Политика обработки персональных данных

1.1Эта Политика объясняет, какие персональные данные обрабатывает сервис «Фудхантер», зачем, на каком основании, как долго и как их защищают. Она опубликована на страницах, через которые мы собираем данные, и доступна каждому без входа (ст. 18.1 ч. 2).

1.2Политика действует для сервиса «Фудхантер», гида по аутентичной кухне Москвы:

• приложения для iPhone (App Store) и Android (Google Play);
• веб-приложения app.foodhunter.moscow;
• сайта и журнала foodhunter.moscow, включая форму заявки в бета-тест;
• сервера api.foodhunter.moscow, с которым работают приложения и сайт.

1.3Оператор персональных данных (ст. 3 п. 2): Ким Максим Ларионович (физическое лицо, применяющее налог на профессиональный доход), ИНН 772874594718. Контакт по вопросам персональных данных: privacy@foodhunter.moscow.

1.4Ссылки вида «ст. 6 ч. 1 п. 5» указывают на Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон). Основные понятия используются в значении ст. 3 Закона:

• персональные данные (ПД) — любая информация, которая прямо или косвенно относится к определённому или определяемому человеку;
• обработка — любое действие с ПД: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ, распространение), обезличивание, блокирование, удаление, уничтожение;
• распространение — раскрытие ПД неопределённому кругу лиц, предоставление — раскрытие определённому лицу;
• обработчик — лицо, которое обрабатывает ПД по нашему поручению (ст. 6 ч. 3);
• трансграничная передача — передача ПД иностранному лицу или органу власти на территории иностранного государства (ст. 3 п. 11).

Ещё несколько слов в этой Политике: гость — человек, который пользуется сервисом без аккаунта; пользователь — человек с аккаунтом; установка — копия приложения на устройстве.

1.5Принципы, которых мы придерживаемся (ст. 5):

• обрабатываем ПД только для целей из раздела 2 и не используем их для несовместимых целей;
• собираем столько данных, сколько нужно для цели. Например, геопозицию устройства сервер не хранит, а аватар видит только сам пользователь;
• храним данные не дольше, чем этого требует цель, а потом уничтожаем или обезличиваем (раздел 6);
• не объединяем базы данных с несовместимыми целями.

1.6Сервис не обрабатывает специальные категории ПД (расовая и национальная принадлежность, политические взгляды, религиозные и философские убеждения, здоровье, интимная жизнь, ст. 10) и биометрические ПД (ст. 11). Аватар и фото в отзывах не используются для установления личности, поэтому биометрическими данными не являются. Метки «вегетарианское», «веганское», «халяль» в профиле — это предпочтения в еде. Сервис использует их только для подсказок блюд, никому не показывает и не строит по ним рассылки. Метку «халяль» выбирают и люди, не исповедующие ислам, поэтому она не относится к специальным категориям.

1.7Сервис не принимает решений, которые порождают юридические последствия для человека, только на основе автоматизированной обработки (ст. 16). Фильтр стоп-слов и автоматическое скрытие отзыва после трёх жалоб — временные технические меры: окончательное решение о публикации, отклонении или запрете публикаций принимает модератор.

1.8Сервис не предназначен для детей.

Каждая цель описана отдельно: чьи данные, какие, на каком основании (ст. 6 ч. 1) и что с ними делаем. Сроки хранения и способы уничтожения — в разделе 6.

Действия с данными, если в цели не сказано иначе: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача обработчикам (раздел 4), блокирование, удаление, уничтожение. Обработка автоматизированная, с передачей по сети «Интернет» по защищённому соединению (HTTPS).

Пользовательское соглашение — правила сервиса по адресу foodhunter.moscow/terms (далее — Соглашение). Пользователь принимает его, когда создаёт аккаунт. Для обработки, без которой сервис по Соглашению не работает, основанием служит исполнение договора с человеком (ст. 6 ч. 1 п. 5). Отдельное согласие для неё не требуется.

Цель 1. Регистрация, вход и ведение аккаунта

Чьи данные: пользователи.

