Политика обработки персональных данных

1.1. Настоящая Политика обработки персональных данных (далее — «Политика») определяет порядок и условия обработки персональных данных физических лиц (далее — «Субъект персональных данных», «Пользователь», «Вы») при использовании сайта https://pomelo.colorbit.ru, включая его поддомены и страницы, и мобильного приложения «Pomelo» (далее совместно — «Сервис»).

1.2. Оператор персональных данных (далее — «Оператор»): Рогов Владислав Владимирович, физическое лицо, применяющее специальный налоговый режим «Налог на профессиональный доход», ИНН 670301291308. Адрес электронной почты для обращений по вопросам обработки персональных данных: pomelo@colorbit.ru. Почтовый адрес Оператора предоставляется по запросу Субъекта персональных данных.

1.3. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ») и опубликована в открытом доступе во исполнение части 2 статьи 18.1 152-ФЗ. Политика действует в отношении всех персональных данных, которые Оператор получает от Пользователя при использовании Сервиса.

1.4. Ответственным за организацию обработки персональных данных является Оператор лично (статья 22.1 152-ФЗ).

1.5. Термины «персональные данные», «обработка», «оператор», «блокирование», «уничтожение», «обезличивание», «трансграничная передача» используются в значениях, установленных статьёй 3 152-ФЗ.

1.6. Пользовательское соглашение Сервиса постоянно доступно по адресу https://pomelo.colorbit.ru/legal/terms, текст Согласия на обработку персональных данных — по адресу https://pomelo.colorbit.ru/legal/consent. Настоящая Политика доступна по адресу https://pomelo.colorbit.ru/legal/privacy, а также по ссылкам в подвале сайта, в меню приложения и в каждом месте сбора персональных данных.

2.1. Обработка персональных данных, необходимых для регистрации, входа и предоставления функций Сервиса, осуществляется на основании пункта 5 части 1 статьи 6 152-ФЗ: обработка необходима для исполнения Пользовательского соглашения (публичной оферты), стороной которого является Пользователь, а также для заключения этого договора по инициативе Пользователя. Договор заключается путём совершения Пользователем активных действий: нажатия кнопки «Создать аккаунт» либо кнопки входа через сторонний сервис авторизации, при совершении которых Пользователю отображается уведомление о принятии Пользовательского соглашения и об ознакомлении с Политикой с гиперссылками на их полные тексты. Бездействие Пользователя не является принятием условий и не является согласием на обработку персональных данных.

2.2. Обработка технических сведений в целях защиты Сервиса от злоупотреблений, соблюдения лимитов бесплатного использования и обеспечения безопасности учётных записей осуществляется на основании пункта 7 части 1 статьи 6 152-ФЗ (осуществление прав и законных интересов Оператора при условии, что при этом не нарушаются права и свободы Субъекта персональных данных).

2.3. Хранение сведений о платежах и направление кассовых чеков осуществляется на основании пункта 2 части 1 статьи 6 152-ФЗ во исполнение обязанностей, возложенных на Оператора налоговым законодательством Российской Федерации и Федеральным законом от 22.05.2003 № 54-ФЗ.

2.4. Обработка данных метрических программ (Яндекс.Метрика, счётчик VK) в целях статистики и улучшения Сервиса не является необходимой для исполнения договора и осуществляется только с согласия Субъекта персональных данных (пункт 1 части 1 статьи 6, статья 9 152-ФЗ). Согласие даётся путём нажатия кнопки «Ок» в уведомлении об использовании cookie на сайте; кнопка закрытия уведомления («Отказаться», подпись «Закройте для отказа») позволяет отказаться от обработки, при этом функции Сервиса не ограничиваются. Метрические программы загружаются только после нажатия кнопки «Ок». Текст Согласия постоянно доступен по адресу https://pomelo.colorbit.ru/legal/consent.

2.5. Оператор не обрабатывает специальные категории персональных данных (статья 10 152-ФЗ) и биометрические персональные данные (статья 11 152-ФЗ) и не запрашивает у Пользователя такие сведения.

2.6. Оператор не обрабатывает персональные данные в целях продвижения товаров, работ и услуг на рынке. Направление рекламных и информационных рассылок возможно только после получения отдельного предварительного согласия Пользователя (статья 15 152-ФЗ, статья 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе»); на дату публикации настоящей редакции Политики такие рассылки не осуществляются.

2.7. Сервис предназначен для лиц, достигших 18 лет. Лица в возрасте от 14 до 18 лет вправе использовать Сервис с согласия законных представителей. Оператор не осуществляет намеренный сбор персональных данных лиц младше 14 лет; при обнаружении таких данных они удаляются.

