Политика конфиденциальности Polpo

1. Общие положения

1.1. Настоящая Политика конфиденциальности (далее — Политика) определяет порядок обработки персональных данных лиц, пользующихся сервисом Polpo, который включает сайт polpo.by и приложение на нём (далее — Сервис): состав обрабатываемых персональных данных, цели обработки, получателей, место и сроки хранения, а также права субъектов персональных данных и порядок их реализации.

1.2. Оператор персональных данных: Павел Сенько, физическое лицо, Республика Беларусь (далее — Оператор). Оператор определяет цели и способы обработки персональных данных и несёт ответственность за неё. Адрес электронной почты для обращений по вопросам обработки персональных данных: polpo.site@gmail.com.

1.3. Политика распространяется на всех лиц, которые пользуются Сервисом, посещают сайт и блог, направляют Оператору обращения или делают донаты (далее — Пользователи). Политика не является договором и не требует принятия. Правила пользования Сервисом установлены Условиями использования, порядок хранения записей в браузере описан в Политике cookies.

1.4. Обработка персональных данных осуществляется в соответствии с Законом Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных», а в отношении Пользователей из Европейского союза также в соответствии с Общим регламентом ЕС по защите данных (GDPR).

2. Состав обрабатываемых персональных данных

2.1. Оператор обрабатывает следующие персональные данные:

• данные аккаунта: адрес электронной почты, имя (по умолчанию часть адреса электронной почты до знака «@», Пользователь вправе его изменить), PIN-код в виде хеша, родной и изучаемый языки, уровень и интересы. При входе через Google Оператор получает от Google адрес электронной почты, имя, ссылку на фотографию профиля и идентификатор аккаунта Google;
• данные об обучении: слова и переводы Пользователя, наборы слов и их названия, ответы в тренировках с датой и временем, прогресс изучения слов, истории дня, риф и призы;
• фотографии тетради и записи голоса, если Пользователь использует распознавание фотографий или упражнение на произношение. На сервере Оператора они не сохраняются;
• технические данные: IP-адрес, сведения о браузере, адреса и время запросов. Они необходимы для работы и защиты Сервиса;
• статистика посещений сайта: если Пользователь нажал «Принять» в баннере cookies на главной странице или в блоге, Яндекс.Метрика собирает сведения о посещениях (подробнее в Политике cookies);
• обращения к Оператору: адрес электронной почты и текст обращения. В обращение, направленное через функцию «Сообщить о проблеме», приложение автоматически добавляет версию приложения, языки и сведения о браузере;
• данные о донатах: имя или псевдоним, сумма и дата, а при донате через Boosty и Patreon также адрес электронной почты. Данные платёжной карты Оператор не получает.

2.2. Обязательным является только адрес электронной почты: без него создание аккаунта невозможно. Иные данные появляются по мере использования функций Сервиса.

3. Цели и правовые основания обработки

3.1. Оператор обрабатывает персональные данные в следующих целях:

• создание аккаунта и предоставление доступа к нему;
• хранение словаря Пользователя, проведение тренировок и учёт прогресса;
• создание примеров, вариантов перевода, подборок слов и историй дня, распознавание фотографий тетради и произношения, озвучивание слов;
• направление писем с кодом входа и уведомлений о существенных изменениях;
• рассмотрение обращений и заявлений Пользователей;
• защита Сервиса от сбоев и злоупотреблений, восстановление его работы после аварий;
• учёт посещений главной страницы и блога.

3.2. Обработка персональных данных в указанных целях, за исключением учёта посещений сайта, осуществляется на основании договора с Пользователем, которым являются Условия использования: без такой обработки Сервис не может функционировать. Учёт посещений сайта осуществляется только с согласия Пользователя, выраженного в баннере cookies. Резервные копии и журналы безопасности ведутся также во исполнение обязанности по защите информации, установленной законодательством. В отношении Пользователей из Европейского союза резервные копии, журналы и ответы на обращения лиц, не имеющих аккаунта, основаны на законном интересе Оператора в надёжности Сервиса и поддержании связи с обратившимися лицами.

3.3. Оператор не продаёт персональные данные, не показывает рекламу и не принимает решений, основанных исключительно на автоматизированной обработке и затрагивающих права Пользователя. Сервис подбирает слова для тренировок по ответам Пользователя; этап изучения любого слова Пользователь вправе изменить вручную.

4. Передача персональных данных третьим лицам

4.1. Для работы Сервиса Оператор привлекает подрядчиков. Подрядчики получают только данные, необходимые для выполнения их функций; адрес электронной почты, имя и номер аккаунта Пользователя сервисам искусственного интеллекта не передаются. Сведения, которые Пользователь вносит самостоятельно (слова, интересы, названия наборов), и всё изображённое на фотографии передаются без изменений, поэтому Пользователю не следует указывать в них сведения личного характера.

4.2. Персональные данные получают:

4.3. Если упражнение на произношение распознаёт сам браузер (когда сервер Оператора не ответил), звук передаётся браузером его поставщику: Google, Apple или Microsoft (США).

4.4. Иным получателям персональные данные не передаются. Государственным органам персональные данные передаются только в случаях, предусмотренных законодательством Республики Беларусь. Наименования подрядчиков и государство, в котором расположен сервер, Оператор сообщает по запросу субъекта персональных данных о его данных.

