Политика обработки персональных данных
Настоящая Политика определяет, какие персональные данные обрабатывает ИП Быков Олег Олегович (далее — «Оператор») при работе сервиса VEBHOST (https://vebhost.ru), с какой целью, на каком основании и как Пользователь может ими управлять.
Коротко. Мы просим только номер телефона — для входа. Имя, паспортные и иные анкетные данные не нужны. Номер хранится зашифрованным. Электронную почту вы можете указать позже — для счетов. Рекламных и аналитических cookies мы не используем.
1. Общие положения
1.1. Политика разработана в соответствии с Конституцией РФ, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ»), Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» и иными нормативными актами.
1.2. Оператор персональных данных: ИП Быков Олег Олегович, ОГРНИП 324450000009418, ИНН 452402606888, место государственной регистрации: Курганская область, г. Шумиха. Электронная почта по вопросам персональных данных: info@vebhost.ru.
1.3. Политика распространяется на данные, получаемые через сайт https://vebhost.ru и личный кабинет, и не распространяется на Сайты, которые Пользователи публикуют на адресах *.uveb.ru: владельцы таких Сайтов самостоятельно определяют цели и способы обработки данных своих посетителей.
1.4. Основные понятия: персональные данные — любая информация, относящаяся к прямо или косвенно определённому физическому лицу; обработка — любое действие с данными; субъект — физическое лицо, чьи данные обрабатываются; поручение — передача обработки данных другому лицу по договору.
2. Какие данные мы обрабатываем
| Категория | Состав | Откуда | Как хранится |
|---|---|---|---|
| Номер телефона | Номер мобильного телефона в формате E.164 | От Пользователя при входе | Зашифрован (AES-256-GCM); для поиска — необратимый хэш (HMAC-SHA-256); для отображения — только последние 4 цифры |
| Электронная почта | Адрес e-mail (необязательно) | От Пользователя в кабинете | В базе данных, доступ ограничен |
| Данные о входе | Хэш одноразового кода, количество попыток, время; хэш токена сессии; время последнего входа | Автоматически | Коды — хэш, не хранятся в открытом виде |
| Технические данные | IP-адрес (в виде хэша для защиты от злоупотреблений), User-Agent браузера, дата и время | Автоматически | Хэш с солью, обратное восстановление IP невозможно |
| Журнал согласий | Какие документы и каких редакций приняты, когда, хэш IP, User-Agent | Автоматически при входе | В базе данных, пока существует Аккаунт |
| Контент и настройки | Файлы и тексты Сайтов, названия, адреса, настройки доступа | От Пользователя | В файловом хранилище и базе данных |
| Статистика Сайтов | Просмотры и уникальные посетители по дням; домены источников переходов. Без cookies и без хранения IP | Автоматически при открытии Сайта Пользователя | Агрегаты; временный суточный хэш посетителя удаляется через 2 суток |
| Обращения и жалобы | Текст, контакт для ответа, адрес Сайта (всё добровольно) | От заявителя | В базе данных |
2.2. Оператор не обрабатывает специальные категории персональных данных (ст. 10 152-ФЗ) и биометрические данные. Оператор не просит у Пользователей имя, фамилию, дату рождения, адрес и иные анкетные сведения.
2.3. Контент, который Пользователь публикует на Сайте, может содержать персональные данные третьих лиц. Пользователь самостоятельно отвечает за наличие оснований для их публикации.
3. Цели обработки
3.1. Мы обрабатываем данные только для следующих целей:
- регистрация и вход в Сервис, подтверждение владения номером телефона;
- исполнение Пользовательского соглашения: публикация Сайтов, хранение версий, предоставление статистики;
- безопасность Сервиса: защита от подбора кодов, массовых регистраций, злоупотреблений и мошенничества;
- выставление счетов и ведение расчётов (после запуска платных Тарифов; адрес e-mail);
- обратная связь, рассмотрение обращений и жалоб;
- направление служебных уведомлений (код входа, блокировка, безопасность, изменения условий);
- направление информационных сообщений — только при наличии отдельного согласия;
- исполнение требований законодательства РФ.
