Политика в отношении обработки персональных данных
1. Общие положения
1.1. Настоящая Политика — документ, предусмотренный частью 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон). Она определяет порядок обработки персональных данных пользователей сайта rakursa.ru и сервиса Rakursa (rakursa.ru, editor.rakursa.ru, player.rakursa.ru; далее — Сервис) и сведения о реализуемых требованиях к защите таких данных.
1.2. Политика опубликована в свободном доступе на сайте rakursa.ru; Оператор обеспечивает к ней неограниченный доступ.
2. Оператор
Оператор персональных данных — лицо, реквизиты которого приведены в разделе 14 настоящей Политики (далее — Оператор). Обязанности лица, ответственного за организацию обработки персональных данных (статья 22.1 Закона), Оператор исполняет лично. Наёмные работники отсутствуют, персональные данные работников не обрабатываются.
3. Чьи и какие данные обрабатываются
Оператор обрабатывает данные зарегистрированных пользователей Сервиса, авторов материалов Магазина, лиц, обратившихся в поддержку, а также посетителей сайта в части технических данных:
- адрес электронной почты и отметка о его подтверждении; пароль хранится только в виде необратимого хеша и Оператору неизвестен;
- при входе через Яндекс — идентификатор учётной записи Яндекс и адрес электронной почты, переданные по протоколу OAuth с согласия пользователя;
- данные сессии: идентификатор сессии в cookie, хеш токена сессии, время создания, срок действия и время последнего обращения;
- платёжные метаданные, получаемые от платёжного сервиса: идентификатор, сумма, дата и статус платежа, состав покупки, сведения о подписке и её периоде, служебный идентификатор сохранённого способа оплаты для автопродления;
- данные авторов Магазина: сведения о размещённых материалах, продажах, начислениях и выплатах;
- технические данные: IP-адрес, сведения о браузере, дата и время обращения;
- содержание обращений в поддержку.
Реквизиты банковских карт и иные платёжные данные Оператору не передаются и им не обрабатываются: платёж совершается на стороне платёжного сервиса.
4. Данные, размещаемые пользователями в проектах
4.1. Пользователь может самостоятельно размещать в своих проектах изображения, видео, звуки, тексты и иные материалы, в том числе содержащие персональные данные третьих лиц. В отношении таких данных оператором является Пользователь: он определяет цели, состав и правовые основания обработки и обеспечивает наличие необходимых согласий.
4.2. Оператор обрабатывает такие данные исключительно по поручению Пользователя (часть 3 статьи 6 Закона) в объёме, необходимом для предоставления функциональности Сервиса: хранение, отображение и показ по публичной ссылке по команде Пользователя. Оператор не определяет цели их обработки, не просматривает содержимое проектов, за исключением рассмотрения жалоб и модерации материалов, предложенных к размещению в Магазине, и не использует такие данные в собственных целях. Условия поручения установлены Пользовательским соглашением и публичной офертой.
5. Цели и правовые основания обработки
5.1. Цели обработки: регистрация, идентификация и аутентификация пользователя и предоставление доступа к Сервису; исполнение договора с пользователем; хранение проектов и выдача публичных ссылок на презентации по команде пользователя; приём платежей, продление подписки и формирование чеков; продажа материалов Магазина и расчёты с авторами; техническая поддержка и связь по вопросам работы Сервиса; уведомление об окончании подписки, изменениях Сервиса, тарифов и правовых документов; обеспечение работоспособности и безопасности Сервиса; исполнение обязанностей, возложенных законодательством. Обработка, несовместимая с этими целями, не допускается.
5.2. Правовые основания: договор, стороной которого является субъект персональных данных, — Пользовательское соглашение и публичная оферта (пункт 5 части 1 статьи 6 Закона); согласие субъекта, подтверждаемое при регистрации (пункт 1 части 1 статьи 6); исполнение обязанностей, возложенных на Оператора законодательством, включая налоговое законодательство и Федеральный закон от 27.11.2018 № 422-ФЗ (пункт 2 части 1 статьи 6); законные интересы Оператора по обеспечению безопасности Сервиса при соблюдении прав субъекта (пункт 7 части 1 статьи 6).
6. Данные, которые Оператор не обрабатывает
Оператор не обрабатывает специальные категории персональных данных (статья 10 Закона) и биометрические персональные данные (статья 11 Закона), не осуществляет распространение персональных данных, требующее отдельного согласия по статье 10.1 Закона, и не использует их для продвижения товаров и услуг третьих лиц. Сервис не предназначен для лиц младше 18 лет.
7. Действия с данными, способы и место обработки
7.1. Оператор осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение персональных данных смешанным способом. Решения, порождающие юридические последствия в отношении субъекта, исключительно на основании автоматизированной обработки не принимаются (статья 16 Закона).
7.2. Базы данных, в которых обрабатываются персональные данные граждан Российской Федерации, и файловое хранилище проектов находятся на серверах на территории Российской Федерации (часть 5 статьи 18 Закона). Трансграничная передача не осуществляется; при изменении этого порядка уведомление по статье 12 Закона будет направлено до её начала.