5. Хранение и трансграничная передача персональных данных

5.1. Персональные данные Пользователей из всех государств и их резервные копии хранятся на сервере, расположенном на территории иностранного государства, включённого в перечень иностранных государств, на территории которых обеспечивается надлежащий уровень защиты прав субъектов персональных данных, утверждённый Национальным центром защиты персональных данных Республики Беларусь (далее — Перечень). Оператор обрабатывает персональные данные с территории Республики Беларусь.

5.2. США, Китай, Сингапур, ОАЭ и Гонконг в Перечень не включены. Передача персональных данных на их территорию сопряжена со следующими рисками: законодательство о защите персональных данных обеспечивает меньший уровень защиты или не распространяется на государственные органы; отсутствует независимый орган, в который можно обратиться с жалобой; права субъектов персональных данных ограничены, а их реализация затруднена; государственные органы и специальные службы имеют широкий доступ к данным. Законодательство Китая, кроме того, обязывает организации содействовать государственным органам.

5.3. Для Пользователей из Европейского союза: почти все получатели в США сертифицированы в рамках соглашения ЕС и США о защите данных (EU-U.S. Data Privacy Framework); в отношении резервного сервиса распознавания фотографий в США, а также передачи данных в Китай и Сингапур механизмы, предусмотренные GDPR, отсутствуют.

6. Сроки хранения персональных данных

6.1. Персональные данные хранятся в течение следующих сроков:

6.2. Резервные копии используются исключительно для восстановления Сервиса после аварий. Примеры, переводы и озвучивание слов хранятся в общем хранилище без связи с Пользователем и сохраняются после удаления аккаунта. Сроки хранения данных подрядчиками, обрабатывающими их по своим правилам, определяются этими правилами.

7. Права субъекта персональных данных

7.1. Пользователь вправе:

• получать информацию об обработке своих персональных данных: какие данные обрабатываются, из каких источников получены, в каких целях и кому передаются, а также получать их копию;
• требовать изменения своих персональных данных, если они являются неполными, устаревшими или неточными;
• получать информацию о передаче своих персональных данных третьим лицам за последний год;
• отозвать согласие на обработку персональных данных (для статистики посещений сайта: кнопка «Настройки cookies» на странице Политики cookies);
• требовать прекращения обработки своих персональных данных и их удаления;
• для Пользователей из Европейского союза также требовать ограничения обработки, получать данные в машиночитаемом формате и возражать против обработки, основанной на законном интересе Оператора.

7.2. Часть прав Пользователь реализует самостоятельно в профиле: изменить имя, язык и уровень, скачать свои слова, выйти со всех устройств, удалить аккаунт.

7.3. Для реализации иных прав Пользователь направляет заявление на адрес polpo.site@gmail.com с адреса электронной почты своего аккаунта: это позволяет установить, что заявление направил сам Пользователь. Для направления заявления в письменной форме или в виде электронного документа, подписанного электронной цифровой подписью, Пользователь вправе запросить почтовый адрес Оператора по электронной почте. Информация об обработке персональных данных предоставляется в течение 5 рабочих дней, иные заявления рассматриваются в течение 15 дней, бесплатно. Если требование не может быть выполнено (в частности, если законодательство обязывает хранить данные), Оператор сообщает причины отказа.

7.4. Пользователь вправе обжаловать действия Оператора: в Республике Беларусь в Национальный центр защиты персональных данных (220004, г. Минск, ул. К. Цеткин, 24-3, cpd.by) в письменной форме или в виде электронного документа, подписанного белорусской электронной цифровой подписью, в течение 3 месяцев со дня, когда Пользователь узнал о нарушении; в Европейском союзе в надзорный орган своего государства; в Великобритании в ICO; в Швейцарии в Федерального уполномоченного по защите данных (FDPIC); в Украине в Уполномоченного Верховной Рады Украины по правам человека.

8. Персональные данные несовершеннолетних

8.1. Пользоваться Сервисом разрешается с 16 лет, с 14 до 16 лет с разрешения родителей (иных законных представителей); лицам младше 14 лет пользоваться Сервисом запрещено. Дату рождения Оператор не запрашивает. Распознаванием фотографий тетради разрешается пользоваться только с 16 лет.

8.2. Если Оператору станет известно, что аккаунтом пользуется лицо младше 14 лет или лицо в возрасте от 14 до 16 лет без разрешения родителей (иных законных представителей), Оператор удаляет аккаунт. Родитель (иной законный представитель) вправе обратиться к Оператору, указав адрес электронной почты аккаунта.

9. Меры по защите персональных данных

9.1. Соединение с сайтом защищено шифрованием. PIN-код хранится только в виде хеша, количество попыток ввода PIN-кода и кода входа ограничено. Доступ к серверу и резервным копиям имеет только Оператор. В профиле доступна функция «Выйти со всех устройств».

9.2. Принимаемые меры не исключают утечку данных полностью. В случае утечки Оператор уведомляет Национальный центр защиты персональных данных в течение 3 рабочих дней, надзорный орган Европейского союза в течение 72 часов, если утечка затрагивает лиц из Европейского союза, а также затронутых лиц, если утечка создаёт угрозу их правам.

10. Изменение Политики

10.1. Дата действующей редакции указана в начале Политики, предыдущие редакции перечислены в конце страницы. О существенных изменениях Оператор заблаговременно уведомляет Пользователей письмом на адрес электронной почты аккаунта.

11. Язык Политики и контактная информация

11.1. Основной текст Политики составлен на русском языке, переводы на другие языки выполнены с него. Вопросы об обработке персональных данных направляются на адрес polpo.site@gmail.com.