Политика обработки персональных данных Кидзеума
Коротко. Мы храним почту родителя, имя и дату рождения ребёнка, фото его работ и то, что вы о них написали. У близких, которые заходят по ссылке, — только имя, если они его назвали, и что им понравилось. Всё это лежит на серверах в России. В превью ссылки для близких в мессенджере имени ребёнка и работ нет, пока вы сами не выберете «С именем и работой»; такое превью мессенджер сохранит у себя, в том числе за границей. Мы не продаём данные и не показываем рекламу. На открытых страницах сайта — главной, в журнале, на «Начать», «Войти» и других — посещения считает Яндекс Метрика, но только если вы её разрешили. В кабинете и в залах для близких её нет. В кабинете мы сами, без сторонних сервисов, отмечаем несколько действий — например, что вы поделились ссылкой или открыли «Тариф», — чтобы понимать, что улучшить; эти отметки храним 13 месяцев. Если вы пришли по нашей рекламной ссылке и завели музей, мы запомним, по какой ссылке, — чтобы понимать, какая реклама работает. Площадки, где была реклама, об этом не узнают. Данные карты видит только платёжный сервис. Работы мы храним, пока у вас есть аккаунт. Когда «Музей» заканчивается, мы ничего не удаляем, только близким по ссылке показываем у каждого ребёнка 15 работ. Бесплатный музей, в который год никто не заходил, мы удаляем, но заранее напишем. Удалить аккаунт можно и самим в кабинете: всё стирается сразу, из резервных копий — в течение 15 дней.
1. Кто обрабатывает данные
1.1. Оператор персональных данных — владелец сервиса Кидзеум, самозанятый (дальше — «мы» или «оператор»). Кто он и как с ним связаться — в разделе 13.
1.2. Политика действует для сайта kidzeum.ru и всех его страниц, включая кабинет и музеи по ссылке для близких, а также для Telegram-бота поддержки @kidzeumbot. Она написана по Федеральному закону № 152-ФЗ «О персональных данных».
1.3. За организацию обработки персональных данных отвечает сам оператор.
2. Чьи данные
- Пользователи — родители и другие законные представители, которые завели музей.
- Дети — художники, чьи данные вносит пользователь.
- Гости — близкие и друзья, которые открыли музей по ссылке.
- Посетители открытых страниц сайта — если они разрешили Яндекс Метрику (п. 3.10) или перешли по нашей рекламной ссылке (п. 3.12).
- Все, кто пишет нам на почту или в Telegram, в том числе оставляет отзыв на странице прощания.
3. Какие данные, зачем, на каком основании и сколько храним
3.1. Музей ребёнка
- Данные: почта пользователя; имя и дата рождения ребёнка и, если имя склоняется по-разному, как его склонять (мальчик или девочка); фото работ, их названия, рассказы, теги, даты и отметки «Избранное»; названия выставки и залов, если вы их написали; какое превью ссылки вы выбрали и какую работу сделали обложкой (ниже, «Превью ссылки»); дата последнего захода в музей — вашего или близких по ссылке (кто именно заходил, здесь не записываем); время согласия на обработку данных и редакция документов, с которыми человек согласился.
- Зачем: завести музей, хранить работы, размещать их в залах, подписывать возраст ребёнка на каждой работе, показывать музей по ссылке для близких; знать, нужен ли ещё бесплатный музей, и заранее предупреждать перед удалением (п. 8.4–8.5 оферты).
- Основание: договор с пользователем — оферта (п. 5 ч. 1 ст. 6 152-ФЗ); для данных ребёнка — согласие пользователя как законного представителя (п. 1 ч. 1 ст. 6, ст. 9 152-ФЗ).
- Срок — по правилам раздела 8 оферты:
- все данные музея — пока у вас есть аккаунт, на любом тарифе. Когда «Музей» заканчивается, мы ничего не удаляем: близкие по ссылке видят у каждого ребёнка один зал до 15 работ, а остальные работы хранятся и видны вам в кабинете (п. 8.2 оферты); - бесплатный музей — в том числе после окончания «Музея» — хранится, пока в него заходите вы или близкие по ссылке. Если 365 дней подряд на бесплатном тарифе не заходил никто, удаляем аккаунт целиком, предупредив за 30 и за 7 дней (п. 8.4–8.5 оферты).
