Политика обработки персональных данных

1. Термины и определения

В настоящей Политике используются термины в значениях, определённых статьёй 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»:

• Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту ПДн).
• Оператор — лицо, организующее и (или) осуществляющее обработку ПДн (реквизиты указаны в разделе 2).
• Обработка ПДн — любое действие или совокупность действий, совершаемых с ПДн (сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение).
• Приложение — мобильное приложение «Stiger» для операционных систем iOS и Android, предназначенное для аренды портативных зарядных устройств (powerbank).
• Сайт — интернет-ресурс, размещённый по адресу https://stigerapp.ru.
• Пользователь — физическое лицо, использующее Приложение и (или) Сайт.

2. Сведения об Операторе

Оператором персональных данных является:

• Наименование: Индивидуальный предприниматель Роган Александра Дмитриевна
• ИНН: 236706730491
• ОГРНИП: 326237500137056
• Юридический адрес: Краснодарский край, город Сочи
• Электронная почта: privacy@stigerapp.ru
• Ответственный за организацию обработки ПДн: Роган Александра Дмитриевна, privacy@stigerapp.ru

Уведомление об обработке персональных данных направлено в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) в соответствии с ч. 1 ст. 22 Федерального закона № 152-ФЗ.

3. Правовые основания обработки

Обработка персональных данных осуществляется на основании:

• согласия субъекта ПДн на обработку (п. 1 ч. 1 ст. 6 Федерального закона № 152-ФЗ), выражаемого посредством совершения конклюдентных действий — регистрации в Приложении и подтверждения номера телефона;
• необходимости исполнения договора (публичной оферты), стороной которого является субъект ПДн (п. 5 ч. 1 ст. 6);
• исполнения обязанностей, возложенных законодательством РФ, в том числе Федеральным законом № 161-ФЗ «О национальной платёжной системе» и Федеральным законом № 115-ФЗ «О противодействии легализации (отмыванию) доходов» (п. 2 ч. 1 ст. 6);
• Конституции РФ, Гражданского кодекса РФ, Закона РФ «О защите прав потребителей» от 07.02.1992 № 2300-1.

4. Цели обработки персональных данных

• регистрация и идентификация Пользователя в Приложении;
• заключение и исполнение договора аренды портативных зарядных устройств;
• приём и обработка платежей, возврат денежных средств, начисление бонусов и кэшбэка;
• поиск ближайших станций аренды на основе геолокации Пользователя;
• отправка уведомлений о статусе аренды, списаниях и сервисных сообщений;
• обработка обращений в службу поддержки, разрешение споров;
• выявление и предотвращение мошеннических действий, обеспечение информационной безопасности;
• улучшение качества сервиса посредством анализа агрегированных метрик использования;
• направление маркетинговых сообщений (только при наличии отдельного согласия);
• исполнение требований законодательства РФ, в том числе фискального и о противодействии легализации доходов.

5. Категории субъектов персональных данных

Оператор обрабатывает персональные данные следующих категорий субъектов:

• пользователи Приложения и Сайта;
• лица, обратившиеся в службу поддержки;
• контрагенты Оператора, выступающие физическими лицами или представителями юридических лиц.

6. Перечень обрабатываемых персональных данных

Оператор обрабатывает только общие категории ПДн. Специальные категории (раса, национальность, политические взгляды, религиозные убеждения, состояние здоровья, интимная жизнь) и биометрические персональные данные не обрабатываются.

6.1. Идентификационные данные

• номер мобильного телефона (обязательно);
• адрес электронной почты (опционально);
• имя и фамилия (опционально, для чеков и обращений);
• уникальный идентификатор аккаунта (формируется Оператором).

6.2. Транзакционные данные

• история аренд, идентификаторы станций и устройств;
• история платежей, суммы, даты, статусы (сами реквизиты банковских карт Оператором не хранятся — см. раздел 8);
• баланс бонусного счёта, история начислений и списаний;
• реферальный код и связи между приглашёнными аккаунтами.