Данные: способ входа и идентификатор у провайдера: Apple, Google, Яндекс ID или номер телефона; адрес электронной почты, если провайдер его передал (у Apple это может быть адрес-ретранслятор), и имя от провайдера, если пользователь его не сменил; отображаемое имя; служебный токен Apple для отзыва авторизации; хэши токенов сессий и сроки их действия; хэши одноразовых кодов из SMS и число попыток; дата удаления аккаунта.

Источник: сам пользователь. Часть данных Apple, Google или Яндекс передают с его разрешения на экране входа у провайдера.

Основание: исполнение Соглашения (ст. 6 ч. 1 п. 5).

Особенности: номер телефона передаётся SMS-шлюзу, чтобы отправить код (раздел 4). Идентификационный токен Apple или Google сервер проверяет у себя по открытым ключам провайдера. Для входа через Apple сервер один раз обменивает код авторизации у Apple, а при удалении аккаунта отзывает авторизацию (раздел 5).

Цель 2. Персональные функции

Чьи данные: пользователи.

Данные: избранные места и блюда; любимые кухни; предпочтения в еде (метки блюд); подписки на авторов журнала; аватар (видит только сам пользователь); согласие с правилами публикации и его время.

Основание: исполнение Соглашения (ст. 6 ч. 1 п. 5).

Цель 3. Отзывы, фото и предложения мест, модерация

Чьи данные: пользователи.

Данные: отзыв: оценка, голос за аутентичность, текст, фото с подписями, статус, причина отклонения; предложенное место: название, точка на карте, адрес и кухня со слов автора, комментарий; жалобы: причина, комментарий, статус; блокировки других пользователей; запрет публикаций и его причина.

Основание: исполнение Соглашения (ст. 6 ч. 1 п. 5): публикация отзыва — услуга, которую пользователь сам заказывает, нажимая «Опубликовать».

Распространение: после модерации отзыв виден всем вместе с отображаемым именем автора. Аватар, способ входа, email и телефон в отзыве не показываются. Отображаемое имя можно сменить на псевдоним в профиле. Из фото при загрузке удаляются метаданные EXIF, включая геометку.

Ограничения: в отзыве и на фото нельзя размещать персональные данные других людей без их согласия (Соглашение). Модератор отклоняет такие отзывы.

Цель 4. Уведомления

Чьи данные: пользователи и гости.

Данные: ID установки, хэш её секрета, платформа, токен устройства для push-уведомлений (APNs у Apple, FCM у Google), версия приложения, настройки групп уведомлений, привязка к аккаунту, если пользователь вошёл; для еженедельного дайджеста — какие места и подборки ему показаны.

Основание: исполнение Соглашения (ст. 6 ч. 1 п. 5). Уведомления приходят только после разрешения в системе устройства, каждую группу можно выключить в профиле.

«Рядом»: чтобы подсказать место рядом, приложение отправляет на сервер текущую точку устройства. Сервер отвечает списком ближайших мест и не сохраняет точку: ни в базе, ни в журналах. Геозоны срабатывают на самом устройстве.

Содержание: в тексте и данных уведомления нет персональных данных: только название места, блюда или материала и ссылка на экран.

Цель 5. Новости и праздники (рекламные уведомления)

Чьи данные: пользователи и гости, которые включили группу «Новости и праздники».

Данные: ID установки, токен устройства, платформа; для подборки получателей — любимые кухни, блюда и сохранённые места (только у пользователей); история включений и выключений согласия: время, версия приложения, привязка к аккаунту.

Основание: согласие (ст. 6 ч. 1 п. 1). Это продвижение услуг с помощью средств связи, поэтому нужно предварительное согласие (ст. 15 ч. 1 Закона; ч. 1 ст. 18 Федерального закона «О рекламе»). По умолчанию выключено. Текст согласия показывается рядом с переключателем.

Отказ: выключить переключатель в профиле. Сервер прекращает отправку сразу (ст. 15 ч. 2).

Цель 6. Заявки в бета-тест

Чьи данные: люди, оставившие заявку на сайте.

Данные: платформа (iPhone, Android, веб); email (для iPhone — адрес Apple ID, для Android — адрес Google-аккаунта); имя, если указано; имя пользователя в Telegram и контакт в MAX, если указаны; версия текста согласия и время; статус заявки и время приглашения.

