Политика обработки персональных данных

1. Общие положения

Настоящая Политика обработки персональных данных (далее — Политика) определяет порядок обработки и защиты персональных данных пользователей ЭСИМ — Электронной системы извещений мореплавателям, расположенной по адресу https://dntm.4marine.ru/.

Оператором персональных данных является ИП Малеев Дмитрий Александрович, ИНН 911110145516, ОГРНИП / ОГРН 323911200069102, адрес: 298309, Республика Крым, г. Керчь, ул. Орджоникидзе, д. 126, кв. 86 (далее — Оператор).

Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», иными применимыми нормативными правовыми актами Российской Федерации.

Политика является общедоступным документом. Доступ к ней обеспечивается в том числе на страницах ЭСИМ, посредством которых осуществляется сбор персональных данных.

Настоящая Политика сама по себе не является согласием пользователя на обработку персональных данных.

В случаях, когда законодательством Российской Федерации требуется согласие субъекта персональных данных, такое согласие оформляется отдельно от иных документов, соглашений и условий, подтверждаемых пользователем.

2. Основные понятия

Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу.

Пользователь — физическое лицо, использующее ЭСИМ, в том числе посетитель сайта либо зарегистрированный пользователь.

Обработка персональных данных — любое действие или совокупность действий с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, предоставление, блокирование, удаление и уничтожение.

Cookie — фрагмент данных, сохраняемый браузером пользователя и используемый для работы сайта, поддержания пользовательской сессии, обеспечения безопасности либо веб-аналитики.

3. Категории субъектов персональных данных

Оператор может обрабатывать персональные данные следующих категорий лиц:

• посетители сайта ЭСИМ;
• зарегистрированные пользователи ЭСИМ;
• пользователи, приобретающие или использующие платный доступ;
• пользователи, направляющие обращения администрации ЭСИМ.

4. Состав обрабатываемых данных

В зависимости от используемых функций ЭСИМ могут обрабатываться следующие персональные и связанные с пользователем данные:

• адрес электронной почты;
• внутренний идентификатор пользователя;
• криптографический хэш пароля;
• роль и статус учетной записи;
• изображение профиля либо путь к изображению профиля, если функция аватара используется;
• даты создания и изменения учетной записи;
• дата подтверждения адреса электронной почты;
• дата последнего входа;
• сведения о тарифе и подписке, включая статус, период действия и источник предоставления доступа;
• сведения о платежах, включая внутренний идентификатор платежа, идентификатор платежа у платежного провайдера, сумму, валюту, статус, даты оплаты и обработки платежа;
• тема и содержание обращений пользователя, в том числе сообщений об ошибках в данных ЭСИМ;
• адрес страницы ЭСИМ, связанной с обращением пользователя;
• сведения о статусе и дате рассмотрения обращения;
• технические идентификаторы пользовательской сессии;
• CSRF-токены и иные технические идентификаторы, необходимые для защиты пользовательских действий;
• данные, необходимые для подтверждения адреса электронной почты и восстановления доступа: одноразовые токены либо их криптографические производные, сроки действия и сведения об использовании;
• сведения, собираемые средствами Яндекс Метрики и Вебвизора, указанные в настоящей Политике.

Оператор специально не осуществляет сбор специальных категорий персональных данных, касающихся расовой или национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья или интимной жизни.

Оператор также специально не осуществляет обработку биометрических персональных данных.

5. Цели обработки персональных данных

Персональные данные обрабатываются исключительно в объёме, необходимом для следующих целей:

• регистрация пользователя и создание учетной записи;
• идентификация и авторизация;
• поддержание пользовательской сессии;
• подтверждение адреса электронной почты;
• восстановление доступа к учетной записи;
• изменение учетных данных и пароля пользователя;
• обеспечение безопасности учетной записи;
• предотвращение неправомерного использования ЭСИМ;
• заключение и исполнение договоров с пользователями;
• предоставление бесплатного или платного доступа к функциональным возможностям ЭСИМ;
• учет, активация, продление и прекращение подписок;
• организация приема и учета платежей;
• проверка статуса и результата платежей;
• обработка обращений пользователей;
• обработка сообщений о возможных ошибках и расхождениях в данных ЭСИМ;
• техническая и информационная поддержка;
• обеспечение работоспособности, безопасности и совершенствования ЭСИМ;
• получение статистической информации об использовании сайта посредством средств веб-аналитики;
• выполнение обязанностей, установленных законодательством Российской Федерации;
• защита прав и законных интересов Оператора и пользователей при возникновении споров или нарушений.

