Политика в отношении обработки персональных данных

Настоящая Политика в отношении обработки персональных данных (далее — Политика) разработана во исполнение требований статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных) в целях защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе права на неприкосновенность частной жизни, личную и семейную тайну.

Политика определяет цели, правовые основания, объём и категории обрабатываемых персональных данных, порядок и условия их обработки, меры защиты, права субъектов персональных данных, а также порядок ответов на их обращения.

Оператором персональных данных является Соколов Вячеслав Олегович (физическое лицо) (далее — Оператор). Обращения по вопросам обработки персональных данных принимаются по адресу электронной почты hello@kwadi.ru.

Политика применяется ко всем персональным данным, которые обрабатываются Оператором в связи с работой сайта kwadi.ru и сервиса Клуба. Политика публикуется на Сайте в свободном доступе.

Клуб не является ресурсом Новосибирского государственного технического университета (далее — Университет), не связан с ним организационно и не передаёт Университету персональные данные Пользователей и Заявителей.

Согласия на обработку персональных данных оформляются отдельными документами и не являются частью Политики. Начало использования Сайта или Сервиса означает ознакомление с Политикой.

Политика утверждена Оператором и вступает в силу с даты утверждения.

Обработка персональных данных осуществляется на основе следующих принципов:

1. обработки на законной и справедливой основе;
2. ограничения обработки заранее определёнными и законными целями;
3. недопустимости объединения баз данных, обработка которых осуществляется в несовместимых целях;
4. соответствия содержания и объёма обрабатываемых данных заявленным целям, недопустимости их избыточности;
5. точности, достаточности и актуальности данных;
6. хранения данных не дольше, чем этого требуют цели обработки;
7. уничтожения данных по достижении целей обработки или при утрате необходимости в достижении этих целей.

Оператор придерживается принципа минимизации: ФИО, номер телефона, паспортные данные, сведения о факультете, группе и курсе, геолокация и специальные категории персональных данных не запрашиваются и не обрабатываются.

Персональные данные обрабатываются в следующих целях:

1. приём заявок и выдача Заявителю знака «Первопроходец» при регистрации в Сервисе;
2. связь с Заявителем по темам, отмеченным в заявке (участие в бета-тестировании, ведение собственного сообщества, участие в разработке, иное);
3. регистрация Пользователя, его аутентификация и предоставление доступа к Сервису;
4. обеспечение работы Сервиса: публикация и отображение материалов Пользователей, ведение профилей;
5. модерация материалов, рассмотрение жалоб и применение мер, предусмотренных Правилами клуба;
6. обеспечение безопасности Сервиса, защита от подбора паролей и злоупотреблений;
7. установление личности Пользователя в случаях и в порядке, предусмотренных Регламентом.

Конкретные категории данных, правовые основания и сроки обработки для каждой цели приведены в Приложении 1 к Политике.

Правовыми основаниями обработки персональных данных являются:

1. согласие субъекта персональных данных на обработку его данных (пункт 1 части 1 статьи 6 Закона о персональных данных);
2. исполнение договора, стороной которого является субъект персональных данных, в том числе пользовательского соглашения, принимаемого при регистрации (пункт 5 части 1 статьи 6);
3. осуществление прав и законных интересов Оператора, если при этом не нарушаются права и свободы субъекта персональных данных (пункт 7 части 1 статьи 6), в частности в целях модерации и обеспечения безопасности Сервиса;
4. исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации (пункт 2 части 1 статьи 6).

Персональные данные собираются непосредственно у субъектов персональных данных. Обработка осуществляется с использованием средств автоматизации и включает сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, хеширование, шифрование, блокирование, удаление и уничтожение.

Адрес электронной почты Заявителя хранится в виде необратимого ключевого хеша и используется только для сопоставления с адресом при регистрации. Адрес электронной почты Пользователя хранится в зашифрованном виде и в виде слепого индекса, позволяющего найти учётную запись без расшифровки адреса. Пароль хранится только в виде хеша.

Базы данных и серверы расположены на территории Российской Федерации. Инфраструктуру предоставляет REG.RU, обрабатывающий данные по поручению Оператора без доступа к расшифрованным сведениям. Трансграничная передача персональных данных не осуществляется, за исключением пересылки писем, направленных на адрес для обращений, на личный почтовый ящик Оператора, который может находиться за пределами Российской Федерации. Содержание таких писем используется только для ответа на обращение.

Оператор не передаёт персональные данные третьим лицам, за исключением случаев, предусмотренных законодательством Российской Федерации. Требования Университета и иных организаций принимаются только в письменной форме и исполняются при наличии правового основания (судебное решение, запрос уполномоченного органа). При отсутствии правового основания персональные данные не предоставляются. Если законодательство запрещает уведомлять субъекта о таком требовании, уведомление не направляется.

