Политика в отношении обработки персональных данных

1. Общие положения

1.1. Оператор персональных данных — ИП Агрызков Антон Сергеевич, ИНН 562101885524, ОГРНИП 314565809200165 (далее — Оператор). Регистрационный номер в реестре операторов, осуществляющих обработку персональных данных, — 56-26-023204. Адрес места нахождения Оператора содержится в ЕГРИП и предоставляется по запросу на promiki@hixl.ru.

1.2. Политика опубликована во исполнение ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и описывает обработку персональных данных на сайте PROMIKI.COM по адресу https://promiki.com и в его каналах в Telegram, ВКонтакте и Одноклассниках (далее — Сайт).

1.3. Политика описывает обработку только на Сайте. Полный перечень целей обработки персональных данных Оператором указан в реестре операторов Роскомнадзора.

1.4. Политика находится в открытом доступе и не требует принятия. Пользование Сайтом само по себе не является согласием на обработку: основания перечислены в разделе 3.

2. Термины

2.1. Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу. Обработка — любое действие с ними, включая сбор, запись, хранение, использование, передачу, удаление. Распространение — раскрытие персональных данных неограниченному кругу лиц.

2.2. Cookie — небольшой файл, который сайт сохраняет в браузере, чтобы узнавать устройство.

2.3. Посетитель, Пользователь, Магазин, Промо, Партнёрская ссылка — в значении Пользовательского соглашения (далее — Соглашение).

3. Правовые основания

3.1. Оператор обрабатывает персональные данные в соответствии с Законом, Гражданским кодексом РФ, Федеральным законом «Об информации, информационных технологиях и о защите информации», Федеральным законом «О рекламе».

3.2. Основания (ч. 1 ст. 6 Закона):

• исполнение договора, стороной которого является субъект (п. 5) — Соглашения: регистрация, аккаунт, публикация Промо и комментариев, избранное, модерация. Отдельное согласие на эту обработку не требуется;
• согласие субъекта (п. 1) — на распространение имени, аватара и Материалов Пользователя (ст. 10.1 Закона), отдельно от принятия Соглашения;
• исполнение обязанностей Оператора по закону (п. 2) — ответы на обращения, исполнение требований государственных органов, учёт рекламы;
• законные интересы Оператора (п. 7) — статистика посещаемости, защита Сайта от злоупотреблений и атак, доказательство заключения Соглашения, при условии, что не нарушаются права субъекта; против такой обработки можно возразить (раздел 9).

3.3. Рекламные рассылки Сайт не ведёт. Если они появятся, они будут направляться только с отдельного согласия.

4. Цели, данные и сроки

4.1. Для всех целей: обработка смешанная, с передачей по сети Интернет; действия — сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (распространение, предоставление доступа) в случаях разделов 6 и 8, блокирование, удаление, уничтожение. Уничтожение — удаление записей из базы данных и файлов; из резервных копий данные удаляются по мере их ротации, но не позднее 6 месяцев.

4.2. Регистрация и ведение аккаунта.

• Субъекты: Пользователи.
• Данные: имя, адрес электронной почты, пароль (только в виде хеша), аватар, роль, отметка о блокировке, токены длительного входа и сброса пароля.
• Основание: исполнение Соглашения.
• Срок: до удаления аккаунта; токен сброса пароля действует 60 минут. При удалении аккаунта данные удаляются из базы сразу (из резервных копий — в порядке п. 4.1), кроме сведений из пп. 4.7–4.8.

4.3. Публикация Промо и комментариев.

• Субъекты: Пользователи; лица, упомянутые в Материалах.
• Данные: имя и аватар автора, Промо (название, описание, изображения, промокоды, товары, ссылки, даты, число просмотров), комментарии и ответы, отметки «нравится», упоминания через @имя, избранное.
• Основание: исполнение Соглашения; для показа имени и аватара всем — согласие на распространение. Без него у Материалов вместо имени показывается «Пользователь», вместо аватара — стандартное изображение.
• Срок: до удаления Материала автором или модератором, удаления аккаунта или отзыва согласия на распространение.

4.4. Модерация.

• Субъекты: Пользователи.
• Данные: статус Промо и решение модератора, правки модератора, блокировка аккаунта, жалобы на комментарии (аккаунт автора жалобы, причина, статус).
• Основание: исполнение Соглашения; обязанности по закону об информации.
• Срок: пока существуют аккаунт и Материал.

4.5. Публикация акций в соцсетях.

