Политика обработки персональных данных сервиса «Пораньше»

1.Общие положения

1.1. Настоящая Политика обработки персональных данных (далее — Политика) разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных) и определяет порядок обработки персональных данных и меры по обеспечению их безопасности, принимаемые оператором.

1.2. Оператор персональных данных — индивидуальный предприниматель Мостовой Михаил Александрович, ИНН 312344446514, ОГРНИП 325310000005610 (далее — Оператор). Реквизиты и контакты Оператора приведены в разделе 12.

1.3. Политика применяется к сервису «Пораньше» — веб-приложению для учёта кредитов и других денежных обязательств, доступному по адресу poranshe.ru и на связанных с ним технических доменах (далее — Сервис), а также ко всем сведениям, которые Оператор получает о пользователях Сервиса (далее — Пользователь).

1.4. Используя Сервис, Пользователь подтверждает, что ознакомился с Политикой. Согласие на обработку персональных данных даётся отдельно, в порядке, описанном в разделе 4, и оформляется самостоятельным документом «Согласие на обработку персональных данных».

1.5. Политика является общедоступным документом и публикуется в Сервисе. Оператор вправе изменять Политику в порядке, установленном разделом 11.

2.Какие данные мы обрабатываем

2.1. Оператор обрабатывает только те данные, которые необходимы для работы Сервиса. Категории данных и источники их получения:

2.2. Оператор не обрабатывает специальные категории персональных данных (о здоровье, политических взглядах и т.п.), биометрические персональные данные, а также не запрашивает паспортные данные, номера банковских карт, номера кредитных договоров и коды доступа к банковским сервисам. Оператор просит Пользователя не вносить такие сведения в свободные текстовые поля (например, в название кредита).

2.3. Сведения об обязательствах вносятся Пользователем добровольно и по его усмотрению. Сервис не подключается к банкам и бюро кредитных историй и не получает данные о Пользователе из этих источников.

2.4. Если Пользователь не входит в аккаунт, вносимые им сведения хранятся исключительно в памяти его браузера (localStorage) на его устройстве, не передаются Оператору и не являются предметом обработки по настоящей Политике. Оператор не имеет к ним доступа и не может их восстановить.

2.5. Демонстрационный режим Сервиса использует вымышленные данные, которые не относятся к Пользователю и не передаются на сервер.

3.Цели обработки

3.1. Персональные данные обрабатываются в следующих целях:

1. идентификация Пользователя и предоставление доступа к его аккаунту;
2. предоставление функций Сервиса: учёт обязательств, построение графиков платежей, расчёты досрочных погашений и рекомендации, аналитика, синхронизация данных между устройствами Пользователя;
3. сохранение данных Пользователя на сервере, чтобы они не терялись при смене устройства или очистке браузера;
4. связь с Пользователем по его обращениям в поддержку;
5. обеспечение безопасности Сервиса, предотвращение мошенничества и злоупотреблений, диагностика ошибок;
6. исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации.

3.2. Оператор не использует персональные данные для принятия решений, порождающих юридические последствия для Пользователя, исключительно на основании автоматизированной обработки. Рекомендации Сервиса носят справочный характер и не являются такими решениями.

3.3. Оператор не использует данные Пользователя для рекламы, не продаёт их и не передаёт третьим лицам в маркетинговых целях.

4.Правовые основания и согласие

4.1. Правовыми основаниями обработки являются:

• согласие Пользователя на обработку персональных данных (п. 1 ч. 1 ст. 6 Закона о персональных данных);
• необходимость исполнения Пользовательского соглашения, стороной которого является Пользователь (п. 5 ч. 1 ст. 6 Закона о персональных данных);
• необходимость осуществления прав и законных интересов Оператора, в том числе обеспечения безопасности Сервиса, при условии, что при этом не нарушаются права Пользователя (п. 7 ч. 1 ст. 6 Закона о персональных данных).

4.2. Согласие даётся Пользователем перед первым входом в аккаунт путём проставления отметки в поле «Даю согласие на обработку персональных данных» отдельно от принятия иных условий. Текст согласия размещён по адресу poranshe.ru/legal/consent.html. Факт, дата и время дачи согласия фиксируются Оператором.

4.3. Пользователь вправе отозвать согласие в любой момент, удалив аккаунт в Сервисе (раздел «Профиль» → «Удалить аккаунт и данные в облаке») или направив обращение Оператору по контактам из раздела 12. Отзыв согласия влечёт прекращение обработки и уничтожение данных в порядке, установленном разделом 7, за исключением данных, хранение которых обязательно в силу закона.

5.Как и где обрабатываются данные

5.1. Обработка осуществляется с использованием средств автоматизации. Оператор совершает с данными следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, обезличивание, блокирование, удаление, уничтожение.

5.2. Серверная часть Сервиса и база данных размещены в инфраструктуре ООО «Яндекс.Облако» (платформа Yandex Cloud) в центрах обработки данных на территории Российской Федерации. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона о персональных данных).

5.3. Оператор поручает ООО «Яндекс.Облако» техническое хранение и обработку данных в объёме, необходимом для работы инфраструктуры, на основании договора с условиями об обеспечении конфиденциальности и безопасности данных. ООО «Яндекс.Облако» не вправе использовать данные Пользователей в собственных целях.

5.4. Аутентификация Пользователей выполняется сервисом Яндекс ID, оператором которого является ООО «Яндекс». Обработка данных на стороне Яндекса при входе регулируется документами Яндекса, с которыми Пользователь соглашается при подтверждении доступа. Оператор получает от Яндекса только данные, перечисленные в п. 2.1, и не получает пароль Пользователя.

