Політика конфіденційності Polpo

1. Загальні положення

1.1. Ця Політика конфіденційності (далі — Політика) визначає порядок обробки персональних даних осіб, які користуються сервісом Polpo, що включає сайт polpo.by і застосунок на ньому (далі — Сервіс): склад персональних даних, що обробляються, мету обробки, одержувачів, місце та строки зберігання, а також права суб'єктів персональних даних і порядок їх реалізації.

1.2. Оператор персональних даних: Павел Сенько, фізична особа, Республіка Білорусь (далі — Оператор). Оператор визначає мету і способи обробки персональних даних та відповідає за неї. Адреса електронної пошти для звернень щодо обробки персональних даних: polpo.site@gmail.com.

1.3. Політика поширюється на всіх осіб, які користуються Сервісом, відвідують сайт і блог, звертаються до Оператора або роблять донати (далі — Користувачі). Політика не є договором і не потребує прийняття. Правила користування Сервісом встановлено Умовами використання, порядок зберігання записів у браузері описано в Політиці cookies.

1.4. Обробка персональних даних здійснюється відповідно до Закону Республіки Білорусь від 7 травня 2021 р. № 99-З «Про захист персональних даних», а щодо Користувачів з Європейського Союзу також відповідно до Загального регламенту ЄС про захист даних (GDPR).

2. Склад персональних даних, що обробляються

2.1. Оператор обробляє такі персональні дані:

• дані акаунта: адреса електронної пошти, ім'я (за замовчуванням частина адреси електронної пошти до знака «@», Користувач може його змінити), PIN-код у вигляді хешу, рідна мова та мова навчання, рівень та інтереси. Під час входу через Google Оператор отримує від Google адресу електронної пошти, ім'я, посилання на фото профілю та ідентифікатор акаунта Google;
• дані про навчання: слова й переклади Користувача, набори слів та їхні назви, відповіді в тренуваннях із датою і часом, прогрес вивчення слів, історії дня, риф і призи;
• фото зошита та записи голосу, якщо Користувач користується розпізнаванням фото або вправою на вимову. На сервері Оператора вони не зберігаються;
• технічні дані: IP-адреса, відомості про браузер, адреси та час запитів. Вони необхідні для роботи та захисту Сервісу;
• статистика відвідувань сайту: якщо Користувач натиснув «Прийняти всі» в банері cookies на головній сторінці або в блозі, Яндекс.Метрика збирає відомості про відвідування (докладніше в Політиці cookies);
• звернення до Оператора: адреса електронної пошти та текст звернення. До звернення, надісланого через функцію «Повідомити про проблему», застосунок автоматично додає версію застосунку, мови та відомості про браузер;
• дані про донати: ім'я або нікнейм, сума і дата, а в разі донату через Boosty і Patreon також адреса електронної пошти. Даних платіжної картки Оператор не отримує.

2.2. Обов'язковою є лише адреса електронної пошти: без неї створити акаунт неможливо. Інші дані з'являються в міру користування функціями Сервісу.

3. Мета і правові підстави обробки

3.1. Оператор обробляє персональні дані з такою метою:

• створення акаунта та надання доступу до нього;
• зберігання словника Користувача, проведення тренувань і облік прогресу;
• створення прикладів, варіантів перекладу, добірок слів та історій дня, розпізнавання фото зошита і вимови, озвучування слів;
• надсилання листів із кодом входу та повідомлень про суттєві зміни;
• розгляд звернень і заяв Користувачів;
• захист Сервісу від збоїв і зловживань та відновлення його роботи після аварій;
• облік відвідувань головної сторінки та блогу.

3.2. Обробка персональних даних із зазначеною метою, за винятком обліку відвідувань сайту, здійснюється на підставі договору з Користувачем, яким є Умови використання: без такої обробки Сервіс не може функціонувати. Облік відвідувань сайту здійснюється лише за згодою Користувача, наданою в банері cookies. Резервні копії та журнали безпеки ведуться також на виконання встановленого законодавством обов'язку щодо захисту інформації. Щодо Користувачів з Європейського Союзу резервні копії, журнали та відповіді на звернення осіб, які не мають акаунта, ґрунтуються на законному інтересі Оператора в надійності Сервісу та підтриманні зв'язку з особами, які звернулися.

3.3. Оператор не продає персональні дані, не показує рекламу та не ухвалює рішень, що ґрунтуються виключно на автоматизованій обробці й зачіпають права Користувача. Сервіс добирає слова для тренувань за відповідями Користувача; етап вивчення будь-якого слова Користувач має право змінити вручну.

4. Передача персональних даних третім особам

4.1. Для роботи Сервісу Оператор залучає підрядників. Підрядники отримують лише дані, необхідні для виконання їхніх функцій; адреса електронної пошти, ім'я та номер акаунта Користувача сервісам штучного інтелекту не передаються. Відомості, які Користувач вносить самостійно (слова, інтереси, назви наборів), і все зображене на фото передаються без змін, тому Користувачеві не слід зазначати в них відомості особистого характеру.

4.2. Персональні дані отримують:

4.3. Якщо вправу на вимову розпізнає сам браузер (коли сервер Оператора не відповів), звук передається браузером його постачальнику: Google, Apple або Microsoft (США).

4.4. Іншим одержувачам персональні дані не передаються. Державним органам персональні дані передаються лише у випадках, передбачених законодавством Республіки Білорусь. Найменування підрядників і державу, у якій розташовано сервер, Оператор повідомляє на запит суб'єкта персональних даних щодо його даних.

