Политика конфиденциальности

Владелец записей — индивидуальный предприниматель Шурыгин Сергей Юрьевич, ИНН 21404200500219. Место нахождения: Кыргызская Республика, Иссык-Кульская область, город Каракол.

Место обработки данных: серверы хостинг-провайдера Beget в Российской Федерации, город Санкт-Петербург. Там лежат база площадки и фотографии объявлений. Отдельного человека, ответственного за обработку персональных данных, мы не назначали: Цифровой кодекс требует назначать его в организациях, где больше десяти работников. Вопросы по данным разбирает сам оператор, писать — на support@myna.kg.

Эта политика доступна до того, как ты передашь нам первые данные: страница открыта без регистрации и по ссылке из формы входа.

Номер телефона — он же логин, без него вход невозможен. Имя, которое ты сам указал. Город. Содержимое объявлений, фотографии и переписка. Технические данные: IP-адрес, тип устройства и браузера, время обращений. Данные о платежах за продвижение — в объёме, который возвращает платёжный шлюз.

Мы не собираем данные о здоровье, религии, политических взглядах и другие сведения особых категорий и просим не публиковать их в объявлениях.

Биометрию мы не обрабатываем: проверки личности по фотографии лица на площадке нет. Цифровой кодекс относит биометрические данные для цифровой идентификации к специальным категориям с запретом по умолчанию, и запускать такую проверку без отдельного правового основания мы не станем.

Оснований в законе шесть, и согласие — не первое из них. Большая часть обработки нужна для исполнения договора с тобой: без номера телефона нельзя войти, без города — показать объявление рядом.

Часть обработки основана на нашем законном интересе: защита от мошенничества, ограничение спама, безопасность сервиса. Часть — на прямом требовании закона.

Галочку «согласен на обработку данных» мы при регистрации не просим намеренно. Согласие, запрошенное при наличии другого основания, по Цифровому кодексу ничтожно — то есть такая галочка не только лишняя, но и юридически порочная. Там, где основанием служит именно согласие, ты можешь отозвать его в любой момент, и отозвать будет не сложнее, чем дать.

Платёжному провайдеру — данные, необходимые для проведения платежа за продвижение. Оператору SMS-рассылки — номер телефона и текст кода. Хостинг-провайдеру — в объёме, необходимом для работы сервиса. Больше никому: доступ к данным внутри площадки есть у оператора и у модераторов.

Рекламная сеть Яндекса (ООО «Яндекс», Российская Федерация) показывает рекламу на страницах каталога и получает при этом адрес открытой страницы, адрес перехода, сведения о браузере и устройстве, IP-адрес и присвоенный ею идентификатор. Яндекс использует эти сведения для подбора рекламы, то есть в собственных целях, а не по нашему поручению. Мы не передаём ему ни твоё имя, ни номер телефона, ни почту, ни содержание переписки. Рекламы нет на страницах подачи объявления, в личном кабинете, в переписке и в правовых документах. Отказаться от подбора рекламы можно в настройках Яндекса.

Мы не продаём персональные данные.

С каждым подрядчиком, который обрабатывает данные по нашему поручению, договор обязан содержать срок и цель обработки, состав данных и категории людей, обязанность работать только по нашим письменным распоряжениям, ограничение доступа, порядок исправления, удаления и ограничения обработки и учёт операций. Привлечь субподрядчика подрядчик может только с нашего предварительного письменного разрешения, а об инциденте обязан уведомить нас не позднее сорока восьми часов.

Наши серверы стоят в Российской Федерации, значит хранение данных — это уже трансграничная передача, и мы называем вещи своими именами.

Перечень иностранных государств с адекватной защитой прав субъектов персональных данных ведёт отраслевой регулятор. На сегодня такой перечень не опубликован, поэтому мы исходим из строгого варианта: адекватным не признано ни одно государство, и передача идёт только по основаниям для стран вне перечня.

