Политика в отношении обработки персональных данных

Политика определяет, как оператор сайта obovseh.com — интернет-журнала «Обо всех» (далее — Сайт) — обрабатывает персональные данные посетителей и пользователей и как их защищает. Политика подготовлена в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и опубликована во исполнение части 2 статьи 18.1 Закона: она постоянно доступна по адресу obovseh.com/privacy.

Термины используются в значениях, которые им даёт Закон. Посетитель — любой, кто открывает Сайт. Пользователь — посетитель, который зарегистрировал учётную запись.

Политика действует только на Сайте. Сайты, на которые ведут ссылки из статей и комментариев, обрабатывают данные по своим правилам.

Согласие на обработку персональных данных оформлено отдельным документом — «Согласие на обработку персональных данных», как того требует статья 9 Закона. Пользователь даёт его при регистрации отдельной отметкой. Принятие Пользовательского соглашения и ознакомление с этой Политикой согласием не являются и его не заменяют.

Согласие на распространение — на то, чтобы имя, никнейм, аватар и описание профиля были видны всем читателям, — оформлено ещё одним отдельным документом, «Согласие на распространение персональных данных», как требует статья 10.1 Закона, и даётся при регистрации своей отметкой.

Оператор — лицо, которое организует и осуществляет обработку персональных данных на Сайте и определяет её цели и состав данных.

• Посетители — все, кто открывает страницы Сайта, в том числе без регистрации.
• Пользователи — зарегистрированные посетители, в том числе авторы статей и комментариев.
• Заявители — те, кто направил оператору обращение или запрос, в том числе о своих персональных данных или о нарушении своих прав.

Сведения о других людях, которые автор упоминает в статье или комментарии, размещает сам автор, и он отвечает за законность их публикации — см. Пользовательское соглашение.

• Данные учётной записи: адрес электронной почты; пароль — только в виде необратимого хэша, сам пароль нигде не хранится; имя или псевдоним; никнейм — имя пользователя в адресе профиля; аватар и описание профиля, если вы их добавили; дата регистрации; роль на Сайте (пользователь или администратор).
• Ваши материалы и действия: статьи, в том числе ещё не опубликованные (на модерации или отклонённые); загруженные изображения; комментарии; реакции на статьи; оценки комментариев; закладки; подписки на авторов; уведомления на Сайте.
• Сведения о сеансах входа: хэш токена, который продлевает вход, хэш IP-адреса, с которого выполнен вход, срок действия сеанса.
• Сведения о посещениях и чтении: IP-адрес; дата и время визита; просмотренные статьи; сколько времени статья была открыта и насколько далеко её прокрутили; переходы по внешним ссылкам из статей (адрес и текст ссылки); у вошедших пользователей — время последней активности на Сайте. В эту статистику IP-адрес записывается не как есть, а в виде хэша SHA-256; записи вошедших пользователей привязываются к учётной записи.
• Технические журналы сервера: IP-адрес, дата и время запроса, адрес запрошенной страницы, код ответа, сведения о браузере и устройстве (User-Agent).
• Сведения о согласии: версия принятого документа, дата и время, IP-адрес и сведения о браузере в этот момент; если согласие отозвано — дата отзыва.
• Данные обращений: адрес почты, имя и другие сведения, которые вы сами укажете в обращении.
• Данные в вашем браузере: cookie и записи локального хранилища — их состав описан в Политике использования cookie.

Мы не запрашиваем специальные категории персональных данных (о расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья, интимной жизни), биометрические и паспортные данные, номера телефонов, почтовые адреса и платёжные реквизиты пользователей.

Для каждой цели ниже указаны состав данных, правовое основание из части 1 статьи 6 Закона и срок хранения. Данные, собранные для одной цели, не используются для целей, с ней не совместимых.

Обработка смешанная: в основном автоматизированная, с передачей данных через интернет по защищённому протоколу HTTPS. Вручную данные просматривают модераторы и администраторы — в объёме, который нужен для их задач.