Когда аккаунт удалён по этому правилу, цель обработки его данных достигнута. Он стирается из сервиса сразу, а из резервных копий — в течение 15 дней, то есть не позже 30 дней со дня удаления (ч. 4 ст. 21 152-ФЗ). То, что вы удалили сами (работу, музей ребёнка или весь аккаунт), так же исчезает из сервиса сразу, а из резервных копий — в течение 15 дней (см. раздел 8 ниже).
- Архив «Скачать все работы»: ссылка на него приходит на подтверждённую почту и работает 7 дней. На следующий день после этого архив удаляется.
Про фото. В файле с телефона бывают служебные сведения: дата съёмки, модель телефона, иногда место съёмки. Мы храним оригинал как есть, чтобы вы могли скачать его в полном качестве. В копиях для зала этих сведений нет. Место съёмки мы не читаем и не используем. Дату работы при загрузке берём из даты файла на устройстве — её можно поменять.
Превью ссылки для близких. Когда ссылку на музей отправляют в мессенджер или соцсеть, под ней появляется превью — заголовок, описание и картинка. Его составляет сам мессенджер: он запрашивает их у нашего сайта. Что в превью, у каждого ребёнка выбираете вы в кабинете, на «Близких»:
- «Просто приглашение» — так стоит, пока вы не выберете другое: «Вас приглашают на выставку» и число работ в залах, общая картинка Кидзеума. Имени ребёнка и его работ нет.
- «С именем и работой» — имя ребёнка, название выставки и число работ в залах, а картинка — обложка: одна работа в раме на светлой стене. Обложку делает наш сервер: это картинка 1200×630 из уменьшенной копии работы, без служебных сведений файла (даты съёмки, модели телефона, места), не оригинал. Обложка — работа, которую вы выбрали сами, а если не выбрали или её сейчас нет в зале, — работа с наибольшим числом сердечек близких, без сердечек — первая. Обложкой может быть только работа, которая висит в зале.
- Основание: ваше согласие как законного представителя (п. 1 ч. 1 ст. 6, ст. 9 152-ФЗ; согласие, п. 4). Выбор «С именем и работой» вы делаете сами и можете отменить в любой момент.
- Что мы храним: ваш выбор и выбранную обложку — пока есть музей; готовую картинку обложки — в хранилище фото (п. 5.2) не дольше, чем саму работу. Картинку отдаём, только пока выбрано «С именем и работой» и только по действующей ссылке: после «Просто приглашения» и смены ссылки адрес обложки больше не открывается, а удалённая работа обложкой больше не бывает.
- Что хранит мессенджер: превью, которое он уже показал, остаётся в отправленных сообщениях — даже если потом сменить ссылку, удалить работу или выбрать «Просто приглашение». Мессенджер может какое-то время показывать прежнее превью и в новых сообщениях с той же ссылкой; чтобы оно точно обновилось, смените ссылку. Удалить превью у мессенджера мы не можем (п. 5.6, 6.2).
3.2. Вход и безопасность
- Данные: почта; одноразовые ссылки для входа; сессия на устройстве (кука `kz_session`); IP-адрес и почта — для защиты от подбора и от писем на чужие ящики.
- Зачем: пускать в кабинет только владельца музея и защищать сервис от взлома.
- Основание: договор (п. 5 ч. 1 ст. 6 152-ФЗ) и законный интерес оператора в безопасности сервиса (п. 7 ч. 1 ст. 6 152-ФЗ).
- Срок: ссылка для входа работает 24 часа, запись о ней храним 30 дней; сессия — до выхода или 400 дней без входов; записи для защиты от подбора — до суток. Удаляем автоматически.
3.3. Гости в зале
- Данные: имя и родство, если гость их назвал («Бабушка Галя»); случайный идентификатор устройства (кука `kz_guest`); визиты: день, сколько работ посмотрел, была ли экскурсия, каким работам поставил сердечко.
- Зачем: показать семье, кто заходил и что понравилось; узнавать гостя при следующем визите, чтобы не спрашивать имя снова; по сердечкам подсказать семье, какие работы самые любимые, и выбрать, какие работы первыми попадут в зал, когда мест в нём мало, — после окончания «Музея» (п. 8.2 оферты); выбрать обложку превью ссылки, если семья включила «С именем и работой» и не выбрала обложку сама (п. 3.1). В превью нет ни имени гостя, ни числа сердечек. Кроме того, сам факт визита продлевает срок бесплатного музея (п. 3.1): мы отмечаем только дату, без того, кто заходил.
- Основание: согласие гостя (п. 1 ч. 1 ст. 6 152-ФЗ). Гость может войти без имени — тогда семья увидит «Без имени».