• Субъекты: авторы Промо — только если персональные данные есть в самих материалах Промо.
• Данные: название, описание, промокоды, ссылки и изображение-превью Промо; какой сотрудник Оператора создал публикацию.
• Основание: исполнение Соглашения (лицензия на Материалы); законный интерес.
• Срок: до удаления публикации в соцсети; записи о публикациях — пока существует Промо.

4.6. Статистика посещаемости.

• Субъекты: Посетители и Пользователи.
• Данные: cookie и идентификатор Яндекс.Метрики, IP-адрес, сведения о браузере и устройстве, адреса страниц и источник перехода, клики, прокрутка и движения указателя, запись сеанса (Вебвизор); на Сайте — счётчики просмотров Промо и переходов по ссылкам без привязки к посетителю.
• Основание: законный интерес Оператора — понимать, какие акции полезны, и улучшать Сайт.
• Срок: в Яндекс.Метрике — по правилам сервиса; счётчики на Сайте — пока существует Промо.

4.7. Журнал согласий и принятия документов.

• Субъекты: Пользователи.
• Данные: аккаунт (после удаления аккаунта — адрес его электронной почты), вид согласия или документа, редакция, дата и время принятия, отзыва или удаления аккаунта, IP-адрес, сведения о браузере.
• Основание: обязанность доказать получение согласия (ч. 3 ст. 9 Закона); законный интерес.
• Срок: весь срок действия согласия и 3 года после его отзыва или удаления аккаунта (срок исковой давности); затем записи обезличиваются.

4.8. Обращения к Оператору.

• Субъекты: Пользователи, Посетители, правообладатели, рекламодатели и их представители.
• Данные: имя, контакты, содержание обращения и ответа, приложенные документы.
• Основание: исполнение обязанностей по Закону; исполнение Соглашения; законный интерес.
• Срок: 3 года с даты ответа.

4.9. Безопасность Сайта.

• Субъекты: Посетители и Пользователи.
• Данные: IP-адрес, сведения о браузере, идентификатор сессии, время и адреса запросов, ошибки, счётчики попыток входа, регистрации и отправки комментариев.
• Основание: законный интерес Оператора.
• Срок: сессия — до выхода или 120 минут бездействия (при выборе «запомнить меня» — до выхода); журналы сервера — до 14 дней.

4.10. Специальные категории и биометрические персональные данные, платёжные данные Оператор не обрабатывает. Автоматизированных решений, порождающих юридические последствия для субъекта, не принимает.

5. Cookie, Яндекс.Метрика и хранилище браузера

5.1. Технические cookie: сессии, защиты от подделки запросов (XSRF), длительного входа — если выбрано «запомнить меня». Без них вход и формы не работают.

5.2. Аналитические cookie: на Сайте установлен счётчик Яндекс.Метрики (ООО «Яндекс») с Вебвизором и картой кликов. Метрика собирает данные, перечисленные в п. 4.6, и передаёт их Яндексу, который обрабатывает их по поручению Оператора и на условиях использования сервиса. Вебвизор может записывать ввод в поля форм, кроме полей паролей. Оператор получает от Метрики обобщённые отчёты и записи сеансов без имени и адреса электронной почты посетителя.

5.3. Чтобы отключить Метрику, заблокируйте cookie и скрипты mc.yandex.ru в настройках браузера или установите блокировщик счётчиков. Сайт при этом продолжит работать.

5.4. В хранилище браузера (localStorage) сохраняются выбранная тема оформления и отметка о закрытии уведомления о cookie.

5.5. Партнёрские сети и Магазины устанавливают свои cookie на своих сайтах при переходе по ссылке (раздел 6).

6. Передача данных и переходы на сайты магазинов

6.1. Оператор не продаёт персональные данные и не передаёт данные Пользователей Магазинам, рекламодателям и партнёрским сетям.

6.2. По поручению Оператора (ч. 3 ст. 6 Закона) данные обрабатывают:

• хостинг-провайдер — ООО «Регистратор доменных имён РЕГ.РУ», серверы в Российской Федерации: хранение всех данных Сайта;
• ООО «Яндекс» — сервис Яндекс.Метрика: данные п. 4.6.

Служебные письма (сброс пароля) отправляются с собственного почтового сервера Оператора.

