Политика конфиденциальности

Настоящая Политика обработки персональных данных (далее — «Политика») разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и определяет порядок обработки персональных данных пользователей сервиса Sitelaw, расположенного по адресу sitelaw.ru.

1. Термины

Оператор — Самозанятый (НПД), Сергеев Павел Евгеньевич, ИНН 270604046840, Комсомольск-на-Амуре, контактный адрес info@sitelaw.ru. Направил в Роскомнадзор уведомление об обработке персональных данных (реестр операторов ведёт Роскомнадзор на своём сайте).

Сервис — программное обеспечение для автоматической проверки веб-сайтов на соответствие законодательству Российской Федерации, доступное по адресу sitelaw.ru.

Пользователь — физическое лицо, использующее Сервис, в том числе прошедшее регистрацию через Telegram или по адресу электронной почты.

Персональные данные — любая информация, относящаяся прямо или косвенно к определённому Пользователю.

Обработка — действия с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача, обезличивание, блокирование, удаление, уничтожение.

2. Категории субъектов и обрабатываемых данных

Оператор обрабатывает персональные данные следующих категорий субъектов:

Зарегистрированные пользователи Сервиса. Состав данных учётной записи зависит от выбранного Пользователем способа входа:
- при входе через Telegram: идентификатор Telegram, имя/фамилия и публичный username (если указан в Telegram), фотография профиля Telegram (URL);
- при входе по адресу электронной почты (вход по одноразовому коду, направляемому на адрес электронной почты): адрес электронной почты Пользователя, а также хэш IP-адреса устройства, с которого запрошен вход (в целях защиты от автоматизированных злоупотреблений). Иные данные (имя, фотография) при таком способе входа не запрашиваются и не собираются.
- при оформлении оплаты без предварительного входа (гостевая оплата): адрес электронной почты Пользователя, указанный им в форме оплаты. По этому адресу Оператор создаёт учётную запись Пользователя и предоставляет доступ к оплаченному отчёту. Иные данные (имя, фотография) при этом способе не запрашиваются и не собираются.
Независимо от способа входа дополнительно обрабатываются: время регистрации и последнего входа, история запущенных проверок (URL проверяемых сайтов, результаты, дата).
Пользователи, оплатившие услугу (дополнительно к данным выше). Состав реквизитов оператора, заполняемых для генерации шаблонов документов: тип лица (самозанятый / индивидуальный предприниматель / юридическое лицо), полное наименование (для физических лиц — ФИО), ИНН, ОГРНИП или ОГРН (для индивидуальных предпринимателей и юридических лиц), юридический адрес (для индивидуальных предпринимателей и юридических лиц), контактный e-mail для запросов субъектов персональных данных, контактный телефон (при предоставлении Заказчиком). В составе сведений о покупке дополнительно сохраняются данные об источнике обращения (при их наличии): необязательный ответ Пользователя на вопрос «Откуда вы о нас узнали?» при оформлении оплаты (выбор из предложенного списка вариантов, например «Телеграм», «Поиск», «Рекомендация, сарафан», «Другое»), а также технические сведения о первом переходе на Сервис (UTM-метка источника перехода при её наличии в адресной строке и путь страницы входа). Указание ответа на вопрос об источнике необязательно; отказ от его указания не влияет на оформление и результат оплаты. Указанные сведения об источнике не связываются с отдельными идентификаторами отслеживания и не используются для составления профиля Пользователя за пределами Сервиса.
Лица, оставившие заявку или подписавшиеся на уведомление о запуске через формы на сайте (без регистрации учётной записи):
- адрес электронной почты и выбранный тариф (при подписке на уведомление о запуске тарифа);
- адрес электронной почты, доменное имя сайта и текст заявки с описанием задачи (при отправке заявки на выполнение работ «под ключ»), указанные заявителем.
Незарегистрированные посетители. Состав данных: IP-адрес (для защиты от автоматизированного злоупотребления, обезличивается путём удаления через 24 часа после фиксации), при предоставлении пользователем согласия — поведенческие данные сервиса аналитики Яндекс.Метрика (см. п. 10).
Обработка указанных данных осуществляется на основании пункта 7 части 1 статьи 6 Федерального закона № 152-ФЗ (необходимость защиты законных интересов Оператора по обеспечению безопасности, устойчивости работы и статистического анализа Сервиса). Перечисленные данные обезличиваются автоматически при записи (см. пункт 5 настоящей Политики) и в обезличенном виде в смысле статьи 3 пункта 9 Федерального закона № 152-ФЗ персональными данными не являются.
Все посетители сайта (в том числе незарегистрированные). Для целей статистики посещений Оператор ведёт собственный журнал просмотров страниц без использования cookie-файлов. Состав данных: запрошенный путь страницы (URL-путь без параметров идентификации), значение HTTP-заголовка Referer (адрес страницы, с которой выполнен переход), значение HTTP-заголовка User-Agent (строка идентификации браузера и операционной системы), IP-адрес посетителя (обезличивается путём обнуления последнего октета для IPv4 и сокращения до префикса /64 для IPv6), UTM-метки (utm_source, utm_medium, utm_campaign, utm_content, utm_term) — при их наличии в адресной строке. Указанные данные обрабатываются в соответствии с уведомлением Оператора, поданным в Роскомнадзор, в составе категории «иные сведения, в том числе сведения о технических параметрах посещения сайта и источниках переходов».