- Срок: пока гость заходит; через 400 дней без визитов — удаляем. Визиты показываем семье за последний год и храним 1 год. Удаляем автоматически раз в сутки.
- Кто видит: только пользователь, которому принадлежит музей. Другие гости имени не видят — только число сердечек.
- В залах для близких нет Яндекс Метрики и других счётчиков статистики.
3.4. Оплата
- Данные: почта; тариф, сумма, дата и статус платежа; номер счёта и идентификатор платежа в Robokassa; номер первого платежа, по которому Robokassa проводит автоматические списания; время согласия на автоматические списания и редакция оферты; промокод, если вы его применили (п. 3.12); подаренный срок «Музея», если он был (оферта, п. 4.9, 4.11); сколько денег вернули и когда.
- Зачем: принять оплату, продлевать «Музей» автоматически, если вы на это согласились, дать возобновить автопродление после отмены без новой оплаты, дать скидку по промокоду, сформировать чек, вернуть деньги.
- Основание: договор (п. 5 ч. 1 ст. 6 152-ФЗ) и обязанность по закону выдавать чеки (п. 2 ч. 1 ст. 6 152-ФЗ; ст. 14 Федерального закона № 422-ФЗ).
- Срок:
- номер первого платежа для автоматических списаний — пока включено автопродление. Если вы его отменили, храним номер до конца оплаченного периода, чтобы вы могли возобновить автопродление (п. 6.6–6.7 оферты), и стираем, когда период закончится; - остальные записи о платежах — пока есть аккаунт. Когда аккаунт удаляют, они удаляются вместе с ним (из резервных копий — в течение 15 дней). Чеки остаются в приложении «Мой налог», а сведения об операциях — у Robokassa: они хранят их по своим обязанностям.
- Данные карты — номер, срок, CVC — вводятся на стороне Robokassa. Мы их не видим и не храним.
3.5. Письма о музее и оплате
- Данные: почта, имя ребёнка (в теме и тексте некоторых писем).
- Что за письма: подтверждение почты, ссылка для входа, подтверждение смены почты и удаления аккаунта, «Музей удалён», ссылка на архив работ; об оплате и продлении «Музея», напоминание за 3 дня до списания, о том, что списание не прошло, об отмене и возобновлении автопродления, о переходе между месяцем и годом, об окончании «Музея», о возврате денег. Ещё — предупреждения перед удалением бесплатного музея, в который давно не заходили (за 30 и 7 дней, со ссылкой «Оставить музей»), и письма об изменении условий. Без этих писем сервисом нельзя пользоваться, поэтому отдельного согласия на них не нужно. Рекламы в них нет.
- Как отправляем: через почтовый сервис ООО «Яндекс.Облако» (п. 5.2) с адреса hello@kidzeum.ru. Если вы ответите на письмо, ответ придёт в наш почтовый ящик для обращений.
- Основание: договор (п. 5 ч. 1 ст. 6 152-ФЗ).
- Срок: пока есть музей.
3.6. Письма в поддержку
- Данные: почта и то, что вы написали.
- Зачем: ответить и решить вопрос.
- Основание: договор или ваше обращение (п. 5 ч. 1 ст. 6 152-ФЗ).
- Где: в нашем почтовом ящике на Яндекс Почте.
- Срок: 3 года после ответа — столько длится срок исковой давности.
3.7. Вопросы в Telegram
Задать вопрос можно и в Telegram-боте @kidzeumbot. Это по желанию: почта kidzeum@yandex.ru работает так же.
- Данные: имя и ник в Telegram, номер чата, текст и картинки, которые вы прислали.
- Как это устроено: бот пересылает ваше сообщение в Telegram оператору и отправляет вам его ответ. Бот не связан с базой Кидзеума: через бота из музея в Telegram ничего не уходит, а из переписки мы ничего не переносим в музей. Сам бот хранит только номер вашего чата и номера сообщений — чтобы ответ попал к вам.
- Кто ещё видит: Telegram — иностранная компания, переписка хранится на её серверах за пределами России и по её правилам. Мы не поручаем Telegram обработку данных — вы сами выбираете, писать туда или на почту.
- Чего туда не присылать: данные ребёнка, фото работ и ссылку для близких. Просьбы о ваших данных (узнать, исправить, удалить, отозвать согласие), отмену автопродления, возврат и претензии присылайте на почту или делайте в кабинете: в Telegram мы не можем проверить, что музей ваш.
