Политика обработки персональных данных

1. Общие положения

1.1. Настоящая Политика определяет порядок обработки и защиты персональных данных физических лиц, использующих сервис GardensHub, доступный по адресу https://gardenshub.ru и в мобильных приложениях Оператора (далее — Сервис).

1.2. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и издана во исполнение требований ч. 2 ст. 18.1 указанного закона.

1.3. Политика применяется ко всем персональным данным, которые Оператор получает от субъектов персональных данных в связи с использованием Сервиса.

1.4. Использование Сервиса означает согласие субъекта с настоящей Политикой. При несогласии субъект обязан прекратить использование Сервиса.

2. Оператор

Общество с ограниченной ответственностью «Гарденс Хаб»

3. Термины

Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу.

Обработка — любое действие с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение.

Субъект — Пользователь Сервиса, персональные данные которого обрабатываются.

Пользовательский контент — материалы, размещаемые Субъектом в Сервисе: записи дневника, фотографии, заметки, сведения об участке и посадках.

4. Правовые основания обработки

Оператор обрабатывает персональные данные на следующих основаниях:

• согласие субъекта на обработку персональных данных (п. 1 ч. 1 ст. 6 152-ФЗ) — предоставляется при регистрации в Сервисе;
• исполнение договора, стороной которого является субъект (п. 5 ч. 1 ст. 6 152-ФЗ) — публичная оферта, размещённая по адресу https://gardenshub.ru/legal/offer;
• исполнение обязанностей, возложенных на Оператора законодательством (п. 2 ч. 1 ст. 6 152-ФЗ) — в том числе Федеральным законом от 22.05.2003 № 54-ФЗ и законодательством о бухгалтерском учёте;
• осуществление прав и законных интересов Оператора (п. 7 ч. 1 ст. 6 152-ФЗ) — обеспечение безопасности Сервиса и предотвращение злоупотреблений;
• отдельное согласие на получение рекламных и информационных сообщений (ст. 18 Федерального закона от 13.03.2006 № 38-ФЗ) — предоставляется отдельно и может быть отозвано;
• обработка в статистических и иных исследовательских целях при обязательном обезличивании (п. 9 ч. 1 ст. 6 152-ФЗ) — формирование сводных показателей по культурам, сортам, регионам и сезонам.

5. Состав обрабатываемых персональных данных

5.1. Учётные данные: адрес электронной почты; имя или отображаемое имя; хеш пароля (сам пароль Оператору не известен); идентификатор учётной записи; фотография профиля.

5.2. Данные подключённых способов входа: при использовании входа через VK ID — идентификатор учётной записи во внешней системе аутентификации и адрес электронной почты, предоставленный провайдером идентификации. Иные сведения профиля социальной сети — список друзей, публикации, интересы, фотографии — Оператором не запрашиваются и не сохраняются. Иные способы входа Сервисом не поддерживаются.

5.3. Пользовательский контент: записи дневника садовода, фотографии растений, грядок и участка, заметки, сведения о посадках и сортах.

5.4. Сведения об участке: наименование участка, населённый пункт из справочника и его географические координаты. Собственные координаты участка (его точное расположение) Оператором не собираются — местоположение определяется с точностью до населённого пункта. Оператор рассматривает эти сведения как персональные данные, поскольку они косвенно указывают на место жительства субъекта.

5.5. Технические данные: IP-адрес, сведения о браузере и устройстве, идентификатор запроса, дата и время обращений, события входа в учётную запись и изменения её настроек.

5.6. Данные о подписке и платежах: уровень подписки, даты и суммы платежей, идентификатор платежа у платёжного сервиса. Полные реквизиты банковских карт Оператором не собираются, не передаются и не хранятся — ввод и обработка реквизитов карты осуществляются на стороне АО «ТБанк»; Оператор получает от него только результат платежа и его идентификатор.

5.7. Обращения: содержание обращения (текст, вложения, изображения экрана, файлы) и метаданные обращения — дата, время и канал поступления. Если для подтверждения личности заявителя представлено изображение документа, удостоверяющего личность, оно уничтожается после рассмотрения обращения и не сохраняется.

5.8. Специальные категории персональных данных и биометрические персональные данные Оператором не обрабатываются. Субъекту не следует размещать такие сведения в Пользовательском контенте.

6. Цели обработки и сроки хранения

6.1. Персональные данные обрабатываются в следующих целях:

6.2. По достижении цели обработки либо в случае отзыва согласия персональные данные подлежат уничтожению, если иное не предусмотрено законодательством или не требуется для исполнения обязательств Оператора.

