Политика обработки персональных данных

1. Оператор и область действия

Оператором персональных данных является Исполнитель, указанный в шапке документа: Петров Р. Ф., Налогоплательщик налога на профессиональный доход (самозанятый), ИНН 165045917446. Политика применяется к посетителям сайта, зарегистрированным пользователям и сведениям, которые пользователи добавляют в планы поездок.

2. Категории данных

• Аккаунт: отображаемое имя или псевдоним, email, хеш пароля, состояние аккаунта, даты создания и изменения.
• Работа сервиса: поездки, роли, отображаемые имена участников, транспорт, вещи, задачи, комментарии, статусы и шаблоны.
• Технические данные: IP-адрес, user-agent, сведения о сессии, cookie, время запросов, журналы безопасности и ошибок; при выборе аналитики — данные веб-аналитики о посещении и действиях на страницах.
• Подтверждения: тип принятого документа, его версия и время подтверждения.

OutingFlow не запрашивает паспортные, биометрические, медицинские и иные специальные категории данных. Пользователям запрещено добавлять их без законного основания.

3. Цели и правовые основания

• создание аккаунта, аутентификация и исполнение Пользовательского соглашения;
• хранение и совместная работа с планами поездок;
• защита аккаунтов, предотвращение злоупотреблений, расследование ошибок и инцидентов;
• ответы на обращения и выполнение требований законодательства;
• подтверждение факта принятия юридических документов;
• анализ использования публичных и защищённых страниц с помощью Яндекс Метрики — только после отдельного выбора пользователя.

Обработка выполняется для заключения и исполнения Пользовательского соглашения, с согласия пользователя в применимых случаях и на иных основаниях, предусмотренных законодательством.

4. Операции с данными

Площадка может осуществлять сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, предоставление доступа внутри выбранной пользователем команды, блокирование, удаление и уничтожение данных. Обработка преимущественно автоматизированная.

5. Доступ и передача

Данные доступны самому пользователю и участникам тех поездок, которым предоставлен соответствующий доступ. Технический доступ может получать поставщик серверной инфраструктуры в объёме, необходимом для размещения и защиты сервиса. Для доставки регистрационных кодов и других транзакционных писем адрес электронной почты передаётся SMTP-провайдеру SMTP.BZ в объёме, необходимом для отправки сообщения. После отдельного выбора аналитики технические данные о посещении и действиях на страницах передаются Яндекс Метрике для статистики и улучшения интерфейса. OutingFlow не продаёт данные и не передаёт их рекламным сетям.

6. Сроки хранения

Данные аккаунта и поездок хранятся, пока аккаунт используется и пока они нужны для работы сервиса. После прекращения цели обработки данные удаляются или обезличиваются в сроки, необходимые для технического завершения операций, разрешения споров и выполнения обязательных требований закона. Резервные копии очищаются по циклу ротации.

7. Защита

Применяются разграничение доступа, хеширование паролей, защищённые session cookie, HTTPS, журналирование, резервное копирование и ограничение административного доступа. Ни один способ передачи и хранения не исключает риск полностью.

8. Реагирование на инциденты с персональными данными

Инцидентом для целей этого раздела считается установленный факт либо обоснованное предположение неправомерной или случайной передачи, предоставления, распространения или доступа к персональным данным.

1. Инцидент незамедлительно фиксируется: указываются время обнаружения, затронутые системы, источник сигнала и принятые первичные меры.
2. Площадка ограничивает дальнейший несанкционированный доступ, сохраняет необходимые технические следы и оценивает категории и объём затронутых данных.
3. Проводится внутреннее расследование причин, последствий и мер устранения; ход и результаты фиксируются в журнале инцидента.
4. Если установлен факт или имеется обоснованное предположение инцидента, подпадающего под ч. 3.1 ст. 21 Федерального закона № 152‑ФЗ, в уполномоченный орган направляется первичное уведомление не позднее 24 часов с момента его выявления. В нём указываются предполагаемые причины инцидента, предполагаемый вред правам субъектов данных, принятые меры по устранению последствий и сведения о лице, уполномоченном взаимодействовать с уполномоченным органом по вопросам инцидента.
5. Не позднее 72 часов с момента выявления в уполномоченный орган направляются результаты внутреннего расследования и сведения о лицах, действия которых привели к инциденту, если такие лица установлены.
6. После локализации площадка пересматривает меры защиты и устраняет выявленную причину. Уведомление пользователей осуществляется, когда это требуется законом или необходимо с учётом характера риска и доступного способа связи.

9. Права пользователя

Пользователь вправе получить сведения об обработке, потребовать уточнения, блокирования или удаления данных, отозвать согласие там, где обработка основана на согласии, и обжаловать действия оператора. Требование должно позволять определить аккаунт и содержание запроса; его можно направить на nabchelny@mail.ru.

10. Применимое законодательство и актуальность редакции

Политика учитывает Федеральный закон от 27.07.2006 № 152‑ФЗ «О персональных данных», включая порядок уведомления об инцидентах по ч. 3.1 ст. 21. Также учтены изменения, внесённые Федеральным законом от 30.11.2024 № 420‑ФЗ в Кодекс Российской Федерации об административных правонарушениях, включая чч. 10–11 ст. 13.11 КоАП РФ; положения 420‑ФЗ вступили в силу 30.05.2025.

Размеры и составы административной ответственности устанавливаются законодательством, а не настоящей Политикой. При изменении правовых требований или фактических процессов обработки Политика обновляется отдельной редакцией.

11. Изменения политики

Новая редакция публикуется на этой странице с новой датой. Существенные изменения, требующие нового подтверждения, не применяются к регистрации скрыто.