SMeet Mini Apps

Правила для авторов мини-приложений

Версия 1 от 17 октября 2026 года. Эти правила принимает каждый, кто создаёт мини-приложение для своего бота, и принимает текущую версию снова при каждой отправке приложения на проверку.

Что это за правила#

Мини-приложение SMeet представляет собой веб-страницу автора, которая открывается в окне SMeet и связана с его ботом. Страница и её сервер работают у автора, вне SMeet (кроме собственных приложений SMeet, правило 4.2). Автором приложения считается владелец бота, которому оно принадлежит.

Правила действуют для каждого мини-приложения в публичном пространстве SMeet и в организациях, в рабочей и тестовой версиях и на всех устройствах, где оно открывается: в web-версии, в SMeet для iOS, iPadOS и macOS. Они дополняют Условия использования и Политику конфиденциальности SMeet, а не заменяют их.

У каждого правила есть номер. Решения SMeet об отказе в публикации и о блокировке называют номер нарушенного правила, например «правило 2.1».

1. Содержание и возрастная категория#

1.1. Запрещённое содержание. В приложении нельзя размещать, предлагать или поощрять:

• незаконное содержание и призывы к незаконным действиям;
• сексуальное содержание и обнажённость;
• сцены насилия и жестокости;
• травлю, угрозы, оскорбления, дискриминацию и разжигание ненависти;
• азартные игры, ставки и их имитацию;
• алкоголь, табак, наркотики и оружие;
• мошенничество и фишинг, а также выдачу себя за SMeet, Scrile или другого человека или компанию;
• вредоносный код, скрытый майнинг и попытки обойти защиту SMeet или устройства пользователя;
• спам;
• содержание, нарушающее чужие права: авторские, на товарный знак, на частную жизнь.

1.2. Возрастная категория. У каждого приложения одна категория: 4+, 9+, 13+, 16+ или 18+. Пользователь видит её до запуска. Всё содержание приложения, в том числе доступное только после входа, должно ей соответствовать. Категория не может быть выше рейтинга самого SMeet в App Store. Сейчас у SMeet рейтинг 4+, поэтому принимается только категория 4+: содержание приложения подходит для любого возраста. Приложение с более высокой категорией нельзя сохранить, отправить на проверку и опубликовать. SMeet не проверяет возраст пользователей, поэтому содержание выше категории не допускается ни для кого.

1.3. Описание. Название, описание и иконка правдиво говорят, что делает приложение. Приложение работает так, как описано, и проверяющий может пройти его основной сценарий.

1.4. Содержание пользователей. Если пользователи вашего приложения видят то, что пишут или загружают другие, вы отсеиваете недопустимое содержание, даёте пожаловаться на него и закрыть доступ нарушителю, и своевременно отвечаете на жалобы.

2. Платежи#

2.1. Цифровые товары. В приложении нельзя продавать цифровые товары и услуги: подписки, платные функции, внутреннюю валюту, доступ к содержанию. Нельзя показывать кнопки, ссылки и тексты, которые ведут к таким покупкам, в том числе через внешние ссылки (openExternalLink). Магазины приложений требуют для таких покупок свои встроенные покупки, а в мини-приложениях их нет.

2.2. Никаких платежей в этой версии. Приложение не принимает платежи ни в какой форме, включая пожертвования и чаевые: не показывает платёжных форм, не просит данные банковских карт и не ведёт на страницы оплаты. Оформить заявку или заказ в приложении можно; если за товар или услугу нужно платить, оплата проходит вне приложения и вне SMeet.

3. Данные пользователей#

3.1. Что передаёт SMeet. После согласия пользователя SMeet передаёт вашему серверу идентификатор пользователя SMeet (тот же, что видит ваш бот и любой другой бот), язык интерфейса и отображаемое имя, только если приложение его запрашивает. Перед каждым запуском SMeet показывает пользователю эти данные и предупреждает, что загрузка приложения показывает вашему серверу его IP-адрес и сведения об устройстве. Вместе с ними ваш сервер получает сведения о запуске: пространство (публичное пространство SMeet или организация), чат пользователя с ботом и параметр ссылки или кнопки. Отображаемое имя и @имя пользователя ваш бот получает и так, в событиях Bot API. Запрашивайте имя, только если оно действительно нужно.