6.3. Персональные данные могут сохраняться в резервных копиях в течение не более 30 календарных дней после удаления из основных систем.

7. Порядок и способы обработки

7.1. Обработка осуществляется с использованием средств автоматизации и без использования таких средств.

7.2. Оператор не принимает решений, порождающих юридические последствия для субъекта, исключительно на основании автоматизированной обработки его персональных данных.

7.3. Сведения, предоставляемые Сервисом (рекомендации по срокам работ, поливу, подкормкам, предположительные диагнозы), формируются алгоритмически, носят справочный характер и не являются решением, порождающим юридические последствия.

8. Локализация баз данных

8.1. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, расположенных на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ).

8.2. Серверная инфраструктура Сервиса, включая базы данных и хранилище фотографий, размещена на территории Российской Федерации.

9. Передача персональных данных третьим лицам

9.1. Оператор не продаёт персональные данные и не передаёт их третьим лицам, кроме случаев, указанных в настоящем разделе.

9.2. Персональные данные передаются следующим категориям получателей в объёме, необходимом для достижения цели:

9.3. Оператор требует от получателей обеспечения конфиденциальности и безопасности персональных данных.

9.4. Оператор вправе передавать третьим лицам и публиковать обезличенные сводные показатели, сформированные в целях, указанных в разделе 6 (статистические и исследовательские цели). Такие показатели не являются персональными данными: они не содержат Пользовательского контента и не позволяют без использования дополнительной информации определить конкретного субъекта. Пункт 9.1 настоящей Политики к обезличенным сводным показателям не применяется; передача данных в гранулярном виде, позволяющем соотнести сведения с отдельным субъектом или отдельным участком, не осуществляется.

10. Трансграничная передача

10.1. Учётные данные, Пользовательский контент и данные о платежах за пределы Российской Федерации не передаются. Аутентификация субъекта осуществляется исключительно средствами Оператора и поставщиков входа, являющихся российскими юридическими лицами.

10.2. Трансграничная передача ограничена географическими координатами населённого пункта и текстом поискового запроса наименования населённого пункта и осуществляется при использовании функций определения населённого пункта участка и получения прогноза погоды — получателям LocationIQ (Европейский союз) и Open-Meteo (Федеративная Республика Германия), указанным в п. 9.2 настоящей Политики. Сведения о точном расположении участка не передаются, поскольку Оператором не обрабатываются.

10.3. Указанные государства являются сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных и обеспечивают адекватный уровень защиты прав субъектов персональных данных в соответствии с требованиями законодательства Российской Федерации. Передача осуществляется в порядке ч. 2 ст. 12 Федерального закона № 152-ФЗ.

10.4. Сведения, позволяющие прямо идентифицировать субъекта — адрес электронной почты, имя, идентификатор учётной записи, фотографии, — указанным получателям не передаются.

10.5. Уведомление о трансграничной передаче персональных данных направлено Оператором в уполномоченный орган по защите прав субъектов персональных данных до начала такой передачи.

11. Права субъекта персональных данных

11.1. Субъект вправе:

• получать сведения об обработке его персональных данных, предусмотренные ч. 7 ст. 14 152-ФЗ;
• требовать уточнения, блокирования или уничтожения персональных данных, если они неполны, устарели, неточны, получены незаконно либо не являются необходимыми для заявленной цели;
• отозвать согласие на обработку персональных данных;
• отказаться от получения рекламных сообщений;
• обжаловать действия Оператора в уполномоченный орган по защите прав субъектов персональных данных или в суд.

11.2. Самостоятельная реализация прав. В Личном кабинете субъект может:

• изменить учётные данные;
• отозвать согласие на получение рекламных сообщений;
• выгрузить копию своих данных;
• удалить учётную запись.

11.3. Запрос, направленный Оператору, должен содержать сведения, предусмотренные ч. 3 ст. 14 152-ФЗ. Личность заявителя подтверждается электронной подписью, изображением документа, удостоверяющего личность, либо — если запрос направлен с адреса электронной почты учётной записи или совершён из авторизованного Личного кабинета — средствами аутентификации Сервиса; в последнем случае сведения о документе не запрашиваются.

11.4. Оператор рассматривает запрос в течение 10 рабочих дней с даты получения. Если требуется дополнительное время, срок продлевается не более чем на 5 рабочих дней; о продлении, его причине и новой дате ответа заявитель уведомляется не позднее чем за 1 рабочий день до истечения первоначального срока.