Оператор не запрашивает и не обрабатывает специальные категории персональных данных (раса, национальность, политические взгляды, состояние здоровья и т.п.), а также биометрические персональные данные.

Сервис предназначен для использования лицами, достигшими возраста 18 лет. Оператор не запрашивает у Пользователей сведения о возрасте и целенаправленно не обрабатывает персональные данные несовершеннолетних. Если Пользователь является несовершеннолетним, использование Сервиса допускается только с согласия его законного представителя (родителя, усыновителя, опекуна или попечителя). При обнаружении факта обработки персональных данных несовершеннолетнего без надлежащего согласия Оператор прекращает обработку и удаляет соответствующие данные.

3. Цели обработки

предоставление функций Сервиса (запуск проверок, история, кабинет);
идентификация Пользователя при входе через Telegram или по адресу электронной почты (направление и проверка одноразового кода для входа);
предоставление доступа к оплаченному отчёту Пользователю, оформившему оплату без предварительного входа, по указанному им при оплате адресу электронной почты, включая создание по этому адресу учётной записи Пользователя;
информирование Пользователя о результатах проверок и изменениях статуса его сайтов (если активирована соответствующая функция);
защита Сервиса от автоматизированного злоупотребления (rate-limiting);
направление Пользователю, подписавшемуся на уведомление о запуске тарифа, сообщения о запуске соответствующей услуги;
рассмотрение заявки на выполнение работ, оставленной через форму на сайте, и связь с заявителем для уточнения условий и стоимости работ;
сбор статистики посещений Сервиса (количество визитов, источники переходов, популярность разделов) в обезличенном агрегированном виде для развития Сервиса;
определение источника обращения Пользователя, оформившего оплату (по необязательному ответу на вопрос «Откуда вы о нас узнали?» и техническим сведениям о первом переходе на Сервис), а также улучшение Сервиса и оценка эффективности каналов информирования о Сервисе;
исполнение требований законодательства Российской Федерации.

