Политика обработки персональных данных

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее — «Политика») определяет порядок обработки персональных данных пользователей сайта devlingo.ru (далее — «Сервис») и составлена в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон о персональных данных»), Гражданским кодексом РФ и Законом РФ от 07.02.1992 № 2300-1 «О защите прав потребителей».

1.2. Используя Сервис, пользователь соглашается с условиями настоящей Политики в части, не требующей отдельного согласия. В случаях, когда обработка персональных данных допускается только с согласия субъекта персональных данных, такое согласие оформляется отдельным документом — Согласием на обработку персональных данных (devlingo.ru/consent), самостоятельным от настоящей Политики и Пользовательского соглашения.

1.3. Если пользователь не согласен с условиями настоящей Политики, ему следует прекратить использование Сервиса.

2. Оператор персональных данных

Оператором персональных данных, обрабатываемых при использовании Сервиса, является Кузьмин Александр Юрьевич — физическое лицо (далее — «Оператор»).

Адрес электронной почты для обращений по вопросам обработки персональных данных: a-kuzmin.dev@yandex.ru.

3. Термины

Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу.

Обработка персональных данных — любое действие или совокупность действий, совершаемых с персональными данными с использованием средств автоматизации или без их использования, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление и уничтожение персональных данных.

Cookies — небольшие текстовые файлы, сохраняемые браузером пользователя на его устройстве.

localStorage — механизм локального хранения данных в браузере пользователя; данные из localStorage автоматически на сервер не передаются.

4. Цели обработки персональных данных

• регистрация и авторизация пользователя в Сервисе через VK ID или Яндекс ID;
• предоставление доступа к функциональности Сервиса: прохождение тестов для подготовки к собеседованиям и тестированию разработчиков, сохранение и отображение истории результатов;
• ведение и отображение профиля пользователя;
• обеспечение работы и безопасности Сервиса, включая ограничение частоты запросов при входе (rate-limiting) и защиту от подбора учётных данных;
• авторизация администратора Сервиса через Telegram или magic-link (эта функция не используется публичными пользователями);
• анализ посещаемости и поведения пользователей на сайте для улучшения качества Сервиса (Яндекс.Метрика);
• выявление, диагностика и устранение технических ошибок в работе Сервиса (Sentry);
• индексация сайта поисковыми системами (Яндекс.Вебмастер) — без обработки персональных данных пользователей.

5. Правовые основания обработки персональных данных

• согласие субъекта персональных данных (п. 1 ч. 1 ст. 6 Закона о персональных данных) — в отношении данных, получаемых через VK ID и Яндекс ID;
• необходимость исполнения договора с пользователем (п. 5 ч. 1 ст. 6) — в части, необходимой для предоставления функциональности Сервиса в рамках Пользовательского соглашения;
• реализация законных интересов Оператора (п. 6 ч. 1 ст. 6) — в части обеспечения безопасности Сервиса и обработки технической информации об ошибках.

6. Категории и перечень обрабатываемых персональных данных

6.1. При входе через VK ID: идентификатор VK ID, имя, фамилия, пол, дата рождения, адрес электронной почты, номер телефона, фотография (аватар).

6.2. При входе через Яндекс ID: идентификатор Яндекс ID, имя, фамилия, логин, пол, дата рождения, адрес электронной почты, номер телефона, фотография (аватар).

6.3. При входе администратора Сервиса через Telegram или magic-link: адрес электронной почты и (или) идентификатор Telegram администратора. Этот способ входа используется исключительно администратором Сервиса и недоступен публичным пользователям.

6.4. Профиль пользователя, формируемый и хранимый Сервисом: внутренний идентификатор пользователя в базе данных, имя, адрес электронной почты, аватар, роль пользователя, дата и время последнего входа.

6.5. OAuth-токены доступа и обновления, полученные от VK ID и Яндекс ID, хранятся исключительно в технических целях — для поддержания сессии пользователя и работы механизма входа.

6.6. Результаты прохождения тестов: идентификатор пользователя, наименование теста, балл, сведения о допущенных ошибках, дата и время прохождения теста.

6.7. IP-адрес пользователя обрабатывается временно, в оперативной памяти сервера, исключительно для ограничения частоты запросов при входе и защиты от подбора учётных данных; хранится не более 1 (одного) часа и в базу данных не записывается.

6.8. Идентификатор пользователя (userId) передаётся в систему мониторинга ошибок Sentry при возникновении технического сбоя в работе Сервиса — без передачи имени и адреса электронной почты пользователя.

6.9. Сервис Яндекс.Вебмастер получает только технические метаданные сайта для целей индексации; персональные данные пользователей Сервиса в рамках этого сервиса не обрабатываются.

6.10. Перечень используемых Сервисом cookies приведён в разделе 11 настоящей Политики и на странице devlingo.ru/cookies.

7. Источники получения персональных данных

7.1. Часть персональных данных Оператор получает непосредственно от пользователя при использовании Сервиса.

