachat.ru с темой «Безопасность». Мы ответим и не будем предпринимать действий против исследователя, сообщившего добросовестно.