3.1. Цель: заключение и исполнение Пользовательского соглашения — регистрация и вход в учётную запись, ведение учётной записи, сохранение результатов использования Сервиса и пользовательских настроек, предоставление и учёт платной подписки, направление служебных сообщений (подтверждение адреса электронной почты, восстановление пароля, кассовые чеки и уведомления о состоянии подписки), рассмотрение обращений Пользователя.

Категории субъектов: зарегистрированные пользователи Сервиса.

Перечень персональных данных: адрес электронной почты; идентификатор учётной записи Пользователя у провайдера входа (VK ID, Яндекс ID); имя и изображение профиля (аватар), полученные от провайдера входа или указанные Пользователем; пол (указывается по желанию Пользователя); пароль в виде необратимого хэша (пароль в открытом виде не хранится); сведения о подписке и платежах (статус, дата, сумма, идентификатор платежа — реквизиты банковских карт Оператору не передаются и не хранятся); данные об использовании Сервиса и пользовательские настройки; технические сведения о сессии (IP-адрес, User-Agent, тип устройства, дата и время входа).

Правовое основание: пункты 2 и 5 части 1 статьи 6 152-ФЗ.

Действия с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ) лицам, указанным в разделе 5 Политики, блокирование, удаление, уничтожение. Способ обработки: автоматизированная обработка с передачей по сети Интернет.

Срок обработки и хранения: в течение действия Пользовательского соглашения (пока существует учётная запись). После удаления учётной записи Пользователем или по его требованию учётная запись блокируется и исключается из обработки, а относящиеся к ней данные хранятся в архивном виде 3 (три) года для рассмотрения возможных споров и предотвращения повторных злоупотреблений (срок согласован в Пользовательском соглашении в соответствии с частью 4 статьи 21 152-ФЗ), после чего уничтожаются. Сведения о платежах хранятся 5 (пять) лет в соответствии с требованиями налогового законодательства. Технические сведения о сессиях хранятся до истечения срока действия сессии, но не более 1 (одного) года.

3.2. Цель: обеспечение безопасности Сервиса, соблюдение лимитов бесплатного использования и предотвращение злоупотреблений (в том числе создания множественных учётных записей для обхода лимитов).

Категории субъектов: посетители Сервиса (гости) и зарегистрированные пользователи.

Перечень персональных данных: IP-адрес; User-Agent; технический отпечаток браузера или устройства (fingerprint, параметры TLS-соединения); идентификатор гостевой сессии (cookie); дата и время запросов.

Правовое основание: пункт 7 части 1 статьи 6 152-ФЗ.

Действия с персональными данными: сбор, запись, систематизация, накопление, хранение, извлечение, использование, блокирование, удаление, уничтожение. Способ обработки: автоматизированная обработка с передачей по сети Интернет.

Срок обработки и хранения: 1 (один) год с даты последней активности, после чего данные уничтожаются.

3.3. Цель: статистический анализ использования Сервиса и улучшение его функций.

Категории субъектов: посетители сайта.

Перечень персональных данных: данные метрических программ — cookie-идентификаторы, IP-адрес, сведения об устройстве и браузере, просмотренные страницы и действия на сайте, источник перехода.

Правовое основание: согласие Субъекта персональных данных (пункт 1 части 1 статьи 6 152-ФЗ).

Действия с персональными данными: сбор, запись, систематизация, накопление, хранение, обезличивание, использование, передача (доступ) операторам метрических программ, указанным в разделе 5 Политики. Способ обработки: автоматизированная обработка с передачей по сети Интернет.

Срок обработки и хранения: до отзыва согласия. Оператор не хранит данные метрических программ в собственных базах данных; их хранение осуществляют операторы метрических программ в соответствии с их условиями использования.

3.4. Цель: рассмотрение обращений Пользователей в поддержку, а также запросов Субъектов персональных данных о реализации их прав.

Категории субъектов: лица, обратившиеся к Оператору.

Перечень персональных данных: адрес электронной почты или идентификатор в мессенджере, имя (если указано), содержание обращения.

Правовое основание: пункты 5 и 7 части 1 статьи 6 152-ФЗ.

Срок обработки и хранения: 3 (три) года с даты последнего сообщения в переписке, после чего данные уничтожаются.

3.5. Обработка персональных данных ограничивается достижением конкретных, заранее определённых и законных целей, указанных в настоящем разделе. Не допускается обработка персональных данных, несовместимая с целями их сбора, а также объединение баз данных, содержащих персональные данные, обработка которых осуществляется в несовместимых между собой целях.

