Политика обработки персональных данных
Важно
Это черновик. Документ подготовлен автоматически и требует проверки юристом перед началом продаж.
Эта политика объясняет, какие данные о вас собирает сайт, зачем, на каком основании, сколько мы их храним и что вы можете с ними сделать. Она составлена в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и опубликована в открытом доступе, как того требует часть 2 статьи 18.1 этого закона.
Мы стараемся собирать как можно меньше. Ни имя, ни телефон, ни дата рождения, ни адрес проживания для покупки не нужны и не запрашиваются.
1. Кто обрабатывает данные
Оператором персональных данных является владелец сайта. Его наименование, ИНН, ОГРНИП, адрес для корреспонденции и адрес электронной почты указаны в разделе «Контакты».
Оператор подаёт уведомление об обработке персональных данных в Роскомнадзор в порядке статьи 22 Федерального закона № 152-ФЗ.
2. Какие данные мы собираем
При регистрации и входе:
- адрес электронной почты — он же логин;
- хеш пароля. Сам пароль не хранится ни в каком виде: в базе лежит необратимое криптографическое преобразование (Argon2id), из которого пароль восстановить нельзя;
- отображаемое имя, если вы его укажете — необязательное поле;
- дата регистрации, дата последнего входа, факт подтверждения адреса почты.
При работе с сайтом (данные сессий и журналов безопасности):
- хеш IP-адреса. Сырой IP-адрес мы не записываем: он преобразуется в необратимый код (HMAC), по которому нельзя восстановить исходный адрес, но можно отличить одного посетителя от другого при защите от подбора паролей;
- строка User-Agent браузера в усечённом виде — тип браузера и операционной системы;
- время начала и окончания сессии, хеш токена сессии;
- записи журнала действий: вход, смена пароля, оформление заказа, скачивание файла, действия администратора. Журналы нужны для расследования инцидентов и споров.
При покупке:
- состав заказа, сумма, валюта, статус, дата;
- сведения о платеже: идентификатор операции на стороне платёжного партнёра, статус, дата подтверждения;
- сведения о выданных доступах и о скачиваниях файла;
- версии оферты и политики, действовавшие на момент покупки.
Чего мы не собираем и не храним никогда:
- реквизиты банковской карты. Они вводятся на стороне платёжного партнёра и на сайт не попадают;
- пароль в открытом виде;
- сырые IP-адреса;
- специальные категории персональных данных (о здоровье, взглядах, убеждениях и подобное) и биометрию.
Сайт не предназначен для детей. Мы не собираем данные несовершеннолетних осознанно; если такие данные попали к нам по ошибке, напишите нам — мы их удалим.
3. Зачем мы обрабатываем данные и на каком основании
| Цель | Какие данные | Правовое основание |
|---|---|---|
| Создание учётной записи и вход | Email, хеш пароля, данные сессии | Исполнение договора с вами (п. 5 ч. 1 ст. 6 № 152-ФЗ) |
| Оформление заказа, приём оплаты, выдача доступа | Email, состав и сумма заказа, сведения о платеже | Исполнение договора (п. 5 ч. 1 ст. 6) |
| Выдача кассового чека и налоговый учёт | Email, сумма и состав расчёта | Исполнение обязанности, возложенной законом (п. 2 ч. 1 ст. 6) |
| Сервисные письма: подтверждение почты, восстановление пароля, доступ к покупке | Исполнение договора (п. 5 ч. 1 ст. 6) | |
| Защита от подбора паролей, автоматических регистраций и злоупотреблений | Хеш IP, User-Agent, журналы | Законные интересы оператора (п. 7 ч. 1 ст. 6) |
| Рассмотрение обращений и претензий | Email, сведения о заказе, переписка | Исполнение договора и требований закона |
| Веб-аналитика и показ рекламы | Данные, которые собирают сервисы «Яндекса» на вашем устройстве | Ваше согласие (п. 1 ч. 1 ст. 6) |
Согласие требуется только для аналитики и рекламы. Всё остальное необходимо, чтобы договор вообще можно было исполнить: без адреса почты невозможно ни открыть доступ, ни направить чек.
Согласие на обработку персональных данных оформляется отдельным документом и отдельной отметкой в форме — оно не «зашито» в оферту и не совмещено с другими подтверждениями. Текст согласия: «Согласие на обработку персональных данных».
4. Сколько мы храним данные
- Учётная запись — пока она существует. После удаления учётной записи связанные с ней данные уничтожаются или обезличиваются в сроки, установленные статьёй 21 Федерального закона № 152-ФЗ.
- Заказы, платежи и сведения, попавшие в кассовый чек — в течение сроков, установленных законодательством о бухгалтерском учёте и о налогах и сборах. Эти записи не удаляются даже по просьбе: у нас нет права их уничтожить раньше срока. Мы можем обезличить их в той части, которая не обязательна для учёта.
- Сессии — до истечения срока действия сессии или до выхода из аккаунта.
- Журналы безопасности и журнал отправленных писем — ограниченный срок, необходимый для расследования инцидентов и разрешения споров, после чего записи удаляются или обезличиваются.
История заказов и платежей никогда не удаляется полностью — у неё меняется статус. Это требование учёта, а не наше желание хранить лишнее.
