Политика конфиденциальности сервиса VengoFlow

1. Общие положения

1.1. Настоящая Политика конфиденциальности (далее — «Политика») определяет порядок обработки и защиты персональных данных пользователей сервиса VengoFlow (сайт www.vengoflow.com, приложение www.vengoflow.com/app; далее — «Сервис») и составлена в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон о персональных данных»).

1.2. Оператором персональных данных является Индивидуальный предприниматель Ерёмин Игорь Юрьевич (ИНН 662940867055, ОГРНИП 319665800183711; адрес: 620000, Свердловская область, г. Екатеринбург, ул. Народной воли, д. 115, оф. 25; далее — «Оператор»). Контакт по вопросам персональных данных: support@vengoflow.com.

1.3. Используя Сервис (регистрация, вход, размещение данных), Пользователь подтверждает согласие с настоящей Политикой. Политика является неотъемлемой частью публичной Оферты Сервиса.

1.4. Политика применяется ко всем данным, которые Оператор получает о Пользователе в связи с использованием Сервиса.

2. Категории субъектов и состав обрабатываемых данных

2.1. Субъекты персональных данных — физические лица, зарегистрированные в Сервисе (Пользователи), а также посетители публичных страниц Сайта.

2.2. Оператор обрабатывает следующие данные:

• Данные учётной записи: адрес электронной почты (используется для входа по одноразовому коду и для сервисных уведомлений).
• Контент Пользователя: содержимое проектов, досок, карточек задач, заметок, чек-листов, меток, дедлайнов, а также загружаемые Пользователем файлы и ссылки. Состав таких данных определяет сам Пользователь; они могут содержать персональные данные, если Пользователь их туда вносит.
• Технические данные: IP-адрес, данные браузера и устройства, дата и время обращений, сведения журнала действий, данные cookie и локального хранилища браузера (localStorage) — в объёме, необходимом для работы, безопасности и диагностики Сервиса.
• Данные интеграции с внешним календарным сервисом (только при подключении её Пользователем): технические токены доступа, выдаваемые календарным сервисом, и идентификатор созданного Сервисом календаря. Токены хранятся исключительно на серверной стороне и в браузер не передаются. Сервис запрашивает минимальный объём прав (доступ только к календарю, созданному самим Сервисом; доступ к иным календарям Пользователя не запрашивается).
• Сведения о платежах: факт и параметры оплаты подписки (тариф, сумма, период). Данные банковских карт Оператор не получает и не хранит — их обработку осуществляет платёжный сервис в соответствии со стандартом PCI DSS.

2.3. Специальные категории персональных данных и биометрические данные Оператором целенаправленно не запрашиваются и не обрабатываются. Пользователю не рекомендуется размещать такие данные в Контенте.

3. Цели обработки

3.1. Персональные данные обрабатываются в целях:

• регистрации и аутентификации Пользователя (вход по одноразовому коду на email);
• исполнения договора — предоставления функционала Сервиса, хранения и отображения Контента Пользователя, синхронизации данных между устройствами Пользователя;
• направления сервисных писем (одноразовые коды входа, уведомления, связанные с работой Учётной записи и оплатой);
• приёма оплаты подписки и ведения расчётов;
• работы подключаемых Пользователем интеграций (синхронизация с внешним календарём);
• поддержки Пользователей и рассмотрения обращений;
• обеспечения безопасности, предотвращения мошенничества и злоупотреблений;
• исполнения требований законодательства РФ (в том числе бухгалтерского и налогового учёта);
• анализа посещаемости публичных страниц Сайта с помощью метрических сервисов (Яндекс Метрика) — в обезличенном/агрегированном виде.

3.2. Оператор не использует персональные данные для рассылки рекламы третьих лиц и не продаёт персональные данные.

4. Правовые основания обработки

4.1. Правовыми основаниями обработки являются:

• договор, заключаемый путём акцепта публичной Оферты (пп. 5 п. 1 ст. 6 Закона о персональных данных);
• согласие субъекта персональных данных (пп. 1 п. 1 ст. 6 Закона о персональных данных) — в том числе на подключение интеграций;
• обязанности, возложенные на Оператора законодательством РФ (пп. 2 п. 1 ст. 6 Закона о персональных данных).

5. Порядок и условия обработки, сроки хранения

5.1. Обработка осуществляется автоматизированным способом с использованием средств вычислительной техники: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение.

5.2. Данные каждой Учётной записи изолированы от данных других Пользователей на уровне базы данных (политики доступа по идентификатору пользователя): доступ к Контенту имеет только сам Пользователь, за исключением содержимого, к которому Пользователь сам открыл доступ по публичной ссылке (раздел 7 Политики).

5.3. Персональные данные хранятся:

• данные Учётной записи и Контент — до удаления Учётной записи Пользователем (по запросу на support@vengoflow.com) либо до отзыва согласия, если отсутствуют иные правовые основания обработки;
• сведения, связанные с расчётами, — в течение сроков, установленных законодательством РФ о бухгалтерском и налоговом учёте;
• технические журналы — в течение ограниченного срока, необходимого для целей безопасности и диагностики.

5.4. По достижении целей обработки либо при отзыве согласия (при отсутствии иных оснований) персональные данные уничтожаются в срок, установленный Законом о персональных данных.