Основание: согласие (ст. 6 ч. 1 п. 1), оформленное отдельно от других документов (ст. 9 ч. 1). Текст согласия открывается по ссылке рядом с галочкой в форме.

Передача: для iPhone email и имя вносятся в App Store Connect (TestFlight, Apple). Для Android email вносится в список тестировщиков Google Play Console (Google). Это трансграничная передача (раздел 5). Заявки на веб-версию никуда не передаются.

После беты: заявки удаляются, кроме адресов людей, которые отдельно согласились получать новости сервиса по почте. Такой адрес хранится до отзыва согласия, но не дольше 3 лет с последнего открытого письма.

Цель 7. Обратная связь и поддержка

Чьи данные: пользователи и гости.

Данные: категория, текст, место (если выбрано), до 3 скриншотов (без EXIF); платформа, версия и сборка приложения, версия ОС, модель устройства, а на сайте — название браузера и системы; email, имя пользователя в Telegram и контакт в MAX для ответа, если их оставили; для гостя — версия текста согласия и время; для пользователя — ID аккаунта и email из аккаунта для ответа, если в форме адрес не указан; заметка модератора и статус.

Основание: у пользователя — исполнение Соглашения (ст. 6 ч. 1 п. 5), поддержка входит в сервис. У гостя — согласие (ст. 6 ч. 1 п. 1), текст которого открывается по ссылке рядом с галочкой в форме.

Предупреждение: под формой написано, что к сообщению добавятся сведения о приложении, устройстве или браузере. Скриншоты могут случайно содержать чужие данные: перед отправкой их можно убрать.

Цель 8. Журнал: авторы и просмотры

Чьи данные: авторы журнала; читатели (без аккаунта и с ним).

Данные автора: имя, фото, текст «о себе», имя пользователя в Telegram, привязка к учётной записи редакции.

Основание (автор): согласие на обработку ПД, разрешённых для распространения (ст. 10.1, ст. 9 ч. 9, приказ Роскомнадзора от 24.02.2021 № 18). Автор даёт его до первой публикации.

Данные читателя: для подсчёта просмотров — ID установки (в приложении) или IP-адрес и User-Agent (на сайте). Сервер не хранит их: в течение суток держит только HMAC-хэш с солью, а соль живёт двое суток и нигде не записывается. После этого хэш нельзя связать с адресом.

Основание (читатель): законный интерес оператора, если права читателя не нарушаются (ст. 6 ч. 1 п. 7).

Цель 9. Безопасность и работоспособность сервиса

Чьи данные: все, кто обращается к сервису.

Данные: IP-адрес и время запроса в счётчиках частоты (лимиты от злоупотреблений, кэш на время окна лимита — от часа до суток); журналы сервера с адресом запроса, кодом ответа, ID пользователя и текстом ошибки; журналы ошибок веб-сервера с IP-адресом; резервные копии базы данных и загруженных файлов.

Основание: законный интерес оператора по защите сервиса и пользователей (ст. 6 ч. 1 п. 7); для пользователей — также исполнение Соглашения.

Алерты: уведомления об ошибках уходят разработчику в Telegram без персональных данных: только тип ошибки и место в коде. Подробности остаются в журнале на сервере.

Цель 10. Ответы на обращения и исполнение закона

Чьи данные: люди, которые обратились по поводу своих данных, и их представители.

Данные: данные из обращения (ст. 14 ч. 3), переписка, сведения о принятых мерах.

Основание: исполнение обязанностей, которые закон возлагает на оператора (ст. 6 ч. 1 п. 2; ст. 14, 20, 21).

• Не продаём персональные данные и не передаём их рекламным сетям.
• Не показываем рекламу третьих лиц и не используем рекламные идентификаторы (IDFA, GAID).
• Не храним геопозицию устройства.
• Не подключаем сторонние сервисы аналитики и отчётов о падениях с серверами за рубежом. Отчёты о падениях собирают только сами Apple и Google по настройкам устройства (раздел 5).
• Не распространяем персональные данные, кроме отзывов (цель 3) и страниц авторов журнала (цель 8).

