Политика конфиденциальности сервиса “СтритБайк”
Дата вступления в силу: [ЗАПОЛНИТЬ: дата публикации] Версия: 1.0
1. Общие положения
1.1. Настоящая Политика конфиденциальности (далее — Политика) определяет порядок обработки и защиты персональных данных физических лиц (далее — Субъекты), использующих веб-сервис аренды электровелосипедов “СтритБайк” (далее — Сервис), расположенный по адресу: https://street-bike.ru.
1.2. Оператором персональных данных является:
- Наименование: Индивидуальный предприниматель Марков Марк Антонович
- ИНН: 246526656326
- ОГРНИП: 326246800093209
- Адрес регистрации: 660077, ул. Молокова, 40-171, г. Красноярск
- Почтовый адрес: 660077, г. Красноярск, ул. Молокова, 40-171
- Электронная почта: [ЗАПОЛНИТЬ: email для обращений по ПДн]
- Телефон: [ЗАПОЛНИТЬ]
(далее — Оператор).
1.3. Настоящая Политика разработана в соответствии с:
- Конституцией Российской Федерации;
- Федеральным законом от 27.07.2006 N 152-ФЗ “О персональных данных” (далее — ФЗ-152);
- Федеральным законом от 06.04.2011 N 63-ФЗ “Об электронной подписи” (далее — ФЗ-63);
- Постановлением Правительства РФ от 01.11.2012 N 1119 “Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных”;
- Приказом ФСТЭК России от 18.02.2013 N 21 “Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных”;
- иными нормативными правовыми актами Российской Федерации.
1.4. Используя Сервис, Субъект подтверждает, что ознакомлен с настоящей Политикой и выражает согласие с её условиями. Если Субъект не согласен с Политикой, он обязан прекратить использование Сервиса.
1.5. Оператор зарегистрирован в реестре операторов персональных данных Роскомнадзора. Регистрационный номер: [ЗАПОЛНИТЬ: номер уведомления в РКН].
2. Категории обрабатываемых персональных данных
2.1. Оператор обрабатывает следующие категории персональных данных Субъектов:
2.1.1. Идентификационные данные
- Фамилия, имя, отчество (извлекаются из документа, удостоверяющего личность, в том числе с использованием технологий оптического распознавания символов — OCR);
- дата рождения;
- серия и номер паспорта гражданина РФ;
- адрес регистрации по месту жительства (из страницы прописки паспорта).
2.1.2. Биометрические персональные данные
- Фотографические изображения разворота паспорта (основная страница);
- фотографическое изображение страницы регистрации (прописки) паспорта;
- селфи (фотография лица Субъекта с паспортом в руке) для целей верификации личности.
2.1.3. Контактные данные
- Номер мобильного телефона.
2.1.4. Данные об использовании Сервиса
- Данные об аренде: дата и время начала и окончания аренды, идентификатор велосипеда, стоянка выдачи и возврата, выбранный тариф;
- GPS-координаты велосипеда в период аренды (получаемые от GPS-трекера, установленного на велосипеде);
- фотографии велосипеда при возврате.
2.1.5. Данные о платежах
- Сведения о совершённых платежах: сумма, дата, тип операции (аренда, залог, возврат залога), идентификатор транзакции в системе ЮKassa;
- реквизиты банковской карты Оператором не обрабатываются и не хранятся — платёжные операции выполняются на стороне платёжного шлюза ЮKassa (НКО “ЮМани”, лицензия Банка России).
2.1.6. Технические данные
- IP-адрес;
- данные User-Agent (тип и версия браузера, операционная система, тип устройства);
- данные cookie-файлов (см. раздел 10).
2.1.7. Данные коммуникаций
- Содержание переписки с службой поддержки Сервиса.
2.1.8. Данные аудит-лога
- Все перечисленные выше данные фиксируются в неизменяемом (append-only) аудит-логе Сервиса с привязкой к дате, времени, IP-адресу и User-Agent для обеспечения доказательной базы и защиты прав сторон.