4. Правовые основания обработки

исполнение договора (публичной оферты), стороной которого является Пользователь, а также заключение такого договора по инициативе Пользователя (пункт 5 части 1 статьи 6 Федерального закона № 152-ФЗ). На этом основании обрабатываются данные учётной записи, необходимые для предоставления Пользователю функций Сервиса и для идентификации Пользователя при входе: идентификатор Telegram и публичный профиль Telegram (при входе через Telegram) либо адрес электронной почты (при входе по одноразовому коду, направляемому на адрес электронной почты) либо адрес электронной почты, указанный Пользователем в форме оплаты при оформлении покупки без предварительного входа (для создания учётной записи и предоставления доступа к оплаченному отчёту), а также история запущенных проверок. На этом же основании обрабатываются данные заявки на выполнение работ (адрес электронной почты, доменное имя сайта и текст заявки), направленной лицом, оставившим заявку (заявителем), через форму на сайте в целях заключения и исполнения договора. На этом же основании, в рамках исполнения договора с оплатившим Пользователем, обрабатываются необязательные сведения об источнике обращения (ответ на вопрос «Откуда вы о нас узнали?» и технические сведения о первом переходе на Сервис), сохраняемые в составе данных о покупке; отдельного согласия Пользователя такая обработка не требует, а её объём ограничен приведённой выше целью;
осуществление прав и законных интересов Оператора (пункт 7 части 1 статьи 6 Федерального закона № 152-ФЗ) при условии, что при этом не нарушаются права и свободы Пользователя. На этом основании обрабатываются: хэш IP-адреса, с которого запрошен вход, и иные технические сведения, необходимые для защиты Сервиса от автоматизированных злоупотреблений (rate-limiting), а также данные в обезличенных журналах посещений для обеспечения безопасности, устойчивости работы и статистики Сервиса;
согласие Пользователя (пункт 1 части 1 статьи 6 и статья 9 Федерального закона № 152-ФЗ) в отношении обработки, осуществляемой сервисом веб-аналитики Яндекс.Метрика, которая выполняется только после получения согласия Пользователя в баннере cookie (см. пункт 10), а также в отношении адреса электронной почты, оставленного Пользователем при подписке на уведомление о запуске тарифа (для направления такого уведомления);
исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации, в том числе налоговым законодательством и Федеральным законом № 152-ФЗ (пункт 2 части 1 статьи 6 Федерального закона № 152-ФЗ), в отношении хранения данных Пользователей, оплативших услугу, и сведений о платежах.

5. Способы и место обработки

Обработка осуществляется как с использованием средств автоматизации, так и без таковых. Хранение данных осуществляется на серверах, расположенных на территории Российской Федерации (дата-центр хостинг-провайдера ООО «Бегет», г. Санкт-Петербург), что соответствует требованиям статьи 18 части 5 Федерального закона № 152-ФЗ о локализации баз персональных данных граждан Российской Федерации.

Веб-сервер ведёт технический журнал посещений (server access log и журнал просмотров страниц pageviews) в обезличенном виде: дата и время запроса, запрошенный URL-путь, заголовки Referer и User-Agent, UTM-метки источника перехода, IP-адрес с обнулённым последним октетом для IPv4 (например, 95.108.213.0) или с сокращением до префикса /64 для IPv6. Полный (исходный) IP-адрес и иные прямые идентификаторы Пользователя в указанных журналах не сохраняются. Журналы используются исключительно для диагностики, защиты от автоматизированного злоупотребления и статистики работы Сервиса в агрегированном виде; cookie-файлы для этой цели не применяются, согласие Пользователя не требуется. Срок хранения — не более 90 дней (см. п. 7).

6. Передача третьим лицам и трансграничная передача

Оператор поручает обработку персональных данных следующим лицам, действующим на территории Российской Федерации:

ООО «Бегет» — предоставление инфраструктуры (виртуальный сервер, размещение базы данных, г. Санкт-Петербург);
ООО «Яндекс» — сервис веб-аналитики Яндекс.Метрика (счётчик № 109078599) — только при наличии согласия Пользователя на использование аналитических cookie-файлов (см. п. 10);
НКО «ЮMoney» (сервис ЮKassa) — приём платежей за оплачиваемые тарифы;
ООО «ХФлабс» (сервис DaData) — автоматическое заполнение реквизитов по ИНН на основании открытых данных ЕГРЮЛ/ЕГРИП;
ООО «ВК» (сервис Mail.ru для бизнеса) — почтовый сервис для корпоративных адресов Оператора, включая отправку служебной корреспонденции с адреса info@sitelaw.ru, а также автоматическую отправку писем с одноразовым кодом для входа в учётную запись с адреса login@sitelaw.ru. Обработка осуществляется на территории Российской Федерации.

