Политика обработки персональных данных

Настоящая Политика определяет порядок обработки и защиты персональных данных пользователей сервиса бизнес-планирования FORGE (далее — «Сервис»), доступного в сети Интернет, и разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ»).

Оператором персональных данных является физическое лицо Полухин Иван Анатольевич (далее — «Оператор»). Согласие на обработку персональных данных пользователь даёт при регистрации — проставляя отметку о согласии и предоставляя свои данные; тем самым он подтверждает, что ознакомлен с настоящей Политикой.

• Персональные данные — любая информация, относящаяся к прямо или косвенно определённому физическому лицу (субъекту персональных данных).
• Обработка — любое действие с персональными данными: сбор, запись, хранение, использование, передача, удаление и другие.
• Субъект — пользователь Сервиса, чьи персональные данные обрабатываются.

Обращения по вопросам обработки персональных данных направляйте Оператору:

• ФИО: Полухин Иван Анатольевич
• ИНН: 332502208469
• Электронная почта: forgeplan@yandex.ru

Оператор обрабатывает персональные данные зарегистрированных пользователей Сервиса:

• имя, указанное при регистрации;
• адрес электронной почты;
• данные учётной записи (в том числе защищённый хэш пароля; сам пароль Оператору недоступен);
• изображение профиля (аватар) — при наличии, если оно загружено пользователем или получено из профиля Яндекс ID;
• при регистрации через Яндекс ID — имя и адрес электронной почты, полученные из профиля Яндекса;
• данные о событиях авторизации и безопасности (вход, выход, регистрация, восстановление и смена пароля): тип события, идентификатор и адрес электронной почты пользователя, IP-адрес, сведения о браузере (User-Agent), дата и время;
• файлы cookie и идентификаторы сессии, необходимые для работы авторизации;
• содержимое созданных пользователем бизнес-планов и расчётов (хранится для оказания услуги; предназначено для финансовых данных проекта).

При использовании веб-аналитики (раздел 8, только с согласия пользователя) дополнительно обрабатываются данные посетителей сайта, в том числе не зарегистрированных: аналитические файлы cookie и идентификаторы Яндекс.Метрики, IP-адрес, сведения о браузере (User-Agent), адреса просматриваемых страниц и переходов, события просмотров и кликов.

Оператор не обрабатывает специальные категории персональных данных (о здоровье, политических взглядах и т. п.) и биометрические персональные данные.

• регистрация, идентификация и аутентификация пользователя;
• предоставление доступа к функциональности Сервиса и её работа;
• обеспечение безопасности и защита от несанкционированного доступа и злоупотреблений (в том числе журнал событий авторизации и безопасности);
• обратная связь и поддержка пользователей;
• сбор статистики посещаемости для улучшения Сервиса (веб-аналитика с согласия пользователя, см. раздел 8).

Обработка персональных данных осуществляется на следующих правовых основаниях:

• согласие субъекта персональных данных (статья 6 152-ФЗ), которое даётся при регистрации;
• для аналитических файлов cookie (веб-аналитика, см. раздел 8) — отдельное согласие, выражаемое через баннер о файлах cookie на сайте;
• исполнение соглашения с пользователем об использовании Сервиса (оферты), стороной которого является пользователь;
• законные интересы Оператора в обеспечении безопасности Сервиса, предотвращении и расследовании злоупотреблений (в том числе ведение журнала событий авторизации и безопасности).

• обработка ведётся автоматизированным способом с использованием средств вычислительной техники;
• персональные данные российских пользователей записываются и хранятся в базах данных, расположенных на территории Российской Федерации (статья 18 152-ФЗ), в облачной инфраструктуре российского провайдера;
• трансграничная передача персональных данных за пределы Российской Федерации не осуществляется.

Для функционирования Сервиса Оператор поручает обработку персональных данных российским поставщикам услуг, действующим на территории Российской Федерации:

• Yandex Cloud — облачный хостинг и хранение баз данных;
• Яндекс.Почта — отправка служебных писем (подтверждения, восстановление доступа);
• Яндекс ID — авторизация (при выборе пользователем этого способа входа);
• Яндекс.Метрика — веб-аналитика посещаемости (только при согласии пользователя).

Веб-аналитика Яндекс.Метрика подключается только после согласия пользователя, выражаемого через баннер о файлах cookie. До получения согласия аналитические файлы cookie не устанавливаются, а счётчик Яндекс.Метрики не загружается. При наличии согласия обрабатываются файлы cookie, IP-адрес и данные о действиях на страницах; на этапе сбора эти сведения относятся к персональным данным, а итоговые отчёты статистики носят обобщённый характер. Яндекс.Метрика — российский сервис; данные обрабатываются на территории Российской Федерации. Отозвать согласие можно в любой момент через ссылку «Файлы cookie» — в подвале сайта, а в личном кабинете — в боковом меню приложения: аналитические файлы cookie удаляются, и Яндекс.Метрика больше не загружается; в открытой вкладке сбор полностью прекращается после обновления страницы.

• данные учётной записи хранятся до удаления аккаунта или отзыва согласия пользователем;
• журнал событий авторизации и безопасности хранится 12 месяцев в целях обеспечения безопасности, предотвращения и расследования злоупотреблений (законный интерес Оператора) — в том числе после удаления аккаунта, — после чего удаляется;
• по достижении целей обработки или при отзыве согласия персональные данные подлежат удалению, если иное не предусмотрено законодательством.

Оператор принимает необходимые правовые, организационные и технические меры:

• шифрование канала передачи данных (протокол HTTPS/TLS);
• разграничение прав доступа к данным по ролям;
• требования к сложности паролей и защищённое хранение их хэшей;
• ограничение частоты запросов для защиты от перебора и злоупотреблений;
• регистрация в Сервисе только по персональным приглашениям;
• ведение журнала событий безопасности;
• резервное копирование базы данных для восстановления при инцидентах;
• хранение реквизитов доступа и ключей отдельно от исходного кода;
• размещение баз данных на территории Российской Федерации.

Пользователь вправе:

• получать информацию об обработке своих персональных данных;
• требовать уточнения, блокирования или удаления неполных, устаревших или неточных данных;
• отозвать согласие на обработку персональных данных;
• обжаловать действия Оператора в уполномоченном органе (Роскомнадзор) или в суде.

Для реализации своих прав направьте обращение Оператору по адресу forgeplan@yandex.ru. Оператор рассматривает обращения в сроки, установленные 152-ФЗ.

Согласие на обработку персональных данных может быть отозвано в любой момент путём направления обращения Оператору или удаления учётной записи. После отзыва согласия Оператор прекращает обработку и удаляет персональные данные, за исключением случаев, когда их хранение предусмотрено законом.

Оператор вправе изменять настоящую Политику. Актуальная редакция всегда доступна на этой странице; дата последнего обновления указана в начале документа.