Политика в отношении обработки персональных данных

Оператором является Мусин Антон Михайлович, ИНН 260706773366 (далее — «Оператор»).

Обращения по вопросам обработки персональных данных направляются по адресу support@stalisa.ru.

Сервис устроен так, что персональные данные в нём обрабатываются в двух разных качествах, и это разграничение принципиально для понимания остального текста.

• В отношении фотографов — пользователей, регистрирующих учётную запись, — Оператор выступает оператором персональных данных и обрабатывает их данные для оказания услуг.
• В отношении изображённых на фотографиях лиц и клиентов фотографа оператором персональных данных является сам фотограф. Оператор обрабатывает эти данные по поручению фотографа в порядке части 3 статьи 6 Закона № 152-ФЗ, действуя исключительно в рамках функций хранения и доставки, и не определяет цели их обработки.

Из этого следует, что обязанность получить согласие изображённых лиц на съёмку, обработку и передачу изображений лежит на фотографе. Регистрируясь в Сервисе и загружая фотографии, фотограф подтверждает наличие у него всех необходимых согласий и правовых оснований и принимает на себя поручение по их получению и хранению.

• согласие субъекта на обработку персональных данных (п. 1 ч. 1 ст. 6 Закона № 152-ФЗ), выражаемое при регистрации;
• исполнение договора, стороной которого является субъект персональных данных (п. 5 ч. 1 ст. 6);
• поручение оператора-фотографа (ч. 3 ст. 6) — в отношении данных изображённых лиц;
• исполнение обязанностей, возложенных на Оператора законодательством (п. 2 ч. 1 ст. 6), включая налоговое законодательство и требования к хранению сведений о расчётах;
• законные интересы Оператора по обеспечению безопасности Сервиса и предотвращению злоупотреблений (п. 7 ч. 1 ст. 6).

Фотографы (зарегистрированные пользователи):

• адрес электронной почты, имя, изображение профиля;
• пароль — исключительно в виде необратимого криптографического хеша, в открытом виде не хранится и Оператору неизвестен;
• идентификаторы учётных записей в Яндекс ID, VK ID, Сбер ID при входе через эти сервисы;
• сведения о расчётах: состояние баланса, история операций, идентификаторы платежей;
• данные публичного профиля, если фотограф его заполняет: город, описание, контакты для связи, работы в портфолио.

Посетители галерей (клиенты фотографа):

• отметки «нравится» на отдельных фотографиях, связанные со случайным идентификатором, который хранится в браузере посетителя и не позволяет установить личность.

IP-адреса и сведения о браузере посетителей галерей не собираются и не сохраняются. Число открытий галереи учитывается обезличенным счётчиком, по которому невозможно идентифицировать кого-либо.

Лица, изображённые на фотографиях:

• изображение гражданина в составе загруженных фотографий;

Посетители сайта:

• файлы cookie и обезличенные сведения о посещении, собираемые Яндекс Метрикой (см. раздел 09).

Оператор не обрабатывает специальные категории персональных данных и биометрические персональные данные, а также данные несовершеннолетних, предоставляемые непосредственно ими.

• регистрация, идентификация и аутентификация пользователя, ведение учётной записи;
• хранение загруженных фотографий и предоставление доступа к ним по ссылке, формируемой фотографом;
• формирование превью, защитного водяного знака и архивов для скачивания;
• ведение расчётов, приём платежей, выставление и хранение сведений о них;
• направление сервисных сообщений: подтверждение адреса, восстановление пароля, уведомления о сроке действия галерей и подписки;
• обеспечение безопасности, выявление и пресечение злоупотреблений, рассмотрение обращений и жалоб;
• исполнение обязанностей, предусмотренных законодательством.

Персональные данные не используются для принятия решений, порождающих юридические последствия для субъекта, исключительно на основании автоматизированной обработки. Оператор не осуществляет и не поручает третьим лицам рекламную рассылку по базе пользователей и не продаёт персональные данные.

Оператор осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление и уничтожение персональных данных.

Обработка ведётся смешанным способом — с использованием средств автоматизации и без них — при обязательном соблюдении требований к защите данных.

Базы данных, содержащие персональные данные граждан Российской Федерации, находятся на территории Российской Федерации, что соответствует части 5 статьи 18 Закона № 152-ФЗ. Фотографии и производные изображения размещаются в объектном хранилище Yandex Object Storage (Yandex Cloud) в российских дата-центрах.

Трансграничная передача персональных данных не осуществляется.

Доступ к файлам предоставляется по ссылкам с ограниченным сроком действия. Прямые постоянные публичные ссылки на оригиналы фотографий не формируются.

Оператор поручает обработку персональных данных следующим лицам в объёме, необходимом для оказания услуг, с условием соблюдения ими конфиденциальности и требований безопасности:

• ООО «Яндекс.Облако» — размещение файлов и инфраструктуры (Yandex Object Storage);
• ООО «НКО ЮMoney» (ЮKassa) — приём платежей. Данные банковских карт вводятся на стороне платёжного сервиса и Оператору не передаются и не хранятся им;
• оператор почтового сервиса — доставка сервисных писем на указанный адрес;
• ООО «Яндекс» (ОГРН 1027700229193) — сбор обезличенной статистики посещений при помощи Яндекс Метрики. Состав передаваемых данных указан в разделе 10, обработка осуществляется на условиях использования сервиса Яндекс Метрика.

В иных случаях персональные данные передаются третьим лицам только с согласия субъекта либо по основаниям, предусмотренным законодательством, — в том числе по мотивированному запросу уполномоченных государственных органов.

