Настоящая Политика описывает порядок обработки персональных данных в сервисе Notpoint (далее — «Сервис»). Используя Сервис, вы (далее — «Пользователь», «субъект ПДн») подтверждаете согласие на обработку ваших персональных данных в соответствии с настоящей Политикой и Федеральным законом РФ № 152-ФЗ от 27.07.2006. Политика действует совместно с Условиями использования, Политикой в отношении файлов cookie и формой Согласия на обработку персональных данных.

1. Оператор персональных данных

Оператором персональных данных является физическое лицо Маревичев Павел Михайлович (далее — «Оператор»). Контактный email по вопросам обработки данных: privacy@notpoint.io.

Уведомление об обработке персональных данных направляется в Роскомнадзор в соответствии со ст. 22 152-ФЗ. При изменении статуса Оператора (регистрация в качестве самозанятого, ИП или ООО) его реквизиты будут актуализированы.

2. Состав обрабатываемых данных

Мы обрабатываем следующие категории ваших данных:

• Идентификация: email, имя, пароль (хранится в виде необратимого хеша, в исходном виде не хранится), дата регистрации.
• Контент сервиса: названия и URL проектов, тексты комментариев и ответов, статусы, метаданные привязки комментария (положение на странице, параметры окна браузера, user-agent на момент создания).
• Технические данные: IP-адрес (для защиты и аудита безопасности), идентификатор сессии (cookie).
• Платёжные данные: при оплате тарифов обрабатываются платёжным провайдером; мы храним только идентификатор подписки.

2.1. Данные приглашённых участников

При приглашении вами коллеги или клиента в проект мы получаем email приглашённого лица от вас, а не напрямую от него. В этом случае:

• Вы подтверждаете, что имеете правовое основание сообщить нам email этого лица.
• Мы отправляем приглашённому разовое письмо со ссылкой на принятие приглашения. В письме указываются Оператор, цель обработки, контакт для обращений и возможность отказаться.
• Приглашённый вправе отказаться и потребовать немедленного удаления своего email, написав на privacy@notpoint.io.
• До регистрации мы храним только email и идентификатор приглашения. Непринятое приглашение хранится не дольше 30 дней, после чего email приглашённого удаляется.
• После регистрации приглашённый становится полноценным субъектом данных.

3. Цели обработки

• Предоставление функциональности Сервиса (проекты, комментирование, уведомления).
• Обеспечение безопасности (защита от атак и спама, ограничение частоты запросов, журнал аудита).
• Биллинг и противодействие мошенничеству при использовании платных тарифов.
• Связь с пользователями по вопросам работы Сервиса.

3.1. Что мы собираем в каждом сценарии

4. Правовое основание обработки

Обработка данных, необходимых для функционирования Сервиса (регистрация, аутентификация, работа с проектами и комментариями, биллинг), осуществляется на основании исполнения договора, стороной которого является субъект ПДн (п. 5 ч. 1 ст. 6 152-ФЗ). Принимая Условия использования при регистрации, субъект ПДн заключает такой договор.

Обработка данных, не обязательных для оказания услуги (например, подписка на маркетинговую рассылку), осуществляется на основании отдельного согласия субъекта ПДн (п. 1 ч. 1 ст. 6 152-ФЗ) и может быть отозвана в любой момент без удаления аккаунта.

5. Что мы НЕ собираем

• Содержимое веб-страниц, на которых вы оставляете комментарии (только короткий текст элемента и данные его привязки).
• Cookies сторонних сайтов или их формы.
• Пароли в открытом виде.
• Биометрические и специальные категории данных.
• Данные с других сайтов без вашего явного действия.

6. Передача третьим лицам

Данные передаются исключительно обработчикам, привлекаемым Оператором для работы Сервиса (ч. 3 ст. 6 152-ФЗ). Все обработчики — российские юридические лица; реквизиты можно проверить по ЕГРЮЛ. Обработка осуществляется на условиях, предусмотренных договорами (в том числе публичными офертами) с обработчиками, обязывающими их соблюдать требования законодательства РФ о защите персональных данных.

