Политика конфиденциальности
1. Оператор персональных данных
Оператором персональных данных в смысле Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ») и Регламента (EU) 2016/679 (Общий регламент по защите данных, далее — «GDPR») выступает администрация сайта (далее — «Оператор», «Сервис»). Контактный адрес: support@hubani.me. Запросы по вопросам обработки персональных данных рекомендуется направлять с пометкой «Privacy».
Запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, расположенных на территории Российской Федерации, в соответствии с частью 5 статьи 18 Федерального закона «О персональных данных» в действующей редакции. Первичная запись персональных данных, включая полнотекстовые пользовательские материалы и их редакционные версии, индексируемые поисковой подсистемой Сервиса, осуществляется в информационные системы, размещённые на территории Российской Федерации.
Лицо, ответственное за организацию обработки персональных данных в соответствии с пунктом 1 части 1 статьи 18.1 Федерального закона «О персональных данных», назначается приказом Оператора. Указанная роль является внутренней ролью Оператора в смысле российского законодательства и не тождественна роли должностного лица по защите данных (Data Protection Officer) в смысле статьи 37 GDPR.
Настоящая Политика конфиденциальности описывает, какие персональные данные собираются Сервисом, в каких целях обрабатываются, кому могут передаваться и как обеспечивается их защита.
Сервис ориентирован преимущественно на пользователей Российской Федерации и стран СНГ. Сервис не предназначен для пользователей Европейской экономической зоны и Соединённого Королевства. Оператор не назначает представителя в Европейском союзе в смысле статьи 27 Регламента (EU) 2016/679 (далее — «GDPR»), не ведёт реестр операций по обработке (RoPA) в смысле статьи 30 GDPR и не реализует процедуры уведомлений о нарушениях по статьям 33 и 34 GDPR. Пользователи указанных юрисдикций используют Сервис на свой страх и риск.
2. Какие данные мы собираем
При регистрации и использовании Сервиса Оператор обрабатывает следующие категории данных:
регистрационные данные: логин, отображаемое имя (displayName) и история его изменений, хэш пароля, адрес электронной почты, метод регистрации (прямая регистрация или OAuth-провайдер), дата создания аккаунта, файл изображения профиля (аватар) и идентификатор его версии, файл баннера профиля, текст раздела «О себе» (bio);
отображаемое имя (displayName) и публичная история его изменений: косметическое имя, отображаемое в профиле и рядом с публичной активностью Пользователя, допускающее символы Unicode, а также хронология ранее использованных отображаемых имён (до 10 последних значений). История отображаемых имён видима на публичной странице профиля любым посетителям Сервиса в целях прозрачности идентичности и противодействия имперсонации; записи, скрытые вследствие деидентификации по запросу Пользователя или удаления аккаунта, из публичного показа исключаются;
файлы изображений профиля: аватар и баннер профиля хранятся в виде файлов изображений (в форматах, используемых Сервисом) в облачном объектном хранилище Yandex Cloud Object Storage с инфраструктурой на территории Российской Федерации, включая исторические версии до их безвозвратного удаления. Оператор не применяет к изображениям профиля биометрическую идентификацию и не формирует биометрические персональные данные (см. раздел 10.1);
данные авторизации через сторонние сервисы (OAuth): идентификатор пользователя у провайдера, никнейм или логин у провайдера, ссылка на аватар, access- и refresh-токены, переданные провайдерами (VK и Yandex — для входа, регистрации и привязки учётной записи; Google — исключительно для привязки существующей учётной записи, вход и регистрация через Google недоступны; Shikimori — исключительно для привязки учётной записи и импорта списков, вход и регистрация через Shikimori недоступны); токены хранятся в зашифрованном виде;
технические данные сессии и устройства: IP-адрес, User-Agent, идентификатор устройства (хранится в защищённом cookie), название и тип устройства, сведения о браузере и операционной системе, признак доверенности устройства, время последней активности, в том числе в огрублённой форме («недавно», «сегодня», «на этой неделе», «давно») для отображения сведений о присутствии в социальных разделах Сервиса;
геолокационные данные: страна (ISO-код) и город по IP-адресу, определяемые автоматически при создании сессии;
security-данные: секрет двухфакторной аутентификации и резервные коды (хранятся в зашифрованном виде); токены восстановления пароля и подтверждения смены email (хранятся в хешированном виде);
журналы безопасности: история входов (успешные и неудачные попытки с указанием IP, User-Agent, времени), история значимых действий с аккаунтом (смены пароля, email, отзыв сессий, бан или разбан, назначение ролей); а также аудиторский журнал решений о блокировке учётной записи: идентификаторы Пользователя и сотрудника Оператора, принявшего решение, действие (блокировка или разблокировка), краткая причина, срок блокировки, криптографический хеш IP-адреса сотрудника, вычисляемый с использованием отдельного ключа (исходный IP-адрес сотрудника не хранится), и User-Agent сотрудника;
подписки на push-уведомления: идентификатор push-подписки и ключи шифрования полезной нагрузки, привязка к устройству;
данные о действиях на Сервисе: история просмотров и статусы произведений в списках (включая «планируется», «смотрит/читает», «просмотрено/прочитано», «брошено» и иные доступные в Сервисе статусы), оценки, отзывы, реакции, комментарии, заметки, списки избранного, скрытые материалы, пользовательские списки;
сведения о предпочтениях для персональных рекомендаций: явный отклик на рекомендательную выдачу — отметки «не интересно» и «уже смотрел / уже читал», в том числе выраженные жестами в режиме подбора карточками (свайпы), с указанием раздела Сервиса (поверхности), где отклик был дан, — а также события показов и взаимодействий с рекомендательной выдачей: факт показа рекомендованного произведения, переход по нему, жесты в режиме подбора карточками, позиция произведения в выдаче, источник подбора и технические идентификаторы сборки выдачи, а также связанный с каждой сборкой выдачи технический журнал её формирования (аудиторский след рекомендательного механизма): версии применявшихся правил подбора и вычислительных моделей, включая обозначение экспериментального варианта подбора (при участии сборки в A/B-тестировании), идентификаторы ревизий профиля вкуса, каталога и вычисленных представлений произведений, использованных при сборке, вклад каждого источника подбора по каждому включённому в выдачу произведению, итоговая степень соответствия (скор), вероятность включения произведения в выдачу, оценка достаточности накопленных сведений о предпочтениях Пользователя на момент сборки, признак показа в порядке исследования интересов и техническое начальное значение применённого случайного упорядочивания; события показов и технический журнал формирования выдачи записываются только при включённых персональных рекомендациях (см. разделы 9 и 12);
данные о социальных связях: подписки, дружеские связи, списки заблокированных пользователей (чёрный список), а также производные обезличенные показатели, вычисляемые на их основе (в частности, процент совместимости вкусов — affinity);
лента активности: записи о совершённых Пользователем публичных действиях на Сервисе (оценки, изменения статусов, добавления в списки, получение достижений) со снимками (snapshot) сопутствующих метаданных на момент действия;
журнал ежедневной активности: факт просмотра аниме-эпизода или чтения главы манги с гранулярностью «день / тип активности», без сведений о конкретном произведении, — для расчёта стрик-достижений и построения календаря активности (heatmap) в профиле;
данные геймификации: достижения, опыт, уровни, прогресс по стрик-достижениям, участие в кампаниях геймификации;
сведения о модераторских санкциях и решениях: применённые к учётной записи ограничения функциональности (в частности, ограничение функции комментирования — mute), страйк-уровень, код и локализованная причина санкции, период её действия, дата отзыва; служебная заметка модератора — во внутреннем виде, не раскрываемом субъекту; сигналы автоматических детекторов Контента (вердикт, оценка, коды сработавших правил) — доступны только модераторам и администраторам и в публичные представления не попадают;
уведомления и история коммуникаций: in-app уведомления и статусы их доставки и прочтения; отправленные email-сообщения и статусы их доставки; журнал отправленных web-push уведомлений — заголовок, текст и содержимое (payload) уведомления, а также статус доставки до push-сервиса провайдера (доставлено, ошибка доставки, подписка удалена); статусы прочтения web-push уведомлений Оператором не отслеживаются;
факт принятия правовых документов Сервиса: версия документа, дата принятия, IP-адрес и User-Agent на момент принятия; а также записи журнала активаций согласийных целей — обозначение цели, направление волеизъявления (активация либо прекращение обработки по цели), способ его получения, версия Согласия на обработку персональных данных на момент действия, дата и время действия, IP-адрес и User-Agent; содержимое полей профиля и значения настроек в такие записи не включаются (см. Согласие на обработку персональных данных, /legal/personal-data-consent, раздел 5.9);
поведенческие аналитические события и атрибуты сегментации (при наличии согласия Пользователя в cookie-баннере, см. разделы 6 и 13): псевдонимизированные поведенческие события взаимодействия с функциями Сервиса, используемые для формирования обезличенных агрегированных показателей, — без текста поисковых запросов, содержимого сообщений и учётных данных, — атрибуты сегментации аккаунта (например, уровень, факт аутентификации, возрастная группа), а также технические данные, автоматически собираемые средствами веб-аналитики, включая запись действий на странице (Webvisor) и тепловые карты кликов;
данные внешних заявителей (не Пользователей Сервиса), направляющих уведомления о нарушении исключительных прав через публичную форму либо по электронной почте: адрес электронной почты заявителя, псевдонимизированный идентификатор IP-адреса (криптографический хеш, вычисляемый с использованием секретного ключа), User-Agent, а также содержание уведомления (указание на спорный материал, описание нарушения, подтверждение добросовестности).
