Политика обработки персональных данных
Какие персональные данные собирает Подотри.ru, как они обрабатываются и хранятся, как пользователь может управлять своими данными. Соответствие ФЗ-152.
Настоящая Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и определяет порядок обработки персональных данных пользователей сайта Подотри.ru. Мы собираем минимум данных, храним их кратко и не передаём никому, кроме провайдеров инфраструктуры — список и юрисдикции ниже.
§ 1. Оператор персональных данных
Оператор: Автономная некоммерческая организация «Подотри», ИНН [пусто], ОГРН [пусто], адрес [пусто].
Контакт по вопросам ПД: hello@podotri.ru.
§ 2. Правовое основание
- Статья 6 часть 1 пункт 5 ФЗ-152 — обработка необходима для осуществления прав и законных интересов оператора и третьих лиц при условии, что не нарушаются права и свободы субъекта персональных данных.
- Статья 6 часть 1 пункт 1 ФЗ-152 — согласие субъекта (отдельный чек-бокс в формах).
- Статья 9 ФЗ-152 — согласие на обработку, отзыв согласия в любой момент.
Согласие на обработку оформляется отдельным чек-боксом в форме отправки заявки. Без согласия форма не отправляется. Текст согласия включает ссылку на настоящую Политику.
§ 3. Какие данные собираются
| Категория | Что собирается | Когда | Зачем |
|---|---|---|---|
| Контактные | Email пользователя | При подаче заявки в любой форме | Подтверждение, обратная связь, статус заявки |
| Идентификационные | Имя или ник (по желанию) | При подаче заявки | Внутренняя атрибуция заявки в редакции |
| Технические | IP-адрес (в виде хэша HMAC-SHA256) | Автоматически при отправке формы | Защита от спама, антифрод |
| Технические | User-agent браузера | Автоматически | Адаптация контента, безопасность |
| Аналитические | Анонимная статистика посещений | Автоматически | Понимание посещаемости через Я.Метрику |
Хэш IP-адреса не позволяет восстановить исходный IP. Сырой IP в базе не хранится.
§ 4. Что НЕ собирается
Проект не собирает:
- паспортные данные, СНИЛС, ИНН, ОГРН пользователя;
- номера телефонов (если только пользователь не указал их добровольно в форме);
- геолокацию пользователя (только адрес объекта, который сообщает сам пользователь);
- биометрические данные;
- данные о специальных категориях ПД (национальность, политические взгляды, религиозные убеждения, состояние здоровья, интимная жизнь);
- данные банковских карт (платежи на пожертвования обрабатываются провайдером — см. § 6).
Если в свободном тексте заявки пользователь сообщил данные, которые проект не запрашивает, редакция удаляет их при модерации до публикации.
§ 5. Сроки хранения
| Категория | Срок |
|---|---|
| Email и имя пользователя | До завершения работы с заявкой + 3 года для возможных перепроверок |
| Хэш IP-адреса | 90 дней (для антифрод) |
| User-agent | 30 дней |
| Аналитика Я.Метрики | По правилам Я.Метрики (до 25 месяцев) |
| Данные доноров (если donations реализованы) | По законодательству РФ — 5 лет |
После окончания срока данные анонимизируются: email и имя удаляются, заявка сохраняется в обезличенном виде для статистики и архива.
§ 6. Передача третьим лицам
Проект использует следующих провайдеров инфраструктуры. Это операторы ПД в смысле ФЗ-152, имеющие собственные политики обработки.
| Провайдер | Что передаётся | Юрисдикция | Цель |
|---|---|---|---|
| Yandex 360 (ООО «Яндекс») | Email пользователя | РФ | Доставка писем редакции и системных уведомлений |
| Airtable, Inc. | Email, имя, текст заявки | США | Хранение заявок реестра |
| Yandex.Metrica (ООО «Яндекс») | Анонимная статистика | РФ | Аналитика посещаемости сайта |
| Yandex Maps API (ООО «Яндекс») | Адреса объектов | РФ | Отображение карты, геокодирование |
| Reg.ru | Технические логи доменной зоны | РФ | Хостинг доменного имени |
| Timeweb | Серверные логи | РФ | Хостинг сайта |
Иным третьим лицам данные не передаются, в том числе для целей рекламы или маркетинга. Передача в правоохранительные органы — только по официальному запросу в установленном законом порядке.
§ 7. Где хранятся данные
- Серверы сайта — в Российской Федерации (Timeweb, Москва).
- Email-инфраструктура — в Российской Федерации (Yandex 360).
- База заявок (Airtable) — на серверах оператора в США. Это трансграничная передача. Согласие пользователя на трансграничную передачу включено в чек-бокс согласия в формах.
Проект осознаёт, что хранение базы заявок за рубежом — компромисс между удобством эксплуатации и требованиями ФЗ-242 о локализации. По мере роста проекта база будет мигрирована на отечественный аналог.
§ 8. Права субъекта ПД
В соответствии со ст. 14–21 ФЗ-152 пользователь имеет право:
- получить подтверждение факта обработки своих ПД;
- получить копию своих ПД, имеющихся у оператора;
- уточнить, заблокировать или удалить свои ПД, если они неполны, устарели, неточны или не являются необходимыми для заявленной цели;
- отозвать согласие на обработку — заявка прекращает обрабатываться, данные удаляются (за исключением случаев, когда сохранение требуется по закону);
- обратиться с жалобой в Роскомнадзор или в суд при нарушении его прав оператором.
Как воспользоваться правами: направьте запрос на hello@podotri.ru с темой
«ФЗ-152: запрос субъекта ПД». В письме укажите email, с которого подавалась заявка,
и характер запроса (получить, исправить, удалить, отозвать согласие).
Срок ответа — 30 (тридцать) календарных дней с момента получения запроса.
§ 9. Cookie
Сайт не использует cookie для отслеживания пользователей. Единственное исключение — технические cookie Я.Метрики, устанавливаемые при наличии согласия пользователя в браузерных настройках. Подробнее — на сайте yandex.ru/legal/metrica_termsofuse.
Сайт не устанавливает рекламные, маркетинговые и сторонние трекеры.
§ 10. Безопасность
Технические и организационные меры защиты ПД:
- передача данных через защищённое соединение (HTTPS / TLS 1.3);
- ограничение доступа к базе заявок: только редакция, по индивидуальным учётным записям;
- хэширование IP-адресов через HMAC-SHA256 с непубличным ключом;
- ежедневный бэкап базы заявок;
- журналирование операций модерации;
- регулярный пересмотр прав доступа;
- удаление учётных записей сотрудников редакции при прекращении сотрудничества.
§ 11. Несовершеннолетние
Сайт не предназначен для лиц младше 14 лет. Если редакция получает заявку от заведомо несовершеннолетнего без согласия родителей или опекунов — данные удаляются, заявка не публикуется.
§ 12. Изменения Политики
Редакция вправе обновлять настоящую Политику. Существенные изменения дополнительно анонсируются на странице сайта и в Telegram-канале. Текущая редакция всегда доступна по адресу /privacy.
§ 13. Контакты
Оператор: АНО «Подотри», адрес [пусто]. Email по вопросам ПД: hello@podotri.ru. Роскомнадзор (контролирующий орган): rkn.gov.ru.