Политика обработки персональных данных

1. Общие положения

Настоящая Политика определяет порядок обработки персональных данных на сайте ibrowlab.ru и составлена во исполнение части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

Оператор персональных данных — Зайцев Владимир Владимирович, индивидуальный предприниматель, ИНН 711613659618, ОГРНИП 326710000058000, 301661, Тульская обл., г. Новомосковск, ул. Рудничная, д. 16, кв. 41. Адрес электронной почты для обращений по вопросам обработки персональных данных — access@ibrowlab.ru.

Используя сайт и регистрируя учётную запись, вы подтверждаете, что ознакомились с настоящей Политикой. Действующая редакция всегда доступна по этому адресу.

2. Кого касается

Политика распространяется на посетителей сайта и на пользователей, создавших учётную запись. Услуги предназначены для совершеннолетних лиц; мы не собираем сведения о несовершеннолетних осознанно. Если вы считаете, что учётная запись создана несовершеннолетним, напишите нам — она будет удалена.

3. Правовые основания обработки

согласие субъекта персональных данных — пункт 1 части 1 статьи 6 152-ФЗ (даётся отметкой при регистрации, текст согласия — по этой ссылке);
исполнение договора, стороной которого является субъект персональных данных, — пункт 5 части 1 статьи 6 152-ФЗ (предоставление оплаченного доступа);
исполнение обязанностей, возложенных законодательством о налогах и о бухгалтерском учёте, — пункт 2 части 1 статьи 6 152-ФЗ.

4. Какие данные обрабатываются

Перечень исчерпывающий и соответствует тому, что фактически хранится в базе данных сайта.

4.1. При регистрации и входе

Адрес электронной почты — он же логин и адрес, на который оформляется доступ.
Пароль — только в виде необратимого хеша. Исходный пароль не хранится и не может быть восстановлен ни нами, ни при получении копии базы данных.
Отметка подтверждения адреса почты — дата и время.
Факт, дата и версия согласия на обработку персональных данных.

4.2. Сведения о сеансах (устройствах)

Метка устройства — краткое обозначение браузера и операционной системы, чтобы вы могли отличить свои устройства в списке и завершить чужой сеанс.
Хеш сетевого адреса — сам IP-адрес не сохраняется.
Время создания сеанса, время последней активности, срок действия, отметка о завершении.
Ключ сеанса — в базе только его необратимый хеш.

Одновременно допускается не более 2 активных устройств; список и завершение сеансов — в личном кабинете.

4.3. Защита от подбора пароля и от рассылки

Необратимые хеши адреса почты и сетевого адреса, признак успешности и время попытки входа.
Хеш сетевого адреса, обозначение действия (регистрация, восстановление пароля, повторная отправка письма) и время обращения.

Сами адреса почты и IP-адреса в этих записях не сохраняются: журнал защиты не должен превращаться в базу посетителей.

4.4. Заказы и доступ

номер заказа, обозначение приобретаемого доступа, статус оплаты, сумма, адрес электронной почты покупателя;
сведения об оплаченном доступе: срок оплаченного периода, состояние, служебный идентификатор в платёжном сервисе;
сведения о предоставленном доступе: что открыто, до какой даты, на основании чего.

4.5. Служебная запись уведомления об оплате

Платёжный сервис присылает уведомление об оплате, которое сохраняется для разбора спорных платежей и для защиты от повторного применения одного платежа. Из уведомления до сохранения удаляются данные банковской карты, платёжные токены и подпись. Остальные поля сохраняются как есть; среди них могут быть адрес электронной почты и номер телефона, указанные вами на странице оплаты, а также сумма и наименование покупки.

Такая запись обезличивается автоматически через 90 дней после получения.

5. Какие данные мы не собираем

Мы не получаем и не храним номер банковской карты, срок её действия, код проверки подлинности и иные платёжные реквизиты: оплата целиком проходит на стороне платёжного сервиса. Платёжные реквизиты не сохраняются и для последующих списаний — таких списаний не производится: доступ оплачивается разово, автоматического продления нет. Мы не собираем сведения специальных категорий (здоровье, национальность, убеждения) и биометрические персональные данные.

6. Цели обработки

регистрация учётной записи, вход и восстановление доступа к ней;
предоставление оплаченных материалов и проверка права на доступ;
ограничение числа одновременно используемых устройств;
приём оплаты и разбор спорных платежей;
защита от подбора пароля и от использования форм сайта для рассылки;
исполнение обязанностей, установленных законодательством.

Данные не используются для рекламных рассылок и не передаются для этих целей третьим лицам.