• данные учётной записи обрабатываются в течение всего срока её существования и уничтожаются в течение 30 дней после удаления учётной записи или отзыва согласия;
• фотографии и связанные с ними сведения хранятся до удаления галереи фотографом либо до истечения срока действия галереи, установленного тарифом или самим фотографом, после чего удаляются автоматически вместе с файлами в хранилище;
• отметки «нравится» хранятся не дольше срока существования соответствующей галереи;
• сведения о расчётах и платежах хранятся в течение срока, установленного законодательством о бухгалтерском учёте и налогах, независимо от удаления учётной записи;
• при выявлении неправомерной обработки Оператор прекращает её в срок, не превышающий трёх рабочих дней с даты выявления;
• при достижении цели обработки или отзыве согласия данные уничтожаются в срок, не превышающий 30 дней. Если уничтожение в этот срок невозможно, Оператор блокирует данные и обеспечивает их уничтожение в срок не более шести месяцев (ст. 21 Закона № 152-ФЗ).

На Сайте используются две категории файлов cookie.

• Технические — необходимы для работы Сайта: удерживают сессию авторизованного пользователя. Отключить их нельзя, без них вход в личный кабинет невозможен.
• Аналитические — устанавливаются Яндекс Метрикой для оценки посещаемости и улучшения Сайта. Обработка ведётся в статистических целях при условии обезличивания.

В составе аналитических cookie сервисом Яндекс Метрика обрабатываются:

• IP-адрес устройства;
• идентификаторы посетителя и сессии, сохраняемые в файлах cookie;
• сведения об устройстве: тип, операционная система, разрешение экрана;
• сведения о браузере: тип, версия, языковые настройки;
• регион и город, определяемые по IP-адресу;
• адрес страницы, с которой совершён переход на Сайт, и поисковый запрос;
• сведения о действиях на Сайте: просмотренные страницы, время просмотра, нажатия, прокрутка, заполнение форм;
• дата и время обращения.

При первом посещении Сайта выводится информационное сообщение об использовании файлов cookie со ссылкой на настоящую Политику. Продолжение использования Сайта означает согласие на обработку данных на изложенных здесь условиях.

Отказаться от аналитических cookie можно в настройках браузера — запретить их сохранение или удалить сохранённые, — а также средствами, которые предоставляет Яндекс Метрика. При отключении технических cookie отдельные функции Сервиса станут недоступны.

На страницах клиентских галерей аналитические cookie не устанавливаются: посетители галерей не отслеживаются.

Содержимое галерей закрыто от посторонних. Вместе с тем администратор Сервиса имеет техническую возможность просмотреть уменьшенные копии (превью) фотографий в галерее конкретного пользователя. Такой доступ используется исключительно для:

• рассмотрения жалоб и обращений, в том числе о нарушении прав третьих лиц;
• выявления и пресечения размещения материалов, запрещённых законодательством;
• технической поддержки по прямому запросу самого пользователя.

Доступ к оригиналам фотографий в полном разрешении администрацией не осуществляется. Каждое обращение администратора к содержимому галереи фиксируется в журнале с указанием учётной записи администратора, галереи, времени и сетевого адреса. Записи журнала хранятся не менее одного года и предоставляются пользователю по его запросу.

В соответствии со статьями 18.1 и 19 Закона № 152-ФЗ Оператор принимает правовые, организационные и технические меры, в числе которых:

• назначение лица, ответственного за организацию обработки персональных данных;
• передача данных по защищённому протоколу HTTPS;
• хранение паролей исключительно в виде необратимых хешей;
• разграничение прав доступа и ограничение круга лиц, допущенных к обработке;
• журналирование действий администратора в отношении пользовательского содержимого;
• доступ к файлам по ссылкам с ограниченным сроком действия;
• ограничение частоты запросов и защита форм от автоматизированных обращений;
• резервное копирование и контроль за неизменностью настроек безопасности.

Субъект персональных данных вправе:

• получить сведения об обработке своих персональных данных, предусмотренные частью 7 статьи 14 Закона № 152-ФЗ;
• требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны, получены неправомерно либо не являются необходимыми для заявленной цели;
• отозвать согласие на обработку персональных данных;
• возражать против обработки и обжаловать действия Оператора в Роскомнадзор или в судебном порядке.

Запрос направляется по адресу support@stalisa.ru и должен содержать сведения, позволяющие идентифицировать заявителя. Ответ предоставляется в течение 10 рабочих дней с даты получения запроса; срок может быть продлён не более чем на 5 рабочих дней с уведомлением заявителя.

Отзыв согласия направляется тем же способом. После отзыва обработка прекращается, а данные уничтожаются в срок, не превышающий 30 дней, за исключением сведений, которые Оператор обязан хранить в силу закона. Отзыв согласия влечёт невозможность дальнейшего использования Сервиса.

При выявлении неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов, Оператор в порядке части 3.1 статьи 21 Закона № 152-ФЗ уведомляет Роскомнадзор:

• в течение 24 часов с момента выявления инцидента — о самом инциденте, его предполагаемых причинах и предполагаемом вреде, о принятых мерах по устранению последствий, а также о лице, уполномоченном на взаимодействие по вопросам инцидента;
• в течение 72 часов — о результатах внутреннего расследования и о лицах, действия которых стали причиной инцидента, если такие лица установлены.

Одновременно Оператор локализует инцидент, устраняет его последствия и уведомляет затронутых субъектов персональных данных в случаях, предусмотренных законом.

Оператор вправе вносить изменения в настоящую Политику. Действующая редакция с указанием даты постоянно доступна по адресу stalisa.ru/privacy. Существенные изменения доводятся до пользователей по адресу электронной почты, указанному в учётной записи.

Мусин Антон Михайлович, ИНН 260706773366.

Электронная почта по вопросам обработки персональных данных: support@stalisa.ru.