Сервис не запрашивает у Пользователя и не осуществляет целенаправленную обработку специальных категорий персональных данных в смысле статьи 10 Федерального закона «О персональных данных»: данных о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни. Размещение такой информации о третьих лицах в открытых разделах Сервиса (профиль, отображаемое имя, раздел «О себе», отзывы, комментарии) запрещено правилами Сервиса (Пользовательское соглашение, /legal/terms-of-service, раздел 4); размещение Пользователем таких сведений о самом себе, если оно происходит, является добровольным раскрытием по собственной инициативе Пользователя и Оператором не запрашивается. Оператор вправе по собственной инициативе скрыть, удалить или деиндексировать любые такие данные, размещённые Пользователем в открытых разделах Сервиса, без предварительного уведомления Пользователя при выявлении явной избыточности по отношению к целям использования Сервиса либо нарушения требований законодательства Российской Федерации или правил Сервиса. Обращения о размещении в открытых разделах Сервиса сведений, относящихся к специальным категориям персональных данных, рассматриваются Оператором в приоритетном порядке, а соответствующие сведения оперативно скрываются или удаляются (контакты для обращений — раздел 15).
Сервис не собирает биометрические персональные данные в смысле статьи 11 Федерального закона «О персональных данных». Загружаемые Пользователем изображения профиля (аватар, баннер) могут содержать изображение лица Пользователя, размещаемое по его собственной инициативе, однако Оператор не осуществляет их биометрическую обработку и не использует для идентификации личности. Точная геолокация (определение местоположения по сигналам GPS, Bluetooth-маяков или WiFi-триангуляции) Сервисом не запрашивается и не обрабатывается; геолокация определяется исключительно по IP-адресу с точностью до города.
Сервис является социальным: профиль Пользователя и его пользовательская активность (оценки, статусы, списки, лента активности, связи с другими пользователями, достижения) по умолчанию доступны для просмотра другим Пользователям и неавторизованным посетителям Сервиса. Такое отображение — неотъемлемая часть функциональности Сервиса, о которой Пользователь информируется до регистрации настоящей Политикой и Пользовательским соглашением. Пользователь в любой момент может ограничить видимость отдельных разделов своего профиля в настройках приватности (уровни видимости: «всем», «друзьям», «только мне»); ограничение применяется немедленно и распространяется в том числе на ранее накопленную активность. Авторизованным Пользователям доступна функция поиска других Пользователей по начальным символам логина; Пользователь может в любой момент отключить возможность находить свой профиль через такой поиск (настройка «находить меня в поиске» в настройках приватности) — отключение применяется немедленно и не зависит от иных настроек видимости профиля.
Приведённые в настоящем разделе перечни описывают категории обрабатываемых данных. Развитие функциональности Сервиса в пределах перечисленных категорий и целей (раздел 3) не считается изменением настоящей Политики; существенное расширение состава категорий или целей оформляется новой редакцией в порядке раздела 14.
3. Цели обработки данных
Персональные данные обрабатываются в следующих целях:
регистрация, аутентификация и идентификация Пользователя;
предоставление функциональности Сервиса и персонализация контента (рекомендации, фильтры, отображение списков), включая формирование профиля вкуса Пользователя — обобщённых групп (кластеров) интересов — на основании его оценок, статусов, списков и явного отклика на рекомендации, формирование на его основе персональных рекомендаций, а также оценку качества рекомендаций по событиям показов и взаимодействий с рекомендательной выдачей (см. раздел 12 и Правила применения рекомендательных технологий, /legal/recommendation-technologies-rules);
обеспечение прозрачности идентичности Пользователя и противодействие имперсонации — ведение и публичное отображение отображаемого имени и истории его изменений;
обеспечение функциональности социальной сети Сервиса: ведение подписок, дружеских связей и чёрных списков, формирование ленты активности, отображение публичного профиля и сведений о присутствии, вычисление показателей совместимости вкусов;
обнаружение Пользователей по логину: предоставление авторизованным Пользователям функции поиска других Пользователей по начальным символам логина — с учётом настройки находимости, описанной в разделе 2;
расчёт достижений, в том числе стрик-достижений, и визуализация активности Пользователя (календарь активности) на основании журнала ежедневной активности;
обеспечение безопасности (защита от спама, ботов, brute-force, фрод-атак, эксплуатации уязвимостей);
обнаружение, расследование и предотвращение инцидентов безопасности, в том числе несанкционированного доступа к учётным записям и автоматизированных атак, на основании пункта 2 части 1 статьи 6 152-ФЗ (исполнение обязанностей, возложенных на Оператора законодательством о персональных данных, в частности обязанности фиксировать факты несанкционированного доступа в порядке части 3.1 статьи 21 152-ФЗ) и пункта 7 части 1 статьи 6 152-ФЗ / статьи 6(1)(f) GDPR (обработка для обеспечения законных интересов Оператора и третьих лиц, не противоречащая правам субъекта);
модерация пользовательского контента и обеспечение соблюдения правил Сервиса: приём и рассмотрение жалоб, ведение модерационных кейсов, применение и учёт модераторских санкций (в том числе ограничение отдельных функций аккаунта по решению модератора), рассмотрение апелляций;
автоматический анализ пользовательского контента (в частности, комментариев) на признаки спама и недопустимых материалов, в том числе с профилированием по возрасту учётной записи автора в сочетании с контентными сигналами, — для приоритизации ручной модерации и применения мягких мер ограничения видимости;
приём, рассмотрение и документирование уведомлений правообладателей о нарушении исключительных прав (в том числе уведомлений в формате DMCA Notice для англоязычных обращений) в порядке статьи 1253.1 Гражданского кодекса Российской Федерации, включая обработку персональных данных внешних заявителей;
улучшение работы Сервиса через поведенческую аналитику с сегментацией по атрибутам сессии и аккаунта (при наличии согласия Пользователя в cookie-баннере): анализ посещаемости, стабильности и взаимодействия с функциями Сервиса;
направление сервисных уведомлений и уведомлений, связанных с безопасностью учётной записи (подтверждение регистрации, восстановление доступа, уведомления о событиях безопасности и инцидентах, уведомления об изменении обязательных правовых документов, технические сообщения о состоянии учётной записи) — на основании исполнения договора с Пользователем (п. 5 ч. 1 ст. 6 152-ФЗ), исполнения обязанностей, возложенных на Оператора законодательством (п. 2 ч. 1 ст. 6 152-ФЗ, в том числе в связи с реагированием на инциденты безопасности персональных данных в порядке части 3.1 статьи 21 152-ФЗ), и законного интереса Оператора по обеспечению безопасности учётных записей (п. 7 ч. 1 ст. 6 152-ФЗ); направление таких уведомлений не зависит от предоставления или отзыва согласия на обработку персональных данных и от настроек подписки на информационные рассылки;
направление информационных уведомлений и рассылок, на которые Пользователь подписался в настройках учётной записи, — на основании согласия Пользователя, отзываемого в любой момент в настройках уведомлений либо по ссылке отписки в письме;
синхронизация пользовательских списков с внешними сервисами по запросу Пользователя;
рассмотрение обращений и претензий, в том числе связанных с нарушением условий Сервиса или прав третьих лиц;
исполнение требований законодательства, в том числе хранение фактов согласия на условия использования;
защита прав и законных интересов Оператора в случае возникновения споров, претензий и судебных разбирательств с Пользователями или третьими лицами;
передача прав и обязанностей Оператора правопреемнику в случае реорганизации Оператора, смены собственника, продажи бизнеса или иной аналогичной операции; при наступлении такого события Пользователь уведомляется заранее (в порядке раздела 14 настоящей Политики) и вправе требовать удаления своих персональных данных до фактической передачи новому контролёру.