5.5. Трансграничная передача персональных данных не осуществляется.

5.6. Персональные данные могут быть предоставлены третьим лицам только в случаях, прямо предусмотренных законодательством Российской Федерации, по мотивированным запросам уполномоченных государственных органов.

5.7. Доступ к персональным данным имеет только Оператор. Доступ осуществляется по защищённым каналам с использованием средств аутентификации облачной платформы.

6.Данные в браузере, cookies и аналитика

6.1. Для работы Сервиса в памяти браузера (localStorage) хранятся: копия данных Пользователя для работы без сети, токен сессии, настройки интерфейса и служебные отметки о пройденных подсказках. Эти данные необходимы для функционирования Сервиса и не используются для отслеживания Пользователя.

6.2. Для сбора обезличенной статистики использования Сервис применяет сервис веб-аналитики Яндекс Метрика (ООО «Яндекс», условия: yandex.ru/legal/metrica_termsofuse), включая запись действий на экране (вебвизор) и карту кликов, а также собственный журнал событий интерфейса (открытие экранов, нажатия кнопок, добавление обязательств без их сумм и названий, показ предложения подписки). В записях вебвизора поля ввода почты и кода входа скрыты и не сохраняются; остальное содержимое экрана, включая введённые Пользователем сведения об обязательствах, может попадать в запись сеанса и хранится на стороне Яндекс Метрики в соответствии с её условиями. Для аналитики в браузере хранится случайный обезличенный идентификатор, не позволяющий установить личность Пользователя. Данные журнала событий не содержат имени, почты, сумм и условий кредитов. Пользователь может отключить Яндекс Метрику блокировщиком трекеров; работоспособность Сервиса от этого не зависит.

6.3. Пользователь может очистить данные браузера средствами браузера. Если Пользователь вошёл в аккаунт, его данные будут восстановлены с сервера при следующем входе; если не входил — данные будут утрачены безвозвратно.

7.Сроки хранения и удаление

7.1. Учётные данные, данные профиля и сведения об обязательствах хранятся, пока существует аккаунт Пользователя.

7.2. При удалении аккаунта Пользователем в Сервисе данные удаляются из базы данных незамедлительно. Копии данных, которые могли попасть в резервные копии и технические журналы инфраструктуры, уничтожаются в срок не более 30 дней с момента удаления аккаунта.

7.3. При отзыве согласия или требовании об уничтожении данных, направленном по контактам Оператора, Оператор прекращает обработку и уничтожает данные в срок не более 30 дней с момента получения обращения, если иной срок не установлен законом.

7.4. Технические данные (журналы запросов) хранятся не более 30 дней и используются только для обеспечения безопасности и диагностики ошибок.

7.5. Данные обращений в поддержку хранятся в течение 3 лет с момента обращения для целей разрешения возможных споров.

7.6. Аккаунт, в который Пользователь не входил более 24 месяцев подряд, может быть удалён Оператором вместе с данными после уведомления по адресу электронной почты Пользователя не менее чем за 30 дней.

8.Права Пользователя

8.1. Пользователь имеет право:

• получать информацию об обработке своих персональных данных, в том числе подтверждение факта обработки, цели, способы, сроки и состав данных;
• требовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно полученные или не нужны для заявленной цели;
• отозвать согласие на обработку;
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в суд.

8.2. Большинство прав реализуется Пользователем самостоятельно в Сервисе: просмотр и изменение данных — в разделах «Кредиты» и «Профиль», удаление всех данных — кнопкой «Удалить аккаунт и данные в облаке».

8.3. Обращения по вопросам обработки персональных данных направляются Оператору по электронной почте, указанной в разделе 12, с адреса, привязанного к аккаунту, либо с указанием этого адреса для идентификации. Оператор отвечает на обращение в течение 10 рабочих дней с момента получения; при необходимости срок может быть продлён не более чем на 5 рабочих дней с уведомлением Пользователя.

9.Меры защиты

9.1. Оператор принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий, в том числе:

• передача данных между устройством Пользователя и сервером только по защищённому протоколу HTTPS (TLS);
• хранение данных в базе данных с ограниченным доступом внутри облачной инфраструктуры, доступ серверных компонентов по служебным учётным записям без хранения ключей в коде;
• вход в аккаунт только через Яндекс ID; Сервис не хранит пароли Пользователей;
• сессии Пользователя ограничены сроком действия и защищены криптографической подписью;
• минимизация данных: Сервис запрашивает только необходимые сведения;
• назначение лица, ответственного за организацию обработки персональных данных (Оператор лично);
• учёт и разбор инцидентов безопасности, уведомление уполномоченного органа и Пользователей в случаях и в сроки, предусмотренные законом.

10.Возраст Пользователей

10.1. Сервис предназначен для лиц, достигших 18 лет. Оператор не собирает намеренно данные лиц младше 18 лет. Если Оператору станет известно, что данные несовершеннолетнего получены без согласия законного представителя, такие данные будут удалены.

11.Изменение Политики

11.1. Оператор вправе вносить изменения в Политику. Новая редакция публикуется в Сервисе с указанием даты и номера редакции и вступает в силу с момента публикации, если в ней не указано иное.

11.2. О существенных изменениях (новые цели обработки, новые категории данных, новые получатели данных) Оператор уведомляет Пользователей в Сервисе до вступления изменений в силу. Если для новых целей требуется согласие, оно запрашивается отдельно.

12.Реквизиты и контакты Оператора

Уведомление об обработке персональных данных направлено в Роскомнадзор в порядке ст. 22 Закона о персональных данных.