4.1Обработчики работают по нашему поручению (ст. 6 ч. 3). В поручении указаны перечень ПД, действия с ними и цели, обязанность соблюдать конфиденциальность и требования ст. 18 ч. 5, ст. 18.1 и ст. 19, а также обязанность сообщать нам об инцидентах (ст. 21 ч. 3.1). Для целей по согласию (6 и 7) обработчики перечислены в самом тексте согласия. За действия обработчика перед вами отвечаем мы (ст. 6 ч. 5).

4.2Сами передают данные о себе и не являются нашими обработчиками:

• ООО «ЯНДЕКС» (Яндекс ID): при входе через Яндекс ID Яндекс передаёт нам идентификатор, email и имя по разрешению пользователя;
• Яндекс Карты (MapKit SDK в приложениях, JavaScript API в веб-приложении): карта загружается с серверов Яндекса и обрабатывает данные устройства по условиям Яндекса. Наш сервер в Яндекс персональные данные пользователей не передаёт;
• Apple и Google — о них раздел 5.

4.3Мы раскрываем данные государственным органам, только когда этого требует федеральный закон, и в объёме, который указан в запросе.

5.1Персональные данные граждан РФ записываются, систематизируются, накапливаются, хранятся, уточняются и извлекаются в базах данных на территории РФ (ст. 18 ч. 5): сервер и резервные копии — у ООО «Таймвэб.Клауд» (Timeweb Cloud) в РФ. Данные, которые потом передаются за рубеж (5.2), сначала записываются в эту базу.

5.2Часть функций работает через иностранные компании:

США не входят в перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов ПД (ст. 12 ч. 2). До начала таких передач оператор уведомляет Роскомнадзор о намерении осуществлять трансграничную передачу (ст. 12 ч. 3–5).

5.3Сами по себе, без нашего сервера, с серверами Apple и Google работают:

• вход через Google на устройстве и в браузере (Google Identity Services): человек входит на странице Google, а нам приходит подписанный токен с его идентификатором и email;
• вход через Apple на iPhone;
• Firebase SDK в Android-приложении, который получает токен FCM;
• отчёты о падениях в TestFlight, Xcode Organizer и Android vitals, если человек разрешил их в настройках устройства.

Эти компании обрабатывают данные как самостоятельные операторы по своим условиям, которые человек принял у них.

5.4Ответ в мессенджере. Если человек сам указал ник в Telegram или контакт в MAX и попросил ответить там, оператор пишет ему в этом мессенджере. Telegram — иностранный сервис, и переписка в нём проходит через его серверы. MAX — российский сервис.

5.5В тексте и данных push-уведомлений нет персональных данных. Алерты в Telegram тоже их не содержат.

6.1Мы храним ПД не дольше, чем этого требует цель (ст. 5 ч. 7). Когда цель достигнута или человек отозвал согласие, данные уничтожаются в течение 30 дней (ст. 21 ч. 4–5). Если уничтожить в этот срок нельзя, данные блокируются и уничтожаются не позже чем через 6 месяцев (ст. 21 ч. 6).

6.2Способы уничтожения: удаление записей из базы данных и файлов из хранилища средствами сервера, удаление из кэша по истечении срока, удаление резервных копий ротацией. Уничтожение подтверждается в порядке, который установил Роскомнадзор (ст. 21 ч. 7; приказ Роскомнадзора от 28.10.2022 № 179).

7.1Вы вправе (ст. 14):

• узнать, обрабатываем ли мы ваши ПД, и получить сведения из ст. 14 ч. 7: цели, основания, способы, перечень данных и источник, сроки, обработчиков, трансграничную передачу, порядок реализации прав;
• потребовать уточнить, заблокировать или уничтожить данные, если они неполные, устаревшие, неточные, получены незаконно или не нужны для цели;
• отозвать согласие (ст. 9 ч. 2): кнопкой в интерфейсе, где она есть, или письмом. Отзыв не влияет на обработку, которая шла до него, и на обработку по другим основаниям, если они есть;
• потребовать прекратить обработку (ст. 21 ч. 5.1), кроме случаев ст. 6 ч. 1 п. 2–11;
• потребовать немедленно прекратить рекламные уведомления (ст. 15 ч. 2);
• обжаловать наши действия в Роскомнадзоре или в суде (ст. 17).