4. Правовые основания обработки
Правовыми основаниями для обработки персональных данных являются:
согласие субъекта персональных данных, предоставляемое при регистрации отдельным юридически значимым актом (п. 1 ч. 1 ст. 6 и ст. 9 152-ФЗ; ст. 6(1)(a) GDPR); на этом основании обрабатываются, в частности, добровольно предоставленные данные профиля (отображаемое имя, аватар, баннер профиля, текст раздела «О себе»), подписки на push-уведомления и подписки на информационные рассылки, а на основании отдельного согласия в cookie-баннере — поведенческие аналитические события и атрибуты сегментации (раздел 13); обработку по каждой из указанных целей Пользователь вправе в любой момент прекратить соответствующей настройкой учётной записи, без отзыва согласия в целом;
обработка персональных данных, необходимая для заключения и исполнения договора с Пользователем, стороной которого является Пользователь, либо договора, заключаемого по инициативе Пользователя (п. 5 ч. 1 ст. 6 152-ФЗ; ст. 6(1)(b) GDPR) — применяется к данным, без которых невозможно предоставить Пользователю функциональность Сервиса (регистрационные данные, технические данные сессии и устройства, геолокационные данные — страна и город, определяемые по IP-адресу для определения региональных настроек и предоставления функциональности Сервиса), к базовой функциональности Сервиса (ведение списков и статусов, оценки, отзывы, комментарии и иной пользовательский контент, геймификация), к отображению профиля и пользовательской активности Пользователя другим Пользователям и посетителям Сервиса в соответствии с настройками приватности (социальная функциональность Сервиса, раздел 2) — включая техническое отображение уже предоставленных Пользователем данных профиля (отображаемое имя, аватар, баннер профиля, текст раздела «О себе»), тогда как их добровольное предоставление и хранение осуществляются на основании согласия Пользователя, к предоставлению персональных рекомендаций контента — учёту явного отклика Пользователя на рекомендательную выдачу (отметки «не интересно» и «уже смотрел / уже читал») как действия Пользователя по управлению составом выдачи, а равно записи и обработке событий показов и взаимодействий с рекомендательной выдачей в целях предоставления такой выдачи и оценки её качества (персональные рекомендации применяются по умолчанию как часть функциональности Сервиса; Пользователь вправе в любой момент отключить их в настройках учётной записи — отключение применяется немедленно и прекращает запись указанных событий, см. разделы 9 и 12), а также к обработке пользовательского контента и жалоб в рамках предоставления функциональности Сервиса и исполнения его правил;
законные интересы Оператора и третьих лиц (п. 7 ч. 1 ст. 6 152-ФЗ; ст. 6(1)(f) GDPR) — обеспечение безопасности и работоспособности Сервиса, ведение журналов аутентификации и аудита, противодействие автоматизированным атакам и фроду (в том числе выявление нетипичных входов с использованием геолокационных данных, определяемых по IP-адресу), защита прав и законных интересов Оператора в спорах, а также: рассмотрение жалоб, поданных незарегистрированными (гостевыми) заявителями; ведение аудиторских журналов модерации; обработка персональных данных внешних заявителей, направляющих уведомления о нарушении исключительных прав (Оператор как информационный посредник по ст. 1253.1 ГК РФ); противодействие имперсонации через ведение публичной истории отображаемых имён; формирование профиля вкуса Пользователя (обобщённых групп интересов) из уже обрабатываемых данных о его действиях на Сервисе (оценки, статусы, списки, избранное, явный отклик на рекомендации) для персональных рекомендаций — с соблюдением баланса интересов: такая обработка ограничена предпочтениями в развлекательном контенте каталога, не затрагивает специальные категории персональных данных, не порождает юридических последствий для Пользователя и может быть остановлена им в любой момент отключением персональных рекомендаций (разделы 9 и 12);
исполнение Оператором обязательств, установленных законодательством Российской Федерации, в том числе обязанностей оператора персональных данных (п. 2 ч. 1 ст. 6 152-ФЗ; ст. 6(1)(c) GDPR), включая обязанность фиксировать факты несанкционированного доступа в порядке части 3.1 статьи 21 152-ФЗ.
Согласие субъекта персональных данных фиксируется отдельным юридически значимым актом в момент регистрации на Сервисе (отдельный чекбокс или иное явное действие, не совмещённое с принятием Пользовательского соглашения), что соответствует требованиям статьи 9 Федерального закона «О персональных данных» в действующей редакции. Запись о согласии содержит версию документа, дату, IP-адрес и User-Agent на момент его предоставления.
5. Сроки хранения данных
Оператор реализует принцип минимизации обработки персональных данных (часть 5 статьи 5 152-ФЗ): объём собираемых сведений ограничен целями обработки, а сроки хранения — минимально необходимыми для достижения соответствующих целей либо обусловленными требованиями законодательства. Сведения, обработка которых более не требуется для заявленных целей и не подлежит обязательному хранению в силу закона, удаляются или обезличиваются в порядке, описанном в настоящем разделе.
Персональные данные хранятся в течение всего периода активности учётной записи Пользователя. После удаления аккаунта данные удаляются или обезличиваются в течение 30 (тридцати) календарных дней, за исключением сведений, обязательных к хранению в силу закона, либо имеющих доказательственное значение в спорах.
Для отдельных категорий данных применяются следующие максимальные сроки хранения:
журналы аутентификации (успешные входы и неудачные попытки с указанием IP, User-Agent, времени) — до 1 (одного) года с момента события. Указанный срок обусловлен необходимостью расследования инцидентов безопасности и кибератак, проявление которых может быть отсроченным во времени (целевые brute-force и credential-stuffing кампании, последствия утечек у сторонних сервисов), а также обязанностью Оператора обеспечивать возможность восстановления хронологии событий по запросам Пользователей и уполномоченных государственных органов;
журналы аудита значимых действий с аккаунтом (смены пароля, email, отзыв сессий, бан/разбан, назначение ролей) — до 1 (одного) года; данный срок необходим для разрешения споров между Пользователем и Оператором о составе совершённых действий, а также для исполнения возможных предписаний уполномоченных органов в отношении конкретной учётной записи;
аудиторский журнал решений о блокировке учётной записи (раздел 2) — до 3 (трёх) лет с момента записи; записи сохраняются в том числе после удаления или обезличивания учётной записи как аудиторский след административных решений;
IP-адрес и User-Agent в журналах веб-аналитики и во внутренних журналах событий Сервиса — обезличиваются (агрегируются до уровня страны и общей категории браузера либо удаляются) не позднее чем через 90 (девяносто) дней с момента события; полные значения по истечении указанного срока не сохраняются, за исключением журналов аутентификации, безопасности и аудита, записей о согласиях и иных категорий, для которых настоящей Политикой установлен специальный срок хранения;
внутренние аналитические записи о действиях Пользователя — обезличиваются или уничтожаются не позднее сроков, указанных выше для соответствующих категорий, и в любом случае в течение 30 (тридцати) календарных дней при удалении учётной записи;
журнал ежедневной активности (факт просмотра/чтения в конкретный день, без указания произведения) — не более 400 (четырёхсот) дней с момента записи (удаление помесячными партициями); при удалении учётной записи — в течение 30 (тридцати) календарных дней;
лента активности Пользователя — не более 12 (двенадцати) месяцев (удаление помесячными партициями); при удалении учётной записи — в течение 30 (тридцати) календарных дней;
события показов и взаимодействий с рекомендательной выдачей и связанный с ними технический журнал формирования выдачи (раздел 2) — не более 4 (четырёх) месяцев с момента события (удаление помесячными партициями); при удалении учётной записи — в течение 30 (тридцати) календарных дней;
явный отклик на рекомендации: отметки «не интересно», выраженные жестом в режиме подбора карточками, — не более 180 (ста восьмидесяти) дней; отметки «не интересно» и «уже смотрел / уже читал», выраженные осознанным нажатием в рекомендательной выдаче, — в течение срока существования учётной записи либо до их стирания Пользователем действием «сбросить историю рекомендаций»; при удалении учётной записи — в течение 30 (тридцати) календарных дней;