5. Зберігання та транскордонна передача персональних даних

5.1. Персональні дані Користувачів з усіх держав та їхні резервні копії зберігаються на сервері, розташованому на території іноземної держави, включеної до затвердженого Національним центром захисту персональних даних Республіки Білорусь переліку іноземних держав, на території яких забезпечується належний рівень захисту прав суб'єктів персональних даних (далі — Перелік). Оператор обробляє персональні дані з території Республіки Білорусь.

5.2. США, Китай, Сінгапур, ОАЕ та Гонконг до Переліку не включено. Передача персональних даних на їхню територію пов'язана з такими ризиками: законодавство про захист персональних даних забезпечує нижчий рівень захисту або не поширюється на державні органи; відсутній незалежний орган, до якого можна звернутися зі скаргою; права суб'єктів персональних даних обмежені, а їх реалізація ускладнена; державні органи та спеціальні служби мають широкий доступ до даних. Законодавство Китаю, крім того, зобов'язує організації сприяти державним органам.

5.3. Для Користувачів з Європейського Союзу: майже всі одержувачі у США сертифіковані в межах угоди ЄС і США про захист даних (EU-U.S. Data Privacy Framework); щодо резервного сервісу розпізнавання фото у США, а також передачі даних до Китаю та Сінгапуру механізми, передбачені GDPR, відсутні.

6. Строки зберігання персональних даних

6.1. Персональні дані зберігаються протягом таких строків:

6.2. Резервні копії використовуються виключно для відновлення Сервісу після аварій. Приклади, переклади та озвучування слів зберігаються в спільному сховищі без зв'язку з Користувачем і залишаються після видалення акаунта. Строки зберігання даних підрядниками, які обробляють їх за власними правилами, визначаються цими правилами.

7. Права суб'єкта персональних даних

7.1. Користувач має право:

• отримувати інформацію про обробку своїх персональних даних: які дані обробляються, з яких джерел їх отримано, з якою метою та кому вони передаються, а також отримувати їх копію;
• вимагати зміни своїх персональних даних, якщо вони є неповними, застарілими або неточними;
• отримувати інформацію про передачу своїх персональних даних третім особам за останній рік;
• відкликати згоду на обробку персональних даних (для статистики відвідувань сайту: кнопка «Налаштування cookies» на сторінці Політики cookies);
• вимагати припинення обробки своїх персональних даних та їх видалення;
• для Користувачів з Європейського Союзу також вимагати обмеження обробки, отримувати дані в машинозчитуваному форматі та заперечувати проти обробки, що ґрунтується на законному інтересі Оператора.

7.2. Частину прав Користувач реалізує самостійно в профілі: змінити ім'я, мову та рівень, завантажити свої слова, вийти з усіх пристроїв, видалити акаунт.

7.3. Для реалізації інших прав Користувач надсилає заяву на адресу polpo.site@gmail.com з адреси електронної пошти свого акаунта: це дає змогу встановити, що заяву надіслав сам Користувач. Для надсилання заяви в письмовій формі або у вигляді електронного документа, підписаного електронним цифровим підписом, Користувач має право запитати поштову адресу Оператора електронною поштою. Інформація про обробку персональних даних надається протягом 5 робочих днів, інші заяви розглядаються протягом 15 днів, безоплатно. Якщо вимогу не може бути виконано (зокрема якщо законодавство зобов'язує зберігати дані), Оператор повідомляє причини відмови.

7.4. Користувач має право оскаржити дії Оператора: у Республіці Білорусь до Національного центру захисту персональних даних (220004, м. Мінськ, вул. К. Цеткін, 24-3, cpd.by) у письмовій формі або у вигляді електронного документа, підписаного білоруським електронним цифровим підписом, протягом 3 місяців з дня, коли Користувач дізнався про порушення; у Європейському Союзі до наглядового органу своєї держави; у Великій Британії до ICO; у Швейцарії до Федерального уповноваженого із захисту даних (FDPIC); в Україні до Уповноваженого Верховної Ради України з прав людини.

8. Персональні дані неповнолітніх

8.1. Користуватися Сервісом дозволено з 16 років, з 14 до 16 років з дозволу батьків (інших законних представників); особам, молодшим за 14 років, користуватися Сервісом заборонено. Дату народження Оператор не запитує. Розпізнаванням фото зошита дозволено користуватися лише з 16 років.

8.2. Якщо Оператору стане відомо, що акаунтом користується особа, молодша за 14 років, або особа віком від 14 до 16 років без дозволу батьків (інших законних представників), Оператор видаляє акаунт. Батьки (інші законні представники) мають право звернутися до Оператора, зазначивши адресу електронної пошти акаунта.

9. Заходи щодо захисту персональних даних

9.1. З'єднання із сайтом захищено шифруванням. PIN-код зберігається лише у вигляді хешу, кількість спроб введення PIN-коду та коду входу обмежено. Доступ до сервера та резервних копій має лише Оператор. У профілі доступна функція «Вийти з усіх пристроїв».

9.2. Вжиті заходи не виключають витоку даних повністю. У разі витоку Оператор повідомляє Національний центр захисту персональних даних протягом 3 робочих днів, наглядовий орган Європейського Союзу протягом 72 годин, якщо витік стосується осіб з Європейського Союзу, а також осіб, яких він стосується, якщо витік створює загрозу їхнім правам.

10. Зміна Політики

10.1. Дату чинної редакції зазначено на початку Політики, попередні редакції перелічено в кінці сторінки. Про суттєві зміни Оператор завчасно повідомляє Користувачів листом на адресу електронної пошти акаунта.

11. Мова Політики та контактна інформація

11.1. Основний текст Політики складено російською мовою, переклади іншими мовами виконано з нього. Питання щодо обробки персональних даних надсилайте на адресу polpo.site@gmail.com.