- Основание: ваше обращение (п. 5 ч. 1 ст. 6 152-ФЗ).
- Срок: бот хранит номер чата и связь «ваше сообщение — наш ответ» не дольше года с последнего сообщения, затем удаляет их сам. Саму переписку хранит Telegram; её можно удалить в самом Telegram.
3.8. Отзыв на странице прощания
- Данные: текст, который вы написали на странице «До свидания» после удаления аккаунта. Он приходит нам письмом без вашей почты и без связи с аккаунтом — аккаунта к этому времени уже нет. Чтобы форму не засыпали спамом, IP-адрес на сутки попадает в счётчик попыток.
- Зачем: понять, почему уходят, и сделать сервис лучше.
- Основание: отзыв оставлять не обязательно. Если вы назовёте в нём себя, это ваше решение; мы обрабатываем отзыв в законном интересе — чтобы улучшать сервис (п. 7 ч. 1 ст. 6 152-ФЗ).
- Срок: в нашем почтовом ящике — пока письмо нужно, чтобы ответить и решить вопрос.
3.9. Новости
Сейчас мы не рассылаем новости и рекламу и не собираем для них почты. Если начнём, то только тем, кто отдельно на это согласится (документ «Согласие на письма о новостях», kidzeum.ru/legal/news). Галочка не будет стоять заранее, и от неё не будет зависеть, можно ли пользоваться сервисом.
3.10. Статистика посещений — Яндекс Метрика
- Где работает: только на открытых страницах — тех, что открываются без входа: главная, журнал, документы, «Начать», «Войти» и другие. В кабинете, в залах для близких и на страницах входа по ссылке из письма Метрики нет.
- Когда: только если вы нажали «Понятно» в окошке внизу страницы. Пока вы не выбрали или если нажали «без Метрики», Метрика не загружается.
- Данные: cookie-идентификатор браузера; IP-адрес и примерный регион, который Яндекс определяет по нему; браузер, устройство, операционная система, размер экрана, язык; адрес открытой страницы — без параметров после «?»; откуда вы пришли (если из кабинета или зала — только kidzeum.ru, без адреса страницы); время и длительность визита; отметки о том, что вы нажали одну из главных кнопок — «Начать» или «Попробовать», кнопку тарифа на главной, «Подробнее» о цене для первых семей — или отправили форму «Начать» или «Войти» (в Метрике это называется «цели»). Что вы ввели в форму, в эти отметки не попадает.
- Что выключено: Вебвизор (запись действий на странице), карта кликов и отслеживание переходов по ссылкам. Метрика не видит, что вы вводите в формы, и не получает вашу почту, имя ребёнка или ссылку на музей.
- Зачем: считать посещения, понимать, какие страницы и статьи читают, откуда приходят и сколько людей доходит от главной до своего музея, чтобы делать сайт понятнее. Мы смотрим только сводные отчёты. Кто именно заходил, мы по ним не ищем и с данными кабинета их не сопоставляем.
- Основание: ваше согласие (п. 1 ч. 1 ст. 6 152-ФЗ) — отдельный документ «Согласие на cookie и Яндекс Метрику», kidzeum.ru/legal/cookies.
- Кто обрабатывает: ООО «ЯНДЕКС» по нашему поручению (п. 5.2). По условиям Метрики Яндекс может использовать эти данные и в целях, описанных в его Политике конфиденциальности (yandex.ru/legal/confidential). Данные хранятся в России.
- Срок: до отзыва согласия. Cookie Метрики живут до 1 года. Данные в Метрике хранятся столько, сколько установлено условиями Яндекс Метрики.
- Как отказаться: нажать «без Метрики» в окошке, а если уже разрешили — открыть ссылку «Cookie и Метрика» внизу любой открытой страницы и выключить Метрику. Ещё можно поставить расширение «Блокировщик Яндекс Метрики» (yandex.ru/support/metrica/ru/general/opt-out) — оно запрещает Метрике собирать данные на всех сайтах.
3.11. Как пользуются кабинетом
- Данные: чей это кабинет (номер семьи в нашей базе), какое действие и когда. Отмечаем только такие действия: поделились ссылкой на музей; скопировали ссылку; открыли «Тариф»; открыли окно отмены автопродления; остались после этого окна; отменили автопродление; вернули автопродление. Ничего другого — IP-адреса, устройства, текста, работ — в эти отметки не пишем.