6. Правовые основания обработки

Обработка персональных данных осуществляется только при наличии предусмотренного законодательством Российской Федерации правового основания.

В зависимости от цели обработки таким основанием может являться:

• согласие субъекта персональных данных;
• необходимость обработки для заключения или исполнения договора, стороной, выгодоприобретателем либо поручителем по которому является субъект персональных данных;
• исполнение обязанностей, возложенных на Оператора законом;
• осуществление прав и законных интересов Оператора либо третьих лиц при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
• иные основания, предусмотренные законодательством Российской Федерации.

Оператор не требует согласия на обработку персональных данных в случаях, когда такая обработка правомерно осуществляется на ином предусмотренном законом основании.

7. Согласие на обработку персональных данных

Когда правовым основанием обработки является согласие пользователя, оно должно быть конкретным, предметным, информированным, сознательным и однозначным.

Такое согласие оформляется отдельно от других документов, соглашений и условий, подтверждаемых пользователем.

Оператор вправе хранить сведения, необходимые для подтверждения факта получения согласия, включая:

• идентификатор пользователя;
• вид и назначение согласия;
• редакцию или идентификатор текста согласия;
• дату и время его принятия;
• сведения об отзыве согласия, если такой отзыв поступал.

Пользователь вправе отозвать ранее предоставленное согласие.

Отзыв согласия не прекращает обработку персональных данных, если после его отзыва у Оператора сохраняется иное предусмотренное законом основание для обработки.

8. Регистрация и авторизация

Для регистрации пользователь предоставляет адрес электронной почты и самостоятельно устанавливает пароль.

Пароль пользователя в открытом виде в базе данных ЭСИМ не хранится.

Для аутентификации пользователя сохраняется криптографический хэш пароля.

Для поддержания авторизации ЭСИМ использует технически необходимую пользовательскую сессию.

В пользовательской сессии могут храниться внутренний идентификатор пользователя, CSRF-токены и иные технические сведения, необходимые для безопасной работы учетной записи.

9. Подтверждение электронной почты и восстановление доступа

Для подтверждения адреса электронной почты, восстановления доступа к учетной записи и изменения пароля ЭСИМ может направлять пользователю служебные сообщения по электронной почте.

Для таких операций могут использоваться одноразовые токены ограниченного срока действия.

При технической реализации соответствующих функций токены должны храниться способом, исключающим необходимость долговременного хранения их открытого значения.

Пароли пользователей по электронной почте не направляются.

Отправка служебных сообщений осуществляется с использованием серверной и почтовой инфраструктуры, используемой ЭСИМ, включая инфраструктуру хостинг-провайдера.

10. Подписки и платежи

Для предоставления платного доступа Оператор обрабатывает сведения о выбранном тарифе, сроке и статусе подписки, а также связанных платежах.

Для проведения платежей используется сервис ЮKassa, предоставляемый ООО НКО «ЮМани».

При создании платежа платежному сервису могут передаваться:

• сумма платежа;
• валюта платежа;
• описание операции;
• внутренний идентификатор платежа;
• внутренний идентификатор пользователя;
• идентификатор тарифа;
• иные технические сведения, необходимые для создания и подтверждения платежа.

ЭСИМ получает от платежного сервиса сведения, необходимые для проверки результата платежа, включая идентификатор платежа, статус, сумму, валюту и связанные технические сведения.

Полный номер банковской карты, срок её действия, CVV/CVC-код и иные платежные реквизиты, которые пользователь вводит непосредственно на стороне платежного сервиса, ЭСИМ не получает и не хранит.

11. Обращения пользователей и сообщения об ошибках

Зарегистрированные пользователи могут направлять сообщения о возможных ошибках или расхождениях в данных ЭСИМ.

Для обработки такого обращения могут сохраняться:

• идентификатор пользователя;
• тема обращения;
• текст обращения;
• адрес связанной страницы ЭСИМ;
• дата направления обращения;
• статус рассмотрения;
• дата рассмотрения.

Эти сведения используются для проверки информации, актуализации базы ЭСИМ и взаимодействия с пользователем при необходимости.