3.2. Обработка данных для целей, не указанных в Политике, не производится.
4. Правовые основания
4.1. Оператор обрабатывает данные на основании:
- согласия субъекта (п. 1 ч. 1 ст. 6 152-ФЗ) — номер телефона и данные о входе. Согласие даётся отдельной отметкой перед отправкой номера; текст — в документе «Согласие на обработку персональных данных»;
- исполнения договора, стороной которого является субъект (п. 5 ч. 1 ст. 6) — Пользовательское соглашение;
- необходимости соблюдения закона (п. 2 ч. 1 ст. 6) — ответы на запросы уполномоченных органов;
- законного интереса оператора, если при этом не нарушаются права субъекта (п. 7 ч. 1 ст. 6) — минимальные технические данные для защиты Сервиса.
5. Принципы и способы обработки
5.1. Обработка осуществляется на законной и справедливой основе, ограничивается достижением конкретных целей, не допускает избыточности данных и объединения баз, созданных для несовместимых целей (ст. 5 152-ФЗ).
5.2. Способ обработки — смешанный: с использованием средств автоматизации и без них. Действия с данными: сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача (по поручению), блокирование, удаление, уничтожение.
5.3. Оператор не принимает решений, порождающих юридические последствия для субъекта, исключительно на основании автоматизированной обработки персональных данных.
6. Передача данных третьим лицам
6.1. Оператор не продаёт и не передаёт персональные данные для рекламных целей.
6.2. Данные могут передаваться по поручению (ч. 3 ст. 6 152-ФЗ) лицам, которые обязаны соблюдать конфиденциальность и принимать меры защиты:
| Получатель | Что передаётся | Зачем |
|---|---|---|
| SMS-провайдер (сервис отправки SMS wa-sms.com) | Номер телефона и текст сообщения с одноразовым кодом | Доставка кода входа |
| Хостинг-провайдер / дата-центр | Данные хранятся на оборудовании провайдера в зашифрованном виде и в виде хэшей там, где это применимо | Обеспечение работы Сервиса |
| Платёжный провайдер (после запуска оплаты) | Данные, необходимые для платежа | Приём платежей |
6.3. Данные могут быть переданы государственным органам по их мотивированному запросу в случаях и порядке, предусмотренных законом.
6.4. Доставка кода. Код входа передаётся сервису отправки сообщений. Если обработка на его стороне происходит за пределами Российской Федерации, передача ограничена номером телефона и текстом кода и опирается на согласие Пользователя (ст. 12 152-ФЗ).
6.5. Данные, которыми Оператор обменивается с SMS-провайдером, ограничены минимумом: номер и текст кода. Имя, e-mail и сведения о Сайтах провайдеру не передаются.
7. Локализация данных
7.1. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ).
8. Сроки хранения
| Данные | Срок |
|---|---|
| Номер телефона, e-mail, настройки Аккаунта | Пока существует Аккаунт; удаляются сразу при удалении Аккаунта |
| Одноразовые коды и попытки входа | До 2 суток |
| Сессии | До 30 дней; записи о завершённых сессиях очищаются через 7 дней |
| Журнал согласий | Пока существует Аккаунт; удаляется вместе с ним |
| Суточный хэш посетителей Сайтов | 2 суток |
| Агрегированная статистика Сайтов | Пока существует Сайт |
| Жалобы и обращения | До 3 лет с момента рассмотрения (срок исковой давности, ст. 196 ГК РФ) |
| Файлы Сайтов | Пока существует Сайт; после удаления — безвозвратно |
8.2. После удаления Аккаунта адреса его Сайтов резервируются на 30 дней — чтобы их не захватили третьи лица и посетители не попали на чужой сайт по старой ссылке. Резерв не содержит персональных данных.