- Зачем: понимать, как пользуются Кидзеумом, и делать его лучше — например, видеть, удобно ли делиться музеем с близкими и понятно ли, что будет после отмены автопродления. Смотрим сводные цифры по всем семьям. Рекламы и писем по этим отметкам нет, решений о вас по ним мы не принимаем.
- Основание: законный интерес оператора — улучшать сервис (п. 7 ч. 1 ст. 6 152-ФЗ).
- Кто видит: только оператор. Отметки лежат в нашей базе в России (раздел 6), сервисы аналитики их не получают. Яндекс Метрики в кабинете нет (п. 3.10).
- Срок: 13 месяцев со дня действия, потом удаляем. Когда аккаунт удаляют, отметки удаляются вместе с ним (из резервных копий — в течение 15 дней).
Сводные цифры и проверка работы сервиса — без персональных данных. Раз в день мы считаем общие цифры по сервису: сколько семей, работ, визитов близких, оплат и т. п. Это только числа, без почт, имён и номеров семей; сводка приходит нам на почту. Счётчики работы сайта — работает ли он, как идёт обработка фото, сколько ошибок и оплат — уходят в сервис Yandex Monitoring (ООО «Яндекс.Облако» — та же компания, что хранит фото, п. 5.2), тоже без персональных данных. Оттуда нам приходят оповещения на почту и в Telegram: в них только название проверки и число.
3.12. Откуда пришли: рекламные ссылки и промокоды
В рекламе и постах о Кидзеуме мы даём короткие ссылки вида kidzeum.ru/s/… — у каждого размещения своя. Иногда к ссылке привязан промокод.
- Данные:
- *переходы по ссылке* — только число за день. Чтобы не посчитать один переход дважды, IP-адрес ненадолго запоминается и удаляется автоматически не позже чем через сутки; - *код ссылки в браузере* — кука `kz_src`, а если к ссылке привязан промокод, то и `kz_promo` (п. 7.2). В них только код ссылки и промокод — одинаковые у всех, кто пришёл по этой ссылке; - *откуда пришла семья* — если в течение 30 дней после перехода вы заведёте музей, мы запишем в аккаунт, по какой ссылке вы пришли; - *промокод* — какой промокод семья применила, когда и к какому платежу.
- Зачем: понимать, какие размещения рекламы приводят семьи и окупаются: сколько музеев, оплат и выручки дала каждая ссылка; дать скидку или подаренные дни по промокоду и следить, чтобы у семьи был только один промокод (оферта, п. 4.7).
- Основание: для переходов и записи, откуда пришла семья, — законный интерес оператора: оценивать, какая реклама работает (п. 7 ч. 1 ст. 6 152-ФЗ). Данных здесь минимум, к вам лично они ничего не добавляют, и решений о вас по ним мы не принимаем. Для промокода — договор (п. 5 ч. 1 ст. 6 152-ФЗ): скидка и подарок — условия оферты (п. 4.7–4.10).
- Кто видит: только оператор. В отчётах по рекламе — общие цифры по каждой ссылке. Площадкам, где размещалась реклама, их владельцам и рекламным сервисам мы не сообщаем, кто пришёл по ссылке и кто оплатил. Рекламных пикселей и счётчиков рекламных сетей на сайте нет (п. 7.5).
- Срок: запись, откуда пришла семья, и сведения о промокоде — пока есть аккаунт; удаляются вместе с ним (из резервных копий — в течение 15 дней). Если не хотите, чтобы вашу семью учитывали в отчётах по рекламе, напишите на kidzeum@yandex.ru — сотрём запись о ссылке. Промокод при этом останется отмеченным: второй всё равно не получится (оферта, п. 4.7).
- Переходы и коды ссылок мы не используем для писем, рекламы и предложений конкретной семье.
3.13. Администрирование сервиса и обезличенная статистика
- Администрирование. Доступ к данным пользователей для администрирования сервиса — поддержки, оплат, возвратов (оферта, раздел 7), подарков и продлений «Музея» (оферта, п. 4.11) — есть только у оператора. Что и почему сделано с аккаунтом, записывается в служебный журнал — чтобы можно было разобраться, например, при споре о возврате. Основание — договор и законный интерес оператора в безопасности сервиса (п. 5 и 7 ч. 1 ст. 6 152-ФЗ). Срок — 3 года.
- Статистика для оценки рекламы. Для анализа рекламы оператор может пользоваться сторонними сервисами, в том числе зарубежными. Им передаются только обезличенные общие цифры — без почт, имён, работ, ссылок на музеи и без цифр, по которым можно узнать конкретную семью. Персональные данные за границу не передаются (раздел 6).