12. Файлы cookie

ЭСИМ использует или может использовать технически необходимые и аналитические файлы cookie.

Технически необходимые cookie используются для авторизации, поддержания пользовательской сессии, обеспечения безопасности и корректной работы функций сайта.

В частности, для пользовательской сессии используется cookie DNTM_SESSION.

Ограничение или удаление технически необходимых cookie может привести к невозможности авторизации или использования отдельных функций ЭСИМ.

Аналитические cookie и связанные средства веб-аналитики используются при наличии предусмотренного законодательством правового основания.

В случаях, когда законодательство требует получения согласия пользователя на соответствующую аналитическую обработку, такое согласие должно быть получено до начала обработки, для которой оно необходимо.

Пользователь может ограничивать или удалять файлы cookie средствами используемого браузера.

13. Яндекс Метрика и Вебвизор

Для получения статистической информации и анализа использования сайта Оператор использует сервис «Яндекс Метрика», предоставляемый ООО «ЯНДЕКС».

Средствами Яндекс Метрики могут обрабатываться сведения о посещении сайта, включая:

• cookie и иные технические идентификаторы;
• сведения об активности пользователя;
• адреса посещённых страниц;
• сведения об источнике перехода;
• сведения о браузере;
• сведения об операционной системе;
• сведения об устройстве;
• иные технические характеристики посещения сайта.

В ЭСИМ используется функция «Вебвизор», предназначенная для анализа взаимодействия посетителей со страницами сайта.

Оператор принимает меры, направленные на исключение записи Вебвизором паролей, платежных реквизитов и иных сведений, которые не требуются для целей веб-аналитики.

В отношении персональных данных посетителей, обрабатываемых средствами Яндекс Метрики, Оператор является оператором персональных данных, а Яндекс осуществляет обработку соответствующих данных в рамках предоставления сервиса веб-аналитики.

14. Лица, участвующие в обработке данных

Для обеспечения работы ЭСИМ Оператор может поручать обработку персональных данных либо предоставлять необходимый доступ к ним лицам, участвующим в обеспечении работы сервиса.

В частности, к таким организациям относятся:

• ООО «Бегет» — предоставление серверной, хостинговой, почтовой и связанной инфраструктуры;
• ООО «ЯНДЕКС» — предоставление сервиса «Яндекс Метрика»;
• ООО НКО «ЮМани» — проведение и техническое сопровождение платежей посредством сервиса ЮKassa.

Персональные данные также могут быть предоставлены государственным органам, судам либо иным лицам в случаях и порядке, прямо предусмотренных законодательством Российской Федерации.

15. Локализация персональных данных

Основные информационные базы ЭСИМ, содержащие персональные данные пользователей, размещаются с использованием серверной инфраструктуры, находящейся на территории Российской Федерации.

В качестве основного хостинг-провайдера используется ООО «Бегет».

При сборе персональных данных граждан Российской Федерации посредством сети Интернет Оператор обеспечивает соблюдение требований законодательства Российской Федерации о локализации персональных данных.

16. Порядок обработки

Обработка персональных данных осуществляется преимущественно автоматизированным способом с использованием информационных систем и сети Интернет.

В пределах соответствующей цели Оператор может осуществлять:

• сбор;
• запись;
• систематизацию;
• накопление;
• хранение;
• уточнение;
• извлечение;
• использование;
• предоставление лицам, участвующим в обработке;
• блокирование;
• удаление;
• уничтожение.

Оператор руководствуется принципами законности, ограничения обработки заранее определёнными целями, соответствия объёма данных заявленным целям и недопустимости избыточной обработки.

17. Сроки обработки и хранения

Персональные данные обрабатываются не дольше, чем это требуется для достижения целей обработки, если иной срок не установлен законодательством Российской Федерации или договором.

Данные учетной записи могут обрабатываться в течение срока существования учетной записи пользователя.

После прекращения учетной записи отдельные сведения могут сохраняться в течение периода, необходимого для исполнения обязанностей Оператора, разрешения споров и защиты законных прав.

Сведения, связанные с платежами и расчетами, могут храниться в течение сроков, предусмотренных налоговым, бухгалтерским и иным применимым законодательством.

Данные обращений пользователей могут храниться в течение периода рассмотрения обращения и после его завершения в объёме и сроки, необходимые для подтверждения факта его рассмотрения и разрешения возможных споров.