Из этих оснований у нас работают два: передача необходима для исполнения договора с тобой и твоё согласие на трансграничную передачу, если оно потребуется отдельно. Ссылаться на договорные гарантии с получателем мы не можем: необходимые условия такого договора должен определить регулятор, и они пока не опубликованы. Прежняя редакция обещала «уровень защиты договором с получателем» — это обещание мы убрали как необеспеченное.

Данные аккаунта — пока он существует. Снятые объявления — ограниченный срок, чтобы можно было восстановить их и разобрать спор.

Записи о принятии соглашения и политики хранятся весь срок отношений и три года после их прекращения: этого требует Цифровой кодекс. Материалы продвинутых объявлений со всеми последующими изменениями храним год со дня последнего показа — этого требует Закон «О рекламе».

Коды подтверждения хранятся только в виде хеша и удаляются после использования.

Когда основание для обработки отпадает — например, ты отозвал согласие и других оснований нет, — записи удаляются немедленно, а не «в разумный срок». Не удаляем мы их только в четырёх случаях, названных в законе: для предъявления претензий, их исполнения или защиты от них; когда обязанность хранения прямо предусмотрена законодательством; в научных, исторических, статистических и архивных целях; и при осуществлении права на свободу слова.

Ты вправе получить подтверждение факта обработки, узнать основания и цели, наименование и место нахождения владельца записей, места обработки, круг тех, кто имеет доступ, сроки обработки, свои права, последствия отказа от обработки и то, как работают наши автоматические решения. Срок ответа — семь рабочих дней; обычно отвечаем быстрее.

Ты вправе запросить доступ ко всем данным о себе или их копию — тоже семь рабочих дней. Вправе потребовать исправить и дополнить записи; об исправлении сообщим в тот же семидневный срок.

Ты вправе потребовать перенести твои записи к другому владельцу: мы либо передадим их указанному владельцу, либо выдадим тебе в формате, пригодном для переноса.

Отказ от обработки имеет последствия, и мы говорим о них прямо: без номера телефона аккаунт создать нельзя, войти нельзя и объявление подать нельзя — на этих данных держится сам договор с тобой.

Ты вправе возразить против обработки определённым способом или в определённых целях — например, против обработки ради автоматических решений. Мы рассмотрим возражение и в течение семи рабочих дней пришлём мотивированное решение, а не отписку.

На время рассмотрения обработка ограничивается. Об установлении и о снятии ограничения сообщаем не позднее следующего рабочего дня.

Не согласен с нашим решением по возражению — его можно обжаловать в отраслевом регуляторе в сфере персональных данных или в суде.

Часть решений принимает алгоритм. Он проверяет объявление на запрещённые категории и на признаки мошенничества по тексту, фотографиям, цене относительно категории и по поведению аккаунта: скорости подачи, повторам, жалобам.

Что он может: отправить объявление на ручную проверку, отклонить его, скрыть из выдачи, ограничить подачу новых объявлений и заблокировать аккаунт. Для тебя это значит задержку публикации либо потерю показов, поэтому решение всегда объясняется.

Ты вправе потребовать, чтобы решение пересмотрел человек, и вправе потребовать вовсе прекратить принимать автоматические решения в твоём отношении.

Если произойдёт утечка или другой инцидент, затрагивающий права пользователей, мы уведомим отраслевого регулятора не позднее семидесяти двух часов с момента обнаружения. Если не уложимся, приложим объяснение причин задержки.

В уведомлении будет описание инцидента и оценка числа затронутых людей, контакт того, кто отвечает за обработку данных, описание последствий и описание принятых мер. По мере появления новых сведений мы обновляем эти данные.

Пострадавшим пользователям сообщаем тоже — по имеющимся у нас контактам.

Вопросы по обработке данных и запросы о своих правах — на support@myna.kg. Ответ приходит на ту же почту либо на номер, привязанный к аккаунту.

Надзорный орган — Государственное агентство по защите персональных данных при Кабинете Министров Кыргызской Республики. Обратиться туда можно и не дожидаясь нашего ответа.