3.2. Только для заявленной цели. Данные из SMeet и всё, что пользователь вводит в приложение, используются только для цели, которая названа в описании приложения и в вашей политике конфиденциальности. Их нельзя продавать, передавать третьим лицам для их собственных целей, использовать для рекламы, для отслеживания между сервисами и для составления профилей, а также сопоставлять с другими данными, чтобы узнать о человеке больше, чем он сообщил сам.

3.3. Политика конфиденциальности обязательна. Ссылка https:// на неё открывается без входа. Политика называет, какие данные из SMeet и из форм приложения вы получаете, зачем, сколько храните, кому передаёте, а также контакт и порядок удаления данных. Вы выполняете запросы об удалении так, как описано в политике. Отзыв доступа в SMeet не удаляет данные у вас: за удалением пользователь обращается к вам.

3.4. Поддержка обязательна. Ссылка https:// на страницу или адрес, где пользователь получает ответ от вас.

3.5. Защита данных. Защита не хуже, чем в политике SMeet: всё по HTTPS; ключ сервера автора (smac1_...) хранится только на сервере и не попадает в страницу, адреса и журналы; сессию мини-приложения (smas1_...) получает и хранит только ваш сервер, в страницу она не попадает; собственную сессию вашего приложения страница держит только в памяти, а сервер перед каждой защищённой операцией проверяет сессию мини-приложения в SMeet (checkSession). Если ключ утёк, сразу отзовите его в настройках приложения.

3.6. Без лишних запросов. Не просите у пользователя пароль SMeet, коды входа и другие секреты SMeet и не рисуйте экраны, похожие на экраны самого SMeet (вход, согласие, подтверждение отправки). Не пытайтесь получить камеру, микрофон, геолокацию и другие возможности устройства в обход окна SMeet: в мини-приложениях они выключены, а файл пользователь выбирает только сам. Системный выбор файла может предложить пользователю снять фото или видео; странице достаётся только готовый файл.

4. Адреса, встраивание и безопасность#

4.1. Свои адреса. Приложение живёт на адресах https:// под вашим управлением: у рабочей и тестовой версий разные origin, порт 443 или 8443, без IP-адресов. Управление доменом вы подтверждаете файлом /.well-known/smeet-mini-app.txt с токеном приложения.

4.2. Домен SMeet недоступен. Адреса на scrile.com и его поддоменах авторам недоступны. По адресу https://messenger.scrile.com/mini-apps/ работают только приложения самого SMeet. Для них действуют правила 1-3, 4.4 и 5-8, а вместо правил 4.1 и 4.3 их адреса и заголовки задаёт SMeet: точки входа /mini-apps/<имя>/app/ и /mini-apps/<имя>/app-test/ и заголовки встраивания на них. Код этих приложений проверяется как код SMeet (ревью в репозитории, без сторонних скриптов и CDN, строгий CSP, без пользовательского и чужого HTML).

4.3. Встраивание только в SMeet. Каждая страница приложения отдаёт заголовок Content-Security-Policy: frame-ancestors https://messenger.scrile.com (и 'self', если приложение встраивает свои страницы: frame-ancestors 'self' https://messenger.scrile.com) и не разрешает встраивание на других сайтах. Без этого заголовка, с любым другим источником в списке или с запретом встраивания в SMeet приложение нельзя отправить на проверку и опубликовать.