6. Передача данных третьим лицам

6.1. Для работы Сервиса Оператор привлекает сторонних поставщиков технологической инфраструктуры и услуг: поставщика базы данных, аутентификации и облачного хранилища файлов; поставщика хостинга веб-приложения; сервис доставки электронных писем (письма с одноразовыми кодами входа); платёжный сервис CloudPayments (приём платежей и обработка данных банковских карт в соответствии со стандартом безопасности PCI DSS); а также — только при подключении Пользователем соответствующей интеграции — внешний календарный сервис.

6.2. Поставщикам передаются исключительно те данные, которые необходимы для выполнения соответствующей функции. Привлечение поставщиков и обработка персональных данных с их участием осуществляются с соблюдением требований законодательства Российской Федерации и не нарушают прав субъектов персональных данных; поставщики обязаны обеспечивать конфиденциальность и защиту персональных данных.

6.3. Персональные данные могут быть предоставлены государственным органам РФ по законным основаниям в установленном законодательством порядке.

7. Публичные ссылки

7.1. Пользователь может по собственной инициативе создать публичную ссылку на карточку или проект (vengoflow.com/s/<токен>). Содержимое, открытое по такой ссылке, становится доступным для просмотра любому лицу, обладающему ссылкой, без регистрации.

7.2. Пользователь самостоятельно принимает решение об открытии доступа и несёт риски дальнейшего распространения ссылки. Пользователь может в любой момент отключить публичную ссылку средствами Сервиса; после отключения доступ по ней прекращается.

7.3. Страницы публичных ссылок закрыты от индексации поисковыми системами.

8. Cookie и локальное хранилище

8.1. Сервис использует cookie и localStorage браузера в технических целях: поддержание сеанса входа, сохранение состояния формы входа (на время действия одноразового кода), настройки интерфейса. Без этих технологий вход в Сервис невозможен.

8.2. На Сайте применяется сервис веб-аналитики Яндекс Метрика для анализа посещаемости и ключевых действий (регистрация, оплата тарифа) в обезличенном и агрегированном виде. Рекламные трекеры не используются. Запись действий на экране (вебвизор) и карта кликов включены только на публичных страницах Сайта; внутри приложения они отключены, содержимое задач, заметок и файлов Пользователя в аналитику не передаётся.

8.3. Пользователь может ограничить cookie в настройках браузера; это может сделать использование Сервиса невозможным.

9. Меры защиты персональных данных

9.1. Оператор принимает необходимые правовые, организационные и технические меры защиты (ст. 19 Закона о персональных данных), в том числе:

• шифрование данных при передаче (HTTPS/TLS, политика HSTS);
• изоляция данных Пользователей на уровне СУБД (политики доступа по идентификатору пользователя ко всем таблицам данных);
• приватное файловое хранилище: доступ к файлам — только по краткосрочным подписанным ссылкам (10 минут);
• беспарольная аутентификация одноразовыми кодами (отсутствие базы паролей), ограничение частоты запросов кодов и попыток ввода;
• хранение серверных секретов и токенов интеграций исключительно на серверной стороне, вне браузера и клиентского кода;
• защитные HTTP-заголовки (защита от кликджекинга, подмены типов содержимого и др.);
• закрытие приложения и публичных ссылок от индексации поисковыми системами;
• ограничение круга лиц, имеющих доступ к инфраструктуре, и учёт такого доступа.

10. Права субъекта персональных данных

10.1. Пользователь вправе:

• получать сведения об обработке своих персональных данных (ст. 14 Закона о персональных данных);
• требовать уточнения, блокирования или уничтожения неточных, неактуальных или незаконно обрабатываемых данных;
• отозвать согласие на обработку персональных данных;
• требовать удаления Учётной записи и связанных с ней данных;
• обжаловать действия или бездействие Оператора в Роскомнадзор или в судебном порядке.

10.2. Запросы направляются на support@vengoflow.com с адреса электронной почты Учётной записи (для подтверждения принадлежности данных) либо почтой на адрес Оператора. Срок ответа — не более срока, установленного Законом о персональных данных (по общему правилу — 10 рабочих дней с возможностью продления).

10.3. Отзыв согласия и удаление Учётной записи прекращают доступ к Сервису; данные, обрабатываемые по иным правовым основаниям (например, документы о расчётах), сохраняются в течение установленных законом сроков.

11. Возрастные ограничения

11.1. Сервис предназначен для лиц, достигших 18 лет. Оператор сознательно не собирает данные несовершеннолетних; при выявлении такой Учётной записи она подлежит удалению по обращению законного представителя.

12. Изменение Политики

12.1. Оператор вправе изменять Политику, публикуя новую редакцию на Сайте с указанием даты редакции. Изменения вступают в силу с момента публикации, если иное не указано.

12.2. Продолжение использования Сервиса после публикации изменений означает согласие Пользователя с новой редакцией.

13. Реквизиты Оператора

ИП Ерёмин Игорь Юрьевич

ИНН: 662940867055

ОГРНИП: 319665800183711

Адрес: 620000, Свердловская область, г. Екатеринбург, ул. Народной воли, д. 115, оф. 25

Email: support@vengoflow.com