служебный счётчик количества выполненных Пользователем сбросов истории рекомендаций и отметка времени последнего сброса — до 90 (девяноста) суток после удаления учётной записи; указанный срок обусловлен исключительно технической необходимостью гарантировать необратимость уже выполненных сбросов — не допустить восстановления стёртых событий при доставке данных, находившихся в момент сброса в транзитных технических хранилищах (см. ниже в настоящем разделе); сведений о предпочтениях Пользователя счётчик не содержит;
публичная история отображаемых имён — не более 10 (десяти) последних значений на учётную запись (ротация: при превышении лимита наиболее старые записи вытесняются). Записи истории могут быть очищены модератором с указанием причины; при деидентификации по запросу субъекта или удалении учётной записи отображаемое имя и его история, а также их снимки в публичных проекциях (снимки авторства контента, таблицы лидеров) обнуляются;
жалобы пользователей, модерационные кейсы, апелляции, эскалации, реестр заявителей — до 3 (трёх) лет с момента терминальной резолюции (ГК РФ ст. 196), необходимых для разрешения споров и рассмотрения апелляций;
журналы модераторских действий и автоматических скрытий контента — до 3 (трёх) лет; журнал автоматических скрытий спорных решений — до 5 (пяти) лет для целей аудита обоснованности решений;
сигналы модерации (коды сработавших правил, оценка скоринга) — не более 12 (двенадцати) месяцев с момента формирования, с учётом принципа минимизации;
записи о модераторских санкциях (в частности, ограничение функции комментирования — mute) — в течение срока существования учётной записи как аудиторский след для рассмотрения апелляций; служебная заметка модератора обнуляется при удалении учётной записи или деидентификации по запросу субъекта, прочие поля записи сохраняются в обезличенном виде в течение срока, необходимого для разрешения апелляций;
редакционные версии пользовательского контента (иммутабельные ревизии) — период публикации соответствующей сущности и до 3 (трёх) лет после её удаления (deletedAt); ограничение права на стирание таких версий раскрыто в разделе 9;
персональные данные внешних заявителей о нарушении исключительных прав (email, псевдонимизированный идентификатор IP, User-Agent) — не более 1 (одного) года с момента терминальной резолюции уведомления (принято/отклонено), после чего автоматически обезличиваются; обезличенные метаданные уведомления сохраняются для учёта и защиты прав;
запросы смены email — 30 дней с момента завершения операции;
in-app уведомления (прочитанные) — 30 дней;
журнал отправленных web-push уведомлений (заголовок, текст, содержимое, статус доставки) — не более 90 (девяноста) дней с момента отправки; при удалении учётной записи — немедленное удаление;
журнал отправленных сообщений электронной почты и очередь исходящих сообщений (адрес получателя, тема, текст письма, служебные сведения об отправке и статус доставки) — не более 90 (девяноста) дней с момента создания записи, после чего записи удаляются автоматически; при удалении учётной записи записи Пользователя удаляются в течение 30 (тридцати) календарных дней, при деидентификации по запросу субъекта — обнуляются адрес получателя, текст письма и служебные сведения, а запись о факте и статусе отправки сохраняется до истечения указанного 90-дневного срока;
неактивные устройства пользователя — автоматическое удаление через 90 дней неактивности;
подписки Web Push — автоматическое удаление через 90 дней неактивности;
истекшие сессии и refresh-токены — удаление через 30 дней после истечения;
системные логи — не более 90 дней;
записи о согласии с правовыми документами — на весь срок существования аккаунта и не более 3 (трёх) лет после его удаления либо отзыва согласия (срок соответствует общему сроку исковой давности, статья 196 ГК РФ), поскольку являются юридически значимым доказательством волеизъявления Пользователя; указанный срок продлевается только на период фактического спора с участием Пользователя либо исполнения запроса уполномоченного государственного органа; при этом IP-адрес и User-Agent, зафиксированные в записи о согласии, обнуляются при удалении учётной записи, а в записях о согласии на вытесненные (утратившие действие) версии документов — не позднее 7 (семи) лет с даты принятия; факт принятия, дата и версия документа сохраняются и после обнуления сетевых идентификаторов;
записи журнала активаций согласийных целей (действия, которыми Пользователь активирует обработку по отдельной цели либо прекращает её, — см. Согласие на обработку персональных данных, /legal/personal-data-consent, раздел 5.9) — до истечения 3 (трёх) лет после удаления учётной записи, после чего удаляются; IP-адрес и User-Agent в таких записях обнуляются при удалении учётной записи, а в остальных случаях — не позднее 7 (семи) лет с даты создания записи (срок исчисляется по возрасту записи, а не по сроку действия версии документа, на которую она ссылается). Указанные сроки продлеваются только на период фактического спора с участием Пользователя либо исполнения запроса уполномоченного государственного органа;
технические счётчики упорядочивания внутренней событийной шины Сервиса (соответствие внутреннего идентификатора Пользователя и порядкового номера последнего созданного по нему события) — сохраняются без установления срока; такие записи не содержат ни содержания событий, ни сетевых идентификаторов, ни иных сведений о Пользователе, а их удаление привело бы к нарушению порядка обработки уже созданных событий и к повторному исполнению ранее выполненных операций. Правовое основание — законный интерес Оператора по обеспечению целостности обработки (пункт 7 части 1 статьи 6 152-ФЗ);
финансовые документы, связанные с расчётами Пользователя (применимо при использовании платных функций Сервиса) — 5 (пять) лет с момента совершения операции в соответствии со статьёй 29 Федерального закона от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте» и статьёй 23 Налогового кодекса Российской Федерации.
Помимо удаления учётной записи, по запросу субъекта персональных данных при сохранении активной учётной записи выполняется деидентификация публичного пользовательского контента при сохранении учётной записи (далее также — «деидентификация по запросу субъекта», см. раздел 9). Правовым содержанием этой операции является прекращение обработки персональных данных, осуществлявшейся на основании согласия, в объёме, установленном настоящей Политикой для операции деидентификации (часть 2 статьи 9 152-ФЗ), при продолжении обработки, необходимой для исполнения договора с Пользователем. Указанная операция не является обезличиванием в смысле пункта 9 статьи 3 152-ФЗ: учётная запись, адрес электронной почты и внутренние связи Пользователя сохраняются, вследствие чего определение принадлежности оставшихся данных конкретному субъекту остаётся возможным. При деидентификации по запросу субъекта Оператор прекращает обработку персональных данных, осуществлявшуюся на основании согласия, и деидентифицирует связи учётной записи с публичным пользовательским контентом; регистрационные данные и прогресс геймификации сохраняются на договорном основании (п. 5 ч. 1 ст. 6 152-ФЗ). Операция имеет комплексный характер: деидентификация связей с публичным пользовательским контентом и прекращение перечисленных видов обработки, осуществлявшейся на основании согласия, выполняются одновременно в составе одной операции; полный перечень последствий операции отображается Пользователю до её подтверждения. Из указанного правила исключены аудиторские записи, для которых установлен законный интерес хранения (в частности, журнал модераторских действий), — идентификатор модератора в таких записях не обнуляется при деидентификации данных иного субъекта.
Файлы изображений профиля (аватар, баннер), включая исторические версии, безвозвратно удаляются из облачного хранилища при удалении учётной записи в 30-дневный срок посредством автоматизированной задачи очистки; файл аватара, включая его исторические версии, удаляется из облачного хранилища в том же порядке также при деидентификации по запросу субъекта (раздел 9). Идентификаторы, используемые для дедупликации и противодействия злоупотреблениям (в частности, псевдонимизированный ключ заявителя жалобы), могут сохраняться после обезличивания как псевдонимы, не позволяющие восстановить личность без дополнительных сведений.
Резервные копии базы данных Сервиса хранятся не более 90 (девяноста) дней с момента создания и циклически перезаписываются. Оператор предпринимает разумные технические меры для исключения восстановления удалённых ПД из резервных копий по истечении указанного срока. Возможные технические задержки удаления, обусловленные циклом ротации копий, не влекут возобновления активной обработки ПД, поскольку доступ к копиям ограничен и используется исключительно в целях восстановления при сбоях.