Одноразовые токены подтверждения электронной почты и восстановления доступа действуют ограниченный срок и перестают использоваться после истечения срока либо успешного выполнения операции.

Срок обработки данных, собираемых средствами Яндекс Метрики, зависит также от настроек и условий соответствующего сервиса.

18. Прекращение обработки и уничтожение данных

При достижении цели обработки персональных данных Оператор прекращает их обработку и обеспечивает уничтожение либо удаление данных в сроки, установленные законодательством, если отсутствуют иные законные основания для дальнейшей обработки.

По общему правилу при достижении цели обработки либо отзыве согласия, если отсутствует иное предусмотренное законом основание для обработки, персональные данные уничтожаются в срок, не превышающий 30 дней.

Если уничтожение в установленный срок технически невозможно, персональные данные блокируются и уничтожаются в порядке и сроки, предусмотренные законодательством.

Факт уничтожения персональных данных подтверждается документами и сведениями, предусмотренными нормативными требованиями Российской Федерации.

19. Защита персональных данных

Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий.

К применяемым мерам могут относиться:

• разграничение доступа к информационным системам;
• контроль доступа к административному интерфейсу;
• защищённые пользовательские сессии;
• хэширование паролей;
• CSRF-защита пользовательских форм;
• ограничение доступа к базе данных и конфигурационным данным;
• резервное копирование и восстановление данных;
• контроль и устранение выявленных технических уязвимостей;
• применение иных мер, соответствующих характеру обрабатываемой информации.

20. Инциденты с персональными данными

При выявлении неправомерной или случайной передачи, предоставления, распространения либо доступа к персональным данным, повлекших нарушение прав субъектов персональных данных, Оператор действует в соответствии с требованиями законодательства Российской Федерации.

В предусмотренных законом случаях Оператор направляет первичное уведомление Роскомнадзору в течение 24 часов с момента выявления инцидента.

Информация о результатах внутреннего расследования направляется в предусмотренных законом случаях в течение 72 часов с момента выявления инцидента.

21. Права пользователя

Пользователь вправе в случаях и порядке, предусмотренных законодательством:

• получать информацию об обработке своих персональных данных;
• знакомиться с обрабатываемыми персональными данными;
• требовать уточнения неполных, неточных либо устаревших данных;
• требовать блокирования неправомерно обрабатываемых данных;
• требовать уничтожения данных, обработка которых осуществляется без законного основания либо которые не требуются для заявленной цели;
• отозвать ранее предоставленное согласие;
• потребовать прекращения обработки в предусмотренных законом случаях;
• обжаловать действия или бездействие Оператора в Роскомнадзор или в судебном порядке.

22. Порядок рассмотрения обращений по персональным данным

Пользователь вправе обратиться к Оператору по вопросам обработки своих персональных данных.

Информация, предусмотренная законодательством о персональных данных, предоставляется субъекту в установленный законом срок.

В случаях, предусмотренных Федеральным законом № 152-ФЗ, такой срок составляет 10 рабочих дней с момента получения обращения либо запроса.

Указанный срок может быть продлён не более чем на 5 рабочих дней при направлении пользователю мотивированного уведомления о причинах продления.

При подтверждении неточности персональных данных Оператор уточняет такие данные в срок, установленный законом.

В предусмотренных законодательством случаях такой срок составляет 7 рабочих дней со дня предоставления необходимых подтверждающих сведений.

Требования о прекращении обработки, удалении либо уничтожении данных исполняются в сроки и при наличии оснований, установленных законодательством Российской Федерации.

23. Контакты Оператора

По вопросам обработки персональных данных, реализации прав субъекта, уточнения данных, отзыва согласия, прекращения обработки либо по иным связанным вопросам пользователь может обратиться к Оператору.

Электронная почта: MDTropinin@yandex.ru

Адрес: 298309, Республика Крым, г. Керчь, ул. Орджоникидзе, д. 126, кв. 86

24. Изменение Политики

Оператор вправе изменять настоящую Политику при изменении законодательства, функциональных возможностей ЭСИМ, состава обрабатываемых данных, целей обработки, используемой инфраструктуры либо внешних сервисов.

Актуальная редакция Политики постоянно доступна по адресу: https://dntm.4marine.ru/privacy.php.

Новая редакция применяется с момента её опубликования, если непосредственно в новой редакции не указан иной срок.