Политика обработки персональных данных Uximo
Редакция от
1. Общие положения
1.1. Политика описывает, какие персональные данные обрабатывает сервис Uximo (сайт uximo.app и приложение по этому адресу, далее — Сервис), зачем, на каком основании, как долго и как субъект может реализовать свои права. Политика составлена во исполнение ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и опубликована в открытом доступе.
1.2. Оператор персональных данных — Uximo, физическое лицо (далее — Оператор). Контакт для любых вопросов об обработке данных и запросов субъектов: hello@uximo.app.
1.3. Сведения об Операторе внесены в реестр операторов Роскомнадзора на основании уведомления по ст. 22 Закона.
2. Чьи данные и какие
2.1. Пользователи Сервиса — люди, которые вошли в Сервис:
- адрес электронной почты;
- имя — из адреса почты или от сервиса входа (Яндекс ID, VK ID), если пользователь выбрал такой вход; идентификатор и изображение профиля у этого сервиса;
- хэш пароля и данные двухфакторной защиты — если пользователь их включил;
- технические данные входа и безопасности: IP-адрес, сведения о браузере (user agent), время входа и действий;
- роль и участие в пространствах, авторство правок, ревью и комментариев в Сервисе.
2.2. Приглашённые — адрес электронной почты, на который участник пространства отправил приглашение.
2.3. Посетители сайта без входа (в том числе гости демо) — Оператор не собирает их персональные данные; cookie гостя демо не связаны с личностью (раздел 7).
2.4. Данные в содержимом пространств. Пользователи могут вносить в каталог сведения о людях (например, имена в описаниях). Для этих данных оператором выступает организация или лицо, которому принадлежит пространство; Оператор обрабатывает их по его поручению (ч. 3 ст. 6 Закона) на условиях Условий использования, раздел 6.
Специальные категории и биометрические персональные данные Оператор не обрабатывает.
3. Цели и основания
| Цель | Данные | Основание |
|---|---|---|
| Регистрация, вход, работа в Сервисе | почта, имя, данные сервиса входа, пароль и 2FA, участие и роли | исполнение договора, стороной которого является пользователь, — Условия использования (п. 5 ч. 1 ст. 6 Закона) |
| Письма Сервиса: ссылка для входа, приглашение, письма о событиях и сводки, которые пользователь не отключил | почта, имя | то же |
| Защита учётных записей и расследование инцидентов | IP-адрес, user agent, время входа и действий, журнал событий | законный интерес Оператора и пользователей в безопасности Сервиса (п. 7 ч. 1 ст. 6 Закона) |
| Показ авторства и выгрузка пространства владельцу пространства | имя, почта, роль, авторство | исполнение договора; для данных в пространстве — поручение владельца пространства |
Оператор не использует данные для рекламы, не продаёт их и не принимает на их основе решений, порождающих юридические последствия, только автоматически. Рассылок, не связанных с работой Сервиса, нет.
4. Как обрабатываются данные
4.1. Действия: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ) лицам из раздела 5, обезличивание, блокирование, удаление, уничтожение — автоматизированно.
4.2. Локализация. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ ведутся в базах данных на территории Российской Федерации (ч. 5 ст. 18 Закона). Трансграничной передачи нет.
4.3. Внутри пространства данные пользователя видят участники этого пространства в пределах своих ролей; владелец пространства может выгрузить архив пространства с именами, почтой и ролями участников.
5. Кому передаются данные
Оператор поручает обработку (ч. 3 ст. 6 Закона) только для работы Сервиса:
| Кто | Зачем | Где |
|---|---|---|
| Cloud.ru | серверы, на которых работает Сервис и хранится база данных | РФ |
| Yandex Cloud Postbox | отправка писем Сервиса | РФ |
| хранилище S3 у другого провайдера в РФ | хранение зашифрованных резервных копий | РФ |
| Хоук | учёт ошибок Сервиса; данные очищаются от почты, IP, cookie и токенов до отправки | РФ |
Сервисы входа Яндекс ID и VK ID передают Оператору почту и имя пользователя, если он сам выбрал такой вход; их обработку регулируют правила этих сервисов.
Государственным органам — только в случаях, предусмотренных законом.
6. Сроки хранения
| Данные | Срок |
|---|---|
| Данные учётной записи | пока учётная запись существует; после удаления — по разделу 8 |
| Сессии входа | до выхода, отзыва или истечения сессии: 30 дней без активности, но не дольше 90 дней с момента входа |
| Одноразовые ссылки входа и сброса пароля | 7 дней |
| Журнал событий безопасности и аудита | 365 дней |
| Пространство после его удаления владельцем | данные уничтожаются через 30 дней |
| Резервные копии | по правилу хранения резервных копий |
По истечении срока данные уничтожаются или обезличиваются.
7. Cookie и хранилище браузера
Сервис ставит только технически необходимые cookie: сессия входа, сессия гостя демо, защита формы от подделки запросов (CSRF), подтверждение входа с двухфакторной защитой и входа через внешний сервис, подсказка темы оформления, последнее открытое пространство. Точный список и сроки:
| Cookie | Зачем | Срок |
|---|---|---|
| screen_registry_private_session | сессия входа | до выхода; 30 дней без активности, но не дольше 90 дней с момента входа |
| uximo_demo_guest | сессия гостя демо, не связана с личностью | до закрытия браузера |
| sr_csrf | защита форм от подделки запросов (CSRF) | до закрытия браузера |
| sr_2fa_challenge | подтверждение входа с двухфакторной защитой | 5 минут |
| sr_oauth_nonce | подтверждение входа через Яндекс ID или VK ID | 10 минут |
| sr_prefs_hint | подсказка темы оформления для быстрой загрузки страниц | 60 минут |
| uxm_last_tenant_id | последнее открытое пространство, чтобы следующий вход открыл его | 90 дней |
Настройки и состояние интерфейса хранятся в браузере пользователя (localStorage и sessionStorage); у вошедшего пользователя настройки оформления также сохраняются в его учётной записи. Счётчиков посещаемости, аналитики и рекламных cookie нет; шрифты и скрипты загружаются с собственного сервера Сервиса.
8. Права субъекта
8.1. Субъект вправе получить сведения об обработке своих данных, потребовать их уточнения, блокирования или уничтожения, если они неполные, устаревшие, неточные или обрабатываются незаконно, отозвать согласие, если обработка на нём основана, и обжаловать действия Оператора в Роскомнадзоре или суде (ст. 14, 17 Закона).
8.2. Запрос направляется на hello@uximo.app с адреса, привязанного к учётной записи, или иным способом, позволяющим идентифицировать субъекта. Оператор отвечает в течение 10 рабочих дней (ч. 3 ст. 14 Закона).
8.3. Удаление учётной записи — по запросу на hello@uximo.app. Оператор удаляет данные учётной записи в течение 30 дней; правки, ревью и комментарии в пространствах остаются за обезличенным автором «Удалённый пользователь». Записи журнала безопасности хранятся до истечения срока из раздела 6.
9. Защита
Оператор принимает меры по ст. 19 Закона: доступ к данным — только по ролям; пространства изолированы друг от друга на уровне базы данных; пароли хранятся в виде хэша; соединения шифруются (TLS); резервные копии шифруются до отправки, ключ хранится у Оператора отдельно; действия с данными записываются в журнал событий; о выгрузке пространства владелец получает письмо.
При утечке Оператор уведомляет Роскомнадзор в сроки ч. 3.1 ст. 21 Закона (24 и 72 часа).
10. Изменение политики
Оператор вправе менять политику. Действующая редакция с датой публикуется по адресу uximo.app/privacy; предыдущие редакции — по запросу.