Политика обработки персональных данных

1.1. Настоящая Политика определяет порядок обработки и меры по защите персональных данных пользователей сервисов экосистемы IQuack (далее — «Сервисы IQuack»). Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон»).

1.2. Оператор персональных данных — Карпов Егор Максимович, плательщик налога на профессиональный доход, ИНН 781635899382, электронная почта: support@iquack.ru (далее — «Оператор»).

1.3. Политика опубликована в открытом доступе. Каждая редакция имеет номер версии и дату вступления в силу.

1.4. Политика состоит из общей части (разделы 1–3 и 5–10) и разделов по отдельным Сервисам IQuack (раздел 4). Новые Сервисы добавляются в раздел 4 отдельными подразделами.

1.5. Термины применяются в значениях, установленных Законом. «Пользователь» — физическое лицо, использующее Сервисы IQuack.

2.1. Оператор обрабатывает персональные данные законно и добросовестно, только для заранее определённых целей и только в объёме, необходимом для этих целей.

2.2. Оператор не обрабатывает специальные категории персональных данных (сведения о здоровье, политических взглядах, религиозных убеждениях и т. п.) и биометрические персональные данные.

2.3. Оператор не принимает решений, порождающих юридические последствия для Пользователя, исключительно на основании автоматизированной обработки. Исключение составляют автоматические меры защиты от подбора паролей и злоупотреблений, такие как временное ограничение попыток входа.

Оператор обрабатывает персональные данные на следующих основаниях:

• согласие Пользователя (п. 1 ч. 1 ст. 6 Закона), предоставляемое отдельным документом;
• исполнение соглашения, стороной которого является Пользователь, в том числе Пользовательского соглашения IQuack ID и условий Сервисов IQuack (п. 5 ч. 1 ст. 6 Закона);
• исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации (п. 2 ч. 1 ст. 6 Закона).

Этот подраздел распространяется на любое посещение сайтов на домене iquack.ru и его поддоменах, включая посещение без входа в учётную запись (например, чтение документов на doc.iquack.ru).

Цели обработки: обеспечение работоспособности и безопасности сайтов, выявление и отражение атак и злоупотреблений.

Обрабатываемые данные: IP-адрес, сведения о браузере и устройстве (User-Agent), запрошенный адрес страницы, адрес перехода (Referer), дата и время запроса, код ответа сервера.

Срок хранения: журналы веб-сервера хранятся 30 дней, после чего удаляются автоматически.

IQuack ID — единая учётная запись для входа во все Сервисы IQuack.

Цели обработки:

1. регистрация и ведение учётной записи;
2. аутентификация Пользователя (вход по паролю, ключу доступа, одноразовому коду), восстановление доступа;
3. предоставление Пользователю доступа к Сервисам IQuack по протоколам OAuth 2.0 / OpenID Connect и управление правами доступа;
4. обеспечение безопасности учётной записи и сервиса, выявление и предотвращение несанкционированного доступа и злоупотреблений;
5. направление Пользователю служебных сообщений (коды подтверждения, уведомления о входе, об изменении настроек безопасности и условий);
6. рассмотрение обращений Пользователя.

Обрабатываемые данные:

Категория	Состав	Цели
Данные учётной записи	адрес электронной почты, отображаемое имя (если указано), внутренний идентификатор, даты создания и изменения	1, 3, 5, 6
Данные для входа	хэш пароля (сам пароль не хранится); для ключей доступа (passkeys) — публичный ключ, идентификатор ключа, тип аутентификатора и название устройства; секрет приложения-аутентификатора и коды восстановления (если подключены); одноразовые коды на время их действия	2, 4
Сессии и журналы	IP-адрес, сведения о браузере и устройстве (User-Agent), дата и время входа и выхода, способ входа, результат попытки входа, перечень активных сессий	2, 4
Права доступа	сведения о ролях и разрешениях Пользователя в Сервисах IQuack	3
Согласия	принятые документы и их версии, дата и время принятия, IP-адрес и сведения о браузере в момент принятия	1
Обращения	переписка с Оператором	6

О ключах доступа (passkeys). Ключ доступа создаётся и хранится на устройстве Пользователя. Если вход подтверждается отпечатком пальца или лицом, эта проверка выполняется устройством. Оператор получает только криптографическое подтверждение и не получает и не хранит биометрические данные.

Передача данных Сервисам IQuack. При входе в Сервис IQuack через IQuack ID этому Сервису передаются внутренний идентификатор Пользователя, адрес электронной почты, отображаемое имя и сведения о правах доступа в этом Сервисе — в объёме, необходимом для его работы. Все Сервисы IQuack принадлежат Оператору, поэтому такая передача не является передачей третьим лицам.

Учёт согласий. Сведения о принятых Пользователем документах (Пользовательском соглашении, Согласии на обработку персональных данных и др.) IQuack ID передаёт в сервис документов IQuack (doc.iquack.ru), где они хранятся вместе с неизменяемыми опубликованными редакциями этих документов. Сервис документов принадлежит Оператору и используется только для подтверждения факта и содержания принятых документов.