4. Что мы делаем с данными
4.1. Собираем, записываем, систематизируем, накапливаем, храним, уточняем, извлекаем, используем, предоставляем доступ (п. 5), удаляем и уничтожаем. Обработка автоматизированная.
4.2. Сервис сам размещает работы и убирает фон у поделок. Решений, которые имеют для вас юридические последствия, программа не принимает (ст. 16 152-ФЗ).
4.3. Мы не берём данные больше, чем нужно для этих целей, и не используем их для других (ч. 2 и 5 ст. 5 152-ФЗ).
5. Кому мы передаём данные
5.1. Тем, кому вы сами дали ссылку для близких. Они видят имя ребёнка, его работы, которые висят в залах, с названиями, датами и рассказами и возраст на каждой работе. Сколько работ видно, зависит от тарифа (п. 10.3 оферты). В превью ссылки, которое видно прямо в сообщении, ещё до того, как ссылку открыли, имя ребёнка и одна его работа бывают, только если вы сами выбрали «С именем и работой» (п. 3.1). Превью видят все, кто видит сообщение, — например, все участники чата и те, кому сообщение переслали.
5.2. Подрядчикам, которые обрабатывают данные по нашему поручению (ч. 3 ст. 6 152-ФЗ). Все они — российские компании, данные хранят в России и обязаны соблюдать конфиденциальность и требования ст. 19 152-ФЗ:
- хранение фото и резервных копий, отправка писем — ООО «Яндекс.Облако», ИНН 7704458262, 119021, г. Москва, ул. Льва Толстого, д. 16, помещ. 528;
- почтовый ящик для обращений и ответов на наши письма (Яндекс Почта) и статистика посещений открытых страниц (Яндекс Метрика, только с вашего согласия) — ООО «ЯНДЕКС», ИНН 7736207543, 119021, г. Москва, ул. Льва Толстого, д. 16;
- приём платежей и формирование чеков — ООО «Робокасса», ИНН 5047063929, 115054, г. Москва, Стремянный пер., д. 26.
5.3. Хостинг сервера. Сайт и база данных работают на виртуальном сервере, который мы арендуем у хостинг-провайдера. Сервер стоит в дата-центре в Москве. Хостинг даёт сервер, электричество и связь, а сервером и данными на нём управляем только мы; по договору хостинг содержимое сервера не просматривает. Поэтому обработку данных мы хостингу не поручаем и данные ему не передаём. Сторона договора хостинга, по его оферте, — иностранная компания First Server S.L. (Испания). На то, где лежат данные, это не влияет: база и резервные копии хранятся в России и за границу не уходят (раздел 6).
5.4. Налоговой службе — сведения о платеже для чека через приложение «Мой налог» (ст. 14 422-ФЗ).
5.5. Государственным органам — только по законному запросу.
5.6. Мессенджеры и соцсети, через которые вы отправляете ссылку для близких. Если у ребёнка выбрано «С именем и работой», мессенджер, в который отправили ссылку, сам запрашивает у нашего сайта превью — имя ребёнка, число работ и картинку обложки — и сохраняет его у себя по своим правилам (п. 3.1). Это происходит, только если вы сами выбрали такое превью и сами отправили ссылку через этот мессенджер. Обработку данных мы мессенджерам не поручаем и удалить сохранённое ими превью не можем. При «Просто приглашении» мессенджер получает только общий текст и общую картинку, без данных о ребёнке.
Если вы сами пишете нам в Telegram, ваши сообщения обрабатывает он (п. 3.7). Через бота поддержки данные музея в Telegram не попадают.
5.7. Мы не продаём данные и не передаём их для рекламы. Площадки и рекламные сервисы, где мы размещаем рекламу, не узнают от нас, кто пришёл по ссылке и кто оплатил (п. 3.12). Сервисы для анализа рекламы получают только обезличенные общие цифры (п. 3.13). Если у нас появится новый подрядчик, мы сначала обновим политику (раздел 12).
6. Где хранятся данные
6.1. Данные Кидзеума — база, фото, резервные копии, письма и статистика посещений — хранятся и обрабатываются в России (ч. 5 ст. 18 152-ФЗ): сервер сайта с базой и ночными резервными копиями — в дата-центре в Москве (п. 5.3); хранилище фото и зашифрованная копия базы — Yandex Object Storage, регион ru-central1 (центры обработки данных Яндекса в России). За границу мы их не передаём.