• ООО «Селектел» (Selectel), ИНН 7842393933 — хостинг-провайдер: размещение серверов приложения и базы данных, дата-центр в Москве. Категории данных: все данные Сервиса.
• ООО «ЮНИСЕНДЕР РУС» (Unisender Go), ИНН 7704479538 — доставка транзакционных писем, серверы в РФ. Категории данных: email получателя, тема и содержимое письма.
• Платёжный провайдер — будет указан после подключения биллинга. Карточные реквизиты у Оператора не хранятся.

Трансграничная передача персональных данных не осуществляется (ст. 12 152-ФЗ). Мы не продаём данные, не передаём их рекламным сетям и не используем для таргетированной рекламы.

6.1. Передача по запросу государственных органов

Персональные данные могут быть переданы без согласия субъекта по мотивированному запросу уполномоченных органов в случаях, прямо предусмотренных законодательством РФ: судебным органам, органам прокуратуры, следствия и дознания, иным органам в установленных законом случаях.

7. Сроки хранения и уничтожения

Персональные данные граждан РФ хранятся на серверах на территории РФ (ч. 5 ст. 18 152-ФЗ).

При невозможности уничтожения в указанные сроки данные блокируются и удаляются в течение шести месяцев (ч. 6 ст. 21 152-ФЗ).

8. Меры защиты

• Хранение паролей в виде необратимого криптографического хеша (пароль в исходном виде не хранится и не восстанавливается).
• Шифрование соединений (HTTPS) на всех каналах связи с Сервисом.
• Защита от автоматизированных и сетевых атак, ограничение частоты запросов, защита от подделки межсайтовых запросов.
• Маскирование персональных данных в технических логах.
• Ограничение доступа сотрудников к данным по принципу минимальной привилегии.

9. Ваши права (ст. 14, 18, 21 152-ФЗ)

• Получить копию ваших данных — кнопкой экспорта в настройках аккаунта.
• Удалить аккаунт — кнопкой в настройках; удаление выполняется немедленно.
• Исправить данные — изменить имя и пароль в настройках профиля; для изменения email — обратиться в поддержку.
• Отозвать согласие на необязательную обработку (например, отписаться от рассылки) — в любой момент, без удаления аккаунта.
• Прекратить обработку данных, необходимых для услуги — удалением аккаунта (расторжение договора).

Запросы по почте: privacy@notpoint.io. Срок ответа — не более 10 рабочих дней с возможностью продления ещё на 5 рабочих дней (ч. 1 ст. 20 152-ФЗ).

10. Файлы cookie

Сервис использует только строго необходимые (технические) cookies. Аналитические и рекламные cookies без вашего явного согласия не устанавливаются. Полное описание — в отдельной Политике в отношении файлов cookie: notpoint.io/cookies.

11. Социальный вход (OAuth)

На текущий момент вход осуществляется только по email и паролю. При подключении входа через сторонние сервисы (Yandex ID, VK ID и др.) мы получим от провайдера ограниченный набор данных: email, имя и идентификатор аккаунта. Перед использованием функции пользователь ознакомится с политикой провайдера и даст явное согласие. Ссылки на политики провайдеров будут приведены здесь при подключении функции.

12. Маркетинговые коммуникации

Транзакционные уведомления отправляются на основании договора и отдельной галочки не требуют. Маркетинговая рассылка отправляется только по отдельному согласию и может быть отозвана в любой момент. На текущий момент Сервис маркетинговую рассылку не ведёт.

13. Инциденты безопасности

В случае выявления утечки персональных данных Оператор уведомляет Роскомнадзор в течение 24 часов с момента выявления инцидента (первичное уведомление) и в течение 72 часов с момента выявления — о результатах внутреннего расследования (ч. 3.1 ст. 21 152-ФЗ). Затронутые пользователи уведомляются персонально по email.

14. Изменения политики

О существенных изменениях уведомим по email за 30 дней до вступления в силу. Несущественные правки публикуются с обновлением даты в шапке. Текущая редакция доступна по адресу notpoint.io/privacy. Архив прежних редакций — по запросу privacy@notpoint.io.

15. Жалобы и обращения

Жалобы принимаются по адресу privacy@notpoint.io. Вы также вправе обратиться в Роскомнадзор — rkn.gov.ru.