3. Цели обработки персональных данных
3.1. Оператор обрабатывает персональные данные для следующих целей:
| N | Цель обработки | Категории ПДн (п. 2) | Правовое основание |
|---|---|---|---|
| 1 | Идентификация Субъекта и проверка личности (KYC) при регистрации в Сервисе | 2.1.1, 2.1.2, 2.1.3 | Согласие Субъекта (ст. 6 ч. 1 п. 1 ФЗ-152) |
| 2 | Заключение и исполнение договора аренды (оферты) | 2.1.1, 2.1.3, 2.1.4, 2.1.5 | Исполнение договора (ст. 6 ч. 1 п. 5 ФЗ-152) |
| 3 | Подтверждение волеизъявления Субъекта посредством простой электронной подписи (SMS-код) | 2.1.3 | ФЗ-63, соглашение сторон о признании ПЭП |
| 4 | Проведение платежей и возвратов через платёжный шлюз | 2.1.5 | Исполнение договора (ст. 6 ч. 1 п. 5 ФЗ-152) |
| 5 | Контроль местонахождения и сохранности имущества Оператора (велосипедов) | 2.1.4 (GPS) | Законный интерес Оператора (ст. 6 ч. 1 п. 7 ФЗ-152) |
| 6 | Фиксация состояния велосипеда при возврате | 2.1.4 (фото возврата) | Исполнение договора (ст. 6 ч. 1 п. 5 ФЗ-152) |
| 7 | Формирование доказательной базы для разрешения споров, в том числе судебных | 2.1.8 | Законный интерес Оператора (ст. 6 ч. 1 п. 7 ФЗ-152) |
| 8 | Техническая поддержка Субъекта | 2.1.7 | Исполнение договора (ст. 6 ч. 1 п. 5 ФЗ-152) |
| 9 | Обеспечение безопасности Сервиса, выявление и предотвращение мошенничества | 2.1.6 | Законный интерес Оператора (ст. 6 ч. 1 п. 7 ФЗ-152) |
| 10 | Выполнение обязанностей Оператора по законодательству РФ (в том числе ведение бухгалтерского учёта, ответы на запросы уполномоченных органов) | Все применимые | Исполнение обязанности по закону (ст. 6 ч. 1 п. 2 ФЗ-152) |
| 11 | Улучшение качества Сервиса, аналитика использования | 2.1.6 (обезличенные) | Согласие Субъекта (ст. 6 ч. 1 п. 1 ФЗ-152) |
4. Правовые основания обработки
4.1. Оператор обрабатывает персональные данные на следующих правовых основаниях (ст. 6 ФЗ-152):
- Согласие Субъекта — для обработки биометрических персональных данных (фото паспорта, селфи), а также для иных целей, указанных в п. 3.1. Согласие предоставляется в электронной форме посредством проставления отметки в чекбоксе при регистрации в Сервисе.
- Исполнение договора, стороной которого является Субъект, — для обработки данных, необходимых для предоставления услуги аренды.
- Исполнение обязанностей, возложенных на Оператора законодательством РФ, — для ведения бухгалтерского и налогового учёта, исполнения запросов уполномоченных органов.
- Законный интерес Оператора — для обеспечения сохранности имущества (GPS-мониторинг), формирования доказательной базы (аудит-лог), обеспечения безопасности Сервиса. Законный интерес не преобладает над правами и свободами Субъекта: GPS-мониторинг осуществляется только в период аренды в отношении имущества Оператора (велосипеда), а не Субъекта.
4.2. Обработка биометрических персональных данных (п. 2.1.2) осуществляется исключительно на основании письменного согласия Субъекта в соответствии со ст. 11 ФЗ-152. Электронная форма согласия, подписанная простой электронной подписью (SMS-код), приравнивается к письменной на основании соглашения сторон в соответствии с ФЗ-63.
5. Способы обработки персональных данных
5.1. Обработка персональных данных осуществляется с использованием средств автоматизации, а также без использования средств автоматизации в случаях, предусмотренных законодательством РФ.
5.2. Обработка включает следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление, уничтожение.
