1. Назначение документа
Настоящая Политика определяет порядок обработки и защиты персональных данных пользователей сайта SpotRate (далее — «Сайт») оператором Администрация сайта. Документ разработан с учётом требований законодательства Российской Федерации о персональных данных, включая Федеральный закон № 152-ФЗ «О персональных данных».
Политика применяется к данным, которые пользователь сообщает при регистрации, публикации места, отправке комментария, добавлении фотографий, использовании избранного, отметке актуальности и обращении к Сайту.
2. Оператор
Наименование: Администрация сайта.
Данные реквизиты должны быть заполнены владельцем Сайта в административной панели до фактического запуска публичного сбора персональных данных.
3. Принципы обработки
- обработка осуществляется законно, добросовестно и для заранее определённых целей;
- состав данных ограничивается задачами, для которых они нужны;
- данные не используются для несовместимых целей и не продаются третьим лицам;
- доступ получают только оператор и администраторы, которым он необходим для работы Сайта;
- данные удаляются или обезличиваются после достижения целей, если нет законного основания хранить их дольше.
4. Категории субъектов и данных
Сайт может обрабатывать данные зарегистрированных пользователей, гостей, авторов предложенных мест, авторов комментариев и посетителей, которые не создают аккаунт.
- идентификационные данные аккаунта: логин, email, дата регистрации и хеш пароля;
- данные пользовательского контента: имя, email, текст, сведения о месте, GPS-координаты и фотографии;
- данные действий: избранные места, публикации, комментарии, отметки актуальности, достижения и даты операций;
- технические данные: IP-адрес, user-agent, cookies, идентификатор сессии, URL, время запроса и сведения об ошибках.
Специальные категории персональных данных и биометрические данные Сайт не запрашивает. Пользователю запрещено самостоятельно публиковать в комментариях и фотографиях чужие документы, медицинские сведения, платёжные реквизиты и другие избыточные данные.
5. Цели и основания
- Аккаунт: регистрация и вход — исполнение пользовательского соглашения и согласие пользователя.
- Публикация: размещение предложенных мест, комментариев и фотографий — согласие пользователя и исполнение запроса на публикацию.
- Избранное: сохранение выбранных мест — исполнение функции аккаунта по запросу пользователя.
- Актуальность: сохранение пользовательской отметки о состоянии информации места — исполнение функции Сайта по запросу пользователя.
- Безопасность: rate limit, IP-хеши, honeypot, reCAPTCHA и журналы — законный интерес оператора по защите Сайта и пользователей.
- Аналитика: Яндекс Метрика — согласие или иное допустимое основание согласно применимому законодательству; оператор должен настроить сбор обезличенных данных.
6. Порядок обработки
Оператор выполняет сбор, запись, систематизацию, хранение, уточнение, использование, обезличивание, блокирование и удаление данных в объёме, необходимом для работы Сайта. Публикация логина, имени, текста комментария, описания места и фотографий выполняется после проверки модератором.
IP-адрес применяется для безопасности и ограничения частоты запросов; в базе приложения для антиспам-проверок используется криптографический HMAC-хеш, а не исходное значение IP.
7. Передача третьим лицам
Для работы функций Сайт может использовать инфраструктуру хостинга, OpenStreetMap и сервис геокодирования, Яндекс Метрику и Google reCAPTCHA. Каждая передача ограничивается данными, необходимыми соответствующему сервису. Пароли, содержимое аккаунта и приватные настройки не передаются в Яндекс Метрику.
Оператор вправе раскрыть данные по законному требованию уполномоченного органа либо для защиты прав, безопасности Сайта и предотвращения мошенничества.
8. Меры защиты и сроки хранения
Оператор ограничивает доступ к административной панели, использует хеширование паролей, CSRF-защиту, серверную валидацию, модерацию, rate limit, honeypot, reCAPTCHA и резервное копирование. Секретные ключи сервисов хранятся зашифрованными. Ответ на уведомление о cookies сохраняется в техническом cookie на один год и используется для повторного показа уведомления.
Данные аккаунта и связанный контент хранятся в течение работы аккаунта и необходимого периода после его закрытия. Технические журналы и сведения безопасности хранятся ограниченный период, достаточный для расследования инцидентов. Точные сроки могут зависеть от требований закона, спора, запроса органа или необходимости восстановить работу Сайта.
9. Права субъекта персональных данных
Пользователь вправе получить информацию об обработке, запросить доступ к своим данным, их уточнение, блокирование или удаление, а также отозвать согласие, если обработка основана на согласии. Для обращения используйте email оператора, указанный в разделе 2. Оператор рассматривает запрос после проверки личности заявителя и оценивает наличие законных оснований для исполнения.
10. Изменение документа
Политика пересматривается при изменении функций Сайта, состава сервисов, инфраструктуры или законодательства. Новая редакция публикуется на этой странице с указанием даты актуализации.