7.2Многое можно сделать в приложении без обращения: сменить имя и аватар, выключить группы уведомлений и «Новости и праздники», удалить отзыв, удалить аккаунт. Заявку в бета-тест можно удалить по ссылке «Удалить заявку» в любом письме о бета-тесте.

7.3Как обратиться: письмом на privacy@foodhunter.moscow. По закону запрос должен содержать (ст. 14 ч. 3): номер документа, удостоверяющего личность, дату его выдачи и выдавший орган; сведения, подтверждающие вашу связь с сервисом (например, способ входа, email или телефон аккаунта); подпись. Электронный запрос подписывается электронной подписью.

7.4Сроки ответа:

• сведения о данных — в течение 10 рабочих дней, срок можно продлить ещё на 5 рабочих дней с объяснением причин (ст. 14 ч. 3, ст. 20 ч. 1);
• уточнение неточных данных — 7 рабочих дней (ст. 20 ч. 3, ст. 21 ч. 2);
• уничтожение незаконно полученных или ненужных данных — 7 рабочих дней (ст. 20 ч. 3);
• прекращение обработки по требованию — 10 рабочих дней, можно продлить на 5 (ст. 21 ч. 5.1);
• уничтожение после отзыва согласия — 30 дней (ст. 21 ч. 5);
• неправомерная обработка — прекращаем в течение 3 рабочих дней, уничтожаем в течение 10 рабочих дней и сообщаем вам об этом (ст. 21 ч. 3).

Повторный запрос можно направить через 30 дней после первого. Раньше — если в первый раз сведения дали не полностью (ст. 14 ч. 4–5).

8.1Сайт foodhunter.moscow не ставит cookie для аналитики или рекламы, счётчиков посещаемости на нём нет. Веб-приложение app.foodhunter.moscow хранит в локальном хранилище браузера (localStorage) токен входа в зашифрованном виде и свои настройки. Это нужно, чтобы вход работал, поэтому согласие на это не запрашивается.

8.2Сторонние ресурсы на страницах: JavaScript API Яндекс Карт (карта в веб-приложении), Google Identity Services (кнопка входа через Google). Они работают по правилам своих владельцев.

8.3Если мы подключим счётчик посещаемости, он будет загружаться только после вашего согласия, а эта Политика будет дополнена до того.

Сведения о реализуемых требованиях к защите ПД (ст. 18.1 ч. 2, ст. 19):

• данные хранятся на сервере в РФ (ст. 18 ч. 5). Доступ к серверу открыт только по SSH-ключу, работают файрвол и блокировка подбора паролей. Админка открывается только с разрешённых IP-адресов;
• все соединения с сервисом идут по HTTPS;
• пароли и коды не хранятся в открытом виде: в базе лежат только хэши токенов сессий, кодов из SMS и секретов установок. Ключи и секреты хранятся вне репозиториев кода;
• имена загруженных файлов случайные и не раскрывают автора. Из фото удаляются метаданные EXIF;
• доступ к данным есть только у людей, которым он нужен для работы: владелец и модераторы с учётками в админке;
• журналы хранятся ограниченный срок. Алерты, которые уходят за рубеж, не содержат ПД;
• резервные копии делаются ежедневно, их можно восстановить (ст. 19 ч. 2 п. 7);
• о компьютерном инциденте, из-за которого ПД утекли, мы сообщаем Роскомнадзору в течение 24 часов, а о результатах расследования — в течение 72 часов (ст. 21 ч. 3.1).

10.1Мы можем обновлять Политику, когда меняется сервис или закон. Новая редакция вступает в силу с даты публикации на foodhunter.moscow/privacy. О существенных изменениях, например о новой цели или новом получателе данных, мы сообщим в приложении до того, как они вступят в силу.

10.2Новая цель обработки по согласию требует нового согласия. Тексты согласий версионируются, а сервер хранит, какую версию принял человек.