События показов и взаимодействий с рекомендательной выдачей до их записи в основное хранилище могут временно находиться в транзитных технических хранилищах (буферы приёма и очереди обработки, включая очередь отложенной повторной обработки при сбоях). Суммарный срок нахождения события в транзитных хранилищах не превышает 38 (тридцати восьми) суток, после чего события, не доставленные в основное хранилище, безвозвратно уничтожаются. Данные в транзитных хранилищах не используются ни для каких целей обработки, кроме доставки в основное хранилище; если к моменту доставки в отношении Пользователя выполнена операция стирания (сброс истории рекомендаций, деидентификация по запросу субъекта либо удаление учётной записи), относящиеся к нему события в основное хранилище не записываются и уничтожаются.
Требование Пользователя об удалении учётной записи и связанных персональных данных исполняется Оператором в срок не более 30 (тридцати) календарных дней с момента получения подтверждённого запроса.
Под «моментом выявления инцидента безопасности персональных данных» в настоящей Политике понимается момент выявления Оператором факта неправомерной или случайной передачи (предоставления, распространения, доступа) к персональным данным, в формулировке части 3.1 статьи 21 Федерального закона «О персональных данных».
6. Передача данных третьим лицам
Оператор не продаёт персональные данные Пользователей, не передаёт их третьим лицам для самостоятельного коммерческого использования, не использует их для целей рекламного таргетинга в интересах третьих лиц и не осуществляет обмен персональными данными с информационными брокерами. Передача данных третьим лицам, перечисленным ниже, осуществляется исключительно в объёме, минимально необходимом для исполнения договора с Пользователем (предоставления функциональности Сервиса), для исполнения требований законодательства либо в рамках обоснованных законных интересов Оператора по обеспечению безопасности Сервиса. Состав получателей и объём передаваемых сведений приведён ниже:
OAuth-провайдеры: VK и Yandex — при инициированной Пользователем авторизации или привязке учётной записи; Google и Shikimori — исключительно при инициированной Пользователем привязке учётной записи либо импорте списков (авторизация и регистрация через них недоступны); передаются токены и идентификаторы для получения публичного профиля;
внешние каталоги и сервисы синхронизации списков (Shikimori, MyAnimeList, AniList) — при инициированной Пользователем синхронизации списков просмотра или чтения; передаются OAuth-токены пользователя на стороне провайдера и фактические записи списков (статус, оценка, идентификатор произведения);
Google reCAPTCHA — для защиты форм регистрации, входа, восстановления пароля от автоматизированных запросов; reCAPTCHA автоматически собирает технические данные о посетителе (IP, User-Agent, поведенческие сигналы);
сервисы веб-аналитики (Google Analytics 4, компания Google LLC; Яндекс Метрика, ООО «ЯНДЕКС») — исключительно при предоставлении Пользователем согласия в cookie-баннере; для статистического анализа посещаемости, стабильности и взаимодействия с функциями Сервиса. Помимо просмотров страниц передаются: псевдонимизированные поведенческие события взаимодействия с функциями Сервиса, атрибуты сегментации аккаунта, данные записи действий на странице (Webvisor) и тепловых карт кликов, а также псевдонимизированный кросс-сессионный идентификатор (хэш). Текст поисковых запросов, логины, адреса электронной почты и содержание пользовательского контента в системы веб-аналитики не передаются;
провайдеры облачного хранения: первичное хранение всех изображений, связанных с пользователем (аватары, баннеры и иные персонализированные материалы), осуществляется в Yandex Cloud Storage с инфраструктурой на территории Российской Федерации; Оператор обязуется удалять файлы изображений профиля Пользователя (включая исторические версии) из облачного хранилища при закрытии учётной записи в 30-дневный срок. Cloudflare R2 используется исключительно для резервной репликации и CDN-доставки обезличенных публичных материалов каталога (постеры произведений, скриншоты эпизодов), не относящихся к персональным данным конкретного Пользователя;
сервис управления криптографическими ключами Yandex Cloud — для шифрования чувствительных данных Сервиса;
провайдеры доставки push-уведомлений (определяются производителем браузера или операционной системы Пользователя) — для отправки push-уведомлений; передаётся идентификатор подписки и зашифрованная полезная нагрузка уведомления;
SMTP-провайдеры — для отправки сервисных уведомлений на email;
мессенджер Telegram (Telegram FZ LLC) — для оперативного технического уведомления персонала Оператора о поступивших уведомлениях правообладателей; состав передаваемого сообщения ограничен техническим идентификатором уведомления, датой, статусом и ссылкой на спорный материал на Сервисе и не содержит персональных данных заявителя (email заявителя и иные его персональные данные в сообщение не включаются);
TraceMoe — при использовании функции обратного поиска по скриншоту Пользователем; передаётся изображение, по которому выполняется поиск;
платёжные провайдеры и операторы платёжных систем — применимо при использовании Пользователем платных функций или премиальных подписок Сервиса. На момент публикации настоящей редакции Политики платные функции на Сервисе не активированы; перечень платёжных провайдеров и состав передаваемых им сведений будут дополнены отдельным актом одновременно с запуском платных функций. До этого момента передача персональных данных платёжным провайдерам Оператором не осуществляется.
Профиль и пользовательская активность Пользователя отображаются другим Пользователям и неавторизованным посетителям исключительно в рамках самого Сервиса и в объёме, определяемом настройками приватности Пользователя (см. раздел 2). Такое отображение не является передачей данных иным операторам и ограничено информационными ресурсами Оператора.
Внутри организации Оператора доступ к security-данным учётной записи Пользователя (активные сессии, устройства, история входов, привязанные внешние учётные записи, события безопасности) имеют уполномоченные сотрудники Оператора (администраторы) — в режиме просмотра, в целях обеспечения безопасности Сервиса, расследования нарушений и обработки обращений Пользователей. Такой доступ предоставляется по ролевой модели в соответствии с принципом наименьших привилегий и не является передачей персональных данных третьим лицам.
Данные могут быть переданы государственным органам по их законному запросу в случаях, прямо предусмотренных законодательством.
7. Трансграничная передача данных
Часть указанных в разделе 6 контрагентов располагает инфраструктурой за пределами Российской Федерации. В частности, сервисы доставки Web Push-уведомлений (Firebase Cloud Messaging компании Google для Android и Chrome, Apple Push Notification service для iOS и Safari, Mozilla Push Service для Firefox), сервисы Google (OAuth-привязка учётной записи, Google Analytics 4), а также сервисы MyAnimeList и AniList расположены преимущественно в Соединённых Штатах Америки.
Правовыми основаниями трансграничной передачи персональных данных Сервисом выступают: (а) необходимость исполнения договора, стороной которого является Пользователь, либо договора, заключаемого по инициативе Пользователя (пункт 4 части 4 статьи 12 Федерального закона «О персональных данных») — применяется при авторизации Пользователя через сторонних поставщиков идентификации и при синхронизации внешних аккаунтов, инициированных самим Пользователем; (б) согласие Пользователя, выраженное в форме, позволяющей подтвердить факт его получения (часть 1 статьи 9 Федерального закона «О персональных данных»), — применяется при активации Пользователем подписки на push-уведомления и при включении аналитических cookie в cookie-баннере.
При использовании средств веб-аналитики (Google Analytics 4, Яндекс Метрика) в иностранные юрисдикции может передаваться псевдонимизированный кросс-сессионный идентификатор (хэш), псевдонимизированные поведенческие события, атрибуты сегментации аккаунта, а также данные Webvisor и тепловых карт кликов. Указанная передача осуществляется только после предоставления Пользователем согласия в cookie-баннере и может быть в любой момент отозвана. Псевдонимизированный кросс-сессионный идентификатор и сегментационное профилирование активируются исключительно в составе аналитических средств, покрытых действующей редакцией согласия.
Технические уведомления персонала о поступивших уведомлениях правообладателей направляются через мессенджер Telegram в объёме, исключающем персональные данные заявителя (только технический идентификатор уведомления, дата, статус и ссылка на спорный материал на Сервисе); тем самым трансграничная передача персональных данных заявителя через данный канал не осуществляется. В случае, если состав такого технического сообщения будет расширен и станет содержать персональные данные заявителя, трансграничная передача будет осуществляться на соответствующем правовом основании с отражением в настоящем разделе и уведомлением уполномоченного органа в порядке статьи 12 152-ФЗ.