6.2. Исключений два, и оба выбираете вы:
- если вы пишете нам в Telegram, ваши сообщения хранит Telegram на своих серверах за пределами России (п. 3.7). Не хотите — пишите на почту kidzeum@yandex.ru, она работает так же;
- если вы выбрали у ребёнка превью «С именем и работой» и отправляете ссылку через иностранный мессенджер, например Telegram, он сохранит превью — имя ребёнка и картинку обложки — на своих серверах, в том числе за пределами России (п. 3.1, 5.6). Не хотите — оставьте «Просто приглашение»: тогда в превью нет данных о ребёнке.
7. Куки и похожие технологии
7.1. Эти куки нужны, чтобы сайт работал. Согласия на них не спрашиваем — без них не войти в кабинет и не узнать гостя:
- `kz_session` — вы вошли в кабинет на этом устройстве; живёт до 400 дней;
- `kz_guest` — гость уже представился в этом музее; живёт до 400 дней.
Отметки о действиях в кабинете (п. 3.11) новых cookie не ставят: мы записываем их у себя на сервере, а чей это кабинет, сервер и так знает по `kz_session`.
7.2. Куки рекламной ссылки. Если вы открыли нашу короткую ссылку kidzeum.ru/s/… из рекламы или поста, сайт ставит куку `kz_src` с кодом этой ссылки, а если к ссылке привязан промокод, — ещё и `kz_promo` с промокодом. Обе живут 30 дней и читаются только нашим сайтом. В них нет ничего о вас: код и промокод одинаковые у всех, кто пришёл по этой ссылке, и отличить по ним один браузер от другого нельзя. Если в эти 30 дней вы заведёте музей, мы запишем код ссылки в аккаунт (п. 3.12), а промокод подставим на странице «Тариф». Согласия на эти куки мы не спрашиваем: они не позволяют узнать человека, никому не передаются и нужны, чтобы дать обещанную в рекламе скидку и понять, какая реклама работает. Их можно удалить в настройках браузера — сайт будет работать так же, только промокод придётся ввести вручную.
7.3. В памяти браузера (localStorage) хранятся ещё две вещи, обе не уходят на сервер: ответ гостя в демонстрационном зале и ваш выбор про Метрику — «Понятно» или «без Метрики».
7.4. Cookie Яндекс Метрики ставятся только на открытых страницах и только после того, как вы нажали «Понятно» (п. 3.10). Это `_ym_uid`, `_ym_d`, `_ym_isad` и другие служебные cookie Метрики, а также cookie Яндекса на его доменах (например, `yandexuid`, `i`, `yabs-sid`). Они живут от нескольких минут до 1 года. Полный список с назначением и сроками — у Яндекса: yandex.ru/support/metrica/ru/general/cookie-usage.
7.5. Рекламных счётчиков и пикселей рекламных сетей на сайте нет: площадки, где мы размещаем рекламу, о переходах по нашим ссылкам от нас ничего не узнают. Если появятся новые счётчики, мы заранее обновим политику и снова спросим согласие.
8. Как мы защищаем данные
Мы принимаем правовые, организационные и технические меры, чтобы данные не попали к посторонним, не были изменены или уничтожены (ст. 19 152-ФЗ):
- соединение с сайтом защищено (HTTPS);
- музей и фото доступны только владельцу и тем, кому он дал ссылку для близких; ссылка длинная и случайная, поисковым системам показывать музеи запрещено;
- в превью ссылки по умолчанию нет данных о ребёнке; картинка обложки, если её выбрали, — уменьшенная копия без служебных сведений файла, не оригинал, и открывается только по действующей ссылке;
- данные для входа храним в виде, из которого их нельзя восстановить;
- сайт защищён от подбора и массовых запросов;
- доступ к данным разграничен: у каждой части сервиса — только те права, которые ей нужны; служебный доступ к данным пользователей — только у оператора, с усиленной проверкой входа, действия с аккаунтами записываются;
- обновления безопасности ставим регулярно;
- делаем резервные копии, одна из них хранится зашифрованной отдельно от сервера. Копии и прежние версии файлов хранятся ограниченное время, поэтому удалённое исчезает из них в течение 15 дней.