Иным третьим лицам персональные данные Пользователей не передаются, за исключением случаев, прямо предусмотренных законом (требование суда, прокуратуры, иных уполномоченных органов).

Трансграничная передача персональных данных не осуществляется.

Telegram Messenger (Telegram FZ-LLC, ОАЭ) используется в Сервисе как канал авторизации (виджет «Login with Telegram» на странице входа) и канал связи (пользовательский бот @SiteLawBot, Telegram Mini App). При нажатии Пользователем кнопки «Войти через Telegram» инициируется процедура входа: Telegram передаёт Оператору публичный профиль Пользователя в составе: Telegram ID, имя и фамилия (если указаны в Telegram), публичный username (если установлен), URL фотографии профиля (при наличии), временная метка подтверждения. Передача осуществляется по защищённому каналу с криптографической подписью данных, обеспечивающей подлинность сведений (Telegram Login Widget API). Правовое основание получения и обработки этих данных Оператором: исполнение договора (публичной оферты), стороной которого является Пользователь, и предоставление Пользователю доступа к функциям Сервиса (пункт 5 части 1 статьи 6 Федерального закона № 152-ФЗ; см. пункт 4 настоящей Политики). Передача данных от Telegram Оператору инициируется самим Пользователем путём подтверждения входа через Telegram.

В соответствии с разъяснениями Роскомнадзора передача сведений между Пользователями и Оператором, находящимися на территории Российской Федерации, через иностранные мессенджеры не квалифицируется как трансграничная передача персональных данных. Telegram FZ-LLC в указанной модели выступает самостоятельным оператором обработки персональных данных Пользователей и руководствуется собственной политикой конфиденциальности.

Внешний технический сервис анализа текстов (через российского посредника proxyapi.ru) получает только содержимое проверяемых сторонних сайтов — публичные веб-страницы, указанные Пользователем для проверки. Персональные данные Пользователей Сервиса в эти запросы не включаются.

7. Сроки хранения

Данные учётной записи (Telegram ID, имя или адрес электронной почты в зависимости от способа входа, история проверок) — 3 (три) года после последней активности Пользователя (последнего входа в учётную запись), либо до удаления учётной записи Пользователем, если это произойдёт раньше. По истечении срока неактивные учётные записи автоматически обрабатываются регламентной задачей на сервере (cron): учётная запись без оплаченных услуг удаляется полностью; если за учётной записью числятся оплаченные услуги, перечисленные данные учётной записи обезличиваются, а сведения о платежах сохраняются на срок, указанный в следующем пункте.
Данные Пользователей, оплативших услугу (ФИО, ИНН, ОГРНИП/ОГРН, юридический адрес, контактный e-mail, контактный телефон при предоставлении), а также сведения о платежах — в течение не менее 5 (пяти) лет с момента совершения соответствующей операции. Указанный срок установлен с учётом требований налогового законодательства Российской Федерации о хранении документов, подтверждающих полученные доходы (подпункт 8 пункта 1 статьи 23 Налогового кодекса Российской Федерации), и периода, в течение которого возможно проведение налогового контроля.
Адрес электронной почты, оставленный при подписке на уведомление о запуске тарифа, хранится до направления уведомления о запуске соответствующей услуги либо до отзыва согласия, но не более 12 (двенадцати) месяцев с момента подписки.
Данные заявки на выполнение работ (адрес электронной почты, доменное имя, текст заявки) хранятся в течение срока рассмотрения заявки и ведения переписки с заявителем, но не более 12 (двенадцати) месяцев с момента последнего обращения; если по итогам заявки заключён договор, применяется срок, установленный для Пользователей, оплативших услугу.
Сессии (cookie-файл авторизации) — 30 дней с момента последнего входа.
IP-адреса в журналах rate-limit — не более 24 часов.
Журнал просмотров страниц для целей статистики посещений (путь страницы, Referer, User-Agent, обезличенный IP-адрес, UTM-метки) — не более 90 календарных дней с момента фиксации. По истечении срока записи автоматически удаляются регламентной задачей на сервере (cron).

