Политика конфиденциальности и обработки персональных данных

Настоящая Политика определяет порядок обработки и меры по защите персональных данных, которые Индивидуальный предприниматель Лунёв Артём Павлович (далее — «Оператор») получает от пользователей сайта mehost.ru, Личного кабинета, мобильного приложения MeHost для Android и ботов MeHost в мессенджерах (далее вместе — «Сервис»). Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон») и является общедоступным документом, предусмотренным частью 2 статьи 18.1 Закона.

1. Оператор

1.1. Оператор: Индивидуальный предприниматель Лунёв Артём Павлович, ИНН 245510028797, ОГРНИП 318392600018416, г. Калининград. Почтовый адрес: [почтовый адрес для корреспонденции].

1.2. Контакты для вопросов о персональных данных: info@mehost.ru, +7 (965) 905-27-27.

1.3. Оператор внесён в реестр операторов, осуществляющих обработку персональных данных, под номером [регистрационный номер в реестре Роскомнадзора].

2. Основные понятия

2.1. Персональные данные, обработка, распространение, предоставление, блокирование, уничтожение, обезличивание персональных данных и иные термины используются в значениях, установленных статьёй 3 Закона.

2.2. Пользователь — физическое лицо, которое пользуется Сервисом, в том числе Заказчик по Договору-оферте, его представитель, а также лицо, указанное Заказчиком как администратор домена.

3. Принципы обработки

3.1. Оператор обрабатывает персональные данные законно и справедливо, только для заранее определённых целей, в объёме, необходимом для этих целей, обеспечивая точность данных и не храня их дольше, чем требуют цели обработки или закон.

3.2. Оператор не обрабатывает специальные категории персональных данных (о здоровье, убеждениях и т. п.) и биометрические персональные данные. Оператор не принимает решений, порождающих юридические последствия для пользователя, исключительно на основании автоматизированной обработки.

3.3. Оператор не продаёт персональные данные и не распространяет их неограниченному кругу лиц.

4. Цели, состав данных, основания и сроки

Цель	Данные	Основание	Срок хранения
Регистрация и ведение Учётной записи, вход в Личный кабинет и приложение, обеспечение безопасности доступа	Имя, адрес электронной почты, телефон, хэш пароля, параметры двухфакторной аутентификации, IP-адрес, данные браузера и устройства, журнал входов и активных сеансов	Заключение и исполнение договора (п. 5 ч. 1 ст. 6 Закона)	Срок действия договора и 3 года после его прекращения
Заключение и исполнение договора: оказание услуг хостинга, VDS и дополнительных услуг	ФИО, контактные данные, данные профиля плательщика (для ИП и юрлиц — ИНН, ОГРН(ИП), адрес, должность и ФИО представителя), сведения об услугах и их использовании	Исполнение договора	Срок действия договора и 3 года после его прекращения
Регистрация, продление и сопровождение доменов	Данные администратора домена в объёме, который требуют правила доменной зоны и Регистратор: ФИО (наименование), дата рождения, паспортные данные, ИНН, почтовый адрес, телефон, электронная почта	Исполнение договора; согласие администратора домена, если он не является Заказчиком	Срок регистрации домена через Оператора и 3 года после её прекращения
Приём платежей и возвратов, выдача кассовых чеков, бухгалтерский и налоговый учёт	ФИО или наименование плательщика, адрес электронной почты для чека, сумма, дата, идентификатор платежа, способ оплаты, маскированный номер карты (без полного номера и кода CVC/CVV), банковские реквизиты при оплате по счёту или возврате	Исполнение договора; исполнение обязанностей по 54-ФЗ, 402-ФЗ и Налоговому кодексу (п. 2 ч. 1 ст. 6 Закона)	5 лет после окончания года, в котором проведена операция
Сервисные уведомления: об оплате, окончании средств и услуг, приостановке, работах, ответах поддержки	Адрес электронной почты, телефон, идентификаторы чатов и аккаунтов в Telegram, MAX, VK, push-токен устройства	Исполнение договора	До отключения канала пользователем или прекращения договора
Техническая поддержка и рассмотрение обращений, претензий, жалоб	Контактные данные, содержание обращений и вложений, переписка	Исполнение договора; законный интерес Оператора (п. 7 ч. 1 ст. 6 Закона)	3 года после закрытия обращения
Обеспечение безопасности Сервиса, предотвращение мошенничества и злоупотреблений, исполнение требований закона к провайдеру хостинга	IP-адреса, журналы запросов и действий, данные об устройствах, сведения о жалобах и нарушениях	Законный интерес Оператора; исполнение обязанностей, установленных законом	Журналы доступа — 12 месяцев; сведения о нарушениях — срок договора и 3 года после
Анализ посещаемости и улучшение Сервиса (Яндекс Метрика, включая Вебвизор)	Идентификаторы cookie, IP-адрес, данные браузера и устройства, посещённые страницы, источник перехода, действия на страницах (клики, прокрутка, движения указателя)	Согласие пользователя (п. 1 ч. 1 ст. 6 Закона)	До отзыва согласия; данные в Яндекс Метрике — в соответствии с её настройками, не более 12 месяцев
Информационные и рекламные рассылки	Имя, адрес электронной почты, идентификаторы в мессенджерах	Отдельное согласие пользователя	До отзыва согласия

