Политика обработки персональных данных

Редакция 1.0.0. Сайт: http://bot.kotlov.tech

1. Общие положения

1.1. Настоящая Политика определяет порядок обработки и меры по обеспечению безопасности персональных данных пользователей сервиса GldRubBot (далее — Сервис), доступного по адресу http://bot.kotlov.tech, в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон).

Оператор персональных данных: [не указано]
ИНН: [не указано]
Адрес: [не указано]
Email для обращений по персональным данным: [не указано]

1.2. Политика опубликована в открытом доступе на сайте Сервиса. Согласие на обработку персональных данных оформляется отдельным документом — «Согласие на обработку персональных данных».

2. Какие персональные данные обрабатываются

Субъекты персональных данных — пользователи, зарегистрированные в Сервисе. Обрабатываются:

• адрес электронной почты (логин) и пароль (хранится только в виде криптографического хэша, сам пароль не хранится);
• сведения об аккаунте: дата регистрации, срок пробного периода, статус;
• токен доступа T-Invest API, идентификаторы брокерских субсчетов, торговые настройки, сведения о заявках, позициях и сделках, совершённых Сервисом по поручению пользователя;
• по желанию пользователя — токен Telegram-бота и идентификатор чата (chat_id), логин, пароль приложения и адрес Яндекс-почты для уведомлений;
• IP-адрес и дата/время — при фиксации согласия; IP-адрес — также в журнале ошибок веб-сервера и при защите от подбора пароля;
• техническая cookie сессии, без которой невозможен вход в личный кабинет.

Специальные категории и биометрические персональные данные не обрабатываются.

3. Цели и правовые основания

• регистрация и авторизация пользователя, предоставление доступа к личному кабинету;
• работа торгового бота по настройкам пользователя: получение рыночных данных, выставление и отмена заявок, ведение позиций на брокерском счёте пользователя через его токен;
• отправка пользователю уведомлений о работе бота (если он их включил);
• управление пробным периодом и доступом к Сервису;
• обеспечение безопасности Сервиса и рассмотрение обращений пользователей.

Правовое основание — согласие субъекта персональных данных (п. 1 ч. 1 ст. 6 Закона).

4. Действия с персональными данными и способы обработки

Обработка — автоматизированная: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение. Решения, порождающие юридические последствия для пользователя, исключительно на основании автоматизированной обработки не принимаются: торговые операции совершаются только по настройкам и после запуска бота самим пользователем.

5. Передача третьим лицам и место хранения

• Хранение данных: США, хостинг-провайдер Hivelocity, Inc. (дата-центр в г. Чикаго). Хранение за пределами Российской Федерации является трансграничной передачей персональных данных.
• АО «ТБанк» (T-Invest API) — передача заявок и получение сведений о счёте пользователя с использованием токена, который пользователь указал сам; только для исполнения его торговых операций.
• ООО «Яндекс» (Яндекс-почта) — отправка уведомлений, только если пользователь их включил.
• Telegram (Telegram FZ-LLC, ОАЭ) — отправка уведомлений в чат пользователя, только если пользователь их включил; является трансграничной передачей.

Иным лицам персональные данные не передаются и не распространяются, кроме случаев, предусмотренных законодательством Российской Федерации.

6. Сроки обработки и хранения

Персональные данные обрабатываются до удаления аккаунта пользователем или до отзыва согласия. При удалении аккаунта данные (включая настройки, токены и историю сделок) уничтожаются сразу; при отзыве согласия письмом — в срок не более 30 дней с даты поступления отзыва. Журнал ошибок веб-сервера (может содержать IP-адреса) хранится не более 7 дней.

7. Права пользователя

Пользователь вправе: получать сведения об обработке своих персональных данных; требовать их уточнения, блокирования или уничтожения, если они неполные, устаревшие, неточные, незаконно получены или не нужны для заявленной цели; отозвать согласие; обжаловать действия оператора в Роскомнадзоре или в суде. Запрос направляется на email [не указано]. Ответ даётся в течение 10 рабочих дней с даты получения запроса (срок может быть продлён не более чем на 5 рабочих дней с уведомлением о причинах).

Удалить аккаунт и все данные пользователь может сам: личный кабинет → «Удаление аккаунта». Удаление аккаунта означает отзыв согласия.

8. Меры по защите персональных данных

• передача данных только по защищённому протоколу HTTPS;
• пароли хранятся в виде криптографического хэша; токены и пароли сторонних сервисов — в зашифрованном виде; в браузер они не передаются;
• доступ к базе данных и ключам шифрования ограничен учётными записями системы и администраторов сервера;
• защита от подбора пароля и от подделки запросов (CSRF); журналы ведутся с минимальным объёмом данных;
• назначение ответственного за организацию обработки персональных данных, контроль соблюдения Закона и настоящей Политики.

9. Cookie

Сервис использует только техническую cookie сессии, необходимую для входа в личный кабинет. Счётчики посещаемости, рекламные и аналитические cookie не используются.

10. Заключительные положения

Оператор вправе изменять Политику. Новая редакция действует с момента публикации на сайте; при изменении условий обработки пользователю предлагается принять обновлённое согласие. Вопросы по Политике направляются на email [не указано].