8. Меры защиты

хранение данных на серверах в защищённой инфраструктуре с ограничением физического доступа;
передача данных по защищённым каналам (TLS/HTTPS) с использованием актуального сертификата;
хранение паролей и токенов в защищённом виде с использованием криптографических функций;
ограничение доступа к базе данных по списку IP-адресов;
регулярное резервное копирование;
контроль и ограничение прав доступа сотрудников Оператора по принципу «минимально необходимых полномочий».

9. Права Пользователя

В соответствии со статьями 14, 20, 21 Федерального закона № 152-ФЗ Пользователь вправе:

получать сведения о факте обработки своих персональных данных, целях, способах и сроках обработки, а также о составе обрабатываемых данных (статья 14 Федерального закона № 152-ФЗ);
требовать уточнения своих персональных данных, их блокирования или уничтожения в случае, если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки (статьи 14, 21 Федерального закона № 152-ФЗ);
требовать прекращения обработки своих персональных данных при отзыве согласия или в иных случаях, предусмотренных законом (статья 21 Федерального закона № 152-ФЗ);
отозвать согласие на обработку персональных данных в любой момент (статья 9 часть 2 Федерального закона № 152-ФЗ);
получить от Оператора сведения, которые ведутся у Оператора в отношении данного Пользователя, в структурированном машиночитаемом формате (предоставляется по запросу как добровольная услуга Оператора; в российском законодательстве о персональных данных не закреплено в качестве отдельного права субъекта);
обжаловать действия или бездействие Оператора в Роскомнадзоре или в судебном порядке.

Запросы направляются по адресу info@sitelaw.ru. Срок ответа — в течение десяти рабочих дней с даты получения запроса, с возможностью продления на срок до пяти рабочих дней при направлении субъекту мотивированного уведомления с указанием причин продления (часть 1 статьи 20 ФЗ-152).

Порядок верификации запросов субъекта. При получении запроса на доступ, уточнение, блокирование, удаление персональных данных или отзыв согласия Оператор устанавливает личность субъекта одним из следующих способов:

через подтверждение в пользовательском боте @SiteLawBot — Пользователь направляет запрос боту от своего Telegram-аккаунта, по которому выполнена регистрация в Сервисе;
через подтверждение с адреса электронной почты, по которому Пользователь выполняет вход в учётную запись (для учётных записей, созданных при входе по электронной почте), либо с адреса электронной почты, указанного Пользователем как контактный при оформлении оплаченной услуги (если такой адрес был предоставлен);
при невозможности использовать указанные способы — путём запроса у субъекта дополнительных сведений, позволяющих идентифицировать его в Сервисе (например, идентификатор отчёта проверки и URL проверенного сайта).

При отсутствии подтверждения личности Оператор вправе отказать в предоставлении сведений в соответствии с пунктом 1 части 7 статьи 14 Федерального закона № 152-ФЗ.

10. Cookie-файлы и аналитика

Сервис использует две группы cookie-файлов:

Технические (строго необходимые) — устанавливаются всегда, без них Сервис не функционирует. Это cookie-файл авторизации sitelaw_session (срок жизни — 30 дней) и запись о выборе пользователя в баннере cookie (хранится локально в браузере).
Аналитические — устанавливаются сервисом Яндекс.Метрика (ООО «Яндекс», Российская Федерация), счётчик № 109078599, только после получения согласия Пользователя в баннере при первом посещении. Включают: записи действий Пользователя на страницах Сервиса (Вебвизор), карту кликов, отслеживание переходов по ссылкам, агрегированную статистику посещений. Данные передаются и хранятся на серверах ООО «Яндекс» на территории Российской Федерации.

До предоставления согласия в баннере cookie-файлы и скрипты Яндекс.Метрики не загружаются и не устанавливаются. Пользователь вправе в любой момент отозвать согласие, очистив cookie-файлы и локальное хранилище браузера для домена sitelaw.ru; после этого баннер будет показан повторно.