За исключением средства защиты от автоматизированных запросов (см. ниже в настоящем разделе), передача персональных данных в иностранные юрисдикции происходит только в результате осознанного действия Пользователя, инициирующего соответствующую услугу: нажатия на кнопку входа через OAuth-поставщика (VK, Yandex) либо инициирования привязки учётной записи или импорта списков через Google или Shikimori; явного разрешения push-уведомлений в диалоге браузера или операционной системы; подключения внешнего аккаунта MyAnimeList или AniList в настройках профиля; принятия cookie-баннера в части аналитических cookies. До совершения Пользователем такого действия передача его персональных данных в перечисленные иностранные юрисдикции Сервисом не осуществляется. Пользователь вправе отказаться от любой из перечисленных услуг и отозвать ранее данное согласие без потери основной функциональности Сервиса (просмотр каталога, ведение списков, оценки, отзывы и иные базовые функции остаются доступны). Исключение составляет средство защиты форм от автоматизированных запросов Google reCAPTCHA (раздел 6): его загрузка и работа являются неотъемлемой частью функций регистрации, входа, восстановления доступа и иных защищаемых форм, происходят автоматически при открытии соответствующей формы и не могут быть отключены Пользователем без отказа от использования соответствующей функциональности; правовым основанием связанной с этим передачи технических данных (IP-адрес, User-Agent, поведенческие сигналы) является законный интерес Оператора по защите Сервиса от автоматизированных атак (пункт 7 части 1 статьи 6 152-ФЗ).
Страны-получатели персональных данных при инициировании Пользователем соответствующих услуг: Соединённые Штаты Америки (Firebase Cloud Messaging, Apple Push Notification service, привязка учётной записи Google (OAuth), Google reCAPTCHA, Google Analytics 4, MyAnimeList, AniList), Ирландия и иные страны размещения инфраструктуры Mozilla Push Service. Самостоятельная передача персональных данных Пользователей в страны Европейской экономической зоны Сервисом не осуществляется; передача может происходить опосредованно через указанных выше поставщиков.
8. Дети и подростки
Регистрация на Сервисе доступна исключительно лицам, достигшим возраста 18 лет. Сервис не предназначен для несовершеннолетних и не осуществляет целенаправленный сбор персональных данных лиц младше 18 лет.
Если Оператору становится известно о регистрации лица младше 18 лет, соответствующая учётная запись и связанные персональные данные удаляются. Родитель или законный представитель несовершеннолетнего, обнаруживший факт его регистрации на Сервисе, вправе обратиться по адресу support@hubani.me с требованием удаления данных; обращение исполняется в порядке раздела 9 настоящей Политики (см. также Пользовательское соглашение, /legal/terms-of-service, раздел 2).
9. Права Пользователя
В отношении своих персональных данных Пользователь имеет следующие права, предусмотренные Федеральным законом «О персональных данных» (далее — «152-ФЗ»):
получить подтверждение факта обработки персональных данных и сведения о ней, включая правовые основания, цели, состав обрабатываемых данных, сроки обработки и сведения о лицах, которым данные могут быть переданы (статья 14 152-ФЗ);
требовать уточнения персональных данных в случае их недостоверности, а равно блокирования или уничтожения данных в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки (статья 14 152-ФЗ);
требовать деидентификации публичного пользовательского контента при сохранении учётной записи (деидентификация по запросу Пользователя). По такому запросу Оператор прекращает обработку данных, осуществляемую на основании согласия (в частности, добровольно предоставленные данные профиля, информационные рассылки, push-подписки, аналитические события), в объёме, установленном настоящей Политикой для операции деидентификации (часть 2 статьи 9 152-ФЗ), и деидентифицирует связи учётной записи с публичным пользовательским контентом; при этом регистрационные данные и прогресс геймификации сохраняются на договорном основании, а учётная запись сохраняется в режиме просмотра: доступ к Сервису и просмотр контента остаются, однако совершение новых действий (комментарии, оценки, изменения списков и иные операции записи) становится недоступным; из этого режима доступно удаление учётной записи. Указанная операция не является обезличиванием в смысле пункта 9 статьи 3 152-ФЗ и не заменяет собой права требовать уточнения, блокирования или уничтожения данных, предусмотренного предыдущим пунктом настоящего перечня. Операция необратима и имеет комплексный характер: прекращение указанных видов обработки и деидентификация связей с публичным пользовательским контентом выполняются одновременно в составе одной операции, а полный перечень её последствий отображается Пользователю до подтверждения; она может быть выполнена самостоятельно через настройки учётной записи (при доступности соответствующей функции, с повторной аутентификацией) либо по обращению на support@hubani.me. Из деидентификации исключены аудиторские записи модерации, сохраняемые на основании законного интереса Оператора (пункт 7 части 1 статьи 6 152-ФЗ) и статьи 17(3) GDPR (в частности, идентификатор модератора в журнале модераторских действий);
отозвать ранее данное согласие на обработку персональных данных. Отзыв согласия влечёт прекращение обработки и уничтожение персональных данных Пользователя в срок, не превышающий 30 (тридцати) дней с момента получения отзыва, за исключением данных, обработка которых осуществляется на ином правовом основании (исполнение договора, требование закона, защита прав и законных интересов Оператора и третьих лиц) и в течение установленных законом сроков хранения (статья 9 152-ФЗ). Полный отзыв согласия с удалением учётной записи влечёт уничтожение всех категорий персональных данных Пользователя в срок не более 30 дней, за указанными исключениями;
требовать прекращения публичного отображения своего профиля и пользовательской активности. Требование реализуется самостоятельно и с немедленным эффектом — ограничением видимости разделов профиля в настройках приватности — либо направляется по адресу support@hubani.me; по такому обращению Оператор прекращает публичное отображение в срок не позднее трёх рабочих дней;
отключить возможность находить свой профиль через функцию поиска Пользователей по начальным символам логина (настройка «находить меня в поиске»). Настройка реализуется самостоятельно в настройках приватности, применяется немедленно и действует независимо от иных настроек видимости профиля;
возражать против обработки персональных данных в целях прямого маркетинга и рекламных рассылок и требовать её немедленного прекращения; отзыв согласия на рассылки осуществляется по ссылке отписки в письме либо в настройках уведомлений учётной записи (статья 15 152-ФЗ);
возражать против формирования профиля вкуса и персональных рекомендаций (профилирования). Персональные рекомендации применяются по умолчанию как часть функциональности Сервиса: их предоставление, учёт явного отклика Пользователя и запись событий показов и взаимодействий с рекомендательной выдачей осуществляются для исполнения договора с Пользователем (п. 5 ч. 1 ст. 6 152-ФЗ), а формирование профиля вкуса — на основании законного интереса Оператора (п. 7 ч. 1 ст. 6 152-ФЗ). Возражение реализуется самостоятельно и с немедленным эффектом — отключением переключателя «персональные рекомендации» в настройках учётной записи: отключение прекращает персональную выдачу, останавливает формирование профиля вкуса (накопленный профиль сбрасывается и заново не формируется) и запись событий показов и взаимодействий с рекомендательной выдачей (статья 21 GDPR). Дополнительно доступно действие «сбросить историю рекомендаций», стирающее накопленный явный отклик и события показов без отключения рекомендаций (см. Правила применения рекомендательных технологий, /legal/recommendation-technologies-rules);
в случае применения к учётной записи модераторской санкции (в частности, ограничения функции комментирования) — получить уведомление с локализованной причиной и сроком действия санкции и обжаловать её в порядке, установленном Пользовательским соглашением (см. /legal/terms-of-service, раздел 10.1). Внутренние служебные сведения модерации (код причины, идентичность модератора, служебная заметка) в уведомлении не раскрываются;
обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных — Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), https://rkn.gov.ru, а также в судебном порядке (статья 17 и статья 23 152-ФЗ).
Право на удаление отдельных категорий данных может быть ограничено в силу законного интереса Оператора. В частности, редакционные версии пользовательского контента (иммутабельные ревизии) сохраняются на срок «период публикации + 3 года после удаления сущности» на основании законного интереса аудита и обеспечения целостности истории изменений (пункт 7 части 1 статьи 6 152-ФЗ; статья 17(3) GDPR). Записи публичной истории отображаемых имён не могут быть удалены самим Пользователем в целях противодействия злоупотреблениям сменой имени и имперсонации; их очистка возможна по решению модератора с указанием причины либо автоматически при деидентификации по запросу Пользователя или удалении учётной записи. Записи о предоставленных согласиях на обработку персональных данных (факт принятия, дата, версия документа) не подлежат уничтожению по требованию Пользователя, поскольку сохраняются Оператором как доказательство получения согласия (части 2 и 4 статьи 9 152-ФЗ; статья 17(3)(b) GDPR); при этом сетевые идентификаторы (IP-адрес и User-Agent) в таких записях обезличиваются в сроки, указанные в разделе 5. Записи аудиторского журнала решений о блокировке учётной записи (раздел 2) сохраняются на основании законного интереса Оператора (пункт 7 части 1 статьи 6 152-ФЗ) и не подлежат уничтожению по требованию Пользователя в течение срока, указанного в разделе 5.