6.3. При переходе по ссылке на Магазин браузер посетителя открывает адрес партнёрской сети (например, Admitad или Advcake) или Магазина. В ссылку Оператор добавляет только технический идентификатор ссылки (SubID) и идентификатор рекламы — они не содержат персональных данных. IP-адрес, сведения о браузере и cookie партнёрская сеть и Магазин получают непосредственно от браузера и обрабатывают как самостоятельные операторы по своим политикам; Оператор этими данными не управляет и их не получает.

6.4. Материалы Промо публикуются в каналах Сайта в Telegram, ВКонтакте и Одноклассниках (п. 4.5). Кнопки «Поделиться» открывают сайты этих соцсетей по действию посетителя.

6.5. Данные предоставляются государственным органам и суду, когда это прямо предусмотрено законом, — по мотивированному запросу.

7. Трансграничная передача и локализация

7.1. Оператор не передаёт персональные данные Пользователей за рубеж. Публикации в Telegram (сервис иностранной компании) содержат материалы Промо и не содержат учётных данных Пользователей.

7.2. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона).

8. Распространение данных

8.1. На страницах Промо любому посетителю видны текст Промо и комментариев, а имя и аватар их автора — только если он дал согласие на распространение; иначе вместо имени показывается «Пользователь», вместо аватара — стандартное изображение. Страницы индексируются поисковыми системами.

8.2. Распространение ведётся на основании отдельного согласия по ст. 10.1 Закона. Перечень данных, ресурсы, условия, срок и порядок отзыва — в Согласии на распространение персональных данных.

8.3. Согласие даётся необязательной отметкой при регистрации или переключателем «Показывать моё имя и аватар» в личном кабинете; выключив переключатель, Пользователь отзывает согласие, и имя с аватаром скрываются сразу. Скрыть данные можно и иначе: сменить имя на псевдоним, удалить аватар, удалить свои комментарии и Промо.

9. Права субъекта и сроки ответа

9.1. Субъект вправе получить сведения об обработке своих данных; потребовать уточнения, блокирования или уничтожения, если данные неполные, устаревшие, неточные, незаконно полученные или не нужны для цели; отозвать согласие на распространение; возразить против обработки на основании законного интереса, в том числе против статистики посещаемости; обжаловать действия Оператора в Роскомнадзор или в суд (ст. 14–17, 21 Закона).

9.2. Запрос направляется на promiki@hixl.ru и должен позволять идентифицировать субъекта (ч. 3 ст. 14 Закона): имя и адрес электронной почты аккаунта, суть требования; по возможности с адреса аккаунта.

9.3. Сроки: сведения — 10 рабочих дней с получения запроса, продление ещё на 5 рабочих дней с мотивированным уведомлением; уточнение — 7 рабочих дней; уничтожение неправомерно обрабатываемых данных — 10 рабочих дней; прекращение распространения по требованию об отзыве согласия — 3 рабочих дня; прекращение обработки и уничтожение при отзыве согласия или достижении цели — 30 дней, если нет иного основания.

9.4. Отзыв согласия не отменяет обработку, которая ведётся для исполнения Соглашения (пока существует аккаунт) и по требованию закона.

9.5. Удалить аккаунт можно самостоятельно в личном кабинете или по запросу на promiki@hixl.ru в порядке раздела 16 Соглашения.

10. Защита данных и инциденты

10.1. Оператор принимает правовые, организационные и технические меры (ст. 18.1, 19 Закона): ответственным за организацию обработки является сам Оператор; доступ разграничен по ролям; соединение шифруется по протоколу HTTPS (TLS); пароли хранятся в виде хеш-значений; содержимое сессий на сервере шифруется; ограничено число попыток входа и отправки форм; ведутся резервное копирование и журналы событий; определены угрозы и уровень защищённости в соответствии с постановлением Правительства РФ от 01.11.2012 № 1119.

10.2. При неправомерной или случайной передаче персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в течение 24 часов об инциденте и в течение 72 часов — о результатах внутреннего расследования (ч. 3.1 ст. 21 Закона).

11. Несовершеннолетние

11.1. Регистрация на Сайте не предназначена для лиц младше 18 лет. Если Оператору станет известно, что аккаунт зарегистрирован лицом младше 18 лет без согласия законного представителя, аккаунт и связанные с ним данные удаляются.

12. Изменение Политики и контакты

12.1. Новая редакция Политики действует с момента публикации на этой странице; дата указана под заголовком. Прежние редакции предоставляются по запросу.

12.2. По вопросам обработки персональных данных — promiki@hixl.ru. Реквизиты: ИП Агрызков Антон Сергеевич, ИНН 562101885524, ОГРНИП 314565809200165.