Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) опубликована во исполнение части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных) и описывает, как обрабатываются персональные данные в сервисе Launch Business.

1.2. Оператор персональных данных — ИП Агрызков Антон Сергеевич, ИНН 562101885524, ОГРНИП 314565809200165 (далее — Оператор). Оператор внесён в реестр операторов, осуществляющих обработку персональных данных, под регистрационным номером 56-26-023204. Почта для обращений: lb0@hixl.ru. Адрес места нахождения Оператора содержится в ЕГРИП по ОГРНИП и сообщается по запросу на указанную почту.

1.3. Сервис Launch Business (далее — Сервис) — каталог стартапов, биржа задач, рабочее пространство команд и безопасная сделка, доступные на сайте lb0.ru и его поддоменах.

1.4. Политика описывает обработку персональных данных только в Сервисе. Полный перечень целей обработки Оператора по всей его деятельности приведён в реестре операторов Роскомнадзора.

1.5. Политика публична и доступна без регистрации. Политика не является договором и не требует принятия: она сообщает, как Оператор обрабатывает данные. Основания обработки перечислены в разделе 3.

2. Термины

• Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту).
• Обработка — любое действие с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение.
• Распространение — действия, направленные на раскрытие персональных данных неопределённому кругу лиц.
• Обезличивание (анонимизация) — действия, в результате которых без дополнительной информации невозможно определить принадлежность данных конкретному субъекту.
• Пользователь — лицо, зарегистрировавшее аккаунт в Сервисе; посетитель — лицо, открывающее страницы Сервиса без входа.
• Cookie — небольшой фрагмент данных, который сайт сохраняет в браузере.

3. Правовые основания

3.1. Оператор обрабатывает персональные данные на основании Закона о персональных данных, Гражданского кодекса РФ, Налогового кодекса РФ, Федерального закона от 22.05.2003 № 54-ФЗ «О применении контрольно-кассовой техники», Федерального закона от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте», Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Закона РФ «О защите прав потребителей», Федерального закона от 27.11.2018 № 422-ФЗ о налоге на профессиональный доход.

3.2. Основания по части 1 статьи 6 Закона о персональных данных:

• исполнение договора, стороной которого является субъект (пункт 5), — Пользовательского соглашения и Публичной оферты: аккаунт, профиль, стартапы, задачи, отклики, переписка, уведомления, сделки и выплаты. Отдельное согласие для этих целей не требуется;
• исполнение обязанностей, возложенных на Оператора законом (пункт 2), — кассовые чеки, налоговый и бухгалтерский учёт, ответы на законные запросы государственных органов;
• отдельное согласие субъекта (пункт 1) — только там, где договора недостаточно: распространение сведений профиля и карточек стартапов (статья 10.1 Закона о персональных данных);
• законный интерес Оператора (пункт 7) — защита Сервиса от злоупотреблений, доказательства по спорам и статистика посещений, при условии что права субъекта не нарушаются; против такой обработки можно возразить способами из раздела 6.

3.3. Пользование Сервисом само по себе не является согласием на обработку. Согласие на распространение даётся отдельной непредустановленной отметкой, и факт его дачи сохраняется в журнале: редакция документа, дата и время, IP-адрес, сведения о браузере.

4. Цели, данные и сроки

4.1. Способ обработки для всех целей — смешанная обработка (автоматизированная и без средств автоматизации) с передачей по сети Интернет. Действия — сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение; для публичных сведений также распространение.

4.2. Регистрация и ведение аккаунта

• Субъекты: пользователи.
• Данные: имя, адрес электронной почты, пароль (хранится только в виде необратимого хеша), отметка о подтверждении почты; сведения профиля, которые пользователь указывает сам: имя пользователя в адресе профиля, подпись, «о себе», город, роль, навыки, фотография, имя пользователя Telegram и GitHub, адрес сайта, отметка «открыт к работе»; рейтинг профиля; отметки о блокировке и её причине.
• Основание: исполнение Пользовательского соглашения.
• Срок: пока существует аккаунт; после удаления аккаунта — см. раздел 10.

4.3. Стартапы, задачи, вакансии, раунды и рабочее пространство

• Субъекты: пользователи; третьи лица, сведения о которых пользователь вносит сам (например, упоминания в описании или статье).
• Данные: карточки стартапов и их команды, новости и статьи, комментарии, показатели и вехи, задачи и их обложки, вакансии (включая условия оплаты и доли), раунды, отметки «Интересно» с сообщением, отклики и приглашения с предложенной ценой и сроком, заметки, сданные результаты работ и файлы, отзывы и оценки, подписки.
• Основание: исполнение Пользовательского соглашения.
• Срок: пока материал не удалён пользователем или Оператором, но не дольше существования аккаунта; сведения, связанные со сделками и спорами, — по пункту 4.5.