4.1. Если пользователь не предоставил данные, необходимые для заключения или исполнения договора (например, данные администратора домена), Оператор не сможет оказать соответствующую услугу.

4.2. Данные, которые Заказчик размещает на хостинге (файлы сайтов, базы данных, почта, в том числе персональные данные посетителей сайтов Заказчика), Оператор не обрабатывает в собственных целях: оператором таких данных является Заказчик. Оператор обеспечивает их хранение на серверах и не обращается к ним, кроме случаев, указанных в Договоре-оферте.

5. Мобильное приложение MeHost для Android

5.1. Приложение обрабатывает те же данные Учётной записи, что и Личный кабинет, а также: модель и название устройства, версию операционной системы и приложения, идентификатор установки, токены доступа (хранятся на устройстве в защищённом хранилище, на сервере — в виде хэшей), push-токен для доставки уведомлений, сведения о сбоях приложения.

5.2. Push-уведомления доставляются через сервисы доставки уведомлений (Firebase Cloud Messaging компании Google и/или RuStore Push). Через них передаются только push-токен и текст уведомления; платёжные и паспортные данные в уведомлениях не передаются.

5.3. Пользователь может отключить уведомления в настройках приложения или устройства, а также завершить сеанс на устройстве в разделе «Настройки» Личного кабинета — при этом токены устройства аннулируются.

5.4. Приложение не получает доступ к контактам, фотографиям, геолокации и другим данным устройства, не нужным для работы Сервиса. Если для отдельной функции потребуется разрешение (например, на уведомления или биометрический вход), оно запрашивается системой устройства, и пользователь может его отозвать. Биометрические данные обрабатываются только устройством и Оператору не передаются.

6. Передача данных третьим лицам

6.1. Оператор передаёт (предоставляет) персональные данные следующим лицам в объёме, необходимом для соответствующей цели, на основании договоров, обязывающих их соблюдать конфиденциальность и требования Закона:

• ООО «Регистратор доменных имён РЕГ.РУ» — данные администратора домена для регистрации, продления и сопровождения доменов. Регистратор является самостоятельным оператором этих данных и вносит их в реестр доменной зоны; часть данных может публиковаться в сервисе WHOIS в объёме, установленном правилами зоны (для физических лиц в зонах .RU и .РФ публикуется только отметка «Private Person»);
• ООО НКО «ЮМани» (сервис ЮKassa) — данные для проведения платежей, возвратов и формирования кассовых чеков; данные карт вводятся пользователем непосредственно на странице ЮKassa;
• партнёр по услугам VDS (Timeweb) — данные, необходимые для создания и обслуживания заказанного сервера;
• ООО «ЯНДЕКС» — данные сервиса Яндекс Метрика при наличии согласия пользователя на аналитические cookie;
• операторы связи и рассылок — адрес электронной почты, номер телефона и текст сервисного сообщения для доставки писем и SMS;
• мессенджеры Telegram, MAX, VK и сервисы push-уведомлений — идентификатор чата или устройства и текст уведомления, если пользователь сам подключил соответствующий канал;
• государственные органы и суды — по основаниям и в порядке, предусмотренным законом.

6.2. Оператор не передаёт персональные данные для рекламы третьих лиц.

7. Локализация и трансграничная передача

7.1. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, расположенных на территории Российской Федерации (часть 5 статьи 18 Закона). Серверы Сервиса и хостинга находятся в России.

