Политика обработки персональных данных
1. Общие положения
1.1.Настоящая Политика обработки персональных данных (далее — Политика) определяет порядок и условия обработки персональных данных пользователей сервиса Wizle Money (далее — Сервис), доступного по адресу https://moneytracker.wizle.tech, а также меры по их защите.
1.2.Оператором персональных данных является индивидуальный предприниматель Олейников Анатолий Петрович (ИНН 232908716862, ОГРНИП 325237500048912), адрес для корреспонденции: 350005, Краснодарский Край, Краснодар Город, им. Героя Пешкова ул., дом 14, корп. 4, кв./офис 159, адрес электронной почты для обращений по вопросам персональных данных: privacy@wizle.tech (далее — Оператор).
1.3.Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных) и опубликована во исполнение части 2 статьи 18.1 этого закона. В отношении пользователей, находящихся в Европейском союзе и Европейской экономической зоне, Оператор также соблюдает Регламент (ЕС) 2016/679 (General Data Protection Regulation, далее — GDPR) в той мере, в какой он применим; в этом случае Оператор действует как контролёр данных.
1.4.Политика применяется ко всем персональным данным, которые Оператор получает при использовании Сервиса. Использование Сервиса также регулируется Пользовательским соглашением.
1.5.В Политике используются следующие термины:
- персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных);
- обработка персональных данных — любое действие или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без них;
- Пользователь — физическое лицо, которое посещает Сервис или зарегистрировало в нём учётную запись;
- ИИ-клиент — стороннее приложение с ИИ-ассистентом, которое Пользователь сам подключает к своей учётной записи по протоколу MCP.
2. Какие данные обрабатываются
2.1.Оператор обрабатывает персональные данные зарегистрированных Пользователей и посетителей публичных страниц Сервиса. В состав обрабатываемых данных входят:
- учётные данные: адрес электронной почты; хеш пароля (сам пароль не хранится); при входе через Telegram — идентификатор пользователя Telegram и имя, переданные Telegram;
- настройки: язык интерфейса, часовой пояс, настройки уведомлений и отчётов;
- сведения о принятии Пользовательского соглашения: его редакция и дата принятия;
- данные учёта, которые Пользователь вносит сам: счета и их валюты, остатки, операции и переводы, категории, места, заметки, плановые и регулярные платежи, бюджеты;
- сведения о подключённых ИИ-клиентах: название клиента, адрес возврата, выданные разрешения и сроки действия подключения; коды и токены доступа хранятся только в виде необратимых хешей;
- технические данные сеансов: хеш идентификатора сеанса и срок его действия; IP-адрес используется только в составе необратимого ключевого хеша для ограничения частоты запросов и в открытом виде в базе данных Сервиса не хранится;
- технические сведения об ошибках: тип браузера и операционной системы, версия приложения, описание ошибки — без идентификаторов Пользователя, cookie, заголовков и содержимого запросов.
2.2.Оператор не обрабатывает специальные категории персональных данных (сведения о расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья, интимной жизни) и биометрические персональные данные. Пользователю не следует указывать такие сведения в заметках и других полях свободного ввода.
2.3.Сервис не подключается к банкам и не получает сведений о реальных банковских счетах и картах Пользователя.
3. Цели, правовые основания и сроки обработки
3.1.Оператор обрабатывает только те данные, которые необходимы для указанных ниже целей. Для каждой цели установлены правовое основание и срок хранения.