7.3. Проекты бесплатного тарифа, язык интерфейса и настройки редактора хранятся в локальном хранилище браузера пользователя и на серверы Оператора не передаются.
8. Передача третьим лицам
8.1. Для оплаты пользователь переходит на страницу платёжного сервиса ЮKassa. Оператор передаёт ему сумму, назначение платежа, служебные идентификаторы заказа и адрес электронной почты для направления чека и получает сведения о результате платежа и платёжные метаданные. Реквизиты способа оплаты пользователь сообщает платёжному сервису самостоятельно, и в отношении собираемых им данных такой сервис действует как самостоятельный оператор.
8.2. При входе через учётную запись Яндекс данные передаются в объёме протокола OAuth и только по инициативе пользователя.
8.3. Инфраструктуру Сервиса обслуживают российские хостинг-провайдеры, в том числе Selectel как оператор объектного хранилища файлов проектов и резервных копий. Они обрабатывают данные по поручению Оператора с обязательством соблюдать конфиденциальность и требования безопасности.
8.4. Служебные письма (подтверждение почты, ссылки для входа и восстановления пароля, уведомления о подписке) отправляются с собственного почтового сервера Оператора; сторонние сервисы рассылок не используются.
8.5. Персональные данные не продаются и не передаются иным третьим лицам, за исключением случаев, прямо предусмотренных законодательством, включая мотивированные запросы уполномоченных органов.
9. Сроки обработки и уничтожение
9.1. Персональные данные обрабатываются в течение срока действия учётной записи и договора. Сессии удаляются по истечении срока действия или при выходе.
9.2. Пользователь может удалить учётную запись в личном кабинете. При удалении облачные проекты и файлы уничтожаются, сессии и привязки входа удаляются, адрес электронной почты заменяется обезличенным обозначением, вход закрывается. Сведения о платежах сохраняются в течение срока, установленного законодательством для документов по расчётам.
9.3. После удаления учётной записи, достижения целей обработки или отзыва согласия данные уничтожаются, в том числе в резервных копиях, в срок, не превышающий 30 дней, за исключением сведений, срок хранения которых установлен законодательством. Факт уничтожения фиксируется в порядке, установленном требованиями Роскомнадзора.
10. Меры защиты и действия при инцидентах
10.1. Во исполнение статей 18.1 и 19 Закона Оператор:
- применяет настоящую Политику и внутренние документы по вопросам обработки персональных данных, лично исполняя обязанности ответственного за организацию обработки;
- определяет актуальные угрозы безопасности и применяет меры, необходимые для требуемого уровня защищённости;
- хранит пароли и токены сессий только в виде хешей (пароли — алгоритмом Argon2), ограничивает частоту попыток входа и защищает изменяющие запросы от подделки межсайтовых запросов;
- ограничивает доступ к базе данных внутренней сетью сервера и разграничивает доступ к персональным данным;
- шифрует каналы связи (HTTPS/TLS), выполняет ежедневное резервное копирование и контроль восстановления;
- выявляет факты несанкционированного доступа, устраняет их последствия и контролирует соответствие обработки Закону.
10.2. При выявлении неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в течение 24 часов — о произошедшем, предполагаемой причине и принятых мерах, и в течение 72 часов — о результатах внутреннего расследования (часть 3.1 статьи 21 Закона), а также уведомляет затронутых пользователей, если это необходимо для защиты их прав.
11. Согласие, его отзыв и права субъекта
11.1. Согласие на обработку персональных данных даётся при регистрации учётной записи проставлением отметки в форме регистрации; без подтверждённого согласия регистрация не производится.
11.2. Согласие может быть отозвано в любой момент обращением к Оператору или удалением учётной записи в личном кабинете: обработка прекращается, а данные уничтожаются в порядке раздела 9, если их сохранение не требуется по иным основаниям, предусмотренным законом. Отзыв согласия влечёт невозможность дальнейшего предоставления Сервиса.
11.3. Субъект персональных данных вправе получать сведения об обработке своих данных (часть 7 статьи 14 Закона), требовать их уточнения, блокирования или уничтожения, отозвать согласие, возражать против обработки и обжаловать действия Оператора в Роскомнадзор или в суд.
11.4. Обращение направляется по контактным данным Оператора и должно содержать сведения, позволяющие идентифицировать субъекта, — как правило, адрес электронной почты учётной записи. Ответ предоставляется в срок, не превышающий 30 дней, который может быть продлён не более чем на 5 рабочих дней с уведомлением заявителя.
12. Файлы cookie и статистика
Сервис использует одну техническую cookie — идентификатор сессии, необходимый для входа. Сторонние системы веб-аналитики и рекламные трекеры не используются. Пользователь может запретить сохранение cookie в настройках браузера; при этом вход в Сервис станет невозможен.
13. Изменение Политики
Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента публикации на этой странице, если иное не указано в самой редакции.
14. Реквизиты и контакты Оператора
Обращения по вопросам обработки персональных данных, включая запросы, отзыв согласия и требования об уточнении или уничтожении данных, направляйте по контактным данным ниже.
Абдулов В.Ф.
Плательщик налога на профессиональный доход (самозанятый)
ИНН 631610850704
support@rakursa.ru