С данными совершаются действия из пункта 3 статьи 3 Закона: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ) — в случаях из раздела 8, обезличивание, блокирование, удаление и уничтожение, а распространение — только тех сведений, которые вы сами публикуете на Сайте (раздел 7), и только по отдельному согласию на распространение.

Решений, которые порождают для вас юридические последствия или иначе затрагивают ваши права и законные интересы, на основании исключительно автоматизированной обработки мы не принимаем.

• в профиле — имя или псевдоним, никнейм, аватар, описание, а также сводные показатели: число ваших статей и подписчиков, суммарные просмотры, рейтинг, число комментариев к вашим статьям;
• рядом с вашими статьями и комментариями — имя или псевдоним, никнейм и аватар;
• сами статьи после модерации и комментарии.

Адрес почты, закладки, список ваших подписок, оценки и история посещений другим пользователям не показываются.

Эти сведения распространяются на основании отдельного согласия на распространение персональных данных (статья 10.1 Закона). В нём же описано, как установить запреты и условия и как потребовать прекратить распространение — оператор делает это в течение трёх рабочих дней.

Имя в профиле не обязано быть настоящим — можно выбрать псевдоним. Не указывайте в профиле, статьях и комментариях сведения, которыми не готовы поделиться со всеми читателями: опубликованные страницы могут сохранить поисковые системы и другие сайты, и после удаления с Сайта оператор не может удалить эти копии.

Оператор не продаёт персональные данные и не передаёт их третьим лицам для их собственных целей, в том числе рекламных.

• Размещение. Серверы и база данных Сайта работают в дата-центре в городе Санкт-Петербург на мощностях хостинг-провайдера Timeweb. Сайт и базу данных администрирует оператор.
• Государственные органы — только когда это прямо предусмотрено законом, например по запросу суда, и в объёме, указанном в запросе.
• Сервис обработки текста. Для краткого пересказа статей и редакционных инструментов заголовок и текст статьи отправляются сервису машинной обработки текста OpenAI. Имена, адреса почты, IP-адреса, идентификаторы учётных записей и другие данные пользователей и посетителей в эти запросы не включаются.

Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации ведутся с использованием баз данных, расположенных в России, — в дата-центре в городе Санкт-Петербург (часть 5 статьи 18 Закона).

Оператор не осуществляет трансграничную передачу персональных данных пользователей и посетителей. Сервису OpenAI (США) передаются только тексты опубликованных статей и материалы, с которыми работает редакция, — без сведений о пользователях и посетителях.

Обработка прекращается, а данные уничтожаются или обезличиваются:

• при достижении цели обработки или утрате необходимости в ней — в течение 30 дней (ч. 4 ст. 21 Закона);
• при отзыве согласия, в том числе при удалении учётной записи, — в течение 30 дней, если данные больше не нужны для целей обработки (ч. 5 ст. 21);
• по вашему требованию прекратить обработку — в течение 10 рабочих дней; срок может быть продлён не более чем на 5 рабочих дней с мотивированным уведомлением (ч. 5.1 ст. 21);
• при выявлении неправомерной обработки — она прекращается в течение 3 рабочих дней, а если сделать её правомерной нельзя, данные уничтожаются в течение 10 рабочих дней (ч. 3 ст. 21);
• по истечении сроков хранения, указанных в разделе 5.

Если уничтожить данные в эти сроки невозможно, оператор блокирует их и уничтожает в срок не более шести месяцев, если иной срок не установлен федеральным законом (ч. 6 ст. 21). Уничтожение подтверждается документами по требованиям Роскомнадзора (приказ от 28.10.2022 № 179).

Отзыв согласия не мешает обрабатывать данные без согласия, когда это разрешает закон (ч. 2 ст. 9 Закона), — например, хранить сведения о полученном согласии и переписку по вашему запросу.

Удалённая вами статья сразу перестаёт показываться на Сайте, но её текст остаётся в базе данных. Если вы хотите, чтобы он был уничтожен, напишите оператору через форму обращения.