7.2. Трансграничная передача персональных данных может происходить только в случае, если пользователь сам подключил канал уведомлений, работающий через иностранный сервис (Telegram, Firebase Cloud Messaging): в этом случае за рубеж передаются идентификатор чата или push-токен и текст уведомления. Пользователь может отказаться от таких каналов и получать уведомления по электронной почте, в MAX, VK или через RuStore Push. Оператор осуществляет трансграничную передачу после уведомления Роскомнадзора в порядке статьи 12 Закона.

8. Меры по защите персональных данных

8.1. Оператор принимает правовые, организационные и технические меры, предусмотренные статьями 18.1 и 19 Закона, в том числе:

• шифрование передачи данных по протоколу HTTPS (TLS) на всех страницах Сервиса и в API приложения;
• хранение паролей только в виде стойких хэшей (Argon2id), шифрование секретов двухфакторной аутентификации и доступов к услугам;
• двухфакторная аутентификация для пользователей (по желанию) и обязательная — для администраторов Сервиса;
• ограничение числа попыток входа, защита форм от подделки запросов (CSRF), контроль активных сеансов и устройств;
• журналирование входов и действий в Личном кабинете и в панели администратора, контроль неудачных попыток доступа;
• разграничение доступа: к персональным данным имеют доступ только лица, которым он необходим для исполнения обязанностей, давшие обязательство о конфиденциальности;
• резервное копирование и антивирусная защита серверов, своевременная установка обновлений безопасности;
• оценка вреда, который может быть причинён субъектам, и определение актуальных угроз безопасности данных;
• назначение лица, ответственного за организацию обработки персональных данных (им является сам Оператор).

8.2. При выявлении неправомерной передачи (утечки) персональных данных Оператор уведомляет Роскомнадзор в сроки, установленные частью 3.1 статьи 21 Закона (в течение 24 часов — о факте инцидента, в течение 72 часов — о результатах расследования), и принимает меры по устранению последствий.

9. Права пользователя

9.1. Пользователь вправе:

• получить сведения об обработке своих персональных данных, указанные в части 7 статьи 14 Закона;
• требовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно полученные или не нужны для заявленной цели;
• отозвать согласие на обработку персональных данных;
• отказаться от рекламных рассылок и аналитических cookie;
• обжаловать действия Оператора в Роскомнадзор или в суд.

9.2. Запрос направляется на info@mehost.ru с адреса электронной почты Учётной записи, через раздел «Поддержка» Личного кабинета или почтой по адресу, указанному в разделе 1. Запрос должен содержать сведения, позволяющие идентифицировать пользователя (адрес электронной почты Учётной записи, ФИО) и подтверждающие его отношения с Оператором (например, номер договора или услуги).

9.3. Оператор отвечает на запрос в течение 10 рабочих дней с даты получения. Срок может быть продлён не более чем на 5 рабочих дней с направлением мотивированного уведомления.

9.4. Часть данных пользователь может изменить самостоятельно в Личном кабинете: имя, контакты, каналы уведомлений, данные профилей плательщика, активные сеансы и устройства.

10. Отзыв согласия и удаление данных

10.1. Отзыв согласия направляется способами, указанными в пункте 9.2, или в порядке, описанном в Согласии на обработку персональных данных. Согласие на аналитические cookie можно отозвать в настройках cookie на сайте (см. Политику cookie).

10.2. После получения отзыва Оператор прекращает обработку и уничтожает данные в течение 30 дней, если иное не предусмотрено законом. Оператор вправе продолжить обработку без согласия, если она необходима для исполнения действующего договора, учёта платежей или исполнения требований закона (пункты 2–11 части 1 статьи 6 Закона), — в объёме и в сроки, указанные в разделе 4.

10.3. Отзыв согласия, необходимого для оказания услуг, означает невозможность их дальнейшего оказания; в этом случае Договор прекращается, а остаток баланса возвращается по Порядку возврата средств.

10.4. По истечении сроков хранения или по достижении целей данные уничтожаются (удаляются из баз данных и резервных копий при их плановой ротации) либо обезличиваются. Уничтожение подтверждается актом и выгрузкой из журнала в соответствии с требованиями Роскомнадзора.

11. Cookie и аналитика

11.1. Порядок использования файлов cookie и сервиса Яндекс Метрика описан в Политике использования файлов cookie.

12. Изменение Политики

12.1. Оператор вправе изменять Политику, публикуя новую редакцию на сайте с указанием даты. Если изменения расширяют цели обработки или состав данных, Оператор запрашивает новое согласие, когда это требуется Законом. Предыдущие редакции доступны в истории версий документа.