11. Сканирование сторонних сайтов

Сервис позволяет Пользователю запустить автоматическую проверку стороннего веб-сайта по указанному URL. В рамках такой проверки Оператор осуществляет сбор и обработку исключительно публичной информации о проверяемом сайте.

Состав собираемых данных о проверяемом сайте: HTML-код главной страницы; при выборе режима глубокой проверки — HTML-код дополнительных страниц того же домена в объёме не более 50 (пятидесяти) страниц; метатеги (title, description, robots и иные); видимый текст страниц; перечень сетевых запросов, инициируемых при загрузке страницы (домены сторонних скриптов и ресурсов); технические сведения о SSL/TLS-сертификате (издатель, срок действия, алгоритмы).

Что Оператор НЕ собирает при сканировании стороннего сайта: содержимое пользовательских форм проверяемого сайта (данные, вводимые посетителями этого сайта); персональные данные клиентов или посетителей проверяемого сайта; содержимое разделов, защищённых авторизацией; данные, доступные только зарегистрированным пользователям проверяемого сайта.

Природа URL-адреса проверяемого сайта. Адрес стороннего веб-сайта (URL), который Пользователь вводит в форму проверки на главной странице Сервиса, представляет собой указатель на публичный информационный ресурс и не относится прямо или косвенно к самому Пользователю как физическому лицу. По смыслу статьи 3 Федерального закона № 152-ФЗ такой URL не является персональными данными Пользователя, в связи с чем согласие Пользователя на обработку его персональных данных при вводе URL в форму проверки не испрашивается. Если Пользователь отдельно взаимодействует с Сервисом способами, при которых Оператор обрабатывает персональные данные самого Пользователя (авторизация через Telegram или по адресу электронной почты, см. пункты 4 и 8; оформление платной услуги через ЮKassa, см. пункт 6), такая обработка осуществляется на правовых основаниях, указанных в пункте 4 настоящей Политики.

Сроки хранения: исходный HTML-код, текст страниц и иные «сырые» данные стороннего сайта используются исключительно для генерации отчёта и удаляются после его формирования. В базе данных Оператора в долгосрочном виде сохраняется только итог проверки: идентификатор отчёта, URL проверенного сайта, перечень обнаруженных нарушений, расчётная вилка штрафов и итоговый балл.

Правовое основание сбора данных о стороннем сайте: осуществление Оператором и Пользователем своих прав и законных интересов в проверке публично доступных страниц стороннего веб-сайта на соответствие законодательству Российской Федерации (пункт 7 части 1 статьи 6 Федерального закона № 152-ФЗ). Сканирование выполняется только в отношении публично доступных страниц сайта; Оператор соблюдает указания файла robots.txt проверяемого сайта и не обходит технические средства защиты.

Условие применимости пункта 7 части 1 статьи 6 Федерального закона № 152-ФЗ — отсутствие нарушения прав и свобод субъектов персональных данных — обеспечивается следующими мерами: исходный HTML-код и иные «сырые» данные стороннего сайта используются исключительно для генерации отчёта и удаляются после его формирования (см. абзац о сроках хранения в настоящем разделе); собранные данные не используются Оператором в иных целях, кроме формирования отчёта по запросу Пользователя; данные не передаются третьим лицам, за исключением технического сервиса анализа текстов через российского посредника proxyapi.ru (см. пункт 6).

Подтверждение Пользователя: запуская проверку, Пользователь подтверждает, что имеет правовые основания для её инициирования (является владельцем сайта, его уполномоченным представителем, либо проверяет публично доступный сайт в информационных и аналитических целях). Ответственность за наличие таких оснований несёт Пользователь.

12. Изменения Политики

Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента её размещения в сети «Интернет» по адресу https://sitelaw.ru/privacy, если иное не предусмотрено самой Политикой. Действующая редакция всегда доступна в сети «Интернет» по указанному адресу.

13. Контакты Оператора

По всем вопросам обработки персональных данных, для направления отзыва согласия, запросов на доступ, уточнение или удаление данных обращайтесь по адресу: info@sitelaw.ru.