5.3. Автоматизированная обработка персональных данных включает:
- оптическое распознавание текста (OCR) паспортных данных;
- автоматическую проверку соответствия селфи и фотографии паспорта;
- автоматическое формирование записей аудит-лога;
- GPS-трекинг велосипеда в период аренды.
5.4. Оператор не осуществляет принятие решений, порождающих юридические последствия для Субъекта или иным образом затрагивающих его права и законные интересы, исключительно на основании автоматизированной обработки персональных данных.
6. Сроки обработки и хранения персональных данных
6.1. Персональные данные обрабатываются и хранятся в течение сроков, необходимых для достижения целей обработки, и не дольше:
| Категория данных | Срок хранения | Основание |
|---|---|---|
| Идентификационные данные (ФИО, паспорт) | В течение срока действия договора аренды + 3 года (общий срок исковой давности, ст. 196 ГК РФ) | Защита законных интересов Оператора |
| Биометрические данные (фото паспорта, селфи) | В течение срока действия договора аренды + 3 года | Защита законных интересов Оператора |
| Номер телефона | До отзыва согласия или удаления аккаунта + 3 года | Исполнение договора, исковая давность |
| Данные об аренде (тариф, даты, велосипед) | 5 лет с даты завершения аренды | Бухгалтерский учёт (ФЗ-402), исковая давность |
| Платёжные данные (идентификаторы транзакций) | 5 лет с даты совершения операции | Налоговый и бухгалтерский учёт (НК РФ, ФЗ-402) |
| GPS-данные велосипеда | 90 дней с момента завершения аренды, далее обезличиваются | Законный интерес (сохранность имущества) |
| Фотографии велосипеда при возврате | В течение срока действия договора аренды + 3 года | Защита законных интересов Оператора |
| Аудит-лог | 5 лет с даты записи | Доказательная база, исковая давность |
| Переписка с поддержкой | 3 года с даты последнего сообщения | Исковая давность |
| Технические данные (IP, User-Agent) | Хранятся в составе аудит-лога (5 лет) | Обеспечение безопасности |
| Cookie-файлы | См. раздел 10 | Согласие Субъекта |
6.2. По истечении указанных сроков персональные данные уничтожаются или обезличиваются, за исключением случаев, предусмотренных законодательством РФ.
6.3. При отзыве Субъектом согласия на обработку персональных данных Оператор прекращает обработку в течение 30 дней, за исключением данных, обработка которых осуществляется на иных правовых основаниях (исполнение договора, требования законодательства, законный интерес). Подробнее — раздел 7.
7. Права Субъекта персональных данных
7.1. Субъект персональных данных имеет право:
7.1.1. Право на получение информации (ст. 14 ФЗ-152)
Субъект вправе получить от Оператора сведения об обработке своих персональных данных, включая: подтверждение факта обработки, правовые основания, цели, способы обработки, наименование и местонахождение Оператора, перечень обрабатываемых ПДн, сроки хранения, сведения о трансграничной передаче (не осуществляется), сведения о лицах, которым переданы ПДн.
7.1.2. Право на уточнение (ст. 14 ч. 1 п. 4 ФЗ-152)
Субъект вправе потребовать уточнения (исправления) своих персональных данных, если они являются неполными, устаревшими, неточными.
7.1.3. Право на блокирование и удаление (ст. 14 ч. 1 п. 5 ФЗ-152)
Субъект вправе потребовать блокирования или уничтожения своих персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.
7.1.4. Право на отзыв согласия (ст. 9 ч. 2 ФЗ-152)
Субъект вправе в любой момент отозвать согласие на обработку персональных данных, направив Оператору заявление в свободной форме.
Последствия отзыва согласия:
- Оператор прекращает обработку персональных данных, основанную на согласии, в течение 30 дней с даты получения заявления.
- Оператор продолжает обработку данных, необходимых для исполнения договора (если аренда активна), исполнения обязанностей по закону, а также данных из аудит-лога (append-only, обработка на основании законного интереса).
- Если на момент отзыва согласия у Субъекта имеется активная аренда, отзыв согласия влечёт прекращение возможности оказания услуг — Субъект обязан вернуть арендованное имущество.
