Оператор персональных данных
Оператор самостоятельно определяет цели и способы обработки персональных данных пользователей платформы Arcana и обеспечивает выполнение применимых требований законодательства Российской Федерации.
Принципы обработки
- законность, справедливость и прозрачность;
- обработка только для заранее определённых целей;
- минимизация состава собираемых данных;
- точность и актуальность сведений;
- ограниченный срок хранения и контролируемый доступ;
- конфиденциальность и защита от неправомерного доступа.
Субъекты и категории данных
Политика распространяется на посетителей сайта, зарегистрированных пользователей, покупателей, получателей рассылок и лиц, обращающихся в поддержку.
- идентификационные и контактные данные;
- данные аккаунта, авторизации и безопасности;
- сведения о заказах, платежных статусах и выданных доступах;
- история обучения и взаимодействия с платформой;
- технические данные запросов и cookie;
- содержание обращений пользователя.
Цели и правовые основания
Для каждой цели оператор должен определить конкретный состав данных, основание обработки и срок хранения. Основанием могут выступать согласие пользователя, заключение и исполнение договора, обязанности оператора по закону или защита законных интересов без нарушения прав пользователя.
Действия с данными
Обработка может включать получение, запись, систематизацию, хранение, уточнение, использование, предоставление уполномоченным исполнителям, блокирование, удаление и уничтожение данных с применением автоматизированных средств или без них.
Поручение обработки и получатели
- платёжный провайдер для проведения и подтверждения платежа;
- провайдеры входа через VK ID, Яндекс ID и Google;
- сервисы доставки обязательных уведомлений;
- подрядчики, обеспечивающие поддержку и безопасность инфраструктуры;
- государственные органы — только при наличии законного требования.
Хранение, локализация и трансграничная передача
До начала обработки оператор должен определить используемые информационные системы, местонахождение баз данных и допустимость трансграничной передачи. Трансграничная передача не должна выполняться автоматически без отдельной правовой и технической оценки.
Меры защиты
- разграничение прав администратора, редактора и клиента;
- защищённые сессии и контроль активных устройств;
- журналирование критичных событий;
- проверка платёжных webhook и запрет клиентского подтверждения оплаты;
- регулярное обновление, резервное копирование и реагирование на инциденты.
Обращения субъектов данных
Запрос должен позволять надёжно определить заявителя и содержание требования. Оператор рассматривает обращения и отвечает в порядке и сроки, установленные применимым законодательством.