| Цель | Данные | Правовое основание | Срок хранения |
|---|---|---|---|
| Регистрация, вход и ведение учётной записи | Адрес электронной почты, хеш пароля, идентификатор и имя в Telegram, язык, часовой пояс, данные сеансов, сведения о принятии Пользовательского соглашения | Заключение и исполнение договора с Пользователем (п. 5 ч. 1 ст. 6 Закона о персональных данных; ст. 6(1)(b) GDPR) | До удаления учётной записи; сеанс — 7 дней; код подтверждения — 10 минут, вход через Telegram — 5 минут |
| Предоставление функций учёта, планирования и отчётов | Данные учёта | Исполнение договора с Пользователем | До удаления учётной записи. Записи, удалённые Пользователем, хранятся с отметкой об удалении для возможности восстановления до удаления учётной записи |
| Отправка служебных писем: кодов подтверждения и включённых Пользователем напоминаний о платежах | Адрес электронной почты, язык, название, сумма и срок платежа | Исполнение договора с Пользователем | Письмо хранится в зашифрованной очереди до отправки или окончания срока его актуальности; сведения о событиях уведомлений — 90 дней |
| Передача данных подключённому ИИ-клиенту по поручению Пользователя | Данные учёта в объёме выданных Пользователем разрешений; сведения о подключении | Исполнение договора с Пользователем, по его поручению | Подключение действует не более 30 дней или до отзыва; хеши кодов и токенов удаляются после окончания срока их действия |
| Обеспечение безопасности и защита от злоупотреблений | Ключевые хеши IP-адреса и адреса электронной почты, счётчики запросов; журналы веб-сервера: IP-адрес, время и адрес запроса, сведения о браузере | Законные интересы Оператора в защите Сервиса и Пользователей (п. 7 ч. 1 ст. 6 Закона о персональных данных; ст. 6(1)(f) GDPR) | Счётчики — до окончания окна ограничения, не более 1 часа; журналы веб-сервера — не более 30 дней |
| Диагностика и исправление ошибок | Технические сведения об ошибках без идентификаторов Пользователя | Законные интересы Оператора в обеспечении работоспособности Сервиса (п. 7 ч. 1 ст. 6 Закона о персональных данных; ст. 6(1)(f) GDPR) | Не более 90 дней |
| Рассмотрение обращений и исполнение прав субъектов персональных данных | Адрес электронной почты или почтовый адрес, содержание обращения и ответа | Исполнение обязанностей Оператора, установленных законом (п. 2 ч. 1 ст. 6 Закона о персональных данных; ст. 6(1)(c) GDPR) | 3 года с даты ответа |
3.2.Оператор не использует персональные данные для рекламы, не продаёт их, не формирует на их основе маркетинговые профили и не принимает решений, порождающих юридические последствия для Пользователя, исключительно на основании автоматизированной обработки.
3.3.Адрес электронной почты и пароль либо данные Telegram необходимы для заключения договора: без них создать учётную запись невозможно. Данные учёта Пользователь вносит по своему усмотрению.
3.4.При достижении целей обработки, удалении учётной записи или отпадении правового основания Оператор уничтожает персональные данные в сроки, установленные Законом о персональных данных, если более длительное хранение не требуется по закону.
5. Действия с данными и способы обработки
5.1.Оператор осуществляет автоматизированную обработку персональных данных с использованием средств вычислительной техники и совершает с ними следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление и уничтожение.
5.2.Оператор не распространяет персональные данные, то есть не раскрывает их неопределённому кругу лиц.
6. Передача данных третьим лицам
6.1.Оператор передаёт персональные данные только в следующих случаях:
- лицам, обеспечивающим работу Сервиса по поручению Оператора, — поставщикам инфраструктуры размещения и поставщику услуги доставки электронной почты. Они обрабатывают данные только для оказания услуг Оператору, обязаны соблюдать конфиденциальность и принимать меры защиты в соответствии с частью 3 статьи 6 Закона о персональных данных. Сведения о таких лицах предоставляются по запросу субъекта персональных данных;
- ИИ-клиенту, который Пользователь подключил сам, — в объёме разрешений, подтверждённых Пользователем на экране подключения, и только по запросам этого клиента. ИИ-клиента Пользователь выбирает самостоятельно; обработка данных ИИ-клиентом регулируется правилами его поставщика, а не настоящей Политикой. Подключение можно отозвать в профиле в любой момент;
- государственным органам — в случаях и порядке, предусмотренных законодательством Российской Федерации.
6.2.При входе через Telegram Пользователь передаёт данные компании Telegram самостоятельно, а Оператор получает от Telegram только идентификатор и имя пользователя. Обработка данных компанией Telegram регулируется её собственной политикой конфиденциальности.
7. Место обработки и трансграничная передача
7.1.Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации, в соответствии с частью 5 статьи 18 Закона о персональных данных.
7.2.Оператор не осуществляет трансграничную передачу персональных данных по собственной инициативе. Если Пользователь подключает ИИ-клиент, поставщик которого находится за пределами Российской Федерации, данные учёта передаются этому клиенту по запросам, которые инициирует Пользователь, и в объёме выданных им разрешений. До подключения Пользователю следует ознакомиться с правилами обработки данных поставщиком ИИ-клиента.