11.5. При невозможности исполнить запрос Оператор направляет мотивированный отказ с разъяснением причин и порядка повторного обращения.

11.6. Отзыв согласия. При отзыве согласия на обработку персональных данных, необходимых для оказания услуг, оказание услуг прекращается, а учётная запись удаляется. Персональные данные уничтожаются в срок не более 30 календарных дней с даты получения отзыва, за исключением данных, хранение которых требуется по закону (п. 6 таблицы раздела 6).

12. Меры по обеспечению безопасности

12.1. Организационные меры. Оператором:

• назначено лицо, ответственное за организацию обработки персональных данных;
• изданы Политика в отношении обработки персональных данных и локальные акты, определяющие порядок обработки, правила доступа, порядок уничтожения персональных данных и порядок рассмотрения обращений субъектов;
• проведена оценка вреда, который может быть причинён субъектам;
• определён уровень защищённости персональных данных и разработана модель угроз безопасности; состав применяемых мер соответствует требованиям, установленным для определённого уровня защищённости;
• проводится внутренний контроль соответствия обработки требованиям законодательства не реже одного раза в год.

12.2. Технические меры:

• шифрование канала связи между устройством субъекта и Сервисом;
• хранение паролей исключительно в виде необратимых хешей; сам пароль Оператору не известен и не может быть восстановлен;
• разграничение доступа к данным на уровне системы управления базами данных — независимый рубеж, исключающий доступ одного пользователя к данным другого даже при ошибке в приложении;
• ограничение частоты обращений к Сервису, препятствующее подбору паролей и массовой автоматизированной выгрузке данных;
• ведение журнала событий безопасности с маскированием персональных данных;
• хранение параметров доступа к компонентам Сервиса в выделенной системе управления секретами;
• регулярное резервное копирование с контролем восстановления;
• проверки безопасности программного кода, обязательные при каждом изменении.

12.3. Защита административного доступа. Средства администрирования Сервиса не опубликованы в сети общего пользования: доступ к ним возможен только из частной сети Оператора с предварительной авторизацией устройства, дополнительно требуются пароль и одноразовый код (второй фактор). Все административные действия регистрируются.

12.4. Реагирование на инциденты. Инциденты регистрируются в журнале инцидентов в день выявления. Оператор уведомляет уполномоченный орган об инцидентах, повлёкших неправомерную передачу персональных данных, в сроки, установленные ч. 3.1 ст. 21 152-ФЗ: в течение 24 часов — о факте инцидента, в течение 72 часов — о результатах внутреннего расследования.

13. Файлы cookie и аналогичные технологии

13.1. Сервис использует файлы cookie и аналогичные технологии для:

• поддержания сессии авторизованного пользователя (технически необходимые);
• сохранения пользовательских настроек интерфейса.

13.2. Технически необходимые файлы cookie не могут быть отключены без потери работоспособности Сервиса. Субъект вправе управлять файлами cookie средствами браузера.

13.3. Системы веб-аналитики третьих лиц Оператором не используются.

13.4. При переходе субъекта по размещённой в Сервисе ссылке на ресурс третьего лица обработка данных на таком ресурсе, включая установку файлов cookie, осуществляется третьим лицом на его условиях и Оператором не контролируется.

14. Несовершеннолетние

14.1. Сервис не предназначен для лиц, не достигших 18 лет. Оператор не осуществляет целенаправленный сбор персональных данных таких лиц.

14.2. При выявлении факта обработки персональных данных лица, не достигшего 18 лет, без согласия законного представителя такие данные подлежат удалению по обращению законного представителя, направленному на адрес privacy@gardenshub.ru.

15. Изменение Политики

15.1. Оператор вправе вносить изменения в настоящую Политику. Новая редакция размещается по адресу https://gardenshub.ru/legal/privacy.

15.2. О существенных изменениях субъект уведомляется по электронной почте не позднее чем за 14 календарных дней до вступления новой редакции в силу.

15.3. Архив предыдущих редакций с указанием периода их действия поддерживается Оператором и доступен по адресу, указанному в п. 15.1.

16. Обращения

Обращения по вопросам обработки персональных данных направляются на адрес privacy@gardenshub.ru либо почтой по адресу, указанному в разделе 2.

Уполномоченный орган по защите прав субъектов персональных данных — Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор).