Настоящая политика определяет состав персональных данных, обрабатываемых оператором сервиса «Чохош» (далее — Сервис), цели и правовые основания обработки, получателей, сроки хранения и права субъектов персональных данных. Применимый закон — Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон); ссылки на статьи без указания закона относятся к нему.
Оператор
Оператор — физическое лицо, гражданин Российской Федерации, самостоятельно организующий обработку персональных данных в Сервисе и определяющий её цели и состав. Адрес для обращений: privacy@chohosh.ru. Пользоваться Сервисом можно с 14 лет.
Обрабатываемые персональные данные
- логин (им может быть адрес электронной почты) и bcrypt-хэш пароля — при входе по паролю;
- идентификаторы и открытые ключи passkey, их названия, даты добавления и последнего использования, счётчики подписей; открытый SSH-ключ — при входе по SSH-ключу;
- отображаемое имя и заметки профиля, если пользователь их указал, и настройки их показа;
- содержимое списка желаний — названия, описания и ссылки — и сведения о бронях;
- ссылки на списки других пользователей, сохранённые в разделе «Друзья»;
- дата принятия Условий использования и идентификатор принятой редакции;
- IP-адрес — в журнале ошибок веб-сервера, в технических журналах сервисов при каждом подключении к SSH-интерфейсу Сервиса и при сбоях такого подключения, в счётчиках ограничения частоты запросов;
- время, метод, адрес запроса и код ответа — в технических журналах сервисов;
- файлы cookie, перечисленные ниже.
Специальные категории персональных данных и биометрические персональные данные не обрабатываются.
Что доступно по ссылке на список
Любое лицо, получившее ссылку на список, видит желания (названия, описания, ссылки) и заметки профиля. Отображаемое имя показывается только при включённой настройке, иначе владелец обозначается как «Друг»; открытый SSH-ключ — только если его показ включён в профиле. Ссылку можно отозвать в профиле, после чего прежняя ссылка перестаёт открываться. При отправке ссылки через мессенджер его сервер может запросить страницу и изображение превью и получает при этом те же сведения, что доступны по ссылке.
Цели обработки
- регистрация и аутентификация пользователя;
- хранение списка желаний и предоставление доступа к нему лицам, которым пользователь передал ссылку;
- учёт броней и ведение списка друзей;
- обеспечение безопасности и работоспособности Сервиса: защита от подбора паролей, подделки запросов и автоматизированной нагрузки, диагностика сбоев;
- рассмотрение обращений и исполнение обязанностей, возложенных на оператора законом.
Персональные данные не используются в рекламных целях, не продаются и не обрабатываются для принятия решений, порождающих юридические последствия для субъекта.
Правовые основания
- п. 5 ч. 1 ст. 6 — исполнение договора, стороной которого является субъект персональных данных (Условия использования): аккаунт и вход, список желаний, заметки, брони, друзья, а также технические журналы, cookie и счётчики, без которых Сервис не может быть предоставлен;
- п. 1 ч. 1 ст. 6 — согласие субъекта персональных данных: показ отображаемого имени и открытого SSH-ключа лицам, открывшим ссылку на список. Согласие даётся включением соответствующей настройки в профиле и отзывается её выключением;
- п. 2 ч. 1 ст. 6 — исполнение обязанностей, возложенных на оператора законом: ответы на запросы субъектов и уполномоченного органа по защите прав субъектов персональных данных.
Файлы cookie
Сервис использует три cookie, необходимые для работы и защиты сессии. Cookie сторонних систем аналитики и рекламы не используются.
| Имя | Срок жизни | Назначение |
|---|---|---|
access_token | 30 минут | идентифицирует пользователя в запросах к Сервису; содержит подписанный токен сессии |
refresh_token | 30 дней | обеспечивает продление сессии без повторного входа; передаётся только на адрес /api/auth/refresh |
csrftoken | до закрытия браузера | обеспечивает защиту от подделки межсайтовых запросов; её значение сверяется со значением заголовка x-csrftoken |
Отключить cookie можно в настройках браузера; там же удаляются ранее сохранённые cookie. При блокировке cookie пользователь не сможет войти в аккаунт: сессия хранится только в них.
Передача персональных данных
- провайдеру хостинга, на оборудовании которого размещён сервер Сервиса, — в объёме, необходимом для размещения;
- по запросам уполномоченных государственных органов — в случаях и порядке, предусмотренных законом.
Иным лицам персональные данные не передаются. Зарубежные сервисы аналитики, рекламы и входа не используются; трансграничная передача персональных данных не осуществляется.
Сроки хранения
- данные аккаунта, списка, броней и друзей — до удаления аккаунта;
- после удаления аккаунта данные становятся недоступны немедленно и уничтожаются в течение 30 дней, в том числе в резервных копиях;
- резервные копии базы данных — 7 дней с момента создания; копии старше этого срока удаляются ежедневно;
- журнал ошибок веб-сервера — 14 дней;
- технические журналы сервисов — в пределах установленного объёма, по заполнении которого старые записи удаляются; срок в днях для них не установлен;
- счётчики ограничения частоты запросов — не дольше периода соответствующего ограничения (от одной минуты до одного часа); счётчики неудачных попыток входа — 15 минут. Счётчик по аккаунту содержит хэш идентификатора входа, а не сам идентификатор;
- cookie — в сроки, указанные в таблице выше.
По истечении сроков хранения персональные данные уничтожаются.
Права субъекта персональных данных
Субъект персональных данных в соответствии со ст. 9, 14, 17 и 21 вправе:
- получить сведения об обработке своих персональных данных, включая их перечень;
- требовать уточнения, блокирования или уничтожения персональных данных, если они неполны, устарели, неточны, незаконно получены или не являются необходимыми для заявленной цели;
- отозвать согласие на обработку персональных данных — обработка, основанная на согласии, прекращается;
- требовать прекращения обработки персональных данных в случаях, предусмотренных законом;
- обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в суд.
Запрос направляется на privacy@chohosh.ru и должен содержать сведения, позволяющие установить аккаунт заявителя (ч. 3 ст. 14). Ответ направляется в течение 10 рабочих дней с даты получения запроса; продление этого срока допускается только в порядке ч. 1 ст. 20, с направлением мотивированного уведомления. Удалить аккаунт вместе со связанными с ним данными пользователь может самостоятельно в профиле.
Изменения политики
Политика опубликована на этой странице в соответствии с ч. 2 ст. 18.1 с указанием даты редакции. Новая редакция применяется со дня её опубликования.