4.1. Cookie — небольшие фрагменты данных, которые сервер Сервиса или третье лицо сохраняет на устройстве Пользователя. Сервис использует: (а) технически необходимые cookie — идентификаторы сессии и токены авторизации, идентификатор гостевой сессии, признак принятия уведомления о cookie, настройки интерфейса; (б) cookie метрических программ.

4.2. Технически необходимые cookie обрабатываются на основаниях, указанных в пунктах 2.1 и 2.2 Политики, поскольку без них вход в учётную запись, соблюдение лимитов и защита от злоупотреблений невозможны.

4.3. Метрические программы: Яндекс.Метрика (ООО «Яндекс», условия: https://yandex.ru/legal/metrica_termsofuse, политика: https://yandex.ru/legal/confidential) и счётчик Top.Mail.Ru / VK Pixel (ООО «ВК», политика: https://help.mail.ru/legal/terms/common/privacy). Данные метрических программ обрабатываются на основании согласия Пользователя, которое даётся нажатием кнопки «Ок» в уведомлении об использовании cookie (пункт 2.4 Политики). До нажатия кнопки «Ок» метрические программы не загружаются и данные не собираются.

4.4. Пользователь вправе отказаться от обработки данных метрических программ, закрыв уведомление об использовании cookie кнопкой «Отказаться», а также отозвать ранее данное согласие: удалить cookie и данные сайта в настройках браузера (уведомление будет показано повторно), запретить приём cookie для сайта Сервиса либо направить Оператору уведомление по адресу pomelo@colorbit.ru. Функции Сервиса при отказе не ограничиваются.

4.5. Мобильное приложение «Pomelo» отображает страницы сайта Сервиса; отдельные средства аналитики в мобильное приложение не встроены.

5.1. Оператор поручает обработку персональных данных (часть 3 статьи 6 152-ФЗ) и предоставляет доступ к персональным данным следующим лицам в объёме, необходимом для достижения целей, указанных в разделе 3 Политики:

а) ООО «Яндекс.Облако» — размещение серверов, баз данных и объектного хранилища Сервиса (хостинг). ИНН 7704458262, ОГРН 1187746678580. Адрес: 119021, г. Москва, ул. Льва Толстого, д. 16. Центры обработки данных расположены на территории Российской Федерации. Сайт: https://yandex.cloud;

б) ООО «Яндекс» — сервис авторизации «Яндекс ID» (Оператор получает идентификатор учётной записи, адрес электронной почты, имя и аватар Пользователя), метрическая программа «Яндекс.Метрика», почтовый сервис для отправки служебных писем. ИНН 7736207543, ОГРН 1027700229193. Адрес: 119021, г. Москва, ул. Льва Толстого, д. 16. Политика конфиденциальности: https://yandex.ru/legal/confidential;

в) ООО «В Контакте» — сервис авторизации «VK ID» (Оператор получает идентификатор учётной записи, адрес электронной почты, имя и аватар Пользователя). ИНН 7842349892, ОГРН 1079847035179. Адрес: 191024, г. Санкт-Петербург, ул. Херсонская, д. 12-14, лит. А. Политика конфиденциальности: https://id.vk.ru/privacy;

г) ООО «ВК» — метрическая программа (счётчик Top.Mail.Ru / VK Pixel). ИНН 7743001840, ОГРН 1027739850962. Адрес: 125167, г. Москва, Ленинградский проспект, д. 39, стр. 79. Политика конфиденциальности: https://help.mail.ru/legal/terms/common/privacy;

д) ООО НКО «ЮМани» (платёжный сервис ЮKassa) — приём платежей за подписку. ИНН 7750005725, ОГРН 1127711000031. Адрес: 115035, г. Москва, ул. Садовническая, д. 82, стр. 2. Реквизиты банковских карт обрабатываются платёжным сервисом самостоятельно в соответствии со стандартом PCI DSS и Оператору не передаются; Оператор получает только статус, дату, сумму и идентификатор платежа. Политика конфиденциальности: https://yoomoney.ru/page?id=527708;

е) государственные органы, суды и правоохранительные органы — по их мотивированным запросам в случаях, предусмотренных законодательством Российской Федерации.

5.2. Для распознавания состава продукта по фотографии Оператор использует сторонние сервисы моделей машинного обучения. Таким сервисам передаются только изображение этикетки и текст состава продукта без каких-либо идентификаторов Пользователя (без адреса электронной почты, идентификатора учётной записи, IP-адреса). Такие данные не позволяют определить Пользователя и не являются персональными данными. Пользователю не следует фотографировать документы, лица людей и иные объекты, содержащие персональные данные.

