Политика обработки персональных данных

1. Оператор

Индивидуальный предприниматель Колмыгина Ольга Сергеевна, ИНН 710707673101, ОГРНИП 325710000016658, адрес: 300013, Россия, Тульская область, г. Тула, ул. Болдина, д. 1, корп. 1, кв. 92.

Политика применяется к сайту mk-makrame.ru. Общие вопросы можно направить на support@mk-makrame.ru или через сообщество Decor Lilu в VK. По вопросам обработки персональных данных пишите на privacy@mk-makrame.ru.

2. Какие данные и для чего обрабатываются

• При обращении к API сайта и для защиты системы обрабатываются IP-адрес, дата и время, адрес API-маршрута и технический результат запроса; при ошибках записываются технические события. Журнал посещений статических страниц Nginx отключён. Эти сведения нужны для работы, безопасности и диагностики.
• Если посетитель отдельно разрешил внутреннюю аналитику сайта, в базе сайта записываются случайный ID одной вкладки, посещённые публичные страницы, время, пока страница открыта и вкладка видна, категория источника (например, Яндекс, Google, VK или прямой заход), безопасные UTM-метки и нажатия на открытие видеоурока, видео в VK и клуба. Этот ID не связывается с аккаунтом. В аналитическую таблицу не записываются IP-адрес, user-agent, полный адрес источника, поисковая фраза, строка поиска по каталогу, параметры URL, содержимое форм, email, телефон или данные кабинета. Время видимости страницы не подтверждает, что посетитель читал её или смотрел видео. Точные поисковые запросы сайт не получает; доступные поисковые фразы проверяются в инструментах поисковых систем.
• Если посетитель отдельно разрешил аналитику в настройках приватности, загружается Яндекс.Метрика. Она получает просмотры публичных страниц, источник перехода, безопасные UTM-метки, технические сведения о браузере, операционной системе, устройстве и экране, а также IP-адрес соединения; сервис может использовать идентификаторы в cookie и localStorage. Сайт передаёт только фиксированные события: открытие урока, открытие видео в VK и переход в клуб. Параметры входа, почта, телефон, данные кабинета и содержимое форм не передаются. Вебвизор, карты кликов, аналитика форм, ecommerce и автоматические цели отключены. После отказа отправка новых данных прекращается.
• Вход и кабинет: подтверждённый идентификатор VK ID, если выбран вход через VK, адрес электронной почты, если пользователь добавил его или выбрал вход по почте, защищённый хеш пароля (не сам пароль), сведения о сессии и согласии — для входа и защиты аккаунта.
• Проверка доступа VK Donut: только после входа в кабинет, привязки VK, отдельного согласия и нажатия пользователем кнопки проверки сервер получает одноразовый токен VK и использует его для запроса в VK API. Проверяются ID связанного профиля, статус участия в клубе и срок следующего платежа; список участников не выгружается. Токен не сохраняется. Для доступа сохраняется результат проверки и время проверки.
• Обучение: отметки материалов и этапов — чтобы продолжить бесплатный урок. До включения синхронизации эти сведения хранятся только в браузере при согласии на удобства.
• Прямые покупки цифровых уроков и наборов после запуска магазина: имя покупателя и получателя (если это разные люди), адрес электронной почты и/или телефон для связи и электронного чека, состав, стоимость и история заказа, идентификаторы платежа и чека; для набора — имя получателя, телефон, почтовый адрес или выбранный пункт выдачи. Данные банковской карты сайт мастерской не получает. Планируются эквайринг и сервис чеков Т-Банка; необходимые для оплаты и чека поля будут передаваться этому сервису. Для доставки планируются Почта России и СДЭК; при выборе покупателем другого перевозчика необходимые для доставки поля передадутся ему. Состав данных ограничивается оформлением, оплатой, чеком, доставкой, поддержкой, возвратом и обязательным учётом заказа.
• Форма поддержки после её запуска: имя или псевдоним, указанные контакты для ответа, текст вопроса, выбранный урок, история обращения и прикреплённые фотографии выполненных работ. Форма не предназначена для фотографий лиц или иных людей. Данные нужны, чтобы ответить на вопрос по плетению и разобрать обращение.