Кроме того, оператор оценил вред, который может быть причинён людям при нарушении закона (Требования, утверждённые приказом Роскомнадзора от 27.10.2022 № 178), определил актуальные угрозы и уровень защищённости данных — 4-й (постановление Правительства РФ от 01.11.2012 № 1119), утвердил перечень лиц с доступом к данным (это только сам оператор) и выполняет требования для этого уровня. Не реже раза в три года оператор проверяет, что меры защиты работают.
9. Ваши права и как ими воспользоваться
9.1. Вы можете:
- узнать, какие ваши данные и данные вашего ребёнка мы храним и что с ними делаем;
- попросить исправить неточные данные — большую часть можно исправить самим в кабинете;
- попросить удалить данные или весь музей;
- отозвать согласие;
- пожаловаться в Роскомнадзор или в суд.
9.2. Сами в кабинете: исправить имя и дату рождения ребёнка, названия и рассказы; удалить работу; сменить ссылку для близких («Близкие» → «Сменить ссылку»); скачать все работы; удалить музей одного ребёнка, если детей в аккаунте несколько («Ещё» → у ребёнка «Удалить музей»), или весь аккаунт вместе с музеями всех детей («Ещё» → «Удалить аккаунт и все музеи»). Если почта подтверждена, аккаунт удаляется после того, как вы нажмёте ссылку в письме, — так его не удалит человек, у которого случайно остался ваш телефон.
9.3. Письмом: на kidzeum@yandex.ru с почты, на которую заведён музей. В письме укажите эту почту — по ней мы поймём, что музей ваш (ч. 3 ст. 14 152-ФЗ). Гостю достаточно написать, в каком музее и под каким именем он заходил. В Telegram такие просьбы не принимаем: там мы не можем проверить, чей это музей, — подскажем, как сделать это в кабинете или по почте.
9.4. Сроки: отвечаем в течение 10 рабочих дней. Если нужно больше времени, предупредим и ответим не позднее чем ещё через 5 рабочих дней (ч. 1 ст. 20 152-ФЗ). Неточные данные исправляем в течение 7 рабочих дней. После отзыва согласия или просьбы удалить данные прекращаем обработку и уничтожаем данные не позднее чем через 30 дней (ч. 5 ст. 21 152-ФЗ). Удаление в кабинете происходит сразу, из резервных копий — в течение 15 дней. Когда данные больше не нужны по правилам хранения (п. 3.1), мы уничтожаем их не позднее чем через 30 дней (ч. 4 ст. 21 152-ФЗ).
9.5. Чеки об оплате остаются в «Мой налог» и после удаления аккаунта: их формирует и хранит налоговая служба по закону о налоге на профессиональный доход (ст. 14 422-ФЗ), удалить их мы не можем. Сведения об операциях остаются и у Robokassa — по её обязанностям.
10. Данные детей
10.1. Данные ребёнка вносит только его законный представитель. Сами дети в сервисе не регистрируются.
10.2. Мы просим только имя (можно без фамилии) и дату рождения — по ней подписываем возраст на работах.
10.3. Музей ребёнка не попадает в поиск и не показывается никому, кроме тех, кому вы дали ссылку. В залах нет счётчиков статистики. В превью ссылки по умолчанию нет ни имени ребёнка, ни его работ, и названия выставок по умолчанию — без имени. Имя и одна работа появляются в превью, только если вы сами выберете «С именем и работой»; тогда превью увидят все, кто видит сообщение со ссылкой, и его сохранит мессенджер (п. 3.1, 6.2).
10.4. Советуем фотографировать работы без людей в кадре.
11. Если данные утекли
Если мы узнаем, что данные попали к посторонним, мы:
- в течение 24 часов сообщим в Роскомнадзор, что случилось и что мы делаем;
- в течение 72 часов сообщим результаты расследования (ч. 3.1 ст. 21 152-ФЗ);
- напишем пользователям, чьих данных это коснулось, и объясним, что делать.
12. Изменения политики
Новую редакцию публикуем на kidzeum.ru/legal/privacy с датой. Если она меняет, какие данные мы собираем или кому передаём, мы заранее напишем пользователям, а там, где нужно, снова спросим согласие.
13. Кто оператор и как с нами связаться
- Оператор: Долбенев Игорь Алексеевич, плательщик налога на профессиональный доход (самозанятый)
- ИНН: 772603820138
- Почта для вопросов о данных, просьб и отзыва согласия: kidzeum@yandex.ru
- Сайт: kidzeum.ru
Вопросы можно задать и в Telegram: @kidzeumbot. Просьбы о данных — только на почту или в кабинете (п. 9.2–9.3).