4.4. Переписка и уведомления

• Субъекты: пользователи.
• Данные: сообщения в беседах задач, стартапов, откликов и личных беседах, вложенные файлы; уведомления в Сервисе и письма на почту аккаунта.
• Основание: исполнение Пользовательского соглашения.
• Доступ: сообщения видят только участники беседы. Интерфейс Сервиса не даёт Оператору доступа к чужой переписке; к содержимому сообщений Оператор обращается только по жалобе участника беседы, в споре по сделке — к материалам, которые стороны сами представили, или по требованию закона.
• Срок: пока существует беседа. Участник, покинувший команду, сохраняет доступ к истории. Сообщения удалённого аккаунта остаются в беседе с обезличенным автором.

4.5. Безопасная сделка, расчёты и налоговый статус исполнителя

• Субъекты: заказчики и исполнители.
• Данные: ИНН и налоговый статус исполнителя (самозанятый или индивидуальный предприниматель), дата подтверждения статуса; реквизиты для выплаты исполнителю — получатель, наименование банка, БИК и номер счёта (хранятся в зашифрованном виде и не публикуются); условия сделки, суммы, статусы и отметки времени, идентификаторы платежа, возврата и выплаты, причина спора и решение по нему; адрес электронной почты заказчика для кассового чека; имя и ИНН исполнителя для кассового чека. Реквизиты банковских карт вводятся на странице платёжного сервиса — Оператор их не получает и не хранит.
• Основания: исполнение Публичной оферты; исполнение обязанностей по законодательству о контрольно-кассовой технике и о налогах.
• Срок: 5 лет после окончания года, в котором завершена сделка (налоговый и бухгалтерский учёт), а при споре — не менее 3 лет после его разрешения (срок исковой давности). ИНН и налоговый статус в профиле удаляются при удалении аккаунта; в сведениях о завершённых сделках и чеках они сохраняются в пределах указанного срока. Реквизиты для выплаты хранятся, пока пользователь не удалит их в настройках профиля или не будет удалён аккаунт.

4.6. Доказательства акцепта и согласий

• Субъекты: пользователи.
• Данные: вид документа или согласия, редакция, дата и время, IP-адрес, сведения о браузере; если строка аккаунта удалена — адрес электронной почты аккаунта.
• Основания: законный интерес Оператора; обязанность доказать получение согласия (часть 3 статьи 9 Закона о персональных данных).
• Срок: весь срок действия договора или согласия и 3 года после их прекращения или отзыва, в том числе после удаления аккаунта; затем записи обезличиваются.

4.7. Безопасность и работоспособность Сервиса

• Субъекты: пользователи и посетители.
• Данные: IP-адрес, сведения о браузере и устройстве, данные сессии, технические журналы ошибок, отметки о срабатывании ограничений частоты действий.
• Основание: законный интерес Оператора; исполнение Пользовательского соглашения.
• Срок: сессия — до выхода или истечения срока бездействия; журналы ошибок — до 14 дней; сведения о неудавшихся фоновых заданиях — до 7 дней; резервные копии базы данных — до 6 месяцев, после чего перезаписываются.

4.8. Статистика посещений

• Субъекты: посетители и пользователи.
• Данные и порядок — раздел 6.

4.9. Уничтожение: по истечении срока или достижении цели данные удаляются из базы данных или обезличиваются; из резервных копий они исчезают при их плановой перезаписи. Уничтожение подтверждается записью в базе данных или актом Оператора.

4.10. Специальные категории персональных данных (здоровье, убеждения и т. п.) и биометрические персональные данные Оператор не собирает. Пользователь не должен размещать их в профиле, карточках и сообщениях.

5. Публичные сведения

5.1. Часть сведений публикуется для неопределённого круга лиц — без этого каталог стартапов и биржа задач не работают. Публикация происходит только на основании отдельного согласия на распространение персональных данных, которое даётся при регистрации.

5.2. Публично доступны: профиль пользователя (имя, фотография, подпись, «о себе», город, роль, навыки, ссылки на Telegram, GitHub и сайт, рейтинг, стартапы и команды, отзывы о пользователе), карточки опубликованных стартапов с командой, новостями, статьями и комментариями, задачи и вакансии на бирже, сведения о закрытых задачах и суммах, выплаченных исполнителям через безопасную сделку, отзывы с именами авторов.

5.3. Не публикуются: адрес электронной почты, пароль, ИНН и налоговый статус, личная переписка и её вложения, заметки, сданные результаты работ, отклики (их видит владелец стартапа), отметки «Интересно» (их видит команда стартапа), условия и суммы конкретных сделок.

5.4. Незаполненный профиль не показывается в каталоге людей и не индексируется поисковыми системами, но открывается по прямой ссылке. Как отозвать согласие на распространение — в самом согласии.

6. Cookie и Яндекс Метрика

6.1. Технические cookie: идентификатор сессии, защита от подделки запросов (CSRF), «запомнить меня». Без них вход и формы не работают; основание — исполнение Пользовательского соглашения.

6.2. Хранилище браузера (localStorage): отметка о закрытии уведомления о cookie и свёрнутые колонки доски задач. Эти данные не покидают браузер.

6.3. Аналитика: на сайте работает сервис Яндекс Метрика (ООО «Яндекс», Россия) с функциями карты кликов и Вебвизора. Метрика получает cookie-идентификаторы, IP-адрес, сведения о браузере и устройстве, адреса страниц и источник перехода, действия на странице (клики, прокрутка, переходы по ссылкам) и запись сеанса, в которой поля ввода паролей скрываются. Цель — статистика посещений и улучшение интерфейса. Данные обрабатываются ООО «Яндекс» на условиях его документов; Оператор получает от Метрики обобщённые отчёты и записи сеансов.