7.3.Для Пользователей из Европейского союза и Европейской экономической зоны: данные обрабатываются в Российской Федерации, в отношении которой Европейская комиссия не принимала решения об адекватности уровня защиты. Передача данных необходима для исполнения договора с Пользователем (ст. 49(1)(b) GDPR).
8. Меры защиты
8.1.Оператор принимает правовые, организационные и технические меры, предусмотренные статьями 18.1 и 19 Закона о персональных данных, в том числе:
- пароли хранятся только в виде хешей Argon2id, коды подтверждения — в виде HMAC-SHA256, идентификаторы сеансов, коды и токены доступа ИИ-клиентов — в виде хешей SHA-256;
- данные передаются только по защищённому протоколу HTTPS;
- очередь служебных писем зашифрована алгоритмом AES-256-GCM;
- данные каждого Пользователя изолированы: доступ к записи возможен только из учётной записи её владельца или через подключённый им ИИ-клиент;
- частота попыток входа и других запросов ограничена;
- сведения об ошибках очищаются от идентификаторов Пользователя, cookie и содержимого запросов до передачи в систему мониторинга, которую Оператор размещает на собственной инфраструктуре;
- доступ к инфраструктуре Сервиса предоставляется только Оператору и лицам, обрабатывающим данные по его поручению.
8.2.Об инциденте, повлёкшем неправомерную или случайную передачу персональных данных, Оператор уведомляет Роскомнадзор в сроки, установленные частью 3.1 статьи 21 Закона о персональных данных, и сообщает затронутым Пользователям.
9. Права Пользователя
9.1.Пользователь вправе:
- получать сведения об обработке своих персональных данных (ст. 14 Закона о персональных данных; ст. 15 GDPR);
- требовать уточнения, блокирования или уничтожения персональных данных, если они неполные, неточные, устаревшие, незаконно получены или не нужны для заявленной цели; Пользователи из ЕС — также ограничения обработки (ст. 16–18 GDPR);
- требовать удаления учётной записи и всех связанных с ней данных;
- получить свои данные учёта в структурированном машиночитаемом формате (ст. 20 GDPR);
- возражать против обработки, основанной на законных интересах Оператора (ст. 21 GDPR);
- обжаловать действия или бездействие Оператора в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) или в суд; Пользователи из ЕС — также в надзорный орган по защите данных своей страны.
9.2.Часть действий Пользователь выполняет в Сервисе самостоятельно: изменяет язык, часовой пояс и настройки уведомлений, отвязывает способы входа, отзывает подключения ИИ-клиентов, изменяет и удаляет записи учёта.
9.3.Чтобы воспользоваться остальными правами, Пользователь направляет запрос на адрес privacy@wizle.tech с адреса электронной почты, указанного в учётной записи, или иным способом, позволяющим подтвердить принадлежность учётной записи, либо почтовым отправлением по адресу 350005, Краснодарский Край, Краснодар Город, им. Героя Пешкова ул., дом 14, корп. 4, кв./офис 159. Оператор отвечает в течение 10 рабочих дней с даты получения запроса. Срок может быть продлён не более чем на 5 рабочих дней с направлением Пользователю уведомления о причинах продления.
9.4.Учётная запись удаляется по запросу Пользователя. Оператор уничтожает связанные с ней персональные данные в течение 10 рабочих дней с даты получения запроса, за исключением данных, хранение которых требуется по закону.
10. Возрастное ограничение
10.1.Сервис предназначен для лиц, достигших 16 лет. Оператор сознательно не обрабатывает персональные данные лиц младше этого возраста. Если Оператору станет известно, что учётную запись создал такой пользователь, учётная запись и связанные с ней данные будут удалены.
11. Изменение Политики
11.1.Оператор вправе изменять Политику. Новая редакция публикуется на этой странице с указанием даты и вступает в силу с этой даты, если в ней не указано иное. О существенных изменениях Оператор уведомляет Пользователей по электронной почте или в интерфейсе Сервиса не позднее чем за 10 дней до их вступления в силу.
11.2.Политика опубликована на русском языке; переводы на другие языки приводятся для удобства. При расхождении текстов применяется русская редакция.
12. Контакты Оператора
12.1.Индивидуальный предприниматель Олейников Анатолий Петрович, ИНН 232908716862, ОГРНИП 325237500048912. Адрес для корреспонденции: 350005, Краснодарский Край, Краснодар Город, им. Героя Пешкова ул., дом 14, корп. 4, кв./офис 159. Электронная почта по вопросам персональных данных: privacy@wizle.tech.