- Обезличенные данные (статистика аренд, анонимизированные GPS-треки) не являются персональными данными и продолжают обрабатываться.
7.1.5. Право на обжалование (ст. 17 ФЗ-152)
Субъект вправе обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке.
7.2. Для реализации прав Субъект может направить запрос:
- по электронной почте: [ЗАПОЛНИТЬ: email для обращений по ПДн];
- почтой: [ЗАПОЛНИТЬ: почтовый адрес ИП];
- через раздел “Поддержка” в личном кабинете Сервиса.
7.3. Запрос должен содержать: ФИО Субъекта, номер телефона, зарегистрированный в Сервисе, описание запроса. Оператор обязан ответить на запрос в течение 10 рабочих дней с момента получения (если иной срок не установлен законом).
8. Передача персональных данных третьим лицам
8.1. Оператор вправе передавать персональные данные Субъекта третьим лицам исключительно в случаях, указанных в настоящем разделе.
8.2. Перечень третьих лиц, которым могут передаваться персональные данные:
| N | Получатель | Категории передаваемых ПДн | Цель передачи | Основание | Юрисдикция |
|---|---|---|---|---|---|
| 1 | НКО “ЮМани” (ЮKassa), ИНН 7750005725 | Идентификатор платежа, сумма, тип операции. Карточные данные вводятся на стороне ЮKassa и Оператору не передаются | Проведение платежей и формирование чеков ОФД | Исполнение договора | РФ |
| 2 | SMS-шлюз [ЗАПОЛНИТЬ: наименование, ИНН] | Номер телефона, текст SMS-сообщения (код подтверждения) | Подтверждение личности (ПЭП), уведомления | Исполнение договора, ФЗ-63 | РФ |
| 3 | OCR-сервис [ЗАПОЛНИТЬ: наименование, ИНН] | Фотографии паспорта | Оптическое распознавание паспортных данных | Согласие Субъекта | РФ |
| 4 | Оператор фискальных данных (ОФД) | Сумма, дата, тип операции | Формирование кассовых чеков (ФЗ-54) | Требование законодательства | РФ |
| 5 | Хостинг-провайдер (TimeWeb, ООО “ТаймВэб”, ИНН 7810624380) | Все категории (хранение на серверах) | Размещение информационной системы | Поручение на обработку (ст. 6 ч. 3 ФЗ-152) | РФ |
8.3. Со всеми третьими лицами, обрабатывающими персональные данные по поручению Оператора, заключены договоры, содержащие условия о конфиденциальности и безопасности ПДн в соответствии с требованиями ФЗ-152.
8.4. Оператор вправе передать персональные данные органам государственной власти РФ в случаях и в порядке, предусмотренных законодательством РФ.
9. Трансграничная передача персональных данных
9.1. Оператор не осуществляет трансграничную передачу персональных данных.
9.2. Все персональные данные обрабатываются и хранятся исключительно на территории Российской Федерации с использованием серверных мощностей хостинг-провайдера TimeWeb (дата-центры расположены в г. Санкт-Петербург и г. Москва, Российская Федерация), что соответствует требованиям ч. 5 ст. 18 ФЗ-152.
9.3. Оператор не использует зарубежные облачные сервисы, CDN или иные инструменты, влекущие передачу ПДн за пределы территории РФ.
10. Cookie-файлы и аналитика
10.1. Сервис использует cookie-файлы для обеспечения работоспособности и улучшения качества обслуживания.
10.2. Типы используемых cookie-файлов:
| Тип | Назначение | Срок хранения | Обязательность |
|---|---|---|---|
| Технические (необходимые) | Аутентификация, поддержание сессии, CSRF-токен | До окончания сессии или до 30 дней | Обязательны для работы Сервиса |
| Аналитические | Анализ использования Сервиса (обезличенные данные) | До 1 года | Необязательны, требуют согласия |
10.3. Для веб-аналитики Оператор использует [ЗАПОЛНИТЬ: Яндекс Метрика / иной сервис, расположенный в РФ]. Аналитические данные обезличиваются и не позволяют идентифицировать конкретного Субъекта.