Реализация перечисленных прав осуществляется по обращению Пользователя на адрес support@hubani.me, направленному с подтверждённого адреса электронной почты учётной записи либо иным способом, позволяющим Оператору идентифицировать заявителя. Часть действий Пользователь может выполнить самостоятельно через настройки учётной записи (редактирование профиля, управление публичностью активности, отзыв согласий на рассылки и push-уведомления, деидентификация публичного пользовательского контента, подача апелляции через личный кабинет). Историю данных обработки Пользователь может просмотреть в личном кабинете в объёме, не раскрывающем внутренние технические реквизиты (IP-адрес и User-Agent в такой проекции не отображаются); полный состав сведений предоставляется по запросу на support@hubani.me.
Оператор отвечает на обращение Пользователя в срок, не превышающий 10 (десяти) рабочих дней с момента получения запроса; указанный срок может быть продлён не более чем на 5 (пять) рабочих дней с уведомлением заявителя о причинах продления (статья 20 и статья 21 152-ФЗ).
10. Защита данных
Оператор принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий в отношении персональных данных. Меры защиты определяются с учётом актуальных угроз безопасности персональных данных и принимаются в соответствии с требованиями статей 18.1 и 19 Федерального закона «О персональных данных», Постановления Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», а также нормативных актов Федеральной службы по техническому и экспортному контролю (ФСТЭК) и Федеральной службы безопасности (ФСБ) Российской Федерации в части, применимой к Сервису.
10.1. Уровень защищённости
Информационная система персональных данных Сервиса отнесена Оператором к уровню защищённости персональных данных, соответствующему характеру обрабатываемых данных и актуальным типам угроз. Сервис не обрабатывает специальные и биометрические категории персональных данных (см. раздел 2), что снижает применимый уровень требований по сравнению с системами, обрабатывающими такие данные.
10.2. Технические меры
шифрование передачи данных по сети с использованием актуальных версий протокола TLS и согласованных отраслевых наборов криптографических примитивов;
хеширование паролей Пользователей с использованием криптостойких алгоритмов с параметрами, обеспечивающими устойчивость к перебору на современном оборудовании, и поддержка прозрачного обновления алгоритма без прерывания работы Пользователей;
шифрование отдельных чувствительных полей в базе данных и в кеше сессий (OAuth-токены сторонних сервисов, секреты двухфакторной аутентификации, резервные коды, а также временные данные адреса электронной почты и логина при связывании OAuth-аккаунта и подтверждении email) с использованием отраслевых стандартов и управляемого хранилища ключей с поддержкой их ротации;
удаление метаданных изображений (EXIF), в том числе геометки и сведений об устройстве съёмки, из загружаемых Пользователем баннеров и иных изображений перед их публикацией;
шифрование полезной нагрузки push-уведомлений перед передачей провайдеру доставки;
межсетевое экранирование на периметре Сервиса (фильтрация входящего трафика, ограничение списка открытых портов и протоколов);
обнаружение и предотвращение автоматизированных атак: ограничение частоты запросов (rate limiting), reCAPTCHA на формах аутентификации и регистрации, обнаружение признаков ботовой активности, токены доступа с ограниченным сроком жизни и регулярное обновление сессий;
антивирусная защита серверной инфраструктуры в части, применимой к используемой операционной системе и средствам выполнения кода;
резервное копирование баз данных и контроль целостности резервных копий, хранение копий в отдельном защищённом контуре;
мониторинг состояния инфраструктуры, обнаружение аномалий и оперативное реагирование на инциденты.
10.3. Организационные меры
назначение лица, ответственного за организацию обработки персональных данных (часть 1 статьи 18.1 152-ФЗ);
разграничение прав доступа сотрудников и подрядчиков Оператора к персональным данным по принципу наименьших привилегий, ведение перечня лиц, имеющих доступ к данным; служебные заметки модераторов и внутренние сигналы автоматических детекторов доступны только уполномоченным сотрудникам модерации и администраторам; доступ к security-данным конкретного Пользователя (сессии, устройства, история входов, привязанные внешние учётные записи, события безопасности) предоставляется в режиме просмотра только административным ролям в соответствии с ролевой моделью;
регистрация событий безопасности и значимых действий пользователей и администраторов в журналах с фиксацией субъекта, времени и характера действия;
установление обязательств о неразглашении персональных данных для всех лиц, имеющих к ним доступ, включая обязательство модераторов не раскрывать персональные данные третьих лиц, которые могут содержаться в служебных заметках;
внутренние организационно-распорядительные документы по защите персональных данных, в том числе порядок реагирования на инциденты безопасности (раздел 11 настоящей Политики);
периодический контроль соблюдения внутренних правил и требований законодательства о защите персональных данных.
Состав конкретных средств защиты, версии используемых криптографических примитивов и параметры конфигурации могут изменяться Оператором по мере развития Сервиса и появления новых угроз безопасности; такие изменения не требуют отдельного уведомления Пользователя при условии, что они не снижают уровень защищённости персональных данных по сравнению с заявленным в настоящем разделе.
11. Действия при инцидентах безопасности данных
Под инцидентом безопасности персональных данных для целей настоящего раздела понимается неправомерная или случайная передача персональных данных (предоставление, распространение, доступ), повлёкшая нарушение прав субъектов персональных данных, в том числе вследствие несанкционированного доступа третьих лиц, изменения, уничтожения или иной неправомерной обработки персональных данных.
При выявлении инцидента безопасности персональных данных Оператор уведомляет Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) в порядке части 3.1 статьи 21 Федерального закона «О персональных данных»: первичное уведомление о факте инцидента — в срок не более 24 (двадцати четырёх) часов с момента выявления; уведомление о результатах внутреннего расследования инцидента и сведения о лицах, действия которых привели к инциденту, — в срок не более 72 (семидесяти двух) часов с момента выявления.
При выявлении инцидента, способного повлечь существенное нарушение прав или законных интересов Пользователей (в частности, утечку данных учётных записей, паролей в любой форме, идентификаторов сессий или иных сведений, позволяющих получить доступ к учётной записи), Оператор незамедлительно после установления состава затронутых данных направляет уведомление на адреса электронной почты затронутых Пользователей. Уведомление содержит описание характера инцидента, состав затронутых категорий данных, рекомендуемые меры защиты (смена пароля, проверка устройств и сессий, отключение скомпрометированных интеграций) и контактный адрес support@hubani.me для дальнейшей коммуникации.
Внутренний порядок выявления, регистрации, расследования и документирования инцидентов безопасности персональных данных утверждается Оператором в составе организационно-распорядительных документов по защите персональных данных. Записи о выявленных инцидентах и направленных уведомлениях хранятся Оператором в течение срока, установленного внутренними правилами документооборота, но не менее срока, необходимого для исполнения предписаний Роскомнадзора и иных уполномоченных органов.
12. Автоматизированная обработка
Сервис применяет автоматизированные алгоритмы для:
анти-фрод и защиты от ботов (анализ User-Agent, IP, поведенческих сигналов);
ограничение частоты запросов и обнаружение попыток подбора учётных данных;
фильтрации NSFW-материалов и таксономии каталога;
автоматического анализа пользовательского контента (в частности, комментариев) на признаки спама и недопустимых материалов. Такой анализ может включать профилирование по возрасту учётной записи автора (например, недавно созданной учётной записи) в сочетании с контентными сигналами (доля ссылок, регистр символов, повторы, эмодзи-флуд, длина строк). По результатам анализа Сервис может мягко ограничить видимость материала (скрытие без уведомления автора; при этом автор продолжает видеть собственный материал) либо направить материал в очередь ручной модерации;
временного автоматического скрытия контента при превышении порогового числа жалоб и автоматического ограничения инструментария подачи жалоб для недобросовестных заявителей (shadow-режим).
