Политика обработки персональных данных

1. Общие положения

Настоящая Политика определяет порядок обработки персональных данных (далее — ПДн) пользователей сервиса «СонныйПлан» (далее — Сервис) и разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

Используя Сервис, вы подтверждаете, что ознакомились с настоящей Политикой. Обработка данных о здоровье ребёнка осуществляется только при вашем явном согласии, оформляемом отдельным действием при регистрации.

2. Оператор персональных данных

Оператором является лицо, указанное в разделе «Реквизиты оператора» ниже. Вопросы по обработке ПДн направляйте на контактный адрес оператора.

3. Состав обрабатываемых персональных данных

Данные пользователя (родителя):

• адрес электронной почты и (или) номер телефона;
• отображаемое имя (если указано);
• технические данные: IP-адрес, сведения об устройстве, время обращений;
• сведения о заказах и платежах (без данных банковской карты — их обрабатывает платёжный сервис).

Данные ребёнка — специальная категория ПДн:

• имя, дата рождения, при необходимости — предполагаемая дата родов (для недоношенных детей), пол;
• дневник сна: время засыпаний, пробуждений, длительность снов;
• ответы анкеты о самочувствии и особенностях сна, в том числе сведения о дыхании во сне, рефлюксе, наборе веса, признаках боли, наличии диагнозов развития.

Мы не запрашиваем медицинские документы, результаты обследований, диагнозы, назначения и данные о приёме лекарств.

4. Особый режим специальной категории ПДн

Сведения о состоянии здоровья ребёнка и сам факт того, что субъект данных является несовершеннолетним, относятся к специальной категории персональных данных (ст. 10 152-ФЗ). Их обработка допускается только на основании вашего явного согласия, данного законным представителем ребёнка, и производится:

• в объёме, минимально необходимом для формирования рекомендаций по режиму сна;
• с шифрованием чувствительных полей при хранении;
• с разграничением доступа: сотрудники не имеют доступа к данным конкретного ребёнка без документированной эксплуатационной необходимости;
• с ведением неизменяемого журнала доступа.

Вы вправе отозвать согласие в любой момент — см. раздел 8.

5. Цели и правовые основания обработки

| Цель | Правовое основание | |---|---| | Регистрация и аутентификация | Согласие субъекта; исполнение договора (оферты) | | Формирование персонального плана сна и протоколов | Явное согласие на обработку специальной категории ПДн | | Медицинский роутинг: выявление тревожных признаков и рекомендация обратиться к врачу | Явное согласие; защита жизненно важных интересов ребёнка | | Приём оплаты, формирование кассового чека | Исполнение договора; требования 54-ФЗ | | Направление уведомлений и напоминаний | Согласие субъекта | | Рекламные рассылки | Отдельное согласие, отзываемое независимо | | Обеспечение безопасности, расследование инцидентов | Законные интересы оператора |

6. Локализация и передача данных

Базы данных, содержащие ПДн граждан Российской Федерации, размещаются на серверах, находящихся на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ, 242-ФЗ). Артефакты плана (PDF-файлы) хранятся в объектном хранилище, расположенном в РФ.

Трансграничная передача персональных данных не осуществляется.

Мы привлекаем следующих лиц для обработки ПДн по нашему поручению:

• платёжный сервис — для проведения оплаты и фискализации чека;
• оператор SMS-рассылки — для доставки одноразовых кодов входа;
• сервисы доставки push-уведомлений — для напоминаний.

Данные о здоровье ребёнка этим лицам не передаются.

7. Сроки хранения

• Данные аккаунта — в течение срока действия аккаунта.
• Данные ребёнка и дневник сна — до удаления ребёнка из аккаунта; после мягкого удаления данные окончательно уничтожаются автоматической процедурой по истечении срока, указанного в настройках сервиса.
• Документы, подтверждающие оплату, и кассовые чеки — в течение сроков, установленных законодательством о бухгалтерском учёте и 54-ФЗ.
• Записи о согласиях — в течение срока хранения, установленного для доказательства правомерности обработки.

8. Права субъекта персональных данных

Вы вправе:

• получить сведения об обработке ваших ПДн и ПДн вашего ребёнка;
• потребовать уточнения, блокирования или уничтожения ПДн;
• отозвать согласие на обработку ПДн, в том числе специальной категории;
• получить копию данных в машиночитаемом виде;
• обжаловать действия оператора в Роскомнадзоре или в судебном порядке.

Отзыв согласия на обработку специальной категории ПДн влечёт невозможность предоставления персонального плана сна: без данных о ребёнке сформировать его нельзя.

Запросы направляйте на контактный адрес оператора. Срок ответа — 30 дней.

9. Меры защиты

Применяются: шифрование трафика (TLS), шифрование чувствительных колонок в базе данных, хеширование паролей (argon2id), ограничение доступа по ролям, журналирование доступа, регулярное резервное копирование, автоматическое уничтожение данных по истечении срока.

10. Изменение Политики

Актуальная редакция публикуется на этой странице с указанием версии. При существенном изменении условий обработки специальной категории ПДн мы запрашиваем согласие заново.