4.4. Никакого чужого HTML на вашем origin. На origin приложения нельзя раздавать пользовательский или чужой HTML. Мост SMeet доверяет любому документу этого origin, включая вложенный фрейм того же origin, и такая страница получила бы вход, отправку боту и внешние ссылки от имени пользователя. Файлы пользователей отдавайте с другого origin или с заголовком Content-Security-Policy: sandbox. Сторонние скрипты, которые вы подключаете на origin приложения, исполняются с теми же возможностями, что и ваш код, и вы отвечаете за них как за свой.

5. Изменения после проверки#

5.1. Настройки в SMeet. Любое изменение настроек опубликованного приложения создаёт новый черновик, который снова проходит проверку. Пока он не опубликован, работает прежняя версия.

5.2. Изменения сайта. Сайт приложения может измениться без ведома SMeet. Существенное изменение после проверки (другое назначение, новые собираемые данные, содержание другой категории, новые внешние ссылки) требует новой заявки до выкладки; иначе приложение блокируется. Исправления ошибок, оформления и текстов, которые не меняют назначение приложения, новой заявки не требуют.

5.3. Тестовая версия. Тестовую версию открывают только вы, приглашённые вами тестировщики и те, кто проверяет вашу заявку. Окно говорит пользователю, что SMeet эту версию не проверял. Не раздавайте тестовую версию как рабочую и не используйте её, чтобы обойти проверку.

6. Ответственность автора#

6.1. Вы отвечаете за приложение целиком: за его содержание, работу сервера, обработку данных пользователей, сторонний код и сервисы, которые используете, и за соблюдение законов, в том числе о персональных данных и о защите прав потребителей.

6.2. SMeet проверяет приложение перед публикацией, но не каждое изменение вашего сайта. SMeet не отвечает за вашу обработку данных и не может удалить данные с ваших серверов.

6.3. Вы отвечаете пользователям по ссылке поддержки и отвечаете SMeet на запросы о жалобах и проверке.

7. Проверка, модерация и блокировка#

7.1. Проверка до публикации. Отправить приложение на проверку можно, когда подтверждены оба адреса, встраивание ограничено SMeet (правило 4.3), указаны политика и поддержка, категория не выше допустимой и приняты текущие правила. Приложение публичного пространства SMeet проверяют администраторы платформы SMeet. Приложение организации допускают её владелец и администраторы, и открыть его могут только её участники. Проверяющий смотрит, что нет продажи цифровых товаров и ссылок на покупки, политика называет данные из SMeet и контакт для удаления, содержание соответствует категории и сценарий работает. Отказ называет номер нарушенного правила.

7.2. Жалобы. Пользователь жалуется на приложение из меню его окна или из профиля бота и выбирает причину: спам, оскорбления или травля, мошенничество, незаконный контент, нарушение приватности, другое. Жалобы разбирают администраторы платформы SMeet в течение 24 часов. Администраторы организаций жалоб не видят.

7.3. Блокировка. Администрация SMeet может заблокировать одно приложение, все приложения автора (его боты и переписка продолжают работать) или временно выключить мини-приложения целиком. Блокировка действует сразу, без предупреждения: она закрывает открытые окна приложения у всех пользователей, завершает его сессии и отменяет отправки, которые бот ещё не получил. Автор получает письмо с причиной и может оспорить решение через поддержку (правило 7.5).

7.4. Заблокированное приложение нельзя удалить, а новое приложение для того же бота создаётся заблокированным. Организация может выключить мини-приложения у себя.

7.5. Вопросы о решении SMeet присылайте на support@scrile.com.

8. Версии правил#

8.1. У правил есть номер версии и дата. Действует версия 1 от 17 октября 2026 года. Номер версии вы видите в SMeet, когда принимаете правила, а SMeet записывает, какую версию и когда вы приняли.

8.2. Новую версию мы публикуем на этой странице с датой и перечнем изменений. Создать приложение и отправить его на проверку можно, только приняв текущую версию. Опубликованное приложение продолжает работать; если новая версия меняет требования к опубликованным приложениям, она называет срок, к которому их нужно выполнить.

История версий#