По каждому автоматическому решению об ограничении публикации или инструментария (auto-hide, shadow-ограничение, мягкое скрытие комментария) создаётся модерационный кейс, доступный для пересмотра модератором; снятие ограничения модератором («release») реализует право Пользователя на пересмотр решения. Автоматическое исполнение ограничения функции комментирования (техническая блокировка запроса при действующей санкции mute) не является автоматизированным решением в смысле статьи 22 GDPR: решение о применении санкции mute принимается модератором вручную, автоматика лишь технически исполняет ранее принятое решение.
Пользователь имеет право не быть подвергнутым решению, основанному исключительно на автоматизированной обработке и порождающему для него юридические последствия или существенно затрагивающему его права (например, временная блокировка по подозрению в фроде, автоматическое скрытие контента), и требовать пересмотра такого решения с участием человека. Запрос направляется через механизм апелляции в личном кабинете либо по адресу support@hubani.me; Оператор рассматривает запрос в порядке, аналогичном иным обращениям, описанным в разделе 9 настоящей Политики, и в порядке модерации и апелляций, установленном разделом 10.1 Пользовательского соглашения.
Автоматизированные алгоритмы Сервиса, применяемые для ранжирования каталога и формирования персональных рекомендаций контента (далее — «Рекомендательная система»), а также для сегментации аудитории в целях продуктовой аналитики (в том числе на стороне провайдеров веб-аналитики), основываются на пользовательских действиях (просмотры, оценки, статусы, списки, явный отклик на рекомендации) и атрибутах сессии и не используют специальные категории персональных данных. Рекомендательная система формирует профиль вкуса Пользователя (обобщённые группы интересов) и использует события показов и взаимодействий с рекомендательной выдачей для оценки её качества. Указанные алгоритмы, включая вычисление показателей совместимости вкусов между пользователями и когортную сегментацию, не приводят к решениям, порождающим юридические последствия для Пользователя или существенным образом затрагивающим его права и законные интересы в смысле статьи 22 Регламента (EU) 2016/679 (GDPR) и части 1 статьи 16 152-ФЗ: результат их работы влияет только на состав и порядок произведений в рекомендательных подборках, при этом любое произведение остаётся доступным через каталог и поиск. Пользователь может в любой момент отключить персональные рекомендации в настройках учётной записи (отключение останавливает персональную выдачу, формирование профиля вкуса и запись событий показов, накопленный профиль сбрасывается) либо стереть накопленный отклик и события действием «сбросить историю рекомендаций» (раздел 9). Подробное описание применяемых рекомендательных технологий — состав собираемых сведений о предпочтениях, порядок их систематизации и анализа, способы влияния Пользователя на выдачу — приведено в Правилах применения рекомендательных технологий (/legal/recommendation-technologies-rules), опубликованных во исполнение статьи 10.2-2 Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации».
13. Файлы cookie
Сервис использует следующие категории файлов cookie и аналогичных технологий с указанием имён, назначения, категории и максимального срока хранения:
device_id (категория: технический, необходимый; срок хранения: до 1 (одного) года; защищён флагами Secure и HttpOnly): идентификатор устройства Пользователя; используется для распознавания устройства между сессиями, привязки доверенных устройств и поддержания механизмов безопасности; обязателен для функционирования Сервиса;
session_id (категория: технический, необходимый; срок хранения: до 30 (тридцати) дней; защищён флагами Secure и HttpOnly): поддержание авторизованного сеанса Пользователя; обязателен для авторизованной части Сервиса;
служебные cookie защиты от подделки межсайтовых запросов (CSRF-токены) и связанных атак (категория: технический, необходимый; срок хранения: сессионный либо до завершения операции): обязательны для функционирования форм Сервиса;
oauthLoginNonce (в production-окружении — __Host-oauthLoginNonce) (категория: технический, необходимый; срок хранения: до 5 (пяти) минут; защищён флагами Secure и HttpOnly, атрибут SameSite=Lax): одноразовый случайный токен для защиты входа через OAuth-провайдера от подделки межсайтового запроса входа (login-CSRF); персональных данных не содержит, для аналитики и трекинга не используется;
Аналитические cookie и аналогичные технологии (Google Analytics 4, Яндекс Метрика) устанавливаются и используются только после предоставления Пользователем отдельного согласия в cookie-баннере. До предоставления такого согласия Сервис использует только технические cookie, необходимые для функционирования Сервиса, обеспечения безопасности, авторизации и защиты форм.
_ga, _ga_* (категория: аналитический; провайдер: Google Analytics 4, компания Google LLC; срок хранения: до 13 (тринадцати) месяцев): сбор псевдонимизированных сведений о посещаемости, поведении и взаимодействии с функциями Сервиса для формирования обезличенных агрегированных показателей. Cookie Google Analytics могут быть отключены Пользователем средствами браузера или с помощью официального opt-out-инструмента Google по адресу https://tools.google.com/dlpage/gaoptout;
_ym_uid, _ym_d, _ym_isad, _ym_visorc (категория: аналитический; провайдер: Яндекс Метрика, ООО «ЯНДЕКС»; срок хранения: до 1 (одного) года): сбор псевдонимизированных сведений о посещаемости, поведении и взаимодействии с функциями Сервиса для формирования обезличенных агрегированных показателей. Идентификатор _ym_uid используется для распознавания браузера между сессиями (в том числе в связке с псевдонимизированным setUserID); идентификатор _ym_visorc обеспечивает работу инструмента записи действий на странице (Webvisor). Cookie Яндекс Метрики могут быть отключены Пользователем средствами браузера или официальными инструментами Яндекса.
Средства веб-аналитики Сервиса дополнительно применяют технологию записи действий на странице (Webvisor) и построения тепловых карт кликов; их работа активируется только после предоставления Пользователем согласия в cookie-баннере наряду с прочими аналитическими средствами. Перечни имён cookie носят информативный характер: провайдеры аналитики могут применять иные служебные cookie аналогичного назначения в составе тех же средств; их использование также покрывается согласием в cookie-баннере.
Пользователь вправе в любой момент изменить или отозвать согласие на аналитические cookie в настройках cookie / настройках конфиденциальности Сервиса. Отзыв согласия не влияет на доступ к основной функциональности Сервиса.
Сервис не использует cookie рекламных сетей и технологии ретаргетинга.
Категория «маркетинговые cookie» предусмотрена классификацией Сервиса как резервная — на случай возможного подключения соответствующих сервисов в будущем, — однако Пользователю она не предлагается: переключателя этой категории нет ни в cookie-баннере, ни в настройках cookie, согласие по ней не запрашивается и не фиксируется (раздел 4 Согласия на обработку персональных данных, см. /legal/personal-data-consent). Фактически какие-либо маркетинговые cookie Сервисом не устанавливаются; их использование возможно исключительно после возврата категории в интерфейс и получения по ней отдельного согласия Пользователя.
Пользователь может отключить cookie в настройках браузера, однако это может привести к ограничению функциональности Сервиса (невозможность поддерживать сессию, отображать персонализированный контент и т. п.). Отключение исключительно аналитических cookie (Google Analytics 4 и Яндекс Метрика) не влияет на основную функциональность Сервиса.
14. Изменения политики
Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция публикуется на странице /legal/privacy-policy с указанием даты обновления. Существенные изменения дополнительно сообщаются Пользователям через сервисные уведомления и (или) баннер на сайте. Изменения, вводящие новые цели или категории обработки персональных данных либо новое распространение данных, основанное на согласии, применяются к Пользователю только после активного подтверждения им обновлённой редакции обязательных документов: до такого подтверждения Сервис блокирует доступ к функциональности учётной записи (диалоговое окно принятия обновлённых документов), и пассивное продолжение использования Сервиса согласием с такими изменениями не считается.
Для Пользователей, отписавшихся от сервисных уведомлений или не предоставивших действующий адрес электронной почты, существенные изменения настоящей Политики дополнительно отображаются в виде баннера на главной странице Сервиса при первой авторизации Пользователя после публикации новой редакции Политики.
Если Пользователь не согласен с новой редакцией, он вправе прекратить использование Сервиса и инициировать удаление учётной записи в порядке, описанном в разделе 9.
15. Контакты
По вопросам обработки персональных данных и реализации прав, описанных в настоящей Политике, Пользователь может обращаться по адресу: support@hubani.me. См. также текст Пользовательского соглашения (/legal/terms-of-service) и Согласия на обработку персональных данных (/legal/personal-data-consent).