Настоящая Политика обработки персональных данных (далее — «Политика») определяет порядок обработки и защиты персональных данных пользователей.
Политика разработана в соответствии с Федеральным законом РФ №152-ФЗ «О персональных данных».
Ключевая информация
• Наша политика заключается в том, чтобы никогда не передавать и не продавать данные сторонним организациям
• Наши процессы соответствуют праву "быть забытым"
• Приложение и хранилище данных : DATALOCATION
• Данные шифруются в состоянии покоя
• Интернет-коммуникации защищены HTTPS
Основные понятия
• Персональные данные — любая информация, относящаяся к прямо или косвенно определённому физическому лицу.
• Обработка персональных данных — любое действие с персональными данными (сбор, запись, хранение, использование, удаление и др.).
• Пользователь — лицо, использующее платформу.
Единый вход (Single Sign-On)
• Мы не храним и не управляем паролями пользователей
• Пользователи аутентифицируются через одного из следующих провайдеров: Яндекс, ВК
Какие данные используются приисключительно в целях безопасности и для удобства доступа пользователей. входе
• Ваше имя и email необходимы для процесса регистрации и аутентификации при входе
• Если регистрация выполнена через Google, Microsoft или Github — мы сохраняем только email и имя
• Мы реализуем «право быть забытым» — при удалении пользователя email и имя стираются
Какие данные хранятся
• Ваше имя и email хранятся в рамках создания аккаунта; имя, никнейм и аватар можно изменить в личном кабинете
• Конфигурация лицензии требует указания имени и контактных данных плательщика
• Мы не храним данные оплаты. Все конфиденциальные данные для выставления счетов обрабатываются через © Stripe — кредитные карты ни на каком этапе не хранятся и не передаются на наши серверы. Все данные кредитных карт отправляются напрямую на защищённые серверы Stripe. Счета доступны через клиентский портал Stripe
• Другие данные, которые вы создаёте и контролируете в рамках управления Консорциумом
• Аудит доступа пользователей к конкретному консорциуму
Что мы делаем с данными
• Ваше имя, никнейм и email хранятся в записи вашего аккаунта; данные зашифрованы в состоянии покоя; вы можете изменять имя, никнейм и ссылку на аватар
• Наша политика заключается в том, чтобы никогда не передавать и не продавать данные сторонним организациям
Правовые основания обработки
Обработка персональных данных осуществляется:
• с согласия пользователя
• для исполнения договора (пользовательского соглашения)
• для выполнения требований законодательства РФ
Cookies и аналитика
Мы используем cookies для:
• корректной работы сайта (исключительно в целях безопасности и для удобства доступа пользователей)
Пользователь может отключить cookies в настройках браузера.
Политика хранения и архивирования данных
• Ваше имя, никнейм, email, комментарии к опыту и метаданные хранятся, пока аккаунт существует в системе. Автоматического архивирования нет и отсутствует политика деактивации аккаунта из-за неактивности
• Пользователь может закрыть аккаунт и быть «забытым» в соответствии с политикой отмены аккаунта (см. ниже). Идентифицируемая информация пользователей, связанная с консорциумом, удаляется или анонимизируется при закрытии аккаунта. Данные о уже обработанных платежах сохраняются безопасно для соблюдения налоговых, бухгалтерских и финансовых обязательств. Во всех случаях данные хранятся в соответствии с установленными законом сроками хранения
Запросы на удаление данных
• Хотя соблюдение правил возможно через самообслуживание (см. действие «Закрыть аккаунт» в личном кабинете), запросы на удаление данных могут быть направлены напрямую нашей команде
Шифрование, хостинг и геолокация данных
• Мы не используем собственную физическую инфраструктуру, а используем возможности и безопасность Google Cloud Platform
• Приложение и хранилище данных размещены в GCP — регион хоста: US-CENTRAL
• Данные шифруются в состоянии покоя
• Интернет-коммуникации защищены — только HTTPS
Политика доступа пользователей
• Пользователи могут получать доступ к данным только в определённых пространствах в соответствии с правами, установленными пользователями с ролью администратора
• Только аутентифицированные пользователи могут использовать функциональность
Резервное копирование
• Резервное копирование каждые 24 часа
---
Закрытие аккаунта
• Перейдите в личный кабинет и нажмите кнопку «Закрыть аккаунт»
• Пользователь может покинуть систему в любое время. Имя, никнейм, данные об аккаунте и email будут удалены при закрытии аккаунта
• Комментарии к опыту будут удалены, а личные данные очищены, если ваше пространство не используется
• Если пространство используется другими разрешёнными пользователями, в процессе закрытия аккаунта будет предоставлено уведомление. Вы сможете согласовать с другими пользователями полное архивирование пространства или удалить только свои комментарии
---
Политика доступности
SLA поддержки аккаунта
• Обработка критических запросов в течение 24 часов
• Обработка всех остальных запросов в течение 5 рабочих дней
Цель обслуживания — обеспечить круглосуточный доступ для пользователей во всех регионах.
Автоматическое масштабирование настроено для сервисов приложения.
• Резервное копирование базы данных каждые 24 часа
• Мы отслеживаем производительность сессий и объёмы данных для обеспечения правильной конфигурации и эффективного развития дизайна с целью нулевых инцидентов
---
Процесс устранения уязвимостей безопасности
Область применения
Ниже описано, как и когда мы устраняем уязвимости безопасности в наших продуктах. Полный процесс раскрытия информации или уведомлений здесь не рассматривается.
SLA исправления уязвимостей
Мы установили следующие сроки устранения проблем безопасности:
• Критические уязвимости (CVSS v2 ≥ 8, CVSS v3 ≥ 9) — исправление в продукте в течение 4 недель после обнаружения
• Высокая степень уязвимости (CVSS v2 ≥ 6, CVSS v3 ≥ 7) — исправление в продукте в течение 6 недель
• Средняя степень уязвимости (CVSS v2 ≥ 3, CVSS v3 ≥ 4) — исправление в продукте в течение 8 недель
Политика разрешения
• При обнаружении критической уязвимости нами или третьей стороной: выпускается новая исправленная версия для облачного деплоя
• Некритические уязвимости: исправление включается в следующий запланированный релиз
Мониторинг
• Используется комбинация внутренних методов для обеспечения высокого уровня осведомлённости о угрозах
• Изменения конфигурации данных клиентов аудируются
• Внутренние политики включают обязательную двухфакторную аутентификацию, сегрегированные среды с ограничением доступа, доступ к данным клиентов ограничен и аудирован
Что такое «релиз»?
• Релиз — это номер версии или тег, содержащий новые функции или изменения существующих функций