3. Правовые основания

Для создания кабинета запрашивается отдельное согласие на обработку данных. Внутренняя аналитика сайта и Яндекс.Метрика включаются независимо друг от друга только отдельным выбором посетителя в настройках приватности. Проверка клубной подписки и передача одноразового токена VK выполняются только по отдельному согласию на проверку Donut. Обращения пользователя и покупки обрабатываются для ответа на запрос, заключения и исполнения договора, а также выполнения обязанностей продавца и требований законодательства. Рекламные сообщения требуют отдельного предварительного согласия и не включаются в согласия на вход, аналитику, проверку клуба или покупку.

4. Действия с данными и получатели

Мастерская может собирать, записывать, систематизировать, хранить, уточнять, извлекать, использовать, передавать необходимым получателям, блокировать и уничтожать данные. Для сайта и основной базы используется VPS JustHost; туда же поступают минимальные события внутренней аналитики только после отдельного выбора посетителя. Для доставки кодов входа используется REG.RU Mail-1; при отдельном согласии на Яндекс.Метрику данные передаются сервису Яндекса. VK получает запрос проверки Donut и одноразовый токен только по действию пользователя, а также данные, передаваемые при выбранном входе через VK или открытии VK-материала. Публичная оферта JustHost называет исполнителем ООО «Баксэт»; применимость именно этого договора и фактическую площадку VPS необходимо сверить с карточкой услуги. Юридическое лицо REG.RU Mail-1 и место обработки почты, а также юридическое лицо, географию и сроки обработки Яндекс.Метрики необходимо сверить по документам услуг до актуализации уведомления оператора. Прямые оплаты, чеки и передача заказов перевозчикам на сайте пока не выполняются. Для планируемого магазина указаны Т-Банк, Почта России и СДЭК; до включения оплаты и доставки оператор сверит договорных получателей и поручения обработки, фактический состав полей и места обработки данных.

5. Хранение и защита

Основная база данных сайта размещена на VPS JustHost. События внутренней аналитики автоматически удаляются из рабочей базы не позднее 30 дней после записи; при отзыве согласия текущая вкладка просит удалить свой текущий сеанс, а уже завершённые сеансы удаляются по этому сроку. Зашифрованные резервные копии создаются по ежедневному расписанию и хранятся отдельно на носителе оператора в Туле; если компьютер выключен или пользователь Windows не вошёл в систему, копия не обновляется до следующего запуска. Резервная копия может содержать удалённые из рабочей базы события до своей ротации, не более шести месяцев. Яндекс.Метрика хранит полученные аналитические данные по своим условиям; юридическое лицо, географию обработки и сроки хранения необходимо подтвердить по документам сервиса. Срок зависит от цели: код входа действует 10 минут; сессия без отметки «Запомнить меня» заканчивается при закрытии браузера и в любом случае действует не дольше серверного срока (для администратора — 12 часов), а с отметкой «Запомнить меня на этом устройстве» может сохраняться до 30 дней; договорные, бухгалтерские и налоговые сведения хранятся в установленные законом сроки. Результат проверки Donut нужен только для временного предоставления доступа: он действует не дольше двух часов или до более ранней даты следующего платежа, а задача очистки удаляет просроченную запись не позднее пяти минут после окончания этого срока. Остальные данные удаляются или обезличиваются после достижения цели, отзыва согласия при отсутствии другого основания либо прекращения работы функции.

Применяются разграничение прав и серверная проверка ролей, шифрование HTTPS-соединения, отдельное хранение серверных секретов, журнал административных действий и технических событий, ежедневное шифрованное резервное копирование с проверкой восстановления. Рабочие технические и административные журналы хранятся не более 90 дней; журнал безопасности фиксирует факт проверки Donut, но не её результат. Nginx не сохраняет журнал обычных посещений статических страниц. При инциденте мастерская действует по установленному законом порядку уведомления.

6. Права посетителя

• Получить сведения об обработке своих данных, потребовать уточнения, блокирования или уничтожения при наличии оснований.
• Отозвать согласие; обработка может продолжиться только при наличии другого законного основания.
• Обратиться к оператору по адресу выше, а также в Роскомнадзор или суд.
• Не соглашаться на кабинет и продолжать пользоваться бесплатными уроками без регистрации.

7. Обновление политики

Актуальная редакция размещается по постоянному адресу этой страницы. Существенные изменения, требующие нового согласия, не применяются к ранее данным согласиям автоматически. Запросы субъектов данных принимаются по адресу, указанному в разделе «Оператор», и рассматриваются в сроки, предусмотренные законом.