Сроки хранения:

• данные учётной записи, данные для входа, права доступа и сведения о согласиях хранятся до удаления учётной записи или отзыва согласия;
• журналы входов и сведения о сессиях хранятся 12 месяцев с момента события, после чего удаляются автоматически;
• одноразовые коды хранятся до использования или истечения срока действия;
• переписка с Пользователем хранится 3 года с момента последнего обращения.

5.1. Сервисы IQuack используют только технически необходимые cookie: для поддержания сессии входа, защиты от подделки запросов (CSRF) и прохождения процедуры входа и выдачи доступа к Сервисам. Без них вход невозможен, поэтому отключить их нельзя.

5.2. Оператор не использует cookie и иные технологии для аналитики, рекламы или отслеживания Пользователей и не передаёт сведения о посещениях сторонним сервисам. Если это изменится, Политика будет обновлена до начала такого использования, а у Пользователя будет запрошено отдельное согласие.

6.1. Персональные данные хранятся и обрабатываются на серверах, расположенных на территории Российской Федерации. Сбор, запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации ведутся с использованием баз данных, находящихся на территории Российской Федерации.

6.2. Трансграничная передача персональных данных не осуществляется.

6.3. Оператор не продаёт персональные данные и не передаёт их третьим лицам, кроме случаев, предусмотренных законодательством Российской Федерации (например, по запросу уполномоченных органов на законных основаниях).

6.4. Оператор не поручает обработку персональных данных третьим лицам. Если такое поручение появится, сведения о лице, которому оно дано, будут добавлены в Политику.

6.5. Для защиты персональных данных Оператор принимает правовые, организационные и технические меры, в том числе:

• шифрование соединений (TLS);
• хранение паролей только в виде стойкого криптографического хэша;
• ограничение физического и логического доступа к серверам и базам данных;
• ограничение числа попыток входа и защиту от автоматизированного подбора;
• резервное копирование и контроль целостности данных;
• своевременное обновление программного обеспечения;
• ведение журналов событий безопасности.

6.6. При выявлении неправомерной передачи (утечки) персональных данных Оператор уведомляет Роскомнадзор в сроки, установленные Законом, и принимает меры по устранению последствий.

7.1. Пользователь вправе:

• получить сведения об обработке своих персональных данных (ч. 7 ст. 14 Закона);
• потребовать уточнения, блокирования или уничтожения персональных данных, если они неполные, устаревшие, неточные, незаконно получены или не нужны для заявленной цели;
• отозвать согласие на обработку персональных данных;
• обжаловать действия или бездействие Оператора в Роскомнадзоре или в суде.

7.2. Часть данных (адрес электронной почты, отображаемое имя, способы входа, активные сессии) Пользователь может просматривать и изменять самостоятельно в настройках IQuack ID.

8.1. Запросы, отзыв согласия и требования об удалении направляются по адресу support@iquack.ru. Запрос должен быть отправлен с адреса электронной почты, привязанного к учётной записи. Если это невозможно, Оператор вправе запросить сведения, достаточные для подтверждения того, что запрос исходит от Пользователя.

8.2. Оператор отвечает на запрос в течение 10 рабочих дней с даты получения. Этот срок может быть продлён не более чем на 5 рабочих дней с уведомлением Пользователя о причинах.

8.3. Удаление учётной записи выполняется Оператором вручную по запросу Пользователя. При удалении учётной записи IQuack ID Оператор уничтожает данные Пользователя в IQuack ID, а также удаляет или обезличивает связанные с ней данные в других Сервисах IQuack, если иное не следует из пункта 8.5.

8.4. Персональные данные уничтожаются в течение 30 дней с даты получения требования или отзыва согласия. Из резервных копий данные удаляются по мере их плановой ротации, но не позднее 30 дней. Об уничтожении Оператор уведомляет Пользователя.

8.5. После отзыва согласия Оператор вправе продолжить обработку без согласия, если для этого есть иные основания, предусмотренные Законом. Например, сведения о расчётах в платных Сервисах хранятся в течение сроков, установленных налоговым законодательством. Такие случаи описываются в разделах соответствующих Сервисов.

8.6. Отзыв согласия на обработку данных, необходимых для работы учётной записи, означает невозможность дальнейшего использования IQuack ID и делает необходимым её удаление.

9.1. Оператор вправе изменять Политику. Новая редакция вступает в силу с даты, указанной в ней. Предыдущие редакции остаются доступными.

9.2. О существенных изменениях, в том числе о новых целях обработки или новых категориях данных, Оператор уведомляет Пользователей по электронной почте или при входе в IQuack ID. Если изменения требуют нового согласия, оно запрашивается отдельно.

• Карпов Егор Максимович, плательщик налога на профессиональный доход
• ИНН: 781635899382
• Электронная почта: support@iquack.ru