Установление связи псевдонима с адресом электронной почты допускается только в случаях и в порядке, предусмотренных Регламентом, с обязательной записью в журнал.

Из загружаемых изображений удаляются метаданные (в том числе сведения о геопозиции).

Сайт не использует файлы cookie и сторонние системы аналитики. В памяти браузера сохраняется только выбранная тема оформления, эти сведения не передаются Оператору. После входа в Сервис используется сессионный файл cookie, необходимый для аутентификации.

При обращении к Сайту веб-сервер фиксирует IP-адрес, время запроса, адрес запрошенной страницы и сведения о программе просмотра в целях обеспечения безопасности и стабильной работы.

Сроки хранения персональных данных определены в Приложении 1. По истечении срока или при достижении цели обработки данные уничтожаются в срок, установленный законодательством: 30 дней.

Оператор принимает правовые, организационные и технические меры, необходимые для защиты персональных данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения, в том числе:

1. определение угроз безопасности персональных данных и применение мер защиты, соответствующих этим угрозам;
2. разграничение доступа по ролям и ведение журналов действий Администраторов и модераторов;
3. шифрование адресов электронной почты открытым ключом при хранении закрытого ключа отдельно от сервера;
4. хеширование паролей современным алгоритмом и защита соединений протоколом TLS;
5. ограничение частоты запросов и защита от подбора паролей;
6. резервное копирование и проверка восстановления данных;
7. обнаружение инцидентов и действия при инцидентах.

При инциденте, повлёкшем неправомерную передачу персональных данных, Оператор уведомляет Роскомнадзор в течение 24 часов о произошедшем инциденте и в течение 72 часов о результатах внутреннего расследования.

Оператор не контролирует ресурсы, принадлежащие Университету: почтовую систему, электронную учётную запись и компьютерную сеть. Университет вправе осуществлять доступ к собственной почте и сети в соответствии со своими локальными актами. Эти обстоятельства находятся вне зоны ответственности Оператора.

Субъект персональных данных вправе:

1. получить подтверждение факта обработки его персональных данных Оператором;
2. получить сведения о правовых основаниях и целях обработки, способах обработки, составе обрабатываемых данных и их источнике, сроках обработки и хранения, лицах, которым данные могут быть раскрыты;
3. потребовать уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными или не необходимы для заявленной цели;
4. отозвать согласие на обработку персональных данных;
5. обжаловать действия или бездействие Оператора в Роскомнадзоре или в судебном порядке.

Заявку и любое согласие можно отозвать письмом на адрес hello@kwadi.ru, направленным с адреса электронной почты, указанного в заявке. Оператор находит заявку по хешу адреса и уничтожает её. Учётную запись Пользователь вправе удалить самостоятельно в настройках Сервиса.

Оператор рассматривает обращение и направляет ответ в течение 10 (десяти) рабочих дней с даты получения. Срок может быть продлён не более чем на 5 (пять) рабочих дней с направлением мотивированного уведомления.

Оператор обязан:

1. организовывать обработку персональных данных в соответствии с Законом о персональных данных;
2. отвечать на обращения субъектов и их законных представителей в установленный срок;
3. сообщать в Роскомнадзор по запросу необходимую информацию в течение 10 (десяти) рабочих дней;
4. назначить лицо, ответственное за организацию обработки персональных данных; Оператор самостоятельно выполняет эти функции;
5. опубликовать Политику и сведения о реализуемых требованиях к защите персональных данных;
6. направлять уведомление об обработке персональных данных в Роскомнадзор в случаях, предусмотренных законом.

Клуб предназначен для совершеннолетних. Используя Сайт и подавая заявку, лицо подтверждает, что ему исполнилось восемнадцать лет, и самостоятельно отвечает за достоверность этого подтверждения.

Ссылка на канал Клуба в мессенджере Telegram ведёт на сторонний сервис. При переходе по ней Telegram получает IP-адрес и сведения о программе просмотра на условиях собственных правил. Сайт не передаёт при этом адрес просматриваемой страницы. Письмо на адрес электронной почты для обращений обрабатывается как обычное обращение, его содержание используется только для ответа.

Оператор вправе вносить изменения в Политику. Новая редакция публикуется на Сайте с указанием даты и вступает в силу с момента публикации, если иное не указано в ней. Для новых целей обработки запрашивается отдельное согласие.

Реквизиты Оператора: Соколов Вячеслав Олегович (физическое лицо). Контакт: hello@kwadi.ru.