6.3. Технические данные и идентификаторы устройства

• тип, модель и операционная система устройства, версия Приложения;
• IP-адрес, язык интерфейса, часовой пояс;
• идентификатор устройства (IDFV для iOS, Android ID), рекламный идентификатор (IDFA для iOS, GAID для Android) — только в случае предоставления Пользователем разрешения «App Tracking Transparency» на iOS либо аналогичного на Android;
• токен push-уведомлений (Firebase Cloud Messaging registration token), используемый для доставки уведомлений;
• диагностические данные о сбоях Приложения (stack traces, тип устройства, версия ОС, последовательность действий перед сбоем — без содержимого пользовательских полей).

6.4. Данные о местоположении

Геолокация (широта и долгота) запрашивается у Пользователя исключительно для отображения ближайших станций аренды на карте. Точная геолокация передаётся на серверы Оператора только в момент запроса списка станций и не сохраняется в долговременных хранилищах. Доступ к геолокации может быть в любой момент отозван Пользователем средствами операционной системы.

6.5. Камера и фотобиблиотека

Доступ к камере и фотобиблиотеке используется исключительно для: (а) сканирования QR-кодов на станциях аренды; (б) прикрепления фотографий к обращениям в службу поддержки. Изображения, сделанные для сканирования QR-кодов, обрабатываются локально на устройстве и не передаются Оператору. Изображения, прикреплённые к обращениям в поддержку, передаются и хранятся в рамках тикета обращения.

7. Источники получения персональных данных

Персональные данные получаются Оператором непосредственно от субъекта ПДн при использовании Приложения и Сайта. Оператор не приобретает персональные данные у третьих лиц и не получает их из публичных источников.

8. Способы и условия обработки

Обработка персональных данных осуществляется смешанным способом (автоматизированная и неавтоматизированная обработка) с использованием средств вычислительной техники и без таковых.

Реквизиты банковских карт Пользователей не передаются на серверы Оператора. Ввод данных карты осуществляется на стороне платёжного провайдера (ООО НКО «ЮMoney», бренд YooKassa), сертифицированного по стандарту безопасности PCI DSS уровня 1. На серверах Оператора сохраняется только токен платёжного метода и маска номера карты (первые 6 и последние 4 цифры), не позволяющая восстановить полный номер карты.

9. Сроки хранения и порядок уничтожения

• Учётная запись и профиль — в течение всего периода использования Приложения и в течение 30 дней после получения запроса на удаление (период «отложенного удаления» для восстановления аккаунта в случае ошибочного запроса);
• Финансовые и фискальные данные (платежи, чеки, операции с бонусами) — 5 лет с даты совершения операции, в соответствии со ст. 29 Федерального закона № 402-ФЗ «О бухгалтерском учёте»;
• Журналы доступа и информационной безопасности — 1 год;
• Диагностические данные о сбоях — 90 дней;
• Сессии одноразовых кодов (OTP) — 10 минут;
• Геолокация — не хранится дольше времени выполнения запроса о ближайших станциях.

По истечении сроков хранения, а также при отзыве согласия, персональные данные подлежат уничтожению либо обезличиванию в соответствии с Постановлением Правительства РФ от 15.09.2008 № 687 и приказом Роскомнадзора от 28.10.2022 № 179.

10. Передача персональных данных третьим лицам

Оператор привлекает следующих лиц для обработки персональных данных от своего имени и по своему поручению (ч. 3 ст. 6 Федерального закона № 152-ФЗ):

Передача персональных данных государственным органам осуществляется в порядке и объёме, установленных законодательством Российской Федерации (правоохранительным, налоговым, судебным органам по их официальному запросу).

Оператор не передаёт персональные данные третьим лицам в целях, отличных от перечисленных, и не осуществляет их продажу.

11. Трансграничная передача

Оператор осуществляет трансграничную передачу персональных данных на территорию следующих иностранных государств:

• Соединённые Штаты Америки — Google LLC, Functional Software Inc. (Sentry);
• Государство Израиль — AppsFlyer Ltd.

США и Израиль обеспечивают адекватную защиту прав субъектов персональных данных в соответствии с приказом Роскомнадзора от 05.08.2022 № 128 (Израиль) и решением Оператора об оценке адекватности (США — на основании добровольного согласия субъекта).

Уведомление о намерении осуществлять трансграничную передачу персональных данных направлено в Роскомнадзор в соответствии с ч. 4 ст. 12 Федерального закона № 152-ФЗ. Передача осуществляется только после получения согласия субъекта, выражаемого посредством продолжения использования Приложения после ознакомления с настоящей Политикой.