10.4. Субъект может управлять cookie-файлами в настройках своего браузера. Отключение технических cookie может привести к невозможности использования Сервиса.
11. Меры по обеспечению безопасности персональных данных
11.1. Оператор принимает организационные и технические меры для защиты персональных данных от несанкционированного доступа, уничтожения, изменения, блокирования, копирования, распространения и иных неправомерных действий, в соответствии с Постановлением Правительства РФ N 1119 и Приказом ФСТЭК России N 21.
11.2. Технические меры защиты включают:
- Шифрование при передаче: все соединения с Сервисом защищены протоколом TLS 1.2 и выше (HTTPS);
- Шифрование при хранении: персональные данные (фотографии паспортов, селфи, результаты OCR) хранятся в зашифрованном виде (encryption at rest) в объектном хранилище;
- Разграничение доступа: применяется механизм Row Level Security (RLS) на уровне СУБД PostgreSQL, обеспечивающий доступ каждого пользователя только к собственным данным;
- Неизменяемый аудит-лог: все действия фиксируются в append-only журнале с цепочкой хешей (SHA-256), исключающей возможность подмены или удаления записей;
- Двухфакторная аутентификация: обязательна для всех администраторов Сервиса (TOTP);
- Версионирование объектов: файлы в объектном хранилище (S3-совместимом) хранятся с включённым версионированием, что предотвращает необратимую подмену;
- Хеширование паролей и секретов: используются современные алгоритмы хеширования; SMS-коды хранятся в виде хешей, а не в открытом виде;
- Межсетевое экранирование: серверы расположены в изолированном сетевом сегменте.
11.3. Организационные меры:
- назначение лица, ответственного за организацию обработки персональных данных;
- ограничение круга лиц, имеющих доступ к ПДн, необходимым минимумом;
- обучение сотрудников правилам обработки и защиты ПДн;
- регулярный аудит информационных систем;
- наличие документов, регулирующих обработку ПДн (настоящая Политика, Модель угроз, журнал учёта обращений).
11.4. В случае утечки персональных данных Оператор обязуется уведомить Роскомнадзор в течение 24 часов и Субъектов — в течение 72 часов с момента обнаружения инцидента (в соответствии с ФЗ-152 в действующей редакции).
12. Обработка персональных данных несовершеннолетних
12.1. Сервис предназначен для лиц, достигших возраста 18 лет. Оператор не осуществляет целенаправленный сбор персональных данных лиц, не достигших 18 лет.
12.2. Если Оператору станет известно, что персональные данные были предоставлены лицом младше 18 лет, такие данные будут удалены, а учётная запись заблокирована.
13. Ответственное лицо
13.1. Лицом, ответственным за организацию обработки персональных данных у Оператора, является:
- ФИО: [ЗАПОЛНИТЬ]
- Должность: [ЗАПОЛНИТЬ]
- Электронная почта: [ЗАПОЛНИТЬ]
- Телефон: [ЗАПОЛНИТЬ]
14. Порядок внесения изменений
14.1. Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента её размещения на страницах Сервиса, если иное не предусмотрено новой редакцией.
14.2. Действующая редакция Политики всегда доступна по адресу: https://street-bike.ru/privacy.
14.3. Оператор уведомляет Субъектов о существенных изменениях Политики посредством размещения уведомления в Сервисе и/или направления SMS-сообщения.
14.4. Продолжение использования Сервиса после вступления изменений в силу означает согласие Субъекта с новой редакцией Политики.
15. Заключительные положения
15.1. Настоящая Политика является официальным документом Оператора и подлежит размещению в Сервисе в публичном доступе.
15.2. Вопросы, не урегулированные настоящей Политикой, разрешаются в соответствии с законодательством Российской Федерации.
15.3. По всем вопросам, связанным с обработкой персональных данных, Субъект может обратиться к Оператору по реквизитам, указанным в п. 1.2, или к ответственному лицу (п. 13.1).
15.4. Контролирующий орган: Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), https://rkn.gov.ru.
Дата последнего обновления: [ЗАПОЛНИТЬ]
ИП Марков Марк Антонович