7.2. Данные, указанные в пунктах 6.1 и 6.2, Оператор получает не от пользователя напрямую, а от операторов услуг авторизации — VK и Яндекс — с разрешения, предоставленного пользователем этим операторам при входе через VK ID или Яндекс ID. Совершая такой вход, пользователь подтверждает, что ознакомлен с фактом и объёмом передачи данных Оператору.

8. Сроки обработки и хранения персональных данных

8.1. Персональные данные обрабатываются и хранятся в течение всего срока использования пользователем Сервиса, а также в течение 3 (трёх) лет после удаления учётной записи или отзыва согласия — в целях рассмотрения возможных претензий в пределах общего срока исковой давности, установленного статьёй 196 Гражданского кодекса РФ.

8.2. OAuth-токены хранятся не дольше срока действия сессии пользователя и (или) срока действия токена, установленного VK или Яндекс, и удаляются автоматически.

8.3. IP-адрес хранится не более 1 (одного) часа и в базу данных не записывается.

8.4. Данные аналитики Яндекс.Метрики хранятся в соответствии с политикой хранения данных ООО «Яндекс».

8.5. По достижении целей обработки либо при отзыве согласия персональные данные уничтожаются или обезличиваются, если иное не предусмотрено законодательством РФ.

9. Передача персональных данных третьим лицам

9.1. Оператор не продаёт персональные данные пользователей. Данные передаются исключительно лицам, привлекаемым для обеспечения работы Сервиса:

9.2. VK, Яндекс, Resend и Sentry являются самостоятельными операторами персональных данных в части сведений, которые они обрабатывают в своей собственной инфраструктуре, и действуют в соответствии с собственными политиками конфиденциальности.

9.3. Для обеспечения работы отдельных технических сервисов (Resend, Sentry) персональные данные могут передаваться на серверы, расположенные за пределами территории Российской Федерации. Оператор осуществляет такую передачу с соблюдением требований статьи 12 Закона о персональных данных.

9.4. Передача персональных данных иным лицам, не указанным в настоящем разделе, осуществляется только на основании законодательства РФ либо с отдельного согласия пользователя.

10. Меры по обеспечению безопасности персональных данных

Оператор применяет организационные и технические меры защиты персональных данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования и распространения, в том числе: передачу данных по защищённому соединению (HTTPS/TLS); авторизацию пользователей через сторонние OAuth-сервисы без хранения паролей на стороне Сервиса; использование сессионных токенов ограниченного срока действия (JWT); ограничение доступа к базе данных Сервиса кругом уполномоченных лиц; своевременное обновление программного обеспечения.

11. Использование cookies и данных localStorage

11.1. Сервис использует следующие cookies:

• технически необходимые: сессионная JWT-cookie (NextAuth) и CSRF-cookie — обеспечивают работу механизма входа и защиту от межсайтовой подделки запросов; без них Сервис не может функционировать;
• аналитические cookies Яндекс.Метрики (в т.ч. _ym_uid, _ym_d и другие) — используются для сбора статистики посещений, поведения пользователей, IP-адреса, источника перехода (referrer), сведений об устройстве и браузере.

11.2. Подробности приведены на странице devlingo.ru/cookies.

11.3. В браузере пользователя (localStorage) Сервис сохраняет историю поисковых запросов внутри Сервиса и флаг закрытия всплывающей подсказки в интерфейсе. Эти данные хранятся только на устройстве пользователя, на сервер не передаются и Оператором не обрабатываются.

12. Права пользователя как субъекта персональных данных

• получать информацию об обработке своих персональных данных;
• требовать уточнения, блокирования или уничтожения своих персональных данных, если они неполны, устарели, неточны, незаконно получены или не нужны для заявленной цели обработки;
• отозвать согласие на обработку персональных данных в порядке, указанном на странице devlingo.ru/consent;
• потребовать удаления своей учётной записи и связанных с ней персональных данных;
• обжаловать действия или бездействие Оператора в Роскомнадзор либо в судебном порядке;
• на защиту своих прав и законных интересов, включая возмещение убытков и компенсацию морального вреда в судебном порядке.

13. Порядок рассмотрения обращений

13.1. Обращения по вопросам обработки персональных данных направляются на адрес электронной почты a-kuzmin.dev@yandex.ru.

13.2. Оператор рассматривает обращение и направляет ответ не позднее 30 (тридцати) дней с даты его получения, если иной срок не установлен законодательством РФ.

13.3. При отзыве согласия Оператор прекращает обработку персональных данных (либо продолжает её при наличии иных законных оснований, указанных в разделе 5) и уничтожает персональные данные в срок не более 30 (тридцати) дней с даты поступления отзыва.

14. Заключительные положения

14.1. Оператор вправе вносить изменения в настоящую Политику. Действующая редакция всегда доступна на странице devlingo.ru/privacy.

14.2. Вопросы по настоящей Политике направляются на адрес a-kuzmin.dev@yandex.ru.