12. Меры защиты персональных данных

В соответствии со ст. 19 Федерального закона № 152-ФЗ и Постановлением Правительства РФ от 01.11.2012 № 1119 Оператор применяет следующие меры:

12.1. Организационные меры

• назначен ответственный за организацию обработки персональных данных;
• утверждены внутренние документы, регламентирующие обработку ПДн;
• обеспечен ограниченный доступ работников к ПДн по принципу служебной необходимости;
• проводится ознакомление работников с положениями законодательства о персональных данных.

12.2. Технические меры

• шифрование канала передачи данных по протоколу TLS 1.2 и выше;
• хранение паролей и одноразовых кодов в виде криптографических хешей (bcrypt, HMAC-SHA256);
• разграничение доступа к информационным системам на основе ролей;
• ведение журналов событий безопасности и доступа к ПДн;
• регулярное обновление программного обеспечения и устранение выявленных уязвимостей;
• ограничение по числу попыток ввода кода подтверждения и IP-фильтрация;
• резервное копирование данных с шифрованием;
• использование антивирусной защиты и средств обнаружения вторжений на серверах Оператора.

13. Права субъектов персональных данных

В соответствии со ст. 14 Федерального закона № 152-ФЗ субъект персональных данных имеет право:

• получать информацию, касающуюся обработки его персональных данных (цели, способы, сроки, получатели);
• требовать уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку персональных данных;
• требовать удаления учётной записи и связанных персональных данных;
• обжаловать действия или бездействие Оператора в Роскомнадзор либо в судебном порядке.

Для реализации указанных прав направьте запрос на адрес privacy@stigerapp.ru. Запрос должен содержать ФИО (или иной идентификатор), номер телефона, привязанный к учётной записи, и описание требования. Срок ответа — не более 30 дней с даты получения запроса (ч. 1 ст. 20 Федерального закона № 152-ФЗ).

14. Отзыв согласия и удаление учётной записи

Согласие на обработку персональных данных может быть отозвано субъектом в любой момент путём направления заявления на адрес privacy@stigerapp.ru либо посредством формы запроса на удаление аккаунта, доступной без авторизации.

После получения запроса на удаление учётная запись помечается как заявленная к удалению. В течение 30 дней с момента запроса предоставляется возможность отменить удаление путём входа в Приложение. По истечении 30 дней персональные данные подлежат уничтожению либо обезличиванию, за исключением данных, подлежащих обязательному хранению в силу закона (раздел 9).

Отзыв согласия не распространяется на обработку, осуществляемую на основаниях, не требующих согласия (исполнение договора, исполнение законодательных обязанностей).

15. Использование Приложения несовершеннолетними

Приложение не предназначено для лиц, не достигших возраста 18 лет. Оператор не осуществляет осознанной обработки персональных данных несовершеннолетних. В случае выявления факта обработки персональных данных лица, не достигшего 18 лет, без согласия его законных представителей, такие данные подлежат незамедлительному удалению.

16. Файлы cookie и аналогичные технологии

На Сайте используются строго необходимые файлы cookie для обеспечения работы сессии и сохранения пользовательских настроек. Аналитические и маркетинговые cookie не используются. При первом посещении Сайта может отображаться баннер с уведомлением об использовании cookie.

В Приложении файлы cookie не применяются. Для целей идентификации сессии используется защищённое локальное хранилище (Keychain на iOS, EncryptedSharedPreferences на Android).

17. Изменение Политики

Оператор имеет право вносить изменения в настоящую Политику. Актуальная редакция всегда доступна по адресу https://stigerapp.ru/privacy. В случае существенных изменений Пользователи уведомляются через Приложение либо по электронной почте не менее чем за 7 дней до вступления изменений в силу.

18. Контактная информация

По вопросам обработки персональных данных, реализации прав субъекта, направления запросов и жалоб обращайтесь:

• Email: privacy@stigerapp.ru
• Почтовый адрес: Краснодарский край, город Сочи

Жалобы на действия Оператора могут быть направлены в уполномоченный орган по защите прав субъектов персональных данных — Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), rkn.gov.ru.