5. Кому передаются данные
Мы не продаём и не передаём данные для чужих рекламных рассылок. Передача происходит только там, где без неё нельзя исполнить договор или требование закона:
- Платёжный партнёр (банк или платёжный сервис, принимающий оплату). Получает сумму, состав заказа и адрес электронной почты — последний необходим, чтобы направить вам кассовый чек. Реквизиты вашей карты обрабатывает он, а не мы: они на сайт не попадают. Роль партнёра — самостоятельный участник расчёта, обрабатывающий данные для проведения платежа и исполнения требований Федерального закона от 22.05.2003 № 54-ФЗ.
- Почтовый сервер, через который отправляются письма сайта. Получает адрес получателя и содержимое письма — иначе письмо невозможно доставить. Роль — обработчик, действующий по нашему поручению.
- Хостинг-провайдер, на серверах которого работает сайт и база данных. Технически имеет доступ к инфраструктуре, обрабатывает данные по нашему поручению и не вправе использовать их в своих целях.
- «Яндекс Метрика» и Рекламная сеть Яндекса (сервисы ООО «ЯНДЕКС»). Подключаются только после вашего согласия. Они устанавливают собственные файлы cookie и собирают на своей стороне сведения о визите: обезличенные идентификаторы, данные браузера и устройства, просмотренные страницы, а Рекламная сеть — данные, необходимые для показа объявлений. Мы получаем от этих сервисов только сводную статистику и не можем сопоставить её с вашей учётной записью. Порядок обработки на своей стороне определяет владелец сервиса; условия опубликованы в его документации.
- Государственные органы — по мотивированному запросу в случаях и порядке, прямо предусмотренных законом.
Трансграничная передача персональных данных не осуществляется. Мы намеренно не используем иностранные сервисы рассылок, CRM и аналитики.
6. Где хранятся данные
Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации производятся с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Федерального закона № 152-ФЗ). Сайт и база данных размещаются у хостинг-провайдера, оказывающего услуги на территории РФ.
7. Cookie и аналитика
Сайт использует файлы cookie двух видов.
Технические. Нужны, чтобы сайт работал: хранение сессии после входа, защита форм от подделки запросов, запоминание вашего решения по баннеру согласия. Без них вход в аккаунт невозможен, поэтому они устанавливаются всегда.
Аналитические и рекламные. Устанавливаются сервисами «Яндекса». До вашего согласия ни счётчик аналитики, ни рекламные блоки не загружаются вовсе — не выполняется даже загрузка их скриптов.
Согласие можно не давать: сайт при этом работает полностью, включая покупку и доступ к материалам. Отозвать согласие можно в любой момент — очистив файлы cookie сайта в настройках браузера. Управлять cookie можно и средствами самого браузера: он позволяет запретить их приём или удалить сохранённые.
Отдельного закона о cookie в Российской Федерации нет. Мы показываем баннер согласия и не грузим сторонние скрипты заранее, потому что считаем это честным по отношению к посетителю.
8. Как мы защищаем данные
Меры, которые применяются на сайте:
- пароли хранятся только в виде хеша Argon2id, восстановить пароль из базы невозможно;
- токены сессий, восстановления пароля и резервные коды хранятся только в виде хеша SHA-256;
- IP-адреса преобразуются в необратимый код и в исходном виде не сохраняются;
- соединение защищено HTTPS; заголовки безопасности ограничивают исполнение стороннего кода;
- доступ к административной части требует отдельной роли и двухфакторной аутентификации;
- действия с данными фиксируются в журнале;
- количество попыток входа ограничено, чтобы пароль нельзя было подобрать перебором.
Ни один набор мер не даёт стопроцентной гарантии. При инциденте с персональными данными оператор уведомляет Роскомнадзор в сроки, установленные частью 3.1 статьи 21 Федерального закона № 152-ФЗ.
9. Автоматизированные решения
Единственное решение, принимаемое автоматически, — открытие доступа к оплаченному материалу после подтверждения оплаты. Ограничение или отзыв доступа автоматически не производится: такие случаи рассматривает человек.
10. Ваши права
Вы вправе:
- получить сведения об обработке ваших данных: какие данные обрабатываются, откуда получены, с какой целью, кому передаются и как долго хранятся (статья 14 Федерального закона № 152-ФЗ);
- требовать уточнения данных, если они неполны или неточны;
- требовать блокирования или уничтожения данных, если они обрабатываются незаконно, неполны, неточны или больше не нужны для заявленной цели;
- отозвать согласие на обработку — в части, где обработка основана на согласии (аналитика и реклама). Отзыв согласия не влияет на исполнение уже заключённого договора и не отменяет обязанностей оператора по учёту;
- удалить учётную запись;
- обжаловать действия оператора в Роскомнадзоре или в суде.
Что мы не сможем сделать по вашему требованию: уничтожить сведения о совершённых расчётах раньше срока, установленного законодательством об учёте. В этой части мы вправе только ограничить обработку и обезличить всё, что не обязательно хранить.
11. Как обратиться
Обращение направляется на адрес электронной почты, указанный в разделе «Контакты». В обращении укажите адрес электронной почты, на который зарегистрирована учётная запись, и существо требования. Ответ направляется на тот же адрес.
Мы отвечаем на обращения в сроки, установленные Федеральным законом № 152-ФЗ.
12. Изменения политики
Новая редакция публикуется на этой странице с новым номером версии и датой вступления в силу. Существенные изменения мы дополнительно сообщаем зарегистрированным пользователям по электронной почте.