7. Способы обработки

Обработка ведётся с использованием средств автоматизации. Решения, порождающие юридические последствия, исключительно на основании автоматизированной обработки не принимаются.

8. Передача третьим лицам

Данные передаются только в объёме, необходимом для оказания услуги:

платёжному сервису — адрес электронной почты и номер заказа, чтобы связать платёж с вашей учётной записью и направить вам чек;
хостинг-провайдеру — в силу технической природы услуги размещения сайта и базы данных;
оператору почтовой службы, через которую отправляются письма подтверждения и восстановления пароля.

В остальных случаях персональные данные третьим лицам не передаются, не продаются и не публикуются. Обязанность предоставить данные по законному требованию уполномоченного органа сохраняется.

9. Трансграничная передача и место хранения

Трансграничная передача персональных данных не осуществляется. Базы данных, в которых ведётся запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации, находятся на территории Российской Федерации — требование части 5 статьи 18 152-ФЗ.

Сайт не подключает сторонние шрифты и рекламные сценарии, обращение к которым передавало бы ваш сетевой адрес за пределы Российской Федерации. Счётчик посещаемости Яндекс.Метрики загружается с mc.yandex.ru (Российская Федерация).

10. Файлы cookie

Используется служебный файл cookie — ключ сеанса. Без него вход в личный кабинет невозможен, поэтому он относится к строго необходимым и не требует отдельного согласия. Cookie недоступен сценариям на странице и передаётся только по защищённому соединению.

Дополнительно счётчик Яндекс.Метрики (номер 112140199) устанавливает собственные cookie (_ym_uid, _ym_d и связанные). Они нужны, чтобы отличить визиты и посчитать аудиторию. Рекламные сети и рекламные cookie мы не подключаем. Яндекс также записывает сеансы Вебвизора (движения указателя, клики, прокрутка) — эти сведения обрабатывает ООО «ЯНДЕКС» на территории Российской Федерации и в базе данных сайта не хранятся.

11. Сроки хранения

данные учётной записи — пока существует учётная запись;
сведения о сеансах — 30 дней после истечения срока сеанса;
записи о попытках входа и об ограничении частоты обращений — 1 суток;
служебная запись уведомления об оплате — 90 дней, далее обезличивается;
сведения о заказах — в течение срока, установленного законодательством о налогах и о бухгалтерском учёте, независимо от удаления учётной записи, но в обезличенном виде.

По достижении цели обработки либо при отзыве согласия данные удаляются или обезличиваются в срок, установленный статьёй 21 152-ФЗ.

12. Ваши права

В соответствии со статьёй 14 152-ФЗ вы вправе:

получить сведения об обработке ваших персональных данных;
требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны либо получены незаконно;
отозвать согласие на обработку;
обжаловать действия оператора в Роскомнадзоре или в суде.

Обращение направляйте на access@ibrowlab.ru. Ответ даётся в течение тридцати дней со дня обращения. Чтобы мы могли вас идентифицировать, направляйте обращение с того адреса почты, на который зарегистрирована учётная запись.

13. Отзыв согласия и удаление учётной записи

Удалить учётную запись можно самостоятельно и без обращения к нам — в разделе «Кабинет → Удалить учётную запись». Это же действие считается отзывом согласия.

После удаления прекращается доступ к оплаченным материалам, удаляются учётная запись, сеансы, права доступа и токены. Сведения о заказах сохраняются обезличенными: их хранение требует законодательство об учёте. Денежные средства за неиспользованный период при отзыве согласия возвращаются по правилам публичной оферты.

14. Меры защиты

Во исполнение статьи 19 152-ФЗ приняты, в частности, следующие меры:

передача данных между вами и сайтом только по протоколу HTTPS;
хранение паролей и всех ключей доступа в виде необратимых хешей;
хранение оплаченных материалов вне общедоступного каталога веб-сервера;
ограничение частоты попыток входа и обращений к формам;
проверка подлинности уведомлений платёжного сервиса по подписи;
автоматическое удаление и обезличивание записей по истечении сроков, указанных в разделе 11;
исключение платёжных реквизитов из служебных записей до сохранения.

15. Действия при утечке

При установлении факта неправомерной передачи персональных данных оператор уведомляет Роскомнадзор в сроки, установленные частью 3.1 статьи 21 152-ФЗ, и принимает меры по устранению последствий.

16. Изменения Политики

Мы вправе изменять настоящую Политику. Действующая редакция размещается по этому адресу. При изменениях, затрагивающих объём или цели обработки, согласие запрашивается заново — версия согласия увеличивается, и при следующем входе вам будет предложено подтвердить его.