Вы вправе:

• получить сведения об обработке своих данных: подтверждение, что они обрабатываются, правовые основания и цели, способы обработки, сведения об операторе, перечень данных и источник их получения, сроки обработки и хранения и другие сведения из части 7 статьи 14 Закона;
• потребовать уточнить, заблокировать или уничтожить данные, если они неполные, устаревшие, неточные, незаконно получены или не нужны для заявленной цели;
• отозвать согласие на обработку;
• потребовать прекратить обработку;
• обжаловать действия или бездействие оператора в Роскомнадзоре или в суде, в том числе требовать возмещения убытков и компенсации морального вреда.

Как это сделать:

• Изменить имя, никнейм, аватар, описание, почту или пароль — в настройках профиля.
• Удалить свою статью — самостоятельно; о том, что происходит с её текстом, сказано в разделе 10.
• Удалить комментарий — напишите оператору: самостоятельно удалять комментарии пока нельзя.
• Удалить учётную запись и тем самым отозвать согласие — в настройках профиля, в разделе удаления аккаунта (потребуется пароль). Имя, почта, аватар, описание, закладки, подписки и уведомления удаляются, никнейм заменяется обезличенным, а статьи и комментарии, которые вы не удалили заранее, остаются с подписью «Удалённый пользователь».
• Направить запрос или требование — через форму обращения.

• сведения о ваших данных или мотивированный отказ — в течение 10 рабочих дней с даты получения запроса; срок может быть продлён не более чем на 5 рабочих дней, если мы направим вам уведомление с указанием причин (ст. 14, ч. 1 и 2 ст. 20 Закона);
• уточнение неполных, неточных или устаревших данных — в течение 7 рабочих дней с момента, когда вы предоставили подтверждающие сведения (ч. 3 ст. 20);
• уничтожение незаконно полученных или не нужных для цели данных — в течение 7 рабочих дней с того же момента (ч. 3 ст. 20);
• прекращение обработки по вашему требованию — в течение 10 рабочих дней, с возможным продлением на 5 рабочих дней (ч. 5.1 ст. 21);
• отзыв согласия — прекращение обработки и уничтожение данных в течение 30 дней (ч. 5 ст. 21).

Ответ приходит на адрес почты, указанный в обращении, если в обращении не указано иное.

Оператор принимает правовые, организационные и технические меры, предусмотренные статьями 18.1 и 19 Закона. На Сайте, в частности:

• данные передаются только по защищённому протоколу HTTPS;
• пароли хранятся только в виде хэша, полученного алгоритмом bcrypt, — восстановить пароль по нему нельзя;
• токены продления входа и IP-адреса в статистике хранятся в виде хэшей;
• cookie входа недоступны скриптам страницы (HttpOnly) и передаются только по защищённому соединению;
• число попыток входа и частота запросов ограничены, после серии неудачных попыток вход временно блокируется;
• доступ разграничен по ролям: служебные разделы и сведения о пользователях, например адреса почты, доступны только администраторам;
• оператор сам организует обработку персональных данных, проводит внутренний контроль и оценку вреда, который может быть причинён субъектам.

Об инциденте, повлёкшем неправомерную передачу персональных данных, оператор уведомляет Роскомнадзор в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов (ч. 3.1 ст. 21 Закона).

Сайт хранит в вашем браузере cookie и записи локального хранилища: токены входа, тему оформления, черновик статьи, настройки ленты и комментариев, отметку о подтверждении возраста для рубрики «18+». Настройки и отметка о возрасте остаются в браузере и на сервер не отправляются. Собственная статистика посещений cookie не использует. Полный список — в Политике использования cookie.

Зарегистрироваться на Сайте можно с 14 лет. Если вам меньше 18 лет, регистрируйтесь с согласия родителей или других законных представителей. Материалы рубрики «18+» открываются только после подтверждения, что посетителю исполнилось 18 лет.

Если вы узнали, что учётную запись завёл ребёнок младше 14 лет, напишите оператору через форму обращения — учётная запись будет удалена.

Оператор может изменять Политику, например при изменении закона или функций Сайта. Новая редакция публикуется на этой странице и действует с даты, указанной в начале документа, если в ней не сказано иное. О существенных изменениях мы сообщим на Сайте. Если изменятся цели обработки или состав данных так, что потребуется новое согласие, мы попросим его отдельно.