6.4. Уведомление о cookie показывается при первом посещении. Отказаться от аналитики можно в любой момент: запретить cookie в настройках браузера, установить блокировщик счётчиков или официальное расширение Яндекса для блокировки Метрики. Отказ от аналитических cookie не ограничивает функции Сервиса; отказ от технических cookie делает вход невозможным.

7. Передача данных

7.1. Оператор не продаёт персональные данные и не передаёт их третьим лицам для их собственных рекламных целей.

7.2. Получатели:

7.3. Письма Сервиса отправляются через собственный почтовый сервер Оператора; сторонние почтовые рассылочные сервисы не используются.

7.4. Лица, обрабатывающие данные по поручению Оператора, обязаны соблюдать конфиденциальность и принимать меры защиты по статье 19 Закона о персональных данных.

8. Трансграничная передача и локализация

8.1. Трансграничная передача персональных данных не осуществляется: все получатели из раздела 7 находятся в России.

8.2. Ссылки на Telegram и GitHub в профиле — это адреса, указанные пользователем; Оператор не передаёт этим сервисам данные.

8.3. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации выполняются в базах данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона о персональных данных).

9. Права субъекта и сроки ответа

9.1. Субъект вправе:

• получить сведения об обработке своих персональных данных;
• потребовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны, получены незаконно или не нужны для заявленной цели;
• отозвать согласие на распространение или на аналитику;
• обжаловать действия Оператора в Роскомнадзор или в суд.

9.2. Как обратиться: письмом на lb0@hixl.ru с адреса электронной почты аккаунта либо с указанием имени и адреса профиля или иных сведений, по которым Оператор может убедиться, что обращается сам субъект, и сути требования.

9.3. Сроки:

• сведения об обработке — 10 рабочих дней с получения запроса; срок может быть продлён ещё на 5 рабочих дней с уведомлением о причинах;
• уточнение неполных, неточных или неактуальных данных — 7 рабочих дней с получения подтверждающих сведений;
• уничтожение неправомерно обрабатываемых данных — 10 рабочих дней с их выявления;
• при отзыве согласия — прекращение обработки и уничтожение данных, обрабатываемых по этому согласию, в течение 30 дней; распространение прекращается в течение 3 рабочих дней с получения требования.

9.4. Отзыв согласия не прекращает обработку, которая ведётся по другому основанию: для исполнения договора (пока аккаунт существует или сделка не завершена) и для исполнения обязанностей по закону (чеки, учёт).

10. Удаление аккаунта

10.1. Чтобы удалить аккаунт, пользователь направляет запрос на lb0@hixl.ru с адреса почты аккаунта. Оператор выполняет запрос в течение 30 дней.

10.2. При удалении аккаунт обезличивается: стираются имя, адрес электронной почты, имя пользователя, фотография, подпись, «о себе», город, навыки, ссылки, ИНН и налоговый статус; вход становится невозможен; опубликованные стартапы снимаются с витрины.

10.3. Сохраняются без привязки к личности: сообщения в беседах, отзывы, задачи, отклики и сведения о сделках — от имени «Аккаунт удалён». Это нужно другим участникам бесед и сделок и для доказательства расчётов. Сведения о сделках и чеках хранятся в сроки пункта 4.5, журнал согласий — в сроки пункта 4.6.

10.4. Пока по сделке пользователя деньги внесены и не выплачены или идёт спор, аккаунт не удаляется до завершения расчёта.

11. Защита данных и инциденты

11.1. Ответственный за организацию обработки персональных данных — сам Оператор.

11.2. Меры защиты: определение угроз безопасности и уровня защищённости информационной системы с учётом требований постановления Правительства РФ от 01.11.2012 № 1119; разграничение доступа — сотрудники и подрядчики получают доступ только к данным, необходимым для их работы; передача данных по защищённому протоколу HTTPS (TLS); хранение паролей в виде необратимых хешей; закрытое хранение сданных результатов работ; ограничение частоты действий; резервное копирование; журналирование ошибок; незамедлительная блокировка доступа при нарушениях.

11.3. При неправомерной или случайной передаче персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в течение 24 часов о произошедшем и в течение 72 часов — о результатах внутреннего расследования.

12. Несовершеннолетние

12.1. Сервис предназначен для лиц, достигших 18 лет. Если Оператору станет известно, что аккаунт зарегистрировал несовершеннолетний без согласия законного представителя, аккаунт и данные удаляются.

13. Изменение Политики и контакты

13.1. Оператор изменяет Политику при изменении обработки данных или закона. Новая редакция действует с момента публикации на этой странице; дата редакции указана под заголовком. Прежние редакции предоставляются по запросу.

13.2. Связанные документы: Пользовательское соглашение, Публичная оферта, Согласие на распространение персональных данных.

13.3. Вопросы об обработке персональных данных: lb0@hixl.ru.