5.3. Оператор не передаёт персональные данные в форме распространения неограниченному кругу лиц. Оператор не продаёт персональные данные и не передаёт их третьим лицам в рекламных целях.

6.1. Во исполнение части 5 статьи 18 152-ФЗ запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, размещённых в центрах обработки данных ООО «Яндекс.Облако» на территории Российской Федерации.

6.2. Трансграничная передача персональных данных не осуществляется. Иностранные системы авторизации (в том числе Google) для регистрации и входа российских пользователей не используются.

7.1. Субъект персональных данных вправе: получать информацию, касающуюся обработки его персональных данных (статья 14 152-ФЗ); требовать уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки; отозвать согласие на обработку персональных данных; требовать прекращения обработки персональных данных; обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке.

7.2. Пользователь может самостоятельно изменить данные профиля и настройки, а также удалить учётную запись с помощью соответствующих функций Сервиса. Удаление учётной записи влечёт блокирование персональных данных в порядке и сроки, указанные в пункте 3.1 Политики.

7.3. Запросы о реализации прав направляются Оператору по адресу электронной почты pomelo@colorbit.ru. Почтовый адрес для письменных обращений предоставляется по запросу. Запрос должен содержать сведения, позволяющие идентифицировать Субъекта персональных данных (адрес электронной почты, указанный в учётной записи, или иные сведения, подтверждающие участие в отношениях с Оператором), и подпись Субъекта или его представителя.

7.4. Оператор рассматривает запросы и предоставляет ответ в течение 10 (десяти) рабочих дней с даты получения запроса (статьи 14 и 20 152-ФЗ). Указанный срок может быть продлён не более чем на 5 (пять) рабочих дней с направлением Субъекту мотивированного уведомления.

7.5. В случае отзыва согласия или получения требования о прекращении обработки Оператор прекращает обработку и уничтожает персональные данные в срок, не превышающий 30 (тридцати) дней, за исключением случаев, когда Оператор вправе продолжить обработку без согласия Субъекта на основаниях, предусмотренных пунктами 2–11 части 1 статьи 6 152-ФЗ и Пользовательским соглашением (пункт 3.1 Политики).

8.1. Оператор принимает правовые, организационные и технические меры, предусмотренные статьями 18.1 и 19 152-ФЗ, в том числе: назначение ответственного за организацию обработки; публикация настоящей Политики; оценка вреда, который может быть причинён Субъектам персональных данных в случае нарушения 152-ФЗ; внутренний контроль соответствия обработки требованиям законодательства; определение угроз безопасности и применение мер по их нейтрализации; учёт и реагирование на инциденты безопасности, включая уведомление Роскомнадзора в установленных законом случаях.

8.2. Технические меры: передача данных между устройством Пользователя и Сервисом только по защищённому протоколу HTTPS (TLS); хранение паролей исключительно в виде необратимого хэша; авторизация с использованием токенов ограниченного срока действия с возможностью отзыва всех сессий; разграничение доступа к базам данных, доступ только по ключам и из внутренней сети; регулярное обновление программного обеспечения; резервное копирование с ограниченным сроком хранения копий; журналирование доступа.

8.3. Оператор не проверяет достоверность сведений, предоставляемых Пользователем, и исходит из того, что Пользователь предоставляет достоверную информацию и поддерживает её в актуальном состоянии.

9.1. По достижении целей обработки, по истечении сроков хранения, указанных в разделе 3 Политики, а также по требованию Субъекта персональных данных в случаях, предусмотренных законом, персональные данные уничтожаются путём удаления записей из баз данных и файлов из объектного хранилища Сервиса без возможности восстановления либо обезличиваются. Резервные копии перезаписываются в цикле ротации, не превышающем 30 (тридцати) дней.

9.2. Факт уничтожения персональных данных оформляется актом об уничтожении, составляемым Оператором в соответствии с требованиями уполномоченного органа по защите прав субъектов персональных данных.

10.1. Оператор вправе вносить изменения в Политику. Новая редакция вступает в силу с момента её размещения по адресу https://pomelo.colorbit.ru/legal/privacy, если иное не предусмотрено новой редакцией. В актуальной редакции указывается дата её публикации. О существенных изменениях Оператор уведомляет зарегистрированных Пользователей по адресу электронной почты или через уведомление в Сервисе.

10.2. К отношениям, связанным с обработкой персональных данных, применяется законодательство Российской Федерации. Вопросы, не урегулированные Политикой, разрешаются в соответствии с 152-ФЗ.

10.3. Реквизиты Оператора: Рогов Владислав Владимирович, ИНН 670301291308, электронная почта: pomelo@colorbit.ru, Telegram поддержки: https://t.me/ColorKat.