8.3. Резервные копии баз данных, если они создаются, перезаписываются в течение 35 дней.
9. Права субъекта персональных данных
9.1. Субъект вправе:
- получить подтверждение факта обработки и сведения об обработке (ст. 14);
- требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны или не нужны для заявленной цели (ст. 14);
- отозвать согласие на обработку (ч. 2 ст. 9);
- обжаловать действия Оператора в Роскомнадзоре или в суде (ст. 17);
- получить выгрузку своих данных.
9.2. Как это сделать самому. В личном кабинете, раздел «Аккаунт»: выгрузка данных (JSON), удаление Аккаунта и всех связанных данных, завершение сессий. Отзыв согласия на обработку номера телефона равнозначен удалению Аккаунта.
9.3. Обращение к Оператору. Запрос направляется на info@vebhost.ru с указанием номера телефона, под которым создан Аккаунт, и подтверждением владения (например, входом в Сервис или указанием адреса Сайта). Оператор отвечает в течение 10 рабочих дней (ч. 3 ст. 14; срок может быть продлён не более чем на 5 рабочих дней с мотивированным уведомлением).
9.4. Отзыв согласия на получение информационных сообщений можно выполнить в любой момент: по ссылке в сообщении, в кабинете или обращением на info@vebhost.ru.
10. Меры защиты
10.1. Оператор принимает правовые, организационные и технические меры, предусмотренные ст. 18.1 и 19 152-ФЗ, в частности:
- шифрование номера телефона в базе данных (AES-256-GCM) и хранение для поиска только необратимого хэша;
- хранение одноразовых кодов и токенов сессий только в виде хэшей; ограничение числа попыток, частоты запросов кодов и суточный лимит SMS;
- передача данных только по защищённому соединению (HTTPS/TLS);
- изоляция опубликованных Сайтов на отдельном домене (не на домене кабинета), чтобы чужой код не мог получить доступ к сессии Пользователя;
- защита от подделки запросов (CSRF), строгая политика безопасности контента (CSP) и иные заголовки безопасности;
- хранение IP-адресов только в виде хэша с секретной солью;
- разграничение доступа сотрудников и подрядчиков, соблюдение конфиденциальности;
- журналирование значимых действий с маскированием персональных данных;
- регулярное обновление программного обеспечения.
10.2. Оператор назначает лицо, ответственное за организацию обработки персональных данных. Контакт: info@vebhost.ru.
10.3. О выявленных инцидентах, повлёкших неправомерную передачу данных, Оператор уведомляет Роскомнадзор в порядке и сроки, предусмотренные ч. 3.1 ст. 21 152-ФЗ.
11. Cookies и локальное хранилище
11.1. Сервис использует только необходимые технические средства: cookie сессии и несколько записей в локальном хранилище браузера (тема оформления, факт принятия документов, идентификатор черновика). Рекламные и аналитические cookies не используются. Подробности — в Политике cookies.
12. Дети
12.1. Сервис не предназначен для лиц младше 18 лет, и Оператор сознательно не собирает данные несовершеннолетних. Если вы считаете, что ребёнок передал нам данные без согласия родителей, сообщите на info@vebhost.ru — мы удалим их.
13. Уведомление Роскомнадзора
13.1. Оператор уведомляет Роскомнадзор об обработке персональных данных в порядке статьи 22 Федерального закона № 152-ФЗ.
14. Изменение Политики
14.1. Оператор вправе изменять Политику. Актуальная редакция всегда доступна на странице https://vebhost.ru/legal/privacy. При существенных изменениях Пользователь будет повторно запрошен о принятии документов при следующем входе. Дата редакции указана в начале документа.
15. Контакты
По вопросам обработки персональных данных пишите на info@vebhost.ru. Оператор: ИП Быков Олег Олегович, ОГРНИП 324450000009418, ИНН 452402606